KRITIS · Frist
KRITIS-Dachgesetz: Die Registrierungsfrist am 17. Juli 2026 und was jetzt zu tun ist
Lesezeit etwa 5 Minuten · Stand Juli 2026
Am 17. März 2026 ist das KRITIS-Dachgesetz in Kraft getreten. Für Betreiber kritischer Anlagen beginnt damit eine Uhr zu laufen. Genau 4 Monate nach Inkrafttreten, also am 17. Juli 2026, endet die erste Meldefrist beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Wer betroffen ist und bis dahin nicht registriert ist, bewegt sich im Bereich der Ordnungswidrigkeit. Kein Grund zur Panik, aber ein guter Grund, jetzt geordnet vorzugehen.
Das Wichtigste in einem Satz: Betreiber kritischer Anlagen müssen sich bis zum 17. Juli 2026 beim BBK registrieren und diese Registrierung ist nur der Startpunkt für Risikoanalyse, Resilienzplan und Betriebskontinuität.
Was das KRITIS-Dachgesetz ist und was es nicht ist
Das KRITIS-Dachgesetz setzt die europäische CER-Richtlinie in deutsches Recht um und stärkt die Resilienz kritischer Anlagen. Wichtig ist die Abgrenzung: Es ist kein Ersatz für die bestehende KRITIS-Regulierung und auch nicht dasselbe wie das NIS2-Umsetzungsgesetz. Es ist eine eigenständige Resilienzpflicht mit einem anderen Schwerpunkt.
Kurz gesagt: Das BSI-Gesetz, also die NIS2-Umsetzung, regelt Cyber- und IT-Sicherheit. Das KRITIS-Dachgesetz regelt die physische Resilienz, die Krisenplanung und die Betriebskontinuität. Beide Gesetze können denselben Betreiber treffen und sie tun es häufig. Eine Einrichtung, die unter das BSIG fällt, fällt in aller Regel auch unter das KRITIS-Dachgesetz. Genau diese Gleichzeitigkeit sorgt derzeit für viel Orientierungslosigkeit.
Wer betroffen sein könnte
Das Gesetz definiert kritische Anlagen anhand von Schwellenwerten, die der Gesetzgeber in der noch ausstehenden Rechtsverordnung festlegt. Auf Basis der CER-Richtlinie und der bisherigen Entwürfe zeichnet sich ab, dass folgende Sektoren mit konkreten Meldeverpflichtungen rechnen sollten: Energie mit Strom, Gas und Fernwärme, Wasser und Abwasser, Verkehr auf Straße, Schiene und in der Luft, digitale Infrastruktur wie Rechenzentren und Internetknoten, das Gesundheitswesen mit Kliniken der Regel- und Maximalversorgung sowie Teile der öffentlichen Verwaltung.
Ob Ihr Unternehmen im Einzelfall unter das Gesetz fällt, hängt von den konkreten Schwellenwerten und Ihrer Versorgungsfunktion ab. Das ist eine Frage, die sich nur mit Blick auf Ihre individuelle Situation und die finale Rechtsverordnung beantworten lässt. Wer in einem der genannten Sektoren tätig ist, sollte die eigene Betroffenheit aber nicht auf die lange Bank schieben, sondern jetzt prüfen.
Unsicher, ob das KRITIS-Dachgesetz Sie betrifft?
Im Strategiegespräch ordnen wir Ihre Situation ein und besprechen, wie KRITIS-Dachgesetz und NIS2 in Ihrem Fall zusammenspielen.
Was bis zum 17. Juli erledigt sein sollte
Die Registrierung beim BBK ist kein komplizierter Vorgang, setzt aber voraus, dass einige interne Vorarbeiten abgeschlossen sind. Für die Meldung über das Online-Portal werden unter anderem benötigt: die Identifikation der meldepflichtigen Anlagen und ihre Zuordnung zum jeweiligen Sektor, die Benennung eines Ansprechpartners für Resilienz, eine erste Selbsteinschätzung zur Betroffenheit und Kontaktdaten für den Krisenfall mit durchgehender Erreichbarkeit.
Wichtig zu verstehen: Die Registrierung ist nicht das Ziel, sondern der Ausgangspunkt. Mit der Meldung verpflichtet sich der Betreiber gleichzeitig, innerhalb weiterer Fristen eine Risikoanalyse, einen Resilienzplan und Maßnahmen zur Betriebskontinuität vorzulegen. Wer die Registrierung verzögert, verschiebt damit auch die nachgelagerten Fristen nach hinten, ohne die rechtlichen Folgen zu vermeiden.
Jenseits der Registrierung: Was strukturell erwartet wird
Das KRITIS-Dachgesetz verlangt von Betreibern nicht nur eine Meldung, sondern eine nachweisbare Resilienzstrategie. In einem zweiten Schritt sind im Kern 3 Bausteine gefragt.
Die Risikoanalyse und Gefährdungsbewertung muss die physischen Gefährdungen der Anlage systematisch erfassen, von Naturereignissen über technisches und menschliches Versagen bis zu vorsätzlichen Handlungen. Sie muss dokumentiert, methodisch nachvollziehbar und regelmäßig aktualisiert sein. Eine allgemeine Gefährdungsbeurteilung nach Arbeitsschutzrecht reicht dafür nicht aus.
Der Resilienzplan beschreibt, welche Maßnahmen der Betreiber ergreift, um Risiken zu reduzieren und im Störfall handlungsfähig zu bleiben. Er ist kein allgemeines Notfallkonzept, sondern ein spezifisches Dokument mit Maßnahmen, Verantwortlichkeiten und Zeitplan.
Die Betriebskontinuität schließlich beantwortet die Fragen, wie der Betrieb im Störfall aufrechterhalten wird, welche Kernfunktionen Priorität haben und wie der Wiederanlauf nach einem Ausfall aussieht. Diese Antworten müssen schriftlich vorliegen und geprobt sein, nicht als Theorie, sondern als getestete Verfahren.
Typische Lücken, die in der Praxis auffallen
In der Arbeit mit betroffenen Einrichtungen zeigen sich immer wieder dieselben Schwachstellen. Häufig ist die interne Zuständigkeit ungeklärt, sodass zwischen technischer Leitung, Geschäftsführung und Sicherheitsbeauftragtem niemand die Verantwortung übernimmt und alles liegen bleibt. Risikoanalysen speziell für den KRITIS-Kontext fehlen oft oder sind veraltet. Notstromkonzepte sind vorhanden, aber selten daraufhin geprüft, ob sie einen Ausfall von mehr als 72 Stunden tragen. Krisenstäbe existieren auf dem Papier, werden aber nicht regelmäßig geübt. Und die Abhängigkeit von externen Lieferketten und Dienstleistern ist häufig gar nicht systematisch analysiert.
Was jetzt konkret zu tun ist
Wer noch nicht begonnen hat, sollte mit diesen Schritten starten. Klären Sie zuerst die eigene Betroffenheit und welche Standorte oder Anlagen meldepflichtig sein könnten. Benennen Sie einen internen Ansprechpartner, der die Registrierung und die nachgelagerten Pflichten koordiniert. Machen Sie sich mit dem BBK-Meldeportal und den erforderlichen Angaben vertraut. Starten Sie eine ehrliche Lückenanalyse zu Risikoanalyse, Resilienzplan und Betriebskontinuität. Und planen Sie externe Unterstützung rechtzeitig ein, wenn intern die Kapazität fehlt, lieber jetzt als kurz vor der Frist.
Die Zeit bis Juli ist knapp. Wer jetzt anfängt, kann geordnet vorgehen. Wer bis zum letzten Tag wartet, meldet entweder unvorbereitet oder gar nicht.
Compliance nicht als Projekt, sondern als System
NIS2, KRITIS und die physische Resilienz greifen ineinander. Mit VANTARIS führen Sie Ihre Maßnahmen, Nachweise und Fristen an einer Stelle zusammen, statt jedes Gesetz einzeln zu verwalten.
Häufige Fragen zum KRITIS-Dachgesetz
Wann läuft die Registrierungsfrist ab?
Die erste Meldefrist beim BBK endet am 17. Juli 2026, 4 Monate nach Inkrafttreten des Gesetzes am 17. März 2026.
Ist das KRITIS-Dachgesetz dasselbe wie NIS2?
Nein. NIS2, umgesetzt im BSI-Gesetz, regelt IT- und Cybersicherheit. Das KRITIS-Dachgesetz regelt die physische Resilienz, Krisenplanung und Betriebskontinuität. Beide können denselben Betreiber treffen.
Reicht die Registrierung für die Compliance?
Nein. Die Registrierung ist der Startpunkt. Danach folgen Risikoanalyse, Resilienzplan und Maßnahmen zur Betriebskontinuität innerhalb weiterer Fristen.
Woran erkenne ich, ob ich betroffen bin?
Die Betroffenheit hängt von Schwellenwerten und der Versorgungsfunktion ab, die in der Rechtsverordnung konkretisiert werden. Unternehmen in den Sektoren Energie, Wasser, Verkehr, Gesundheit, digitale Infrastruktur und öffentliche Verwaltung sollten ihre Situation frühzeitig prüfen.
KRITIS-Dachgesetz: Die Fakten im Überblick
| Frist/Kriterium | Was gilt |
|---|---|
| Inkrafttreten des KRITIS-Dachgesetzes | 17. März 2026 |
| Registrierungsfrist (erste Meldefrist) | 17. Juli 2026, genau 4 Monate nach Inkrafttreten |
| Zuständige Behörde | Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), Meldung über das Online-Portal |
| Folge bei versäumter Registrierung | Ordnungswidrigkeit |
| Regelungsbereich | Physische Resilienz, Krisenplanung und Betriebskontinuität (Umsetzung der EU-CER-Richtlinie); NIS2/BSI-Gesetz regelt dagegen IT- und Cybersicherheit |
| Pflichten nach der Registrierung | Risikoanalyse, Resilienzplan und Maßnahmen zur Betriebskontinuität sind innerhalb weiterer Fristen vorzulegen |
| Voraussichtlich betroffene Sektoren | Energie (Strom, Gas, Fernwärme), Wasser und Abwasser, Verkehr (Straße, Schiene, Luft), digitale Infrastruktur (Rechenzentren, Internetknoten), Gesundheitswesen sowie Teile der öffentlichen Verwaltung. Konkrete Schwellenwerte legt die noch ausstehende Rechtsverordnung fest |
Vertiefen: Strukturierte Umsetzung mit BSI IT-Grundschutz und belastbares Notfallmanagement mit Business Continuity nach ISO 22301.
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.