Complass – Navigate compliance Complass – Navigate compliance
Lingua IT
Deutsch English Français Italiano Español Nederlands Polski Português
Provare gratis

framework

Legge quadro KRITIS (KRITISDachG)

Vale solo in Germania (diritto tedesco). La legge quadro KRITIS è in vigore dal 17 marzo 2026 e obbliga i gestori di impianti critici a rafforzare la propria resilienza fisica contro tutti i pericoli. Complass guida dalla verifica dell’applicabilità, passando per analisi dei rischi e piano di resilienza, fino a sistema di notifica ed evidenze.

Provare gratis Richiedere una demo
Fotogramma del breve video “Compliance management in 20 secondi”
Compliance management in 20 secondi Progetto, prossimo passo, checklist, dichiarazione di applicabilità, pacchetto per l’audit. Beispieldaten der Demo-Firma.

Che cos’è Legge quadro KRITIS (KRITIS-DachG)?

Vale solo in Germania (diritto tedesco). La legge quadro KRITIS (KRITISDachG) è la legge tedesca per il rafforzamento della resilienza fisica degli impianti critici. Recepisce la Direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici (direttiva CER). I gestori di impianti critici devono registrarsi, analizzare i rischi, adottare misure di resilienza e illustrarle in un piano di resilienza, nonché notificare gli incidenti, ad esempio causati da pericoli naturali, incidenti, sabotaggio o terrorismo. La cibersicurezza di tali impianti continua a essere disciplinata dalla legge sul BSI.

Aggiornamento dei contenuti:

Vale anche per me?

Sono interessati i gestori di impianti critici in dieci settori: energia, trasporti e traffico, finanza, previdenza sociale e sostegno di base per chi cerca lavoro, sanità, acqua, alimentazione, tecnologia dell’informazione e telecomunicazioni, spazio e gestione dei rifiuti urbani. È critico un impianto significativo per un servizio critico per l’approvvigionamento della collettività.

Quali impianti siano esattamente tali è stabilito da un regolamento del Ministero federale dell’Interno con categorie di impianti e soglie. Non è ancora stato promulgato (a ottobre 2026); il valore di riferimento di legge è di 500.000 abitanti serviti. Fino ad allora un impianto è considerato critico solo se il Ministero lo accerta nel singolo caso.

Eccezioni: per le imprese finanziarie soggette a DORA e per il settore tecnologia dell’informazione e telecomunicazioni decadono, tra l’altro, analisi dei rischi, misure di resilienza e obbligo di notifica, mentre la registrazione resta. Per la gestione dei rifiuti urbani e la previdenza sociale si applica di questi solo l’analisi dei rischi. I gestori di impianti critici sono contemporaneamente considerati soggetti essenziali ai sensi della legge sul BSI.

Questa panoramica non sostituisce la consulenza legale. Fa fede il testo giuridico o normativo; in Complass verificate l’applicabilità con indicazioni basate sui riferimenti.

Base giuridica

  • § 2 KRITISDachG§ 2 KRITISDachG BegriffsbestimmungenIm Sinne dieses Gesetzes - 1. ist „Betreiber kritischer Anlagen“ eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗Definizioni: gestore, impianto, servizio critico
  • § 4 KRITISDachG§ 4 KRITISDachG Geltungsbereich; Sektoren; Verordnungsermächtigung(1) Dieses Gesetz gilt für Betreiber kritischer Anlagen in den folgenden Sektoren: - 1. Energie, - 2. Transport und Verkehr, - 3. Finanzwesen, - 4. Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, - 5. Gesundheitswesen, - 6. Wasser, - 7. Ernährung, - 8. Informationstechnik und Telekommunikation, - 9. Weltraum und - 10. Siedlungsabfallentsorgung. (2) § 3 Absatz 8, die §§ 9, 10, 12 bis 16, …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗Ambito di applicazione, settori ed eccezioni
  • § 5 KRITISDachG§ 5 KRITISDachG Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen(1) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, - 1. Kategorien von Anlagen, - 2. allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte zum Versorgungsgrad, bei deren Erreichen eine Anlage einer bestimmten Kategorie nach Nummer 1 nach einem bestimmten Stichtag als erheblich für die Erbringung einer kritischen …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗Significatività di un impianto, valore di riferimento, accertamento nel singolo caso
  • § 8 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗Registrazione e momento di decorrenza degli obblighi
  • § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stato: 26.09.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗Gestori di impianti critici come soggetti essenziali
  • Art. 1 CER-RichtlinieArticle 1 CER Directive Subject matter and scope1. This Directive: - (a) lays down obligations on Member States to take specific measures aimed at ensuring that services which are essential for the maintenance of vital societal functions or economic activities within the scope of Article 114 TFEU are provided in an unobstructed manner in the internal market, in particular obligations to identify critical entities and to support critical entities in meeting the …Stato: 05.10.2026 · Fonte: EUR-LexApri l’originale (EUR-Lex) ↗Oggetto e ambito di applicazione della direttiva UE

Date chiave

  1. Entrata in vigore della legge quadro KRITIS
  2. Al più tardi tre mesi Registrazione tramite la possibilità di registrazione comune di BSI e BBK, dopo che un impianto è considerato critico · § 8 Abs. 1 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗
  3. Senza ritardo, al più tardi due settimane / annualmente Modifiche ai dati di registrazione; valori modificati sul livello di approvvigionamento una volta all’anno · § 8 Abs. 6 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗
  4. Nove mesi dopo la registrazione Si applica l’obbligo di analisi e valutazione dei rischi · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗
  5. Dieci mesi dopo la registrazione Si applicano misure di resilienza e piano di resilienza, obbligo di notifica e obblighi della direzione · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗
  6. Almeno ogni quattro anni Ripetere analisi e valutazione dei rischi, poi aggiornare il piano di resilienza · § 12 Abs. 1 KRITISDachG§ 12 KRITISDachG Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen führt auf Grundlage der nationalen Risikoanalysen und Risikobewertungen und anderer vertrauenswürdiger Informationsquellen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durch, die Folgendes berücksichtigt: - 1. die in § 11 Absatz 2 Nummer 1 genannten Risiken, - 2. Risiken, die geeignet sein können, die Verfügbarkeit der kritischen …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗
  7. 24 ore / un mese Prima notifica di un incidente al BBK tramite il punto di segnalazione comune, poi rapporto dettagliato · § 18 Abs. 1 KRITISDachG§ 18 KRITISDachG Meldewesen für Vorfälle; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen ist verpflichtet, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis der vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichteten gemeinsamen Meldestelle zu melden. Bei einem andauernden Vorfall ist die Erstmeldung zu aktualisieren. …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗
  8. Entrano in vigore i § 14, commi da 3 a 5; il loro testo non è ancora stato pubblicato · § 14 Abs. 3–5 KRITISDachG§ 14 KRITISDachG Sektorenübergreifende und sektorspezifische Mindestanforderungen; branchenspezifische Resilienzstandards; Verordnungsermächtigungen(1) Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen. Zudem gilt § 4 Absatz 4 entsprechend. Das Bundesministerium des Innern kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf das Bundesamt für Bevölkerungsschutz und …Stato: 05.10.2026 · Fonte: gesetze-im-internet.deApri l’originale (gesetze-im-internet.de) ↗

Il regolamento ai sensi del § 4, comma 3, e del § 5, comma 1, KRITISDachG con servizi critici, categorie di impianti, soglie e date di riferimento non è ancora stato promulgato (a ottobre 2026). Fino ad allora un impianto è considerato critico solo per accertamento nel singolo caso (§ 5, comma 3).

Come Complass aiuta

  • 7fasi
  • 25passi guidati
  • 7modelli di documento
  • 37requisiti nel catalogo

  • Guidati dalla classificazione alle evidenze

    Sette fasi: applicabilità e classificazione, registrazione e punto di contatto, analisi dei rischi, misure di resilienza, piano di resilienza, sistema di notifica nonché evidenze, vigilanza e direzione.

  • Catalogo delle misure di resilienza ai sensi del § 13

    Misure in sei gruppi ai sensi del § 13, comma 3, dalla preparazione alle emergenze e protezione degli impianti, passando per gestione delle crisi e ripristino, fino a personale, formazioni ed esercitazioni, ciascuna con stato ed evidenza.

  • Modelli

    Verifica dell’applicabilità, scheda di registrazione, analisi dei rischi, piano di resilienza, modello di notifica e panoramica delle evidenze.

  • Notifiche con scadenze

    Processo di notifica e modello di notifica con tutte le informazioni obbligatorie ai sensi del § 18, comma 2, registrazione degli incidenti nella gestione degli incidenti, documentazione dei momenti di notifica e distinzione dalle notifiche ai sensi del § 32 BSIG.

  • Integrare con la gestione delle emergenze

    La business impact analysis nel modulo aggiuntivo Gestione delle emergenze (BCM) fornisce criticità, tempi di inattività tollerabili e obiettivi di ripristino dei Suoi processi aziendali come base per analisi dei rischi e piano di resilienza.

Le fasi nel modulo

  1. Applicability and classification
  2. Registration and contact point
  3. Risk analysis and risk assessment
  4. Resilience measures
  5. Resilience plan
  6. Incident reporting
  7. Evidence, supervision and management body

Catalogo: Resilience measures under Section 13 KRITIS Umbrella Act

Moduli correlati

Risk management

Registro dei rischi con valutazione qualitativa o quantitativa, propensione al rischio e piano di trattamento, collegato ad asset, vulnerabilità e incidenti.

Scoprire di più

Incident management

Registrare gli incidenti, verificare gli obblighi di notifica ai sensi della NIS2, del CRA e del GDPR e monitorare le scadenze di notifica con un conto alla rovescia.

Scoprire di più

Supplier Management

Classificate i fornitori, richiedete autovalutazioni ed evidenze direttamente al fornitore, verificatele e richiedete integrazioni. Con questionari per NIS2, GDPR, ISO 27001, CRA e IEC 62443-2-4.

Scoprire di più

Legge quadro KRITIS (KRITIS-DachG) in Complass: cosa serve come minimo

La prima selezione copre gli obblighi in Complass, se valgono per Lei. La verifica di applicabilità gratuita mostra se è così. Alla verifica di applicabilità

Che cosa Le serve almeno

Se la legge quadro KRITIS si applica a Lei: questa selezione copre i relativi obblighi in Complass. È preselezionata quando prova o ordina.

Dimensioni del portale Start

Prezzo della selezione minima
VocePrezzo netto al mese
Start S179 €
NIS2incluso
Legge quadro KRITIS (KRITIS-DachG)99 €
Gestione della continuità operativa (BCM)79 €
GDPR, Regolamento sull’IA e Protezione degli informatori (HinSchG) (protezione di base)incluso
Totale357 € netto/mese

Con pagamento annuale, durata minima di 12 mesi. Pagamento mensile con un supplemento del 15 %. Tutti i prezzi al netto dell’IVA, aggiornati al 16/10/2026.

Prova gratuita per 14 giorni: Selezione minima Legge quadro KRITIS (KRITIS-DachG) Ordina: Selezione minima Legge quadro KRITIS (KRITIS-DachG)

Modificare la selezione nella panoramica prezzi: Selezione minima Legge quadro KRITIS (KRITIS-DachG)

Consigliato per più efficacia Offerta, non obbligo

Business con Supplier Management

Più efficacia con Risk management e Supplier Management, spazio per 10 utenti e 2 normative.

548 € netti/mese, 191 € in più rispetto alla selezione minima.

Con pagamento annuale, durata minima di 12 mesi. Pagamento mensile con un supplemento del 15 %. Tutti i prezzi al netto dell’IVA, aggiornati al 16/10/2026.

Prova con Business: Selezione minima Legge quadro KRITIS (KRITIS-DachG)

Vedi nella panoramica dei prezzi: Selezione minima Legge quadro KRITIS (KRITIS-DachG)

Da sapere: Può adempiere gli obblighi anche senza Complass. Complass La supporta nell’attuazione e nella documentazione, ma non sostituisce la consulenza legale. Note legali

Domande frequenti

La legge quadro KRITIS si applica anche al di fuori della Germania?

No. È diritto tedesco e vale per gli impianti critici in Germania. Gli altri Stati membri dell’UE recepiscono la direttiva CER con leggi proprie; per gli impianti situati lì si applica il rispettivo diritto nazionale.

Non sappiamo ancora se il nostro impianto sia critico. Che cosa dovremmo fare adesso?

Il regolamento con le soglie non è ancora stato promulgato. Registri fin da ora i Suoi servizi, impianti e valori sul livello di approvvigionamento e documenti la valutazione. Se un impianto è considerato critico, restano tre mesi per la registrazione; dieci mesi dopo la registrazione devono essere pronti piano di resilienza e sistema di notifica.

Abbiamo già attuato la NIS2. È sufficiente?

No. La legge sul BSI disciplina la cibersicurezza, la legge quadro KRITIS la protezione fisica e il mantenimento dell’approvvigionamento. La registrazione avviene però congiuntamente e le analisi dei rischi, i documenti e i certificati esistenti possono essere utilizzati come evidenza (§ 17). In Complass utilizza il Risk Management per i rischi di entrambe le leggi.

Quali sanzioni pecuniarie prevede la legge?

Le sanzioni pecuniarie sono previste solo per determinate violazioni, con importi massimi tra 100.000 euro e 1 milione di euro: dati di registrazione mancanti o errati, inosservanza di provvedimenti esecutivi, risultati di audit non trasmessi e accesso o informazioni negati durante una verifica (§ 24). In caso di misure mancanti l’autorità può ordinare l’eliminazione delle carenze (§ 16); la direzione risponde secondo il diritto societario (§ 20).

Complass sostituisce una verifica legale?

No. Complass struttura verifica dell’applicabilità, obblighi ed evidenze sulla base del testo di legge; la valutazione giuridica nel singolo caso resta a Lei.

Provate Complass con i vostri dati

Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.

Provare gratis Richiedere una demo