KRITIS-Dachgesetz: Pflichten, Registrierung und Fristen für Betreiber kritischer Anlagen

Das KRITIS-Dachgesetz gilt seit dem 17. März 2026, und trotzdem wissen viele Betreiber noch nicht, ab wann sie handeln müssen. Der Grund: Welche Anlagen als kritisch gelten, legt erst eine Verordnung fest, die nach aktuellem Stand noch aussteht. Dieser Artikel zeigt, wer betroffen ist, was das Gesetz verlangt, wie die Fristen laufen und was es für Zulieferer bedeutet, die selbst keine kritische Anlage betreiben. Die Angaben beruhen auf dem Gesetzestext auf gesetze-im-internet.de und stehen unter dem Vorbehalt "Stand Oktober 2026, bitte gegen BBK prüfen".

Was regelt das KRITIS-Dachgesetz und wie passt es zu NIS2?

Das Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen, kurz KRITISDachG, setzt die EU-Richtlinie 2022/2557 über die Resilienz kritischer Einrichtungen in deutsches Recht um. Es wurde am 11. März 2026 ausgefertigt (BGBl. 2026 I Nr. 66) und ist am 17. März 2026 in Kraft getreten. Zum ersten Mal gibt es damit einen bundeseinheitlichen Rahmen dafür, dass kritische Anlagen auch einen Brand, eine Überschwemmung, einen Sabotageakt oder einen Stromausfall überstehen.

Resilienz heißt im Gesetz: Eine kritische Anlage kann einen Vorfall verhindern, sich dagegen schützen, ihn abwehren, darauf reagieren, die Folgen begrenzen und sich davon erholen. Das ist ein All-Gefahren-Ansatz. Naturgefahren, technische Defekte, menschliches Versagen und hybride Bedrohungen gehören dazu.

Und die Cybersicherheit? Die steht weiter im BSI-Gesetz (BSIG), das die NIS2-Richtlinie umsetzt. Das Dachgesetz grenzt sich ausdrücklich ab: Software und IT-Dienste, die nicht unmittelbar physische Prozesse der kritischen Dienstleistung steuern, überwachen oder unterstützen, unterliegen ausschließlich dem BSIG. Auch ein Vorfall, der nur ein Cybersicherheitsvorfall im Sinne des BSIG ist, fällt nicht unter das Dachgesetz. Betreiber kritischer Anlagen müssen also beides können: den Zaun und die Firewall.

Beide Gesetze arbeiten zusammen. Die Registrierung läuft über eine gemeinsam von BSI und BBK eingerichtete Möglichkeit, Vorfälle gehen an eine gemeinsame Meldestelle, und das BBK kann beim BSI Teile der BSIG-Nachweise anfordern, um die physischen Maßnahmen zu prüfen. Trotzdem sind es zwei Rechtsregime mit zwei Pflichtenkatalogen. Wer ein Unternehmen mit mehreren Standorten verantwortet, sollte beide in einem Managementsystem führen und nicht in zwei Ordnern.

Wer ist betroffen? Betreiber kritischer Anlagen und der Schwellenwert

Das Gesetz gilt für Betreiber kritischer Anlagen in zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung.

Betreiber ist, wer unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine Anlage ausübt. Eine Anlage ist kritisch, wenn sie für die Erbringung einer kritischen Dienstleistung erheblich ist. Eine kritische Dienstleistung versorgt die Allgemeinheit, und ihr Ausfall würde zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen.

Wie hoch ist der Schwellenwert?

Der Regelwert liegt nach § 5 Absatz 2 bei grundsätzlich 500.000 von einer Anlage zu versorgenden Einwohnern. "Grundsätzlich" ist wörtlich gemeint: Das Bundesinnenministerium (BMI) legt per Rechtsverordnung Kategorien von Anlagen und sektoren-, branchen- oder anlagenspezifische Schwellenwerte fest. Dazu kommen Kategorien, die unabhängig vom Schwellenwert als erheblich gelten. Das BMI kann außerdem im Einzelfall feststellen, dass eine Anlage kritisch ist, obwohl sie die Schwelle nicht erreicht, und umgekehrt. Die Länder können für ihre Zuständigkeitsbereiche nach einem eigenen Verfahren zusätzliche Anlagen bestimmen.

Die Verordnung ist der entscheidende Baustein. Das BMI hat am 26. Mai 2026 einen Referentenentwurf vorgelegt, der sich an der bisherigen BSI-Kritisverordnung orientiert, den Sektor Weltraum aufnimmt und einzelne Schwellen verschiebt. Nach den Quellen, die ich im Oktober 2026 gefunden habe, ist die Verordnung noch nicht im Bundesgesetzblatt veröffentlicht. Stand Oktober 2026, bitte gegen BBK prüfen.

Welche Ausnahmen und Sonderregeln gibt es?

Nicht jeder Sektor hat denselben Pflichtenumfang. Das Gesetz nimmt in § 4 Absatz 2 mehrere Gruppen von weiten Teilen der Pflichten aus:

Für alle anderen Betreiber, etwa in Wasser, Gesundheit, Ernährung, Verkehr und Teilen der Energie, gilt der volle Katalog. Dieser Artikel bleibt bei dem, was branchenübergreifend gilt. Die Branchenartikel zu Energie, Wasser und Gesundheit weiter unten zeigen die Praxis der einzelnen Sektoren.

Bin ich betroffen? Drei Fragen zur Selbsteinschätzung

Das Gesetz knüpft die Registrierungspflicht daran, dass eine Anlage als kritisch gilt, nicht an einen Bescheid. Du musst also selbst prüfen, ob du betroffen bist. Drei Fragen helfen:

1. Erbringst du eine Dienstleistung, die die Allgemeinheit versorgt und in einen der zehn Sektoren fällt?
2. Gehört deine Anlage zu einer Kategorie der künftigen Verordnung, und erreichst du dort den Schwellenwert (Regelwert: 500.000 versorgte Einwohner)?
3. Gilt deine Anlage schon heute nach der BSI-Kritisverordnung als kritisch? Dann ist eine Betroffenheit nach der neuen Verordnung wahrscheinlich, aber nicht sicher, weil Schwellen und Kategorien sich ändern können.

Wenn die Antwort auf die erste Frage Nein lautet, bist du kein Betreiber im Sinne des Gesetzes. Ob dich das Gesetz trotzdem berührt, klärt der Abschnitt über Zulieferer weiter unten.

Welche Pflichten haben Betreiber kritischer Anlagen?

Das Gesetz baut eine Kette auf: erst registrieren, dann analysieren, dann Maßnahmen umsetzen und dokumentieren, dazu melden und nachweisen. Die Geschäftsleitung trägt die Verantwortung.

Registrierung beim BBK

Betreiber übermitteln dem BBK über die gemeinsame Registrierungsmöglichkeit von BSI und BBK spätestens drei Monate, nachdem eine Anlage als kritisch gilt, folgende Angaben nach § 8: Name, Rechtsform und Handelsregisternummer, Kontaktdaten, Bezeichnung der Anlage, Sektor und kritische Dienstleistung, gegebenenfalls Kategorie, Versorgungsgradwerte, Standort, Versorgungsgebiet und öffentliche IP-Adressbereiche, betroffene EU-Mitgliedstaaten, eine Kontaktstelle und die eingesetzten Typen kritischer Komponenten. Die Komponenten-Angabe geht ausschließlich an das BSI.

Änderungen meldest du unverzüglich, spätestens nach zwei Wochen, geänderte Versorgungsgradwerte einmal jährlich. Das BBK bestätigt den Abschluss der Registrierung, die Mitteilung soll innerhalb von vier Wochen kommen. Wer sich nicht registriert, riskiert, dass das BBK die Registrierung nach Anhörung selbst vornimmt.

Wichtig für die Abgrenzung: Die Registrierung beim BBK ersetzt nicht die Registrierung beim BSI nach dem BSIG. Wer dort noch offen ist, findet im Artikel zur verpassten NIS2-Registrierung, was jetzt gilt.

Risikoanalyse und Risikobewertung

Nach § 12 führst du auf Grundlage der nationalen Risikoanalysen und anderer vertrauenswürdiger Quellen im Bedarfsfall, mindestens aber alle vier Jahre, eine Risikoanalyse und Risikobewertung durch. Sie muss die natürlichen, technischen und menschlich verursachten Risiken berücksichtigen, die die Verfügbarkeit deiner kritischen Dienstleistung beeinträchtigen können, dazu deine Abhängigkeiten von anderen Betreibern und die Abhängigkeit anderer Sektoren von dir.

Das ist die klassische Risikobewertung mit anderen Szenarien: Hochwasser statt Phishing, Stromausfall statt Ransomware, Einbruch statt Schwachstelle. Die Methodik bleibt dieselbe. Du identifizierst Szenarien, bewertest Eintrittswahrscheinlichkeit und Auswirkung auf die kritische Dienstleistung und entscheidest über die Behandlung. Das BMI darf per Verordnung inhaltliche und methodische Vorgaben samt Vorlagen machen. Prüfe deshalb vor dem ersten Entwurf, ob schon etwas veröffentlicht ist.

Resilienzmaßnahmen und Resilienzplan

§ 13 verlangt verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen für vier Ziele: Vorfälle verhindern, Liegenschaften und kritische Anlagen angemessen physisch schützen, auf Vorfälle reagieren und ihre Folgen begrenzen, nach Vorfällen die kritische Dienstleistung zügig wiederherstellen. Der Stand der Technik soll eingehalten werden, und bei der Verhältnismäßigkeit zählen Aufwand und Risiko ebenso wie die Leistungsfähigkeit des Betreibers.

Der Katalog in Absatz 3 nennt Beispiele, die du gegen deine Risikoanalyse legen kannst:

• Notfallvorsorge zur Vorfallverhinderung
• Objektschutz: Liegenschaftsabgrenzungen, hemmende Fassadenelemente, Umgebungsüberwachung, Detektionsgeräte und Zugangskontrollen
• Krisenmanagement: Risiko- und Krisenmanagementverfahren, vorgegebene Abläufe im Alarmfall
• Betriebsaufrechterhaltung: Notstromversorgung und die Ermittlung alternativer Lieferketten
• Personalsicherheit einschließlich des Personals externer Dienstleister
• Schulungen und Übungen für das Personal

Wer ein ISMS nach ISO 27001 betreibt, kennt viele dieser Themen aus dem Abschnitt zur physischen Sicherheit nach ISO 27001 A.7: Sicherheitsbereiche, Zutritt, Schutz vor Umwelteinflüssen, Versorgungseinrichtungen. Das Dachgesetz geht weiter, weil es nicht nur die IT-Räume betrachtet, sondern die Anlage selbst und die Wiederherstellung der Dienstleistung.

Die Maßnahmen stellst du nach Absatz 4 in einem Resilienzplan dar und wendest ihn an. Aus dem Plan müssen die Erwägungen hervorgehen, auf denen die Maßnahmen beruhen, und er bezieht sich auf deine Risikoanalyse. Du aktualisierst ihn bei Bedarf und nach jeder neuen Risikoanalyse. Das BBK muss spätestens acht Monate nach Inkrafttreten der KRITIS-Verordnung Vorlagen und Muster für Resilienzpläne bereitstellen, du fängst also nicht bei null an.

Für die Wiederherstellung brauchst du Zahlen: Wie lange darf die kritische Dienstleistung ausfallen, was braucht der Wiederanlauf? Dafür ist die Business-Impact-Analyse das passende Werkzeug. In ISMS Lite erfasst du Standorte, Räume und Anlagen als Assets mit ihren Abhängigkeiten, verknüpfst Risiken und Maßnahmen und pflegst Notfallpläne und Wiederanlaufpläne im selben System. Den Resilienzplan nach KRITIS-DachG bildest du aus diesen Bausteinen ab.

Vorfallsmeldung: 24 Stunden

Nach § 18 meldest du Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis, an die von BSI und BBK eingerichtete gemeinsame Meldestelle. Ein Vorfall ist ein Ereignis, das die Erbringung der kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnte. Dauert er an, aktualisierst du die Erstmeldung. Spätestens einen Monat nach Kenntnis folgt ein ausführlicher Bericht.

Die Meldung enthält die verfügbaren Informationen zu Art, Ursache und möglichen grenzüberschreitenden Auswirkungen, insbesondere die Zahl und den Anteil der Betroffenen, die bisherige und voraussichtliche Dauer und das betroffene geografische Gebiet. Das BBK legt Einzelheiten zu Verfahren und Inhalten fest und veröffentlicht sie auf seiner Internetseite. Meldepflichten aus anderen Gesetzen bleiben unberührt.

Ein Stromausfall mit Cyberursache kann beide Regime auslösen. Die Fristen aus NIS2 laufen dann parallel. Lege vorab fest, wer in der Nachtschicht entscheidet, welche Meldung rausgeht, und halte Zeitpunkt der Kenntnis, Bewertung und Versandnachweis im Vorfall fest.

Nachweise und Prüfungen

Das Dachgesetz verlangt keinen regelmäßigen Nachweis nach festem Takt. Nach § 16 kann die zuständige Behörde aber über das BBK vom BSI Teile der BSIG-Nachweise anfordern, einzelne Betreiber zur Vorlage weiterer Informationen auffordern und insbesondere den Resilienzplan verlangen. Die Auswahl erfolgt risikobasiert, nach Risikoexposition, Größe des Betreibers und möglichen Auswirkungen. Ein Nachweis kann durch Audits erfolgen, deren Ergebnisse samt festgestellter Mängel du auf Verlangen übermittelst. Bei Mängeln kann die Behörde einen Mängelbeseitigungsplan anordnen.

Gut zu wissen: Nach § 17 können Zertifikate, Dokumente und Maßnahmen, die du aufgrund anderer Verpflichtungen oder freiwillig erlangt hast, als Nachweis herangezogen werden. Was du für andere Behörden oder Kunden schon dokumentiert hast, ist also kein verlorener Aufwand, sofern es echte Resilienzmaßnahmen belegt. Wie die Gleichwertigkeit im Einzelnen aussieht, soll eine Rechtsverordnung klären. Wie BSIG-Nachweise ablaufen, steht im Artikel zu NIS2-Nachweisen und Audits. Weitere Regelungen in § 14 Absatz 3 bis 5 treten erst am 1. Januar 2030 in Kraft.

Pflichten der Geschäftsleitung

§ 20 verpflichtet die Geschäftsleitung, die Resilienzmaßnahmen nach § 13 Absatz 1 umzusetzen und die Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen. Verletzt sie diese Pflicht, haftet sie ihrer Einrichtung für schuldhaft verursachte Schäden nach dem Gesellschaftsrecht. Das Dachgesetz selbst ordnet eine Haftung nur an, wenn das Gesellschaftsrecht keine Regelung dafür enthält. Praktisch heißt das: Der Resilienzplan gehört auf den Tisch der Geschäftsführung, mit Freigabe, Budget und einem Termin im Jahr, an dem sie den Umsetzungsstand sieht.

Bis wann musst du was tun? Fristen und Zeitstrahl

Die Fristen hängen an drei Ereignissen: dem Inkrafttreten der KRITIS-Verordnung, dem Zeitpunkt, ab dem deine Anlage als kritisch gilt, und deiner Registrierung. Genau hier unterscheiden sich viele Veröffentlichungen, deshalb eine Klarstellung zum Registrierungstermin.

Die ursprüngliche Fassung des Gesetzes nannte als frühesten Registrierungstermin den 17. Juli 2026. Diese Zahl steht in vielen Anbieter-Blogs. Der aktuelle Gesetzestext auf gesetze-im-internet.de, den ich eingesehen habe, nennt keinen Kalendertermin mehr: Das Vollzitat weist eine Änderung durch Artikel 8 des Gesetzes vom 21. Juli 2026 (BGBl. 2026 I Nr. 221) aus, und § 8 Absatz 1 verpflichtet zur Registrierung "spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt". Wann eine Anlage kritisch gilt, bestimmt die Verordnung mit ihren Stichtagen. Ohne Verordnung läuft keine Registrierungsfrist an. Eine Quelle nennt den 29. Juli 2026 als Datum der Gesetzesänderung, im Text steht der 21. Juli (Ausfertigung), veröffentlicht wurde das Gesetz laut einer Fachveröffentlichung am 28. Juli. Der Hinweis auf gesetze-im-internet.de nennt die Änderung "textlich nachgewiesen, dokumentarisch noch nicht abschließend bearbeitet". Stand Oktober 2026, bitte gegen BBK prüfen.

Eine Beispielrechnung zeigt, wie das aussieht. Angenommen, die Verordnung tritt am 1. Januar 2027 in Kraft und deine Anlage gilt ab diesem Tag als kritisch. Dann registrierst du dich spätestens bis 1. April 2027. Die Risikoanalyse ist neun Monate später fällig, also bis 1. Januar 2028, der Resilienzplan samt Meldewesen und Geschäftsleitungspflicht zehn Monate später, also bis 1. Februar 2028. Das ist ein Rechenbeispiel, keine Prognose. Wer in Anbieter-Texten Termine wie "Umsetzung bis Frühjahr 2027" liest, sieht Annahmen und keine Gesetzesfristen.

Zwei Punkte sollten dich trotzdem nicht zurücklehnen lassen. Erstens laufen die Fristen ab der Registrierung. Wer früh registriert, startet die Uhr früher. Das Gesetz sagt nicht ausdrücklich, ob die Übermittlung oder die Bestätigung des BBK zählt, plane deshalb vom früheren Zeitpunkt. Zweitens brauchen Risikoanalyse und Resilienzplan Monate, auch wenn der Gesetzgeber ihnen neun und zehn Monate gibt. Wer die Anlagen bereits kennt, kann sich vorbereiten, ohne auf die Verordnung zu warten.

Was kostet ein Verstoß? Bußgelder und Haftung

Die Bußgeldvorschrift in § 24 ist enger, als viele Blogs behaupten. Die 1 Million Euro, die oft als Bußgeld für fehlende Registrierung genannt wird, gilt laut Gesetzestext für etwas anderes:

Auffällig: Die Pflichten aus den §§ 12, 13 und 18 haben keinen eigenen Bußgeldtatbestand. Das Bußgeld droht dort erst, wenn die Behörde etwas anordnet und du nicht folgst. Der eigentliche Hebel der Behörde ist also die Anordnung, nicht das Bußgeld. Ein Freibrief ist das nicht, denn die Behörde kann Mängel per Anordnung durchsetzen, und die Geschäftsleitung haftet nach § 20. Zum Vergleich: Für besonders wichtige Einrichtungen reicht der Bußgeldrahmen im BSIG bei Verstößen gegen Sicherheitsmaßnahmen und Meldepflichten bis 10 Millionen Euro (§ 65 BSIG). Das BMI soll nach § 25 unter anderem die Höhe der Bußgelder zwei Jahre nach Inkrafttreten evaluieren.

Was bedeutet das KRITIS-Dachgesetz für Zulieferer und Mittelständler?

Die gute Nachricht zuerst: Das Gesetz verpflichtet nur Betreiber kritischer Anlagen. Ein Zulieferer, der eine Pumpensteuerung liefert, ein Dienstleister, der Gebäudetechnik wartet, oder ein Mittelständler, der Ersatzteile für ein Umspannwerk fertigt, hat keine Registrierungs-, Melde- oder Resilienzplanpflicht nach dem KRITISDachG. Die schlechte Nachricht: Er wird die Anforderungen trotzdem zu spüren bekommen, weil Betreiber sie über Verträge weitergeben müssen.

Das Gesetz selbst liefert dafür die Hinweise. In § 13 Absatz 3 stehen zwei Maßnahmenarten, die direkt in die Lieferkette greifen: die Ermittlung alternativer Lieferketten, um die Dienstleistung nach einem Vorfall wieder aufzunehmen, und ein angemessenes Sicherheitsmanagement für Mitarbeitende, einschließlich des Personals externer Dienstleister. Ein Betreiber, der seinen Resilienzplan schreibt, fragt also: Wer liefert kritische Teile? Wie lange dauert Ersatz? Wer darf mit welcher Überprüfung auf das Gelände? Und wer wartet die Notstromanlage?

Ein Beispiel: Ein Anlagenbauer mit 100 Mitarbeitenden wartet die Steuerungstechnik eines Wasserwerks. Der Betreiber stuft das Werk als kritisch ein. Danach schickt er seinen Dienstleistern einen Fragebogen und ergänzt den Wartungsvertrag um Regeln zu Zutritt, Personalüberprüfung, Reaktionszeiten im Störfall und Vorhaltung von Ersatzteilen. Wer auf diese Fragen vorbereitet ist, gewinnt Zeit und Aufträge.

Das kannst du als Zulieferer jetzt tun:

• Kunden prüfen. Finde heraus, welche deiner Kunden Betreiber kritischer Anlagen sein könnten, und frage nach, ob und wann Anforderungen kommen.
• Eigene Verfügbarkeit belegen. Notstrom, Ersatzteillager, Vertretungsregelung und Wiederanlauf dokumentierst du in einer Business-Impact-Analyse und einem Notfallplan.
• Zutritt und Personal regeln. Wer vor Ort arbeitet, braucht Ausweise, Einweisung und gegebenenfalls Überprüfungen. Das passt zu den Abschnitten zu Zutritt und Personalsicherheit in deinem ISMS.
• Fragebögen vorbereiten. Ein fertiger Sicherheitsfragebogen mit Antworten zu physischem Schutz und Notfallvorsorge spart bei jeder Kundenanfrage Tage.
• Eigene Betroffenheit nach NIS2 prüfen. Ob du selbst unter das BSIG fällst, hängt von Sektor und Größe ab und ist eine eigene Frage.

Auch deine eigenen Vorlieferanten gehören in den Blick, denn ein Betreiber fragt nach der ganzen Kette. In ISMS Lite führst du Dienstleister mit Kritikalität, Verträgen und Wiederbewertung und siehst, auf welche Lieferanten deine Leistung angewiesen ist.

Das Gesetz zielt auf die Lieferkette der Betreiber, aber es regelt sie nicht direkt. Welche Anforderungen an dich gestellt werden, steht im Vertrag, nicht im Gesetz. Das ist keine Rechtsberatung: Klär Zweifelsfälle zur Betroffenheit und zu Vertragsklauseln mit deiner Rechtsabteilung oder einer Kanzlei.

Checkliste: KRITIS-Dachgesetz vorbereiten

Betroffenheit klären

• Kritische Dienstleistungen und Sektoren des Unternehmens benannt
• Anlagen mit Versorgungsgrad (versorgte Einwohner) und Standorten aufgelistet
• Vergleich mit dem Regelwert (500.000 Einwohner) und dem Verordnungsentwurf durchgeführt
• Prüfung gegen die bestehende BSI-Kritisverordnung dokumentiert
• Rechtsabteilung oder Kanzlei bei Grenzfällen eingebunden
• Zuständigkeit benannt, die BBK-Internetseite und das Bundesgesetzblatt auf die Veröffentlichung der Verordnung zu beobachten

Registrierung vorbereiten

• Betreiberdaten, Handelsregisternummer, Kontaktstelle und 24/7-Erreichbarkeit geklärt
• Standorte, Versorgungsgebiete und öffentliche IP-Adressbereiche zusammengestellt
• Typen kritischer Komponenten für die Angabe an das BSI erfasst
• Prozess für Änderungsmeldungen (zwei Wochen) festgelegt
• Registrierung beim BSI nach BSIG getrennt geprüft

Risikoanalyse und Resilienzplan

• Risikoszenarien definiert: Naturgefahren, technische Ausfälle, Sabotage, Einbruch, hybride Bedrohungen
• Abhängigkeiten von anderen Betreibern und Sektoren erfasst
• Ausfalltoleranzen der kritischen Dienstleistung aus der BIA abgeleitet
• Maßnahmen für Objektschutz, Zugang, Alarmabläufe und Notstrom gegen die Risiken geprüft
• Alternative Lieferketten und Ersatzteilstrategie geklärt
• Sicherheitsmanagement für Personal und externe Dienstleister festgelegt
• Resilienzplan mit Bezug auf die Risikoanalyse verfasst und freigegeben
• Schulungen und Übungen mit Terminen geplant

Meldewesen und Nachweise

• Meldeprozess für 24 Stunden und Monatsbericht definiert
• Zuständigkeit für die Bewertung, ob NIS2, KRITIS-DachG oder beides greift, benannt
• Kontaktdaten für die gemeinsame Meldestelle von BSI und BBK hinterlegt
• Vorhandene Zertifikate, Audits und Konzepte, die Resilienzmaßnahmen belegen, als mögliche Nachweise gesammelt
• Ablage für Audit-Ergebnisse und Mängelbeseitigungspläne eingerichtet

Geschäftsleitung

• Resilienzplan der Geschäftsleitung vorgelegt und von ihr freigegeben
• Budget und Verantwortliche für Umsetzung benannt
• Regelmäßigen Bericht über den Umsetzungsstand terminiert
• Haftungsfragen im Gesellschaftsvertrag und in der D&O-Versicherung geprüft

Häufige Fehler beim KRITIS-Dachgesetz

Auf den 17. Juli 2026 verlassen. Dieses Datum steht in vielen Texten, im aktuellen Gesetzestext aber nicht mehr. Wer es als Frist kommuniziert, gibt intern ein falsches Signal. Prüfe den Stand auf gesetze-im-internet.de und beim BBK.

Annehmen, das Gesetz betreffe nur Konzerne. Die Schwelle von 500.000 Einwohnern ist ein Regelwert. Die Verordnung kann Kategorien und niedrigere oder höhere sektorspezifische Schwellen festlegen, und Regionalversorger oder einzelne Standorte können betroffen sein. Prüfe deine Anlagen gegen den Entwurf und nicht gegen das Bauchgefühl.

Physisch und Cyber vermischen. Das BSIG regelt IT-Sicherheit und Meldungen für Cybervorfälle, das Dachgesetz regelt physische Resilienz. Wer beides in einem Plan führt, muss trotzdem erkennen, welche Pflicht aus welchem Gesetz folgt. Sonst fehlt am Ende die Meldung an die richtige Stelle oder der Nachweis für die richtige Behörde.

Den Resilienzplan als Dokument statt als Anwendung behandeln. Das Gesetz verlangt, dass du den Plan anwendest, nicht nur schreibst. Ohne Übungen, Zuständigkeiten und regelmäßige Aktualisierung hält er einer Prüfung durch die Behörde nicht stand.

Die Lieferkette übersehen. Ein Resilienzplan, der nur das eigene Gelände betrachtet, ignoriert die gesetzlichen Hinweise auf alternative Lieferketten und externe Dienstleister. Betreiber, die ihre Zulieferer nicht kennen, können im Ernstfall weder Ersatz beschaffen noch den Zutritt steuern.

Fazit: Jetzt vorbereiten, bevor die Verordnung kommt

Das Dachgesetz ist in Kraft, aber seine Fristen starten erst mit der Registrierung, und die hängt an der KRITIS-Verordnung. Das ist keine Pause, sondern ein Zeitfenster: Du kannst jetzt klären, ob du betroffen bist, deine Anlagen und Abhängigkeiten erfassen, eine Risikoanalyse vorbereiten und die Geschäftsleitung einbinden. Als nächster Schritt reicht eine Liste deiner Anlagen mit Standort, Versorgungsgrad und Ansprechpartner, abgeglichen mit dem Verordnungsentwurf. ISMS Lite kann dafür die Datenbasis liefern, die Bewertung nimmt dir aber niemand ab.

Weiterführende Artikel

• NIS2 für Energieversorger und Stadtwerke
• NIS2 für Wasserversorger und Abwasserbetriebe
• NIS2 für das Gesundheitswesen: Kliniken, Labore und Medizintechnik
• OT-Sicherheit im Mittelstand: Warum die Produktionssteuerung ins ISMS gehört
• Digital Omnibus: Single Entry Point, DSGVO-Meldefrist und was sich ändert