KRITIS-Dachgesetz 2026: Wer betroffen ist und was gilt

Mit dem KRITIS-Dachgesetz setzt Deutschland die europäische CER-Richtlinie (Critical Entities Resilience) um – parallel zu NIS2 für die digitale Seite. Während NIS2 die Cybersicherheit regelt, regelt das KRITIS-Dachgesetz die physische und organisatorische Resilienz kritischer Infrastrukturen. Für viele Unternehmen bedeutet das: doppelte Pflichten, neue Meldewege, neue Nachweise – und ein deutlich erweiterter Kreis von Betroffenen.

Was ist das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz schafft erstmals einen einheitlichen Rechtsrahmen für den Schutz kritischer Infrastrukturen in Deutschland. Bisher war der KRITIS-Schutz auf einzelne Sektorgesetze (Energie, Telekommunikation, IT-Sicherheitsgesetz) verteilt – das neue Gesetz bündelt physische Sicherheit, Notfallplanung, Lieferkettenresilienz und Personalsicherheit in einem Rahmenwerk.

Wichtig: Das KRITIS-Dachgesetz ersetzt nicht NIS2 – beide gelten parallel. NIS2 deckt die Cyber-Seite ab, das Dachgesetz die physische und organisatorische Resilienz.

Wer ist vom KRITIS-Dachgesetz betroffen?

Der Betroffenenkreis ist deutlich größer als beim bisherigen IT-Sicherheitsgesetz 2.0. Erfasst sind Betreiber kritischer Anlagen in 11 Sektoren:

• Energie (Strom, Gas, Öl, Fernwärme)
• Transport und Verkehr (Luft, Schiene, Straße, Wasser)
• Bankwesen und Finanzmarktinfrastruktur
• Gesundheit (Krankenhäuser, Labore, Pharma)
• Trink- und Abwasser
• Digitale Infrastruktur und IKT-Dienste
• Öffentliche Verwaltung
• Weltraum
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln
• Chemie
• Forschungseinrichtungen

Maßgeblich sind sektorenspezifische Schwellenwerte (Versorgungsgrad, Anlagengröße, Patientenzahl etc.). Wer darüber liegt, gilt als „Betreiber kritischer Anlagen" und muss sich registrieren.

Welche Pflichten bringt das KRITIS-Dachgesetz?

Pflicht	Was bedeutet das konkret?
Registrierungspflicht	Selbstmeldung beim BBK innerhalb fester Fristen
Resilienzplan	Schriftliches Konzept zu Risiken, Maßnahmen, Notfallplanung
Risikoanalyse	Alle 4 Jahre verpflichtend, inkl. All-Hazards-Ansatz (Naturgefahren, Sabotage, Cyber, Personalmangel)
Technische und organisatorische Maßnahmen	Zutrittskontrolle, Perimeterschutz, Redundanz, Notstrom, Krisenkommunikation
Personalsicherheit	Zuverlässigkeitsprüfungen für sensible Positionen
Vorfallmeldung	Erhebliche Störungen binnen 24 h beim BBK melden
Nachweispflicht	Audits und Nachweise alle 3 Jahre

Verhältnis KRITIS-Dachgesetz, NIS2 und BSIG

Viele Unternehmen fragen sich: Welches Gesetz gilt für mich? Die kurze Antwort: möglicherweise alle drei. Das KRITIS-Dachgesetz regelt die physisch-organisatorische Resilienz, das BSIG (umgesetzt aus NIS2) die Cybersicherheit. Wer kritischer Betreiber ist, fällt fast immer unter beide Regime. Mehr zur Cyber-Seite in unserem Leitfaden NIS2-Checkliste für KMU.

Bußgelder und Haftung

Das KRITIS-Dachgesetz sieht Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor – wie bei NIS2 mit persönlicher Haftung der Geschäftsleitung bei groben Versäumnissen. Versäumte Meldungen, fehlende Resilienzpläne und Verstöße gegen technisch-organisatorische Mindeststandards sind die häufigsten Bußgeldtatbestände.

5 Schritte zur Umsetzung

1. Betroffenheitsprüfung: Liegt Ihr Unternehmen über den sektorspezifischen Schwellenwerten?
2. Gap-Analyse: Vergleich des aktuellen Schutzniveaus (physisch, organisatorisch, IT) mit den gesetzlichen Anforderungen.
3. Resilienzplan erstellen: All-Hazards-Risikoanalyse, Maßnahmenkatalog, Notfall- und Krisenmanagement.
4. Technisch-organisatorische Maßnahmen umsetzen: Zutrittskontrolle, Perimeterschutz, Notstrom, Redundanz, Backup, Personalsicherheit.
5. Nachweis- und Meldewege aufbauen: Dokumentation, interne Audits, BBK-Meldekanal, Krisenkommunikation.

Wie Valyros bei KRITIS und NIS2 unterstützt

Wir begleiten KRITIS-Betreiber und NIS2-pflichtige Unternehmen als Sicherheitspartner aus einer Hand – von der Betroffenheitsprüfung bis zur kontinuierlichen Überwachung. Konkret übernehmen wir:

• Compliance-Audit: Gap-Analyse gegen KRITIS-Dachgesetz, NIS2 und ISO 27001 – ein Audit, drei Nachweise.
• Resilienzplan und ISMS: Erstellung und Pflege durch unseren externen Informationssicherheitsbeauftragten.
• Managed Detection & Response: 24/7-Überwachung Ihrer IT-Systeme inkl. Meldepfad zum BBK – siehe MDR-Service.
• Darknet- und Lieferketten-Monitoring: Frühwarnung bei Datenlecks und kompromittierten Zulieferern – siehe Darknet Monitoring.
• Krisenkommunikation und Incident-Response-Plan – inklusive Tabletop-Übungen mit Ihrer Geschäftsleitung.

Alle Leistungen aus Deutschland, mit deutschsprachigem Reporting und auditfähiger Dokumentation. Sprechen Sie mit uns über Ihre KRITIS-Pflichten.

Weiterlesen: NIS2-Checkliste für KMU · SIEM vs SOC vs MDR · Externer ISB: Kosten und Pflichten