Complass – Navigate compliance Complass – Navigate compliance
Idioma ES
Deutsch English Français Italiano Español Nederlands Polski Português
Probar gratis

marco normativo

Ley marco KRITIS (KRITISDachG)

Se aplica solo en Alemania (Derecho alemán). El KRITIS-Dachgesetz se aplica desde el 17 de marzo de 2026 y obliga a los operadores de instalaciones críticas a reforzar su resiliencia física frente a todos los peligros. Complass le guía desde la comprobación de la afectación, pasando por el análisis de riesgos y el plan de resiliencia, hasta el sistema de notificaciones y las evidencias.

Probar gratis Solicitar una demo
Fotograma del vídeo corto «Gestión del cumplimiento en 20 segundos»
Gestión del cumplimiento en 20 segundos Proyecto, siguiente paso, lista de verificación, declaración de aplicabilidad, paquete de auditoría. Beispieldaten der Demo-Firma.

¿Qué es Ley marco KRITIS?

Se aplica solo en Alemania (Derecho alemán). El KRITIS-Dachgesetz (KRITISDachG) es la ley alemana para reforzar la resiliencia física de las instalaciones críticas. Transpone la Directiva (UE) 2022/2557 relativa a la resiliencia de las entidades críticas (Directiva CER). Los operadores de instalaciones críticas deben registrarse, analizar riesgos, adoptar medidas de resiliencia y recogerlas en un plan de resiliencia, así como notificar incidentes, por ejemplo por peligros naturales, accidentes, sabotaje o terrorismo. La ciberseguridad de estas instalaciones sigue regulada por la ley BSI.

Actualidad de los contenidos:

¿Me afecta?

Afecta a los operadores de instalaciones críticas en diez sectores: energía, transporte y tráfico, finanzas, seguridad social y prestación básica para solicitantes de empleo, sanidad, agua, alimentación, tecnologías de la información y telecomunicaciones, espacio y gestión de residuos urbanos. Una instalación es crítica cuando es significativa para un servicio crítico de abastecimiento de la población.

Qué instalaciones son exactamente las que lo son lo determina un reglamento del Ministerio Federal del Interior con categorías de instalaciones y umbrales. Todavía no está promulgado (a octubre de 2026); el valor legal de referencia es de 500.000 habitantes abastecidos. Hasta entonces, una instalación solo se considera crítica si el ministerio lo determina en un caso concreto.

Excepciones: para las entidades financieras sujetas a DORA y para el sector de las tecnologías de la información y las telecomunicaciones decaen, entre otras, el análisis de riesgos, las medidas de resiliencia y la obligación de notificación; el registro se mantiene. Para la gestión de residuos urbanos y la seguridad social solo se aplica el análisis de riesgos. Los operadores de instalaciones críticas se consideran además entidades especialmente importantes según la ley BSI.

Este resumen no sustituye al asesoramiento jurídico. Lo que prevalece es el texto legal o normativo; en Complass usted comprueba la aplicabilidad con ayuda de orientaciones basadas en las referencias.

Base jurídica

  • § 2 KRITISDachG§ 2 KRITISDachG BegriffsbestimmungenIm Sinne dieses Gesetzes - 1. ist „Betreiber kritischer Anlagen“ eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗Definiciones: operador, instalación, servicio crítico
  • § 4 KRITISDachG§ 4 KRITISDachG Geltungsbereich; Sektoren; Verordnungsermächtigung(1) Dieses Gesetz gilt für Betreiber kritischer Anlagen in den folgenden Sektoren: - 1. Energie, - 2. Transport und Verkehr, - 3. Finanzwesen, - 4. Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, - 5. Gesundheitswesen, - 6. Wasser, - 7. Ernährung, - 8. Informationstechnik und Telekommunikation, - 9. Weltraum und - 10. Siedlungsabfallentsorgung. (2) § 3 Absatz 8, die §§ 9, 10, 12 bis 16, …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗Ámbito de aplicación, sectores y excepciones
  • § 5 KRITISDachG§ 5 KRITISDachG Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen(1) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, - 1. Kategorien von Anlagen, - 2. allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte zum Versorgungsgrad, bei deren Erreichen eine Anlage einer bestimmten Kategorie nach Nummer 1 nach einem bestimmten Stichtag als erheblich für die Erbringung einer kritischen …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗Significación de una instalación, valor de referencia, determinación en el caso concreto
  • § 8 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗Registro y momento de aplicación de las obligaciones
  • § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Versión: 26.09.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗Operadores de instalaciones críticas como entidades especialmente importantes
  • Art. 1 CER-RichtlinieArticle 1 CER Directive Subject matter and scope1. This Directive: - (a) lays down obligations on Member States to take specific measures aimed at ensuring that services which are essential for the maintenance of vital societal functions or economic activities within the scope of Article 114 TFEU are provided in an unobstructed manner in the internal market, in particular obligations to identify critical entities and to support critical entities in meeting the …Versión: 05.10.2026 · Fuente: EUR-LexAbrir el original (EUR-Lex) ↗Objeto y ámbito de aplicación de la Directiva de la UE

Fechas clave

  1. KRITIS-Dachgesetz en vigor
  2. Como máximo tres meses Registro a través de la vía de registro común de la BSI y la BBK, una vez que una instalación se considera crítica · § 8 Abs. 1 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗
  3. Sin demora, como máximo en dos semanas / anualmente Cambios en los datos de registro; valores modificados del grado de abastecimiento una vez al año · § 8 Abs. 6 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗
  4. Nueve meses después del registro Se aplica la obligación de realizar un análisis y una evaluación de riesgos · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗
  5. Diez meses después del registro Se aplican las medidas de resiliencia y el plan de resiliencia, la obligación de notificación y las obligaciones de la dirección · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗
  6. Al menos cada cuatro años Repetir el análisis y la evaluación de riesgos y después actualizar el plan de resiliencia · § 12 Abs. 1 KRITISDachG§ 12 KRITISDachG Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen führt auf Grundlage der nationalen Risikoanalysen und Risikobewertungen und anderer vertrauenswürdiger Informationsquellen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durch, die Folgendes berücksichtigt: - 1. die in § 11 Absatz 2 Nummer 1 genannten Risiken, - 2. Risiken, die geeignet sein können, die Verfügbarkeit der kritischen …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗
  7. 24 horas / un mes Primera notificación de un incidente a la BBK a través del punto de notificación común, y después un informe detallado · § 18 Abs. 1 KRITISDachG§ 18 KRITISDachG Meldewesen für Vorfälle; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen ist verpflichtet, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis der vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichteten gemeinsamen Meldestelle zu melden. Bei einem andauernden Vorfall ist die Erstmeldung zu aktualisieren. …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗
  8. Entran en vigor los apartados 3 a 5 del § 14; su texto aún no está publicado · § 14 Abs. 3–5 KRITISDachG§ 14 KRITISDachG Sektorenübergreifende und sektorspezifische Mindestanforderungen; branchenspezifische Resilienzstandards; Verordnungsermächtigungen(1) Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen. Zudem gilt § 4 Absatz 4 entsprechend. Das Bundesministerium des Innern kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf das Bundesamt für Bevölkerungsschutz und …Versión: 05.10.2026 · Fuente: gesetze-im-internet.deAbrir el original (gesetze-im-internet.de) ↗

El reglamento conforme al § 4, apdo. 3, y al § 5, apdo. 1, KRITISDachG, con servicios críticos, categorías de instalaciones, umbrales y fechas de referencia, todavía no está promulgado (a octubre de 2026). Hasta entonces, una instalación solo se considera crítica por determinación en el caso concreto (§ 5, apdo. 3).

Cómo le ayuda Complass

  • 7fases
  • 25pasos guiados
  • 7plantillas de documentos
  • 37requisitos en el catálogo

  • Guiado desde la clasificación hasta las evidencias

    Siete fases: afectación y clasificación, registro y punto de contacto, análisis de riesgos, medidas de resiliencia, plan de resiliencia, sistema de notificaciones, así como evidencias, supervisión y dirección.

  • Catálogo de medidas de resiliencia conforme al § 13

    Medidas en seis grupos conforme al § 13, apdo. 3, desde la preparación ante emergencias y la protección de instalaciones, pasando por la gestión de crisis y la recuperación, hasta el personal, la formación y los simulacros, cada una con estado y evidencia.

  • Plantillas

    Comprobación de la afectación, ficha de datos de registro, análisis de riesgos, plan de resiliencia, plantilla de notificación y resumen de evidencias.

  • Notificaciones con plazos

    Proceso de notificación y plantilla de notificación con todos los datos obligatorios conforme al § 18, apdo. 2, registrar incidentes en la gestión de incidentes, documentar los momentos de notificación y diferenciarlos de las notificaciones conforme al § 32 BSIG.

  • Complementar con la gestión de la continuidad del negocio

    El análisis de impacto en el negocio del módulo adicional de gestión de la continuidad del negocio (BCM) aporta la criticidad, los tiempos de inactividad tolerables y los objetivos de reanudación de sus procesos de negocio como base para el análisis de riesgos y el plan de resiliencia.

Las fases del módulo

  1. Applicability and classification
  2. Registration and contact point
  3. Risk analysis and risk assessment
  4. Resilience measures
  5. Resilience plan
  6. Incident reporting
  7. Evidence, supervision and management body

Catálogo: Resilience measures under Section 13 KRITIS Umbrella Act

Módulos relacionados

Gestión de riesgos

Registro de riesgos con evaluación cualitativa o cuantitativa, apetito de riesgo y plan de tratamiento, vinculado a activos, vulnerabilidades e incidentes.

Más información

Gestión de incidentes

Registre incidentes, compruebe las obligaciones de notificación conforme a NIS2, al CRA y al RGPD y haga un seguimiento de los plazos de notificación con cuenta atrás.

Más información

Supplier Management

Clasifique a sus proveedores, solicite autoevaluaciones y evidencias directamente al proveedor, revíselas y pida más información. Con cuestionarios para NIS2, el RGPD, la ISO 27001, el CRA y la IEC 62443-2-4.

Más información

Ley marco KRITIS en Complass: lo mínimo que necesita

La primera selección cubre las obligaciones en Complass si le son aplicables. Si es así, lo muestra la comprobación de afectación gratuita. Al control de afectación

Lo mínimo que necesita

Si el KRITIS-Dachgesetz le afecta: esta selección cubre en Complass las obligaciones derivadas de ello. Está preseleccionada cuando prueba o hace un pedido.

Tamaño del portal Start

Precio de la selección mínima
ConceptoPrecio neto al mes
Start S179 €
NIS2incluido
Ley marco KRITIS99 €
Gestión de la continuidad de negocio (BCM)79 €
RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica)incluido
Total357 € netos/mes

Con pago anual, permanencia mínima de 12 meses. Pago mensual con un recargo del 15 %. Todos los precios sin IVA, a fecha de 16/10/2026.

Prueba gratuita de 14 días: Selección mínima Ley marco KRITIS Pedir: Selección mínima Ley marco KRITIS

Ajustar la selección en la vista de precios: Selección mínima Ley marco KRITIS

Recomendado para mayor efecto Oferta, no una obligación

Business con Supplier Management

Más efecto con Gestión de riesgos y Supplier Management, espacio para 10 usuarios y 2 marcos normativos.

548 € netos/mes, 191 € más que la selección mínima.

Con pago anual, permanencia mínima de 12 meses. Pago mensual con un recargo del 15 %. Todos los precios sin IVA, a fecha de 16/10/2026.

Probar con Business: Selección mínima Ley marco KRITIS

Ver en el resumen de precios: Selección mínima Ley marco KRITIS

Conviene saber: Puede cumplir las obligaciones también sin Complass. Complass le apoya en la implementación y la acreditación, pero no sustituye el asesoramiento jurídico. Avisos legales

Preguntas frecuentes

¿Se aplica el KRITIS-Dachgesetz también fuera de Alemania?

No. Es Derecho alemán y se aplica a las instalaciones críticas en Alemania. Los demás Estados miembros de la UE transponen la Directiva CER con sus propias leyes; para las instalaciones situadas allí rige el Derecho nacional correspondiente.

Todavía no sabemos si nuestra instalación es crítica. ¿Qué debemos hacer ahora?

El reglamento con los umbrales todavía no está promulgado. Registre ya sus servicios, instalaciones y valores del grado de abastecimiento y documente la valoración. Si una instalación se considera crítica, quedan tres meses para el registro; diez meses después del registro deben estar listos el plan de resiliencia y el sistema de notificaciones.

Ya hemos implementado NIS2. ¿Es suficiente?

No. La ley BSI regula la ciberseguridad; el KRITIS-Dachgesetz, la protección física y el mantenimiento del abastecimiento. El registro, no obstante, se realiza conjuntamente, y los análisis de riesgos, documentos y certificados existentes pueden utilizarse como evidencia (§ 17). En Complass utiliza la gestión de riesgos para los riesgos de ambas leyes.

¿Qué multas prevé la ley?

Solo hay multas para determinadas infracciones, con importes máximos de entre 100.000 y 1 millón de euros: datos de registro ausentes o incorrectos, incumplimiento de órdenes ejecutables, resultados de auditoría no transmitidos y denegación de acceso o de información en una inspección (§ 24). Ante la falta de medidas, la autoridad puede ordenar la subsanación de las deficiencias (§ 16); la dirección responde conforme al Derecho de sociedades (§ 20).

¿Sustituye Complass una revisión jurídica?

No. Complass estructura la comprobación de la afectación, las obligaciones y las evidencias a partir del texto legal; la valoración jurídica del caso concreto sigue en sus manos.

Pruebe Complass con sus propios datos

Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.

Probar gratis Solicitar una demo