Complass – Navigate compliance Complass – Navigate compliance
Langue FR
Deutsch English Français Italiano Español Nederlands Polski Português
Essayer gratuitement

référentiel

Loi-cadre KRITIS (KRITISDachG)

S’applique uniquement en Allemagne (droit allemand). La loi-cadre KRITIS (KRITIS-Dachgesetz) s’applique depuis le 17 mars 2026 et oblige les exploitants d’installations critiques à renforcer leur résilience physique face à tous les aléas. Complass vous accompagne, de la vérification de l’assujettissement à la notification et aux preuves, en passant par l’analyse des risques et le plan de résilience.

Essayer gratuitement Demander une démo
Image fixe de la courte vidéo « La gestion de la conformité en 20 secondes »
La gestion de la conformité en 20 secondes Projet, prochaine étape, liste de contrôle, déclaration d’applicabilité, dossier d’audit. Beispieldaten der Demo-Firma.

Qu’est-ce que Loi-cadre KRITIS?

S’applique uniquement en Allemagne (droit allemand). La loi-cadre KRITIS (KRITISDachG) est la loi allemande visant à renforcer la résilience physique des installations critiques. Elle transpose la directive (UE) 2022/2557 sur la résilience des entités critiques (directive CER). Les exploitants d’installations critiques doivent s’enregistrer, analyser les risques, prendre des mesures de résilience et les présenter dans un plan de résilience, ainsi que notifier les incidents, par exemple dus à des aléas naturels, des accidents, du sabotage ou du terrorisme. La cybersécurité de ces installations reste régie par la loi sur le BSI.

État des contenus:

Suis-je concerné ?

Sont concernés les exploitants d’installations critiques dans dix secteurs : énergie, transports, finance, sécurité sociale et allocation de base pour demandeurs d’emploi, santé, eau, alimentation, technologies de l’information et télécommunications, espace, ainsi qu’élimination des déchets urbains. Une installation est critique si elle est significative pour la fourniture d’un service critique qui approvisionne la population.

Les installations concernées sont définies précisément par une ordonnance du ministère fédéral de l’Intérieur, avec des catégories d’installations et des seuils. Elle n’est pas encore promulguée (état octobre 2026) ; la valeur légale de référence est de 500 000 habitants approvisionnés. D’ici là, une installation n’est considérée comme critique que si le ministère le constate au cas par cas.

Exceptions : pour les entités financières soumises à DORA et pour le secteur des technologies de l’information et des télécommunications, l’analyse des risques, les mesures de résilience et l’obligation de notification, entre autres, ne s’appliquent pas ; l’enregistrement demeure. Pour l’élimination des déchets urbains et la sécurité sociale, seule l’analyse des risques s’applique. Les exploitants d’installations critiques sont en même temps des entités particulièrement importantes au sens de la loi sur le BSI.

Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.

Base juridique

  • § 2 KRITISDachG§ 2 KRITISDachG BegriffsbestimmungenIm Sinne dieses Gesetzes - 1. ist „Betreiber kritischer Anlagen“ eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗Définitions : exploitant, installation, service critique
  • § 4 KRITISDachG§ 4 KRITISDachG Geltungsbereich; Sektoren; Verordnungsermächtigung(1) Dieses Gesetz gilt für Betreiber kritischer Anlagen in den folgenden Sektoren: - 1. Energie, - 2. Transport und Verkehr, - 3. Finanzwesen, - 4. Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, - 5. Gesundheitswesen, - 6. Wasser, - 7. Ernährung, - 8. Informationstechnik und Telekommunikation, - 9. Weltraum und - 10. Siedlungsabfallentsorgung. (2) § 3 Absatz 8, die §§ 9, 10, 12 bis 16, …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗Champ d’application, secteurs et exceptions
  • § 5 KRITISDachG§ 5 KRITISDachG Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen(1) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, - 1. Kategorien von Anlagen, - 2. allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte zum Versorgungsgrad, bei deren Erreichen eine Anlage einer bestimmten Kategorie nach Nummer 1 nach einem bestimmten Stichtag als erheblich für die Erbringung einer kritischen …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗Caractère significatif d’une installation, valeur de référence, constatation au cas par cas
  • § 8 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗Enregistrement et date d’application des obligations
  • § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …État : 26.09.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗Exploitants d’installations critiques en tant qu’entités particulièrement importantes
  • Art. 1 CER-RichtlinieArticle 1 CER Directive Subject matter and scope1. This Directive: - (a) lays down obligations on Member States to take specific measures aimed at ensuring that services which are essential for the maintenance of vital societal functions or economic activities within the scope of Article 114 TFEU are provided in an unobstructed manner in the internal market, in particular obligations to identify critical entities and to support critical entities in meeting the …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Objet et champ d’application de la directive européenne

Dates clés

  1. Loi-cadre KRITIS en vigueur
  2. Trois mois au plus tard Enregistrement via le dispositif d’enregistrement commun du BSI et du BBK, une fois qu’une installation est considérée comme critique · § 8 Abs. 1 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗
  3. Sans délai, deux semaines au plus tard / annuellement Modifications des données d’enregistrement ; valeurs modifiées du niveau d’approvisionnement une fois par an · § 8 Abs. 6 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗
  4. Neuf mois après l’enregistrement L’obligation d’analyse et d’évaluation des risques s’applique · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗
  5. Dix mois après l’enregistrement Les mesures de résilience et le plan de résilience, l’obligation de notification et les obligations de la direction s’appliquent · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗
  6. Au moins tous les quatre ans Répéter l’analyse et l’évaluation des risques, puis mettre à jour le plan de résilience · § 12 Abs. 1 KRITISDachG§ 12 KRITISDachG Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen führt auf Grundlage der nationalen Risikoanalysen und Risikobewertungen und anderer vertrauenswürdiger Informationsquellen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durch, die Folgendes berücksichtigt: - 1. die in § 11 Absatz 2 Nummer 1 genannten Risiken, - 2. Risiken, die geeignet sein können, die Verfügbarkeit der kritischen …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗
  7. 24 heures / un mois Première notification d’un incident au BBK via le point de notification commun, suivie d’un rapport détaillé · § 18 Abs. 1 KRITISDachG§ 18 KRITISDachG Meldewesen für Vorfälle; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen ist verpflichtet, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis der vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichteten gemeinsamen Meldestelle zu melden. Bei einem andauernden Vorfall ist die Erstmeldung zu aktualisieren. …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗
  8. Le § 14, al. 3 à 5, entre en vigueur ; son libellé n’est pas encore publié · § 14 Abs. 3–5 KRITISDachG§ 14 KRITISDachG Sektorenübergreifende und sektorspezifische Mindestanforderungen; branchenspezifische Resilienzstandards; Verordnungsermächtigungen(1) Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen. Zudem gilt § 4 Absatz 4 entsprechend. Das Bundesministerium des Innern kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf das Bundesamt für Bevölkerungsschutz und …État : 05.10.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗

L’ordonnance prise en application du § 4, al. 3, et du § 5, al. 1, KRITISDachG, avec les services critiques, catégories d’installations, seuils et dates de référence, n’est pas encore promulguée (état octobre 2026). D’ici là, une installation n’est considérée comme critique que par constatation au cas par cas (§ 5, al. 3).

Comment Complass vous aide

  • 7phases
  • 25étapes guidées
  • 7modèles de documents
  • 37exigences dans le catalogue

  • Guidé de la classification jusqu’aux preuves

    Sept phases : assujettissement et classification, enregistrement et point de contact, analyse des risques, mesures de résilience, plan de résilience, notification des incidents, ainsi que preuves, contrôle et direction.

  • Catalogue des mesures de résilience selon le § 13

    Mesures en six groupes selon le § 13, al. 3, de la préparation aux situations d’urgence et de la protection des sites à la gestion de crise et au rétablissement, jusqu’au personnel, aux formations et aux exercices, chacune avec statut et preuve.

  • Modèles

    Vérification de l’assujettissement, fiche d’enregistrement, analyse des risques, plan de résilience, modèle de notification et aperçu des preuves.

  • Notifications avec délais

    Processus de notification et modèle de notification avec toutes les mentions obligatoires selon le § 18, al. 2, enregistrer les incidents dans la gestion des incidents, documenter les moments de notification et les distinguer des notifications selon le § 32 BSIG.

  • Compléter avec la gestion de la continuité d’activité

    L’analyse d’impact sur l’activité du module complémentaire Gestion de la continuité d’activité (BCM) fournit la criticité, les temps d’arrêt tolérables et les objectifs de reprise de vos processus métier, comme base de l’analyse des risques et du plan de résilience.

Les phases du module

  1. Applicability and classification
  2. Registration and contact point
  3. Risk analysis and risk assessment
  4. Resilience measures
  5. Resilience plan
  6. Incident reporting
  7. Evidence, supervision and management body

Catalogue: Resilience measures under Section 13 KRITIS Umbrella Act

Modules associés

Gestion des risques

Registre des risques avec appréciation qualitative ou quantitative, appétence au risque et plan de traitement, relié aux actifs, aux vulnérabilités et aux incidents.

En savoir plus

Gestion des incidents

Enregistrez les incidents, vérifiez les obligations de notification au titre de NIS2, du CRA et du RGPD et suivez les délais de notification avec un compte à rebours.

En savoir plus

Supplier Management

Classez vos fournisseurs, demandez directement au fournisseur des auto-évaluations et des preuves, vérifiez-les et relancez-les si besoin. Avec des questionnaires pour NIS2, le RGPD, l’ISO 27001, le CRA et l’IEC 62443-2-4.

En savoir plus

Loi-cadre KRITIS dans Complass : ce qu’il vous faut au minimum

La première sélection couvre les obligations dans Complass, si elles s’appliquent à vous. Le contrôle d’applicabilité gratuit indique si c’est le cas. Vers le contrôle de concernement

Ce qu’il vous faut au minimum

Si la loi-cadre KRITIS s’applique à vous : cette sélection couvre les obligations qui en découlent dans Complass. Elle est présélectionnée lorsque vous testez ou commandez.

Taille du portail Start

Prix de la sélection minimale
PostePrix net par mois
Start S179 €
NIS2inclus
Loi-cadre KRITIS99 €
Gestion de la continuité d’activité (BCM)79 €
RGPD, Règlement sur l’IA et Protection des lanceurs d'alerte (HinSchG) (protection de base)inclus
Total357 € HT/mois

En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 16/10/2026.

Essai gratuit de 14 jours: Sélection minimale Loi-cadre KRITIS Commander: Sélection minimale Loi-cadre KRITIS

Ajuster la sélection dans l’aperçu des prix: Sélection minimale Loi-cadre KRITIS

Recommandé pour plus d’effet Offre, pas une obligation

Business avec Supplier Management

Plus d’effet avec Gestion des risques et Supplier Management, de la place pour 10 utilisateurs et 2 référentiels.

548 € net/mois, 191 € de plus que la sélection minimale.

En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 16/10/2026.

Tester avec Business: Sélection minimale Loi-cadre KRITIS

Voir dans l’aperçu des tarifs: Sélection minimale Loi-cadre KRITIS

Bon à savoir : vous pouvez aussi remplir ces obligations sans Complass. Complass vous accompagne dans la mise en œuvre et la preuve, mais ne remplace pas un conseil juridique. Mentions juridiques

Questions fréquentes

La loi-cadre KRITIS s’applique-t-elle aussi en dehors de l’Allemagne ?

Non. C’est du droit allemand, qui s’applique aux installations critiques situées en Allemagne. Les autres États membres de l’UE transposent la directive CER par leurs propres lois ; les installations qui s’y trouvent relèvent du droit national respectif.

Nous ne savons pas encore si notre installation est critique. Que devons-nous faire dès maintenant ?

L’ordonnance fixant les seuils n’est pas encore promulguée. Recensez dès maintenant vos services, installations et valeurs du niveau d’approvisionnement et documentez votre appréciation. Dès qu’une installation est considérée comme critique, vous disposez de trois mois pour l’enregistrement ; dix mois après l’enregistrement, le plan de résilience et le dispositif de notification doivent être en place.

Nous avons déjà mis en œuvre NIS2. Est-ce suffisant ?

Non. La loi sur le BSI régit la cybersécurité, la loi-cadre KRITIS la protection physique et le maintien de l’approvisionnement. L’enregistrement est toutefois commun, et vous pouvez utiliser comme preuves les analyses de risques, documents et certificats existants (§ 17). Dans Complass, vous utilisez la gestion des risques pour les risques relevant des deux lois.

Quelles amendes la loi prévoit-elle ?

Des amendes ne sont prévues que pour certaines infractions, avec des montants maximaux compris entre 100 000 euros et 1 million d’euros : données d’enregistrement manquantes ou inexactes, non-respect d’injonctions exécutoires, résultats d’audit non transmis, ainsi que refus d’accès ou de renseignements lors d’un contrôle (§ 24). En cas de mesures manquantes, l’autorité peut ordonner de remédier aux manquements (§ 16) ; la direction est responsable selon le droit des sociétés (§ 20).

Complass remplace-t-il un examen juridique ?

Non. Complass structure la vérification de l’assujettissement, les obligations et les preuves à partir du texte de la loi ; l’appréciation juridique du cas particulier vous revient.

Testez Complass avec vos propres données

Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.

Essayer gratuitement Demander une démo