Complass – Navigate compliance Complass – Navigate compliance
Sprache DE
Deutsch English Français Italiano Español Nederlands Polski Português
Kostenlos testen

Regelwerk

KRITIS-Dachgesetz (KRITISDachG)

Gilt nur in Deutschland (deutsches Recht). Das KRITIS-Dachgesetz gilt seit dem 17. März 2026 und verpflichtet Betreiber kritischer Anlagen, ihre physische Resilienz gegen alle Gefahren zu stärken. Complass führt von der Betroffenheitsprüfung über Risikoanalyse und Resilienzplan bis zu Meldewesen und Nachweisen.

Kostenlos testen Demo anfragen
Standbild aus dem Kurzfilm „Compliance-Management in 20 Sekunden“
Compliance-Management in 20 Sekunden Projekt, nächster Schritt, Checkliste, Erklärung zur Anwendbarkeit, Audit-Paket. Beispieldaten der Demo-Firma.

Was ist KRITIS-Dachgesetz?

Gilt nur in Deutschland (deutsches Recht). Das KRITIS-Dachgesetz (KRITISDachG) ist das deutsche Gesetz zur Stärkung der physischen Resilienz kritischer Anlagen. Es setzt die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) um. Betreiber kritischer Anlagen müssen sich registrieren, Risiken analysieren, Resilienzmaßnahmen treffen und in einem Resilienzplan darstellen sowie Vorfälle melden, etwa durch Naturgefahren, Unfälle, Sabotage oder Terrorismus. Die Cybersicherheit dieser Anlagen regelt weiterhin das BSI-Gesetz.

Stand der Inhalte:

Bin ich betroffen?

Betroffen sind Betreiber kritischer Anlagen in zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Kritisch ist eine Anlage, die für eine kritische Dienstleistung zur Versorgung der Allgemeinheit erheblich ist.

Welche Anlagen das genau sind, legt eine Rechtsverordnung des Bundesministeriums des Innern mit Anlagenkategorien und Schwellenwerten fest. Sie ist noch nicht verkündet (Stand Oktober 2026); der gesetzliche Regelwert liegt bei 500.000 versorgten Einwohnern. Bis dahin gilt eine Anlage nur dann als kritisch, wenn das Ministerium dies im Einzelfall feststellt.

Ausnahmen: Für Finanzunternehmen unter DORA und den Sektor Informationstechnik und Telekommunikation entfallen unter anderem Risikoanalyse, Resilienzmaßnahmen und Meldepflicht, die Registrierung bleibt. Für Siedlungsabfallentsorgung und Sozialversicherung gilt davon nur die Risikoanalyse. Betreiber kritischer Anlagen gelten zugleich als besonders wichtige Einrichtungen nach dem BSI-Gesetz.

Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.

Rechtsgrundlagen

  • § 2 KRITISDachG§ 2 KRITISDachG BegriffsbestimmungenIm Sinne dieses Gesetzes - 1. ist „Betreiber kritischer Anlagen“ eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗Begriffsbestimmungen: Betreiber, Anlage, kritische Dienstleistung
  • § 4 KRITISDachG§ 4 KRITISDachG Geltungsbereich; Sektoren; Verordnungsermächtigung(1) Dieses Gesetz gilt für Betreiber kritischer Anlagen in den folgenden Sektoren: - 1. Energie, - 2. Transport und Verkehr, - 3. Finanzwesen, - 4. Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, - 5. Gesundheitswesen, - 6. Wasser, - 7. Ernährung, - 8. Informationstechnik und Telekommunikation, - 9. Weltraum und - 10. Siedlungsabfallentsorgung. (2) § 3 Absatz 8, die §§ 9, 10, 12 bis 16, …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗Geltungsbereich, Sektoren und Ausnahmen
  • § 5 KRITISDachG§ 5 KRITISDachG Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen(1) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, - 1. Kategorien von Anlagen, - 2. allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte zum Versorgungsgrad, bei deren Erreichen eine Anlage einer bestimmten Kategorie nach Nummer 1 nach einem bestimmten Stichtag als erheblich für die Erbringung einer kritischen …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗Erheblichkeit einer Anlage, Regelwert, Feststellung im Einzelfall
  • § 8 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗Registrierung und Geltungszeitpunkt der Pflichten
  • § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗Betreiber kritischer Anlagen als besonders wichtige Einrichtungen
  • Art. 1 CER-RichtlinieArtikel 1 CER-Richtlinie Gegenstand und Anwendungsbereich(1) Die vorliegende Richtlinie - a) legt Verpflichtungen gegenüber Mitgliedstaaten fest zur Gewährleistung der ungehinderten Erbringung von Diensten im Binnenmarkt, die für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten unerlässlich sind, spezifische Maßnahmen im Sinne von Artikel 114 AEUV zu ergreifen, und insbesondere Verpflichtungen kritische Einrichtungen zu …Stand: 05.10.2026 · Quelle: EUR-LexOriginal öffnen (EUR-Lex) ↗Gegenstand und Anwendungsbereich der EU-Richtlinie

Wichtige Fristen

  1. KRITIS-Dachgesetz in Kraft
  2. Spätestens drei Monate Registrierung über die gemeinsame Registrierungsmöglichkeit von BSI und BBK, nachdem eine Anlage als kritisch gilt · § 8 Abs. 1 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
  3. Unverzüglich, spätestens zwei Wochen / jährlich Änderungen der Registrierungsangaben; geänderte Werte zum Versorgungsgrad einmal jährlich · § 8 Abs. 6 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
  4. Neun Monate nach Registrierung Pflicht zur Risikoanalyse und Risikobewertung gilt · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
  5. Zehn Monate nach Registrierung Resilienzmaßnahmen und Resilienzplan, Meldepflicht und Pflichten der Geschäftsleitung gelten · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
  6. Mindestens alle vier Jahre Risikoanalyse und Risikobewertung wiederholen, danach den Resilienzplan aktualisieren · § 12 Abs. 1 KRITISDachG§ 12 KRITISDachG Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen führt auf Grundlage der nationalen Risikoanalysen und Risikobewertungen und anderer vertrauenswürdiger Informationsquellen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durch, die Folgendes berücksichtigt: - 1. die in § 11 Absatz 2 Nummer 1 genannten Risiken, - 2. Risiken, die geeignet sein können, die Verfügbarkeit der kritischen …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
  7. 24 Stunden / ein Monat Erstmeldung eines Vorfalls an das BBK über die gemeinsame Meldestelle, danach ausführlicher Bericht · § 18 Abs. 1 KRITISDachG§ 18 KRITISDachG Meldewesen für Vorfälle; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen ist verpflichtet, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis der vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichteten gemeinsamen Meldestelle zu melden. Bei einem andauernden Vorfall ist die Erstmeldung zu aktualisieren. …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
  8. § 14 Abs. 3 bis 5 treten in Kraft; ihr Wortlaut ist noch nicht veröffentlicht · § 14 Abs. 3–5 KRITISDachG§ 14 KRITISDachG Sektorenübergreifende und sektorspezifische Mindestanforderungen; branchenspezifische Resilienzstandards; Verordnungsermächtigungen(1) Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen. Zudem gilt § 4 Absatz 4 entsprechend. Das Bundesministerium des Innern kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf das Bundesamt für Bevölkerungsschutz und …Stand: 05.10.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗

Die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG mit kritischen Dienstleistungen, Anlagenkategorien, Schwellenwerten und Stichtagen ist noch nicht verkündet (Stand Oktober 2026). Bis dahin gilt eine Anlage nur durch Feststellung im Einzelfall als kritisch (§ 5 Abs. 3).

Wie Complass hilft

  • 7Phasen
  • 25geführte Schritte
  • 7Dokumentvorlagen
  • 37Anforderungen im Katalog

  • Geführt von der Einstufung bis zum Nachweis

    Sieben Phasen: Betroffenheit und Einstufung, Registrierung und Kontaktstelle, Risikoanalyse, Resilienzmaßnahmen, Resilienzplan, Meldewesen sowie Nachweise, Aufsicht und Geschäftsleitung.

  • Katalog der Resilienzmaßnahmen nach § 13

    Maßnahmen in sechs Gruppen nach § 13 Abs. 3, von Notfallvorsorge und Objektschutz über Krisenmanagement und Wiederherstellung bis zu Personal, Schulungen und Übungen, jeweils mit Status und Nachweis.

  • Vorlagen

    Betroffenheitsprüfung, Registrierungsdatenblatt, Risikoanalyse, Resilienzplan, Meldevorlage und Nachweisübersicht.

  • Meldungen mit Fristen

    Meldeprozess und Meldevorlage mit allen Pflichtangaben nach § 18 Abs. 2, Vorfälle im Incident-Management erfassen, Meldezeitpunkte dokumentieren und von Meldungen nach § 32 BSIG abgrenzen.

  • Mit dem Notfallmanagement ergänzen

    Die Business-Impact-Analyse im Zusatzmodul Notfallmanagement (BCM) liefert Kritikalität, tolerierbare Ausfallzeiten und Wiederanlaufziele Ihrer Geschäftsprozesse als Grundlage für Risikoanalyse und Resilienzplan.

Die Phasen im Modul

  1. Betroffenheit und Einstufung
  2. Registrierung und Kontaktstelle
  3. Risikoanalyse und Risikobewertung
  4. Resilienzmaßnahmen
  5. Resilienzplan
  6. Meldewesen für Vorfälle
  7. Nachweise, Aufsicht und Geschäftsleitung

Katalog: Resilienzmaßnahmen nach § 13 KRITIS-Dachgesetz

Passende Bausteine

Risk-Management

Risikoregister mit qualitativer oder quantitativer Bewertung, Risikoappetit und Behandlungsplan, verzahnt mit Assets, Schwachstellen und Vorfällen.

Mehr erfahren

Incident-Management

Vorfälle erfassen, Meldepflicht nach NIS2, CRA und DSGVO prüfen und die Meldefristen mit Countdown verfolgen.

Mehr erfahren

Lieferantenmanagement

Lieferanten einstufen, Selbstauskunft und Nachweise direkt beim Lieferanten anfordern, prüfen und nachfordern. Mit Fragebögen für NIS2, DSGVO, ISO 27001, CRA und IEC 62443-2-4.

Mehr erfahren

KRITIS-Dachgesetz in Complass: was Sie mindestens brauchen

Die erste Auswahl deckt die Pflichten in Complass ab, wenn sie für Sie gelten. Ob das so ist, zeigt der kostenlose Betroffenheits-Check. Zum Betroffenheits-Check

Was Sie mindestens brauchen

Wenn das KRITIS-Dachgesetz für Sie gilt: Diese Auswahl deckt die Pflichten daraus in Complass ab. Sie ist vorausgewählt, wenn Sie testen oder bestellen.

Portalgröße Start

Preis der Mindestauswahl
PositionPreis netto pro Monat
Start S179 €
NIS2enthalten
KRITIS-Dachgesetz99 €
Notfallmanagement (BCM)79 €
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)enthalten
Zusammen357 € netto/Monat

Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 16.10.2026.

14 Tage kostenlos testen: Mindestauswahl KRITIS-Dachgesetz Bestellen: Mindestauswahl KRITIS-Dachgesetz

Auswahl in der Preisübersicht anpassen: Mindestauswahl KRITIS-Dachgesetz

Empfohlen für mehr Wirkung Angebot, keine Pflicht

Business mit Lieferantenmanagement

Mehr Wirkung mit Risk-Management und Lieferantenmanagement, Platz für 10 Nutzer und 2 Regelwerke.

548 € netto/Monat, 191 € mehr als die Mindestauswahl.

Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 16.10.2026.

Mit Business testen: Mindestauswahl KRITIS-Dachgesetz

In der Preisübersicht ansehen: Mindestauswahl KRITIS-Dachgesetz

Gut zu wissen: Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt Sie bei Umsetzung und Nachweis, ersetzt aber keine Rechtsberatung. Rechtliche Hinweise

Häufige Fragen

Gilt das KRITIS-Dachgesetz auch außerhalb Deutschlands?

Nein. Es ist deutsches Recht und gilt für kritische Anlagen in Deutschland. Die anderen EU-Mitgliedstaaten setzen die CER-Richtlinie mit eigenen Gesetzen um; für Anlagen dort gilt das jeweilige nationale Recht.

Wir wissen noch nicht, ob unsere Anlage kritisch ist. Was sollten wir jetzt tun?

Die Rechtsverordnung mit den Schwellenwerten ist noch nicht verkündet. Erfassen Sie schon jetzt Ihre Dienstleistungen, Anlagen und Werte zum Versorgungsgrad und dokumentieren Sie die Einschätzung. Gilt eine Anlage als kritisch, bleiben drei Monate für die Registrierung; zehn Monate nach der Registrierung müssen Resilienzplan und Meldewesen stehen.

Wir haben NIS2 bereits umgesetzt. Reicht das?

Nein. Das BSI-Gesetz regelt die Cybersicherheit, das KRITIS-Dachgesetz den physischen Schutz und die Aufrechterhaltung der Versorgung. Die Registrierung erfolgt aber gemeinsam, und vorhandene Risikoanalysen, Dokumente und Zertifikate können Sie als Nachweis heranziehen (§ 17). In Complass nutzen Sie das Risk-Management für die Risiken beider Gesetze.

Welche Bußgelder sieht das Gesetz vor?

Bußgelder gibt es nur für bestimmte Verstöße, mit Höchstbeträgen zwischen 100.000 Euro und 1 Mio. Euro: fehlende oder falsche Registrierungsangaben, Zuwiderhandlung gegen vollziehbare Anordnungen, nicht übermittelte Auditergebnisse und verweigerten Zutritt oder verweigerte Auskunft bei einer Prüfung (§ 24). Bei fehlenden Maßnahmen kann die Behörde die Beseitigung der Mängel anordnen (§ 16); die Geschäftsleitung haftet nach Gesellschaftsrecht (§ 20).

Ersetzt Complass eine rechtliche Prüfung?

Nein. Complass strukturiert Betroffenheitsprüfung, Pflichten und Nachweise anhand des Gesetzestexts; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.

Kostenlos testen Demo anfragen