Complass – Navigate compliance Complass – Navigate compliance
Language EN
Deutsch English Français Italiano Español Nederlands Polski Português
Try for free

Framework

German KRITIS Umbrella Act (KRITISDachG)

Applies in Germany only (German law). The German KRITIS Umbrella Act (KRITIS-Dachgesetz) has applied since 17 March 2026 and requires operators of critical facilities to strengthen their physical resilience against all hazards. Complass guides you from the applicability check through risk analysis and resilience plan to incident reporting and evidence.

Try for free Request a demo
Still from the short video “Compliance management in 20 seconds”
Compliance management in 20 seconds Project, next step, checklist, Statement of Applicability, audit package. Beispieldaten der Demo-Firma.

What is KRITIS Umbrella Act?

Applies in Germany only (German law). The KRITIS-Dachgesetz (KRITISDachG) is the German act on strengthening the physical resilience of critical facilities. It transposes Directive (EU) 2022/2557 on the resilience of critical entities (CER Directive). Operators of critical facilities must register, analyse risks, take resilience measures and set them out in a resilience plan, and report incidents, for example caused by natural hazards, accidents, sabotage or terrorism. The cybersecurity of these facilities remains governed by the German BSI Act.

Content as of:

Does it apply to me?

It covers operators of critical facilities in ten sectors: energy, transport, finance, social security and basic income support for jobseekers, health, water, food, information technology and telecommunications, space, and municipal waste disposal. A facility is critical if it is significant for providing a critical service that supplies the general public.

Which facilities these are in detail is set by an ordinance of the Federal Ministry of the Interior with facility categories and thresholds. It has not yet been promulgated (as of October 2026); the statutory default value is 500,000 inhabitants supplied. Until then, a facility only counts as critical if the Ministry determines this in an individual case.

Exceptions: for financial entities under DORA and the information technology and telecommunications sector, risk analysis, resilience measures and the reporting obligation, among others, do not apply; registration remains. For municipal waste disposal and social security, of these only the risk analysis applies. Operators of critical facilities are also particularly important entities under the German BSI Act.

This overview does not replace legal advice. The legal or normative text is authoritative; in Complass you check applicability with guidance based on the references.

Legal basis

  • § 2 KRITISDachG§ 2 KRITISDachG BegriffsbestimmungenIm Sinne dieses Gesetzes - 1. ist „Betreiber kritischer Anlagen“ eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗Definitions: operator, facility, critical service
  • § 4 KRITISDachG§ 4 KRITISDachG Geltungsbereich; Sektoren; Verordnungsermächtigung(1) Dieses Gesetz gilt für Betreiber kritischer Anlagen in den folgenden Sektoren: - 1. Energie, - 2. Transport und Verkehr, - 3. Finanzwesen, - 4. Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, - 5. Gesundheitswesen, - 6. Wasser, - 7. Ernährung, - 8. Informationstechnik und Telekommunikation, - 9. Weltraum und - 10. Siedlungsabfallentsorgung. (2) § 3 Absatz 8, die §§ 9, 10, 12 bis 16, …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗Scope, sectors and exceptions
  • § 5 KRITISDachG§ 5 KRITISDachG Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen(1) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, - 1. Kategorien von Anlagen, - 2. allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte zum Versorgungsgrad, bei deren Erreichen eine Anlage einer bestimmten Kategorie nach Nummer 1 nach einem bestimmten Stichtag als erheblich für die Erbringung einer kritischen …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗Significance of a facility, default threshold, individual determination
  • § 8 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗Registration and when the obligations apply
  • § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …As of: 26.09.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗Operators of critical facilities as particularly important entities
  • Art. 1 CER-RichtlinieArticle 1 CER Directive Subject matter and scope1. This Directive: - (a) lays down obligations on Member States to take specific measures aimed at ensuring that services which are essential for the maintenance of vital societal functions or economic activities within the scope of Article 114 TFEU are provided in an unobstructed manner in the internal market, in particular obligations to identify critical entities and to support critical entities in meeting the …As of: 05.10.2026 · Source: EUR-LexOpen original (EUR-Lex) ↗Subject matter and scope of the EU Directive

Key dates

  1. KRITIS Umbrella Act in force
  2. Within three months at the latest Registration via the joint registration facility of BSI and BBK after a facility counts as critical · § 8 Abs. 1 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
  3. Without undue delay, at the latest two weeks / yearly Changes to the registration data; changed supply level values once a year · § 8 Abs. 6 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
  4. Nine months after registration Obligation to carry out risk analysis and risk assessment applies · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
  5. Ten months after registration Resilience measures and resilience plan, reporting obligation and management duties apply · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
  6. At least every four years Repeat risk analysis and risk assessment, then update the resilience plan · § 12 Abs. 1 KRITISDachG§ 12 KRITISDachG Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen führt auf Grundlage der nationalen Risikoanalysen und Risikobewertungen und anderer vertrauenswürdiger Informationsquellen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durch, die Folgendes berücksichtigt: - 1. die in § 11 Absatz 2 Nummer 1 genannten Risiken, - 2. Risiken, die geeignet sein können, die Verfügbarkeit der kritischen …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
  7. 24 hours / one month Initial report of an incident to the BBK via the joint reporting office, followed by a detailed report · § 18 Abs. 1 KRITISDachG§ 18 KRITISDachG Meldewesen für Vorfälle; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen ist verpflichtet, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis der vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichteten gemeinsamen Meldestelle zu melden. Bei einem andauernden Vorfall ist die Erstmeldung zu aktualisieren. …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
  8. § 14(3) to (5) enter into force; their wording has not yet been published · § 14 Abs. 3–5 KRITISDachG§ 14 KRITISDachG Sektorenübergreifende und sektorspezifische Mindestanforderungen; branchenspezifische Resilienzstandards; Verordnungsermächtigungen(1) Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen. Zudem gilt § 4 Absatz 4 entsprechend. Das Bundesministerium des Innern kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf das Bundesamt für Bevölkerungsschutz und …As of: 05.10.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗

The ordinance under § 4(3) and § 5(1) KRITISDachG with critical services, facility categories, thresholds and reference dates has not yet been promulgated (as of October 2026). Until then, a facility only counts as critical through an individual determination (§ 5(3)).

How Complass helps

  • 7phases
  • 25guided steps
  • 7document templates
  • 37requirements in the catalogue

  • Guided from classification to evidence

    Seven phases: applicability and classification, registration and point of contact, risk analysis, resilience measures, resilience plan, incident reporting, and evidence, supervision and management.

  • Catalogue of resilience measures under § 13

    Measures in six groups under § 13(3), from emergency preparedness and site protection through crisis management and recovery to personnel, training and exercises, each with status and evidence.

  • Templates

    Applicability check, registration data sheet, risk analysis, resilience plan, reporting template and evidence overview.

  • Reports with deadlines

    Reporting process and reporting template with all mandatory details under § 18(2); record incidents in incident management, document reporting times and distinguish them from reports under § 32 BSIG.

  • Complement with business continuity management

    The business impact analysis in the add-on module for business continuity management (BCM) provides the criticality, tolerable downtimes and recovery objectives of your business processes as a basis for the risk analysis and the resilience plan.

The phases in the module

  1. Applicability and classification
  2. Registration and contact point
  3. Risk analysis and risk assessment
  4. Resilience measures
  5. Resilience plan
  6. Incident reporting
  7. Evidence, supervision and management body

Catalogue: Resilience measures under Section 13 KRITIS Umbrella Act

Matching modules

Risk management

Risk register with qualitative or quantitative assessment, risk appetite and treatment plan, linked to assets, vulnerabilities and incidents.

Learn more

Incident management

Record incidents, check reporting obligations under NIS2, the CRA and the GDPR and track the reporting deadlines with a countdown.

Learn more

Supplier Management

Classify suppliers, request self-assessments and evidence directly from the supplier, review them and ask for more. With questionnaires for NIS2, GDPR, ISO 27001, the CRA and IEC 62443-2-4.

Learn more

KRITIS Umbrella Act in Complass: what you need at a minimum

The first selection covers the obligations in Complass if they apply to you. The free applicability check shows whether they do. To the applicability check

What you need at a minimum

If the KRITIS-DachG applies to you: this selection covers the resulting obligations in Complass. It is preselected when you start a trial or order.

Portal size Start

  • NIS2: Risk management measures and reporting duties; you prepare notifications in incident management (included). (§§ 30, 32 BSIG (opens in a new tab))
  • KRITIS Umbrella Act: Registration, risk assessment and resilience measures for critical facilities. (§§ 8, 12, 13 KRITIS-DachG (opens in a new tab))
  • Management cockpit: Management must implement the risk management measures, monitor their implementation and attend training regularly. (§ 38 BSIG (opens in a new tab)) (included)
  • Business continuity management (BCM): Resilience plan with emergency preparedness, training and exercises; the module adds a business impact analysis and ISO 22301. (§ 13 KRITIS-DachG (opens in a new tab))
  • Incident management: included
  • GDPR, AI Act and Whistleblower protection (HinSchG) (baseline protection): included
Price of the minimum selection
ItemNet price per month
Start S€179
NIS2included
KRITIS Umbrella Act€99
Business continuity management (BCM)€79
GDPR, AI Act and Whistleblower protection (HinSchG) (baseline protection)included
Total€357 net/month

With annual payment, 12 months minimum term. Monthly payment with a 15 % surcharge. All prices net plus VAT, as of 16 October 2026.

Try free for 14 days: minimum selection KRITIS Umbrella Act Order: minimum selection KRITIS Umbrella Act

Adjust the selection in the price overview: minimum selection KRITIS Umbrella Act

Good to know: You can also meet the obligations without Complass. Complass supports you with implementation and evidence but does not replace legal advice. Legal information

Frequently asked questions

Does the KRITIS Umbrella Act also apply outside Germany?

No. It is German law and applies to critical facilities in Germany. The other EU Member States transpose the CER Directive with their own laws; facilities there are subject to the respective national law.

We do not yet know whether our facility is critical. What should we do now?

The ordinance with the thresholds has not yet been promulgated. Record your services, facilities and supply level values now and document your assessment. Once a facility counts as critical, you have three months to register; ten months after registration, the resilience plan and incident reporting must be in place.

We have already implemented NIS2. Is that enough?

No. The BSI Act governs cybersecurity, the KRITIS Umbrella Act physical protection and the continuity of supply. Registration is joint, however, and you can use existing risk analyses, documents and certificates as evidence (§ 17). In Complass you use risk management for the risks under both acts.

What fines does the act provide for?

Fines apply only to certain infringements, with maximum amounts between EUR 100,000 and EUR 1 million: missing or incorrect registration data, non-compliance with enforceable orders, audit results not submitted, and refused access or information during an inspection (§ 24). For missing measures the authority can order the deficiencies to be remedied (§ 16); management is liable under company law (§ 20).

Does Complass replace a legal review?

No. Complass structures the applicability check, obligations and evidence based on the legal text; the legal assessment of the individual case remains with you.

Try Complass with your own data

Set up your trial yourself, with a sample project per framework if you like. If you would rather see Complass first, request a demo.

Try for free Request a demo