Complass – Navigate compliance Complass – Navigate compliance
Taal NL
Deutsch English Français Italiano Español Nederlands Polski Português
Gratis uitproberen

normenkader

KRITIS-kaderwet (KRITISDachG)

Geldt alleen in Duitsland (Duits recht). Het KRITIS-Dachgesetz geldt sinds 17 maart 2026 en verplicht exploitanten van kritieke installaties hun fysieke weerbaarheid tegen alle gevaren te versterken. Complass begeleidt van de toepasselijkheidstoets via risicoanalyse en weerbaarheidsplan tot meldingen en bewijs.

Gratis uitproberen Demo aanvragen
Stilstaand beeld uit de korte video “Compliancemanagement in 20 seconden”
Compliancemanagement in 20 seconden Project, volgende stap, checklist, verklaring van toepasselijkheid, auditpakket. Beispieldaten der Demo-Firma.

Wat is KRITIS-Dachgesetz?

Geldt alleen in Duitsland (Duits recht). Het KRITIS-Dachgesetz (KRITISDachG) is de Duitse wet ter versterking van de fysieke weerbaarheid van kritieke installaties. Het zet Richtlijn (EU) 2022/2557 betreffende de weerbaarheid van kritieke entiteiten (CER-richtlijn) om. Exploitanten van kritieke installaties moeten zich registreren, risico's analyseren, weerbaarheidsmaatregelen nemen en in een weerbaarheidsplan beschrijven en incidenten melden, bijvoorbeeld door natuurgevaren, ongevallen, sabotage of terrorisme. De cyberbeveiliging van deze installaties wordt nog steeds geregeld door de Duitse BSI-wet.

Actualiteit van de inhoud:

Is het op mij van toepassing?

Het gaat om exploitanten van kritieke installaties in tien sectoren: energie, transport en verkeer, financiën, sociale verzekering en basisuitkering voor werkzoekenden, gezondheidszorg, water, voeding, informatietechnologie en telecommunicatie, ruimtevaart en afvalverwerking van huishoudelijk afval. Een installatie is kritiek als zij aanzienlijk is voor een kritieke dienst voor de voorziening van het algemeen publiek.

Welke installaties dat precies zijn, wordt vastgelegd in een verordening van het Duitse federale ministerie van Binnenlandse Zaken met installatiecategorieën en drempelwaarden. Zij is nog niet afgekondigd (stand oktober 2026); de wettelijke standaardwaarde bedraagt 500.000 bediende inwoners. Tot dan geldt een installatie alleen als kritiek als het ministerie dit in het individuele geval vaststelt.

Uitzonderingen: voor financiële ondernemingen onder DORA en de sector informatietechnologie en telecommunicatie vervallen onder meer risicoanalyse, weerbaarheidsmaatregelen en meldplicht; de registratie blijft. Voor afvalverwerking van huishoudelijk afval en sociale verzekering geldt daarvan alleen de risicoanalyse. Exploitanten van kritieke installaties gelden tegelijk als bijzonder belangrijke entiteiten volgens de BSI-wet.

Dit overzicht vervangt geen juridisch advies. De wettelijke of normatieve tekst is doorslaggevend; in Complass toetst u de toepasselijkheid aan de hand van een handleiding op basis van de vindplaatsen.

Rechtsgrondslag

  • § 2 KRITISDachG§ 2 KRITISDachG BegriffsbestimmungenIm Sinne dieses Gesetzes - 1. ist „Betreiber kritischer Anlagen“ eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗Definities: exploitant, installatie, kritieke dienst
  • § 4 KRITISDachG§ 4 KRITISDachG Geltungsbereich; Sektoren; Verordnungsermächtigung(1) Dieses Gesetz gilt für Betreiber kritischer Anlagen in den folgenden Sektoren: - 1. Energie, - 2. Transport und Verkehr, - 3. Finanzwesen, - 4. Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, - 5. Gesundheitswesen, - 6. Wasser, - 7. Ernährung, - 8. Informationstechnik und Telekommunikation, - 9. Weltraum und - 10. Siedlungsabfallentsorgung. (2) § 3 Absatz 8, die §§ 9, 10, 12 bis 16, …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗Toepassingsgebied, sectoren en uitzonderingen
  • § 5 KRITISDachG§ 5 KRITISDachG Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen(1) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, - 1. Kategorien von Anlagen, - 2. allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte zum Versorgungsgrad, bei deren Erreichen eine Anlage einer bestimmten Kategorie nach Nummer 1 nach einem bestimmten Stichtag als erheblich für die Erbringung einer kritischen …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗Significantie van een installatie, standaardwaarde, vaststelling in het individuele geval
  • § 8 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗Registratie en ingangsmoment van de verplichtingen
  • § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stand: 26.09.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗Exploitanten van kritieke installaties als bijzonder belangrijke entiteiten
  • Art. 1 CER-RichtlinieArticle 1 CER Directive Subject matter and scope1. This Directive: - (a) lays down obligations on Member States to take specific measures aimed at ensuring that services which are essential for the maintenance of vital societal functions or economic activities within the scope of Article 114 TFEU are provided in an unobstructed manner in the internal market, in particular obligations to identify critical entities and to support critical entities in meeting the …Stand: 05.10.2026 · Bron: EUR-LexOrigineel openen (EUR-Lex) ↗Onderwerp en toepassingsgebied van de EU-richtlijn

Belangrijke data

  1. KRITIS-Dachgesetz in werking
  2. Uiterlijk binnen drie maanden Registratie via de gezamenlijke registratiemogelijkheid van BSI en BBK, nadat een installatie als kritiek geldt · § 8 Abs. 1 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗
  3. Onverwijld, uiterlijk twee weken / jaarlijks Wijzigingen van de registratiegegevens; gewijzigde waarden voor de voorzieningsgraad eenmaal per jaar · § 8 Abs. 6 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗
  4. Negen maanden na registratie Verplichting tot risicoanalyse en risicobeoordeling geldt · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗
  5. Tien maanden na registratie Weerbaarheidsmaatregelen en weerbaarheidsplan, meldplicht en verplichtingen van de directie gelden · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗
  6. Minstens elke vier jaar Risicoanalyse en risicobeoordeling herhalen, daarna het weerbaarheidsplan actualiseren · § 12 Abs. 1 KRITISDachG§ 12 KRITISDachG Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen führt auf Grundlage der nationalen Risikoanalysen und Risikobewertungen und anderer vertrauenswürdiger Informationsquellen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durch, die Folgendes berücksichtigt: - 1. die in § 11 Absatz 2 Nummer 1 genannten Risiken, - 2. Risiken, die geeignet sein können, die Verfügbarkeit der kritischen …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗
  7. 24 uur / één maand Eerste melding van een incident aan het BBK via het gezamenlijke meldpunt, daarna uitgebreid rapport · § 18 Abs. 1 KRITISDachG§ 18 KRITISDachG Meldewesen für Vorfälle; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen ist verpflichtet, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis der vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichteten gemeinsamen Meldestelle zu melden. Bei einem andauernden Vorfall ist die Erstmeldung zu aktualisieren. …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗
  8. § 14, leden 3 tot en met 5 treden in werking; de tekst ervan is nog niet gepubliceerd · § 14 Abs. 3–5 KRITISDachG§ 14 KRITISDachG Sektorenübergreifende und sektorspezifische Mindestanforderungen; branchenspezifische Resilienzstandards; Verordnungsermächtigungen(1) Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen. Zudem gilt § 4 Absatz 4 entsprechend. Das Bundesministerium des Innern kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf das Bundesamt für Bevölkerungsschutz und …Stand: 05.10.2026 · Bron: gesetze-im-internet.deOrigineel openen (gesetze-im-internet.de) ↗

De verordening op grond van § 4, lid 3 en § 5, lid 1 KRITISDachG met kritieke diensten, installatiecategorieën, drempelwaarden en peildata is nog niet afgekondigd (stand oktober 2026). Tot dan geldt een installatie alleen door vaststelling in het individuele geval als kritiek (§ 5, lid 3).

Hoe Complass helpt

  • 7fasen
  • 25begeleide stappen
  • 7documentsjablonen
  • 37eisen in de catalogus

  • Begeleid van classificatie tot bewijs

    Zeven fasen: toepasselijkheid en indeling, registratie en contactpunt, risicoanalyse, weerbaarheidsmaatregelen, weerbaarheidsplan, meldingen en bewijs, toezicht en directie.

  • Catalogus van weerbaarheidsmaatregelen volgens § 13

    Maatregelen in zes groepen volgens § 13, lid 3, van noodvoorzorg en objectbeveiliging via crisisbeheer en herstel tot personeel, trainingen en oefeningen, telkens met status en bewijs.

  • Sjablonen

    Toepasselijkheidstoets, registratiegegevensblad, risicoanalyse, weerbaarheidsplan, meldsjabloon en bewijsoverzicht.

  • Meldingen met termijnen

    Meldproces en meldsjabloon met alle verplichte gegevens volgens § 18, lid 2, incidenten registreren in het incidentbeheer, meldmomenten documenteren en afbakenen van meldingen volgens § 32 BSIG.

  • Aanvullen met bedrijfscontinuïteitsbeheer

    De business impact analyse in de aanvullende module bedrijfscontinuïteitsbeheer (BCM) levert kriticiteit, acceptabele uitvaltijden en hersteldoelen van uw bedrijfsprocessen als basis voor risicoanalyse en weerbaarheidsplan.

De fasen in de module

  1. Applicability and classification
  2. Registration and contact point
  3. Risk analysis and risk assessment
  4. Resilience measures
  5. Resilience plan
  6. Incident reporting
  7. Evidence, supervision and management body

Catalogus: Resilience measures under Section 13 KRITIS Umbrella Act

Passende modules

Risicomanagement

Risicoregister met kwalitatieve of kwantitatieve beoordeling, risicobereidheid en behandelplan, gekoppeld aan assets, kwetsbaarheden en incidenten.

Meer informatie

Incidentmanagement

Incidenten vastleggen, meldingsplichten onder de NIS2-richtlijn, de CRA en de AVG toetsen en de meldtermijnen met een aftelling bijhouden.

Meer informatie

Supplier Management

Classificeer leveranciers, vraag zelfbeoordelingen en bewijs rechtstreeks bij de leverancier op, controleer ze en vraag aanvullingen. Met vragenlijsten voor NIS2, de AVG, ISO 27001, de CRA en IEC 62443-2-4.

Meer informatie

KRITIS-Dachgesetz in Complass: wat u minimaal nodig hebt

De eerste selectie dekt de verplichtingen in Complass als ze voor u gelden. Of dat zo is, toont de gratis betrokkenheidscheck. Naar de betrokkenheidscheck

Wat u minimaal nodig hebt

Als het KRITIS-Dachgesetz voor u geldt: deze selectie dekt de daaruit voortvloeiende verplichtingen in Complass. Ze is vooraf gekozen als u test of bestelt.

Portaalgrootte Start

Prijs van de minimale selectie
OnderdeelNettoprijs per maand
Start S179 €
NIS2inbegrepen
KRITIS-Dachgesetz99 €
Bedrijfscontinuïteitsbeheer (BCM)79 €
AVG, AI-verordening en Klokkenluidersbescherming (HinSchG) (basisbescherming)inbegrepen
Totaal357 € netto/maand

Bij jaarlijkse betaling, minimale looptijd 12 maanden. Maandelijkse betaling met 15 % toeslag. Alle prijzen exclusief btw, stand 16/10/2026.

14 dagen gratis testen: Minimale selectie KRITIS-Dachgesetz Bestellen: Minimale selectie KRITIS-Dachgesetz

Selectie aanpassen in het prijsoverzicht: Minimale selectie KRITIS-Dachgesetz

Aanbevolen voor meer effect Aanbod, geen plicht

Business met Supplier Management

Meer effect met Risicomanagement en Supplier Management, ruimte voor 10 gebruikers en 2 regelwerken.

548 € netto/maand, 191 € meer dan de minimale selectie.

Bij jaarlijkse betaling, minimale looptijd 12 maanden. Maandelijkse betaling met 15 % toeslag. Alle prijzen exclusief btw, stand 16/10/2026.

Testen met Business: Minimale selectie KRITIS-Dachgesetz

Bekijken in het prijsoverzicht: Minimale selectie KRITIS-Dachgesetz

Goed om te weten: De verplichtingen kunt u ook zonder Complass nakomen. Complass ondersteunt u bij implementatie en bewijs, maar vervangt geen juridisch advies. Juridische informatie

Veelgestelde vragen

Geldt het KRITIS-Dachgesetz ook buiten Duitsland?

Nee. Het is Duits recht en geldt voor kritieke installaties in Duitsland. De andere EU-lidstaten zetten de CER-richtlijn om met eigen wetten; voor installaties daar geldt het betreffende nationale recht.

Wij weten nog niet of onze installatie kritiek is. Wat moeten we nu doen?

De verordening met de drempelwaarden is nog niet afgekondigd. Registreer nu al uw diensten, installaties en waarden voor de voorzieningsgraad en documenteer de inschatting. Geldt een installatie als kritiek, dan resteren drie maanden voor de registratie; tien maanden na de registratie moeten weerbaarheidsplan en meldproces er staan.

Wij hebben NIS2 al geïmplementeerd. Is dat voldoende?

Nee. De BSI-wet regelt de cyberbeveiliging, het KRITIS-Dachgesetz de fysieke bescherming en de continuïteit van de voorziening. De registratie verloopt echter gezamenlijk, en bestaande risicoanalyses, documenten en certificaten kunt u als bewijs gebruiken (§ 17). In Complass gebruikt u het risicobeheer voor de risico's van beide wetten.

Welke boetes voorziet de wet?

Boetes zijn er alleen voor bepaalde overtredingen, met maximumbedragen tussen 100.000 euro en 1 miljoen euro: ontbrekende of onjuiste registratiegegevens, overtreding van uitvoerbare bevelen, niet doorgegeven auditresultaten en geweigerde toegang of geweigerde informatie bij een controle (§ 24). Bij ontbrekende maatregelen kan de autoriteit de opheffing van de gebreken gelasten (§ 16); de directie is aansprakelijk volgens het vennootschapsrecht (§ 20).

Vervangt Complass een juridische toetsing?

Nee. Complass structureert toepasselijkheidstoets, verplichtingen en bewijs aan de hand van de wettekst; de juridische beoordeling in het individuele geval blijft bij u.

Test Complass met uw eigen gegevens

Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.

Gratis uitproberen Demo aanvragen