Das KRITIS-Dachgesetz ist seit dem 17.03.2026 in Kraft. Nach Angaben des BBK besteht nach diesem Gesetz zurzeit keine Registrierungspflicht, da sich die Rechtsverordnung zur Bestimmung kritischer Anlagen noch in Erarbeitung und Abstimmung befindet. Pflichten nach dem BSI-Gesetz gelten unabhängig davon. Stand: Oktober 2026.
Das KRITIS-Dachgesetz (KRITISDachG) vom 11.03.2026 (BGBl. 2026 I Nr. 66) ist seit dem 17.03.2026 in Kraft. Es regelt Pflichten von Betreibern kritischer Anlagen zur physischen Resilienz. Ob eine Anlage als kritische Anlage gilt, bestimmt sich grundsätzlich nach einer Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG. Diese Verordnung ist bislang nicht verkündet.
„Zurzeit besteht noch keine Registrierungspflicht auf der Grundlage des KRITISDachG, da sich die konkretisierende Rechtsverordnung zur Bestimmung kritischer Anlagen gem. § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG noch in Erarbeitung und Abstimmung befindet.“
„Aktuell müssen Sie als ein Betreiber einer kritischen Anlage noch nicht tätig werden.“
Diese Aussagen betreffen das KRITIS-Dachgesetz. Pflichten nach dem BSI-Gesetz gelten unabhängig davon, siehe Verhältnis zu NIS2.
Der Regelwert für die Schwellenwerte beträgt nach § 5 Abs. 2 KRITISDachG grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner. Welche Anlagen im Einzelnen als kritisch gelten, regelt die Rechtsverordnung.
Das BBK beschreibt den Zusammenhang so: „Sobald die Rechtsverordnung … in Kraft getreten ist, sind Betreiber verpflichtet, ihre kritischen Anlagen zu registrieren.“
Einen Termin für das Inkrafttreten nennen weder das Gesetz noch die FAQ des BBK.
Für die weiteren Pflichten nennt § 8 Abs. 7 KRITISDachG Zeiträume, die mit der Registrierung beginnen:
Risikoanalyse und Risikobewertung des Betreibers (§ 12 KRITISDachG): Die Pflichten gelten erstmals neun Monate nach der Registrierung.
Resilienzpflichten und Resilienzplan (§ 13), Meldewesen (§ 18) sowie Umsetzungs- und Überwachungspflicht der Geschäftsleitung (§ 20 KRITISDachG): Die Pflichten gelten erstmals zehn Monate nach der Registrierung.
Für einzelne Bereiche, etwa Finanzunternehmen im Anwendungsbereich von DORA und Betreiber im Sektor Informationstechnik und Telekommunikation, gelten diese Pflichten nach § 4 Abs. 2 KRITISDachG ganz oder teilweise nicht.
Unabhängig vom KRITIS-Dachgesetz gilt das BSI-Gesetz. Besonders wichtige und wichtige Einrichtungen registrieren sich nach § 33 Abs. 1 BSIG beim BSI. Betreiber kritischer Anlagen sind nach § 28 Abs. 1 Nr. 1 BSIG besonders wichtige Einrichtungen. Welche Anlagen dafür als kritisch gelten, richtet sich bis zur Rechtsverordnung nach bisherigem Recht (§ 66 BSIG).
NIS2 Pilot unterstützt auf der NIS2-Seite mit dem BSI-Registrierungs-Assistenten und dem Reifegrad-Check.
In der Ursprungsfassung von § 8 Abs. 1 KRITISDachG (Gesetz vom 11.03.2026, BGBl. 2026 I Nr. 66) lautete die Frist: „spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschließlich zum 17. Juli 2026“. Gemeint war der frühestmögliche Ablauf der Frist, kein Termin, ab dem registriert werden konnte oder musste.
Das Gesetz vom 21.07.2026 (BGBl. 2026 I Nr. 221, ausgegeben am 28.07.2026) hat § 8 Abs. 1 in Artikel 8 Nr. 4 neu gefasst. Die Neufassung gilt seit dem 29.07.2026 und nennt kein Datum mehr.
Nach Angaben des BBK nicht. In den FAQ des BBK (abgerufen am 07.10.2026) heißt es: „Zurzeit besteht noch keine Registrierungspflicht auf der Grundlage des KRITISDachG, da sich die konkretisierende Rechtsverordnung zur Bestimmung kritischer Anlagen gem. § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG noch in Erarbeitung und Abstimmung befindet.“ Unabhängig davon gilt das BSI-Gesetz.
Nach § 8 Abs. 1 KRITISDachG ist ein Betreiber kritischer Anlagen verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) die in der Vorschrift genannten Angaben zu übermitteln. Ob eine Anlage als kritische Anlage gilt, bestimmt sich grundsätzlich nach einer Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG. Diese ist bislang nicht verkündet. Nach den FAQ des BBK gilt: „Sobald die Rechtsverordnung … in Kraft getreten ist, sind Betreiber verpflichtet, ihre kritischen Anlagen zu registrieren.“
Das bestimmt sich grundsätzlich nach einer Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG. Der Regelwert für die Schwellenwerte beträgt nach § 5 Abs. 2 KRITISDachG grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner. Ist eine Anlage erheblich, ohne die Voraussetzungen der Verordnung zu erfüllen, stellt das Bundesministerium des Innern dies im Einzelfall fest (§ 5 Abs. 3). Solange die Verordnung nicht verkündet ist, lässt sich nicht abschließend sagen, welche Anlagen nach dem KRITIS-Dachgesetz als kritisch gelten. Für eine verbindliche Einschätzung wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt.
Nach § 8 Abs. 7 KRITISDachG gelten die Pflichten aus § 12 (Risikoanalyse und Risikobewertung des Betreibers) erstmals neun Monate nach der Registrierung. Die Pflichten aus den §§ 13, 18 und 20 (Resilienzpflichten und Resilienzplan, Meldewesen, Umsetzungs- und Überwachungspflicht der Geschäftsleitung) gelten erstmals zehn Monate nach der Registrierung. Für einzelne Bereiche, etwa Finanzunternehmen im Anwendungsbereich von DORA und Betreiber im Sektor Informationstechnik und Telekommunikation, gelten diese Pflichten nach § 4 Abs. 2 KRITISDachG ganz oder teilweise nicht.
Für das KRITIS-Dachgesetz nicht. Die Registrierung nach § 33 Abs. 1 BSIG ist eine eigene Pflicht. Sobald nach dem KRITIS-Dachgesetz eine Registrierungspflicht besteht, sind zusätzlich die Angaben nach § 8 Abs. 1 KRITISDachG zu übermitteln.
