Complass – Navigate compliance Complass – Navigate compliance
Idioma PT
Deutsch English Français Italiano Español Nederlands Polski Português
Experimentar grátis

referencial

Lei-quadro KRITIS (KRITISDachG)

Aplica-se apenas na Alemanha (direito alemão). O KRITIS-Dachgesetz aplica-se desde 17 de março de 2026 e obriga os operadores de instalações críticas a reforçar a sua resiliência física contra todos os perigos. O Complass guia da verificação da abrangência, passando pela análise de riscos e pelo plano de resiliência, até ao sistema de notificação e às evidências.

Experimentar grátis Pedir demonstração
Imagem fixa do vídeo curto «Gestão da conformidade em 20 segundos»
Gestão da conformidade em 20 segundos Projeto, próximo passo, lista de verificação, declaração de aplicabilidade, pacote de auditoria. Beispieldaten der Demo-Firma.

O que é Lei-Quadro KRITIS?

Aplica-se apenas na Alemanha (direito alemão). O KRITIS-Dachgesetz (KRITISDachG) é a lei alemã para o reforço da resiliência física das instalações críticas. Transpõe a Diretiva (UE) 2022/2557 relativa à resiliência das entidades críticas (Diretiva CER). Os operadores de instalações críticas têm de se registar, analisar riscos, tomar medidas de resiliência e descrevê-las num plano de resiliência, bem como notificar incidentes, por exemplo causados por perigos naturais, acidentes, sabotagem ou terrorismo. A cibersegurança destas instalações continua a ser regulada pela lei BSI.

Atualidade dos conteúdos:

Aplica-se ao meu caso?

Estão abrangidos os operadores de instalações críticas em dez setores: energia, transporte e tráfego, finanças, segurança social e subsídio básico para pessoas à procura de emprego, saúde, água, alimentação, tecnologias da informação e telecomunicações, espaço e gestão de resíduos urbanos. É crítica uma instalação que seja significativa para um serviço crítico de abastecimento da população.

Que instalações são exatamente é definido por um regulamento do Ministério Federal do Interior com categorias de instalações e valores-limite. Ainda não foi publicado (a outubro de 2026); o valor de referência legal é de 500 000 habitantes abastecidos. Até lá, uma instalação só é considerada crítica se o Ministério o determinar num caso concreto.

Exceções: para as instituições financeiras abrangidas pelo DORA e para o setor das tecnologias da informação e telecomunicações, deixam de se aplicar, entre outras, a análise de riscos, as medidas de resiliência e a obrigação de notificação; o registo mantém-se. Para a gestão de resíduos urbanos e a segurança social, aplica-se apenas a análise de riscos. Os operadores de instalações críticas são simultaneamente entidades particularmente importantes nos termos da lei BSI.

Esta panorâmica não substitui aconselhamento jurídico. O texto legal ou normativo é o que faz fé; no Complass, verifica a aplicabilidade com orientações baseadas nas referências.

Base jurídica

  • § 2 KRITISDachG§ 2 KRITISDachG BegriffsbestimmungenIm Sinne dieses Gesetzes - 1. ist „Betreiber kritischer Anlagen“ eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗Definições: operador, instalação, serviço crítico
  • § 4 KRITISDachG§ 4 KRITISDachG Geltungsbereich; Sektoren; Verordnungsermächtigung(1) Dieses Gesetz gilt für Betreiber kritischer Anlagen in den folgenden Sektoren: - 1. Energie, - 2. Transport und Verkehr, - 3. Finanzwesen, - 4. Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, - 5. Gesundheitswesen, - 6. Wasser, - 7. Ernährung, - 8. Informationstechnik und Telekommunikation, - 9. Weltraum und - 10. Siedlungsabfallentsorgung. (2) § 3 Absatz 8, die §§ 9, 10, 12 bis 16, …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗Âmbito de aplicação, setores e exceções
  • § 5 KRITISDachG§ 5 KRITISDachG Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen(1) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, - 1. Kategorien von Anlagen, - 2. allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte zum Versorgungsgrad, bei deren Erreichen eine Anlage einer bestimmten Kategorie nach Nummer 1 nach einem bestimmten Stichtag als erheblich für die Erbringung einer kritischen …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗Significância de uma instalação, valor de referência, determinação em caso concreto
  • § 8 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗Registo e momento de aplicação das obrigações
  • § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Versão de: 26.09.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗Operadores de instalações críticas como entidades particularmente importantes
  • Art. 1 CER-RichtlinieArticle 1 CER Directive Subject matter and scope1. This Directive: - (a) lays down obligations on Member States to take specific measures aimed at ensuring that services which are essential for the maintenance of vital societal functions or economic activities within the scope of Article 114 TFEU are provided in an unobstructed manner in the internal market, in particular obligations to identify critical entities and to support critical entities in meeting the …Versão de: 05.10.2026 · Fonte: EUR-LexAbrir o original (EUR-Lex) ↗Objeto e âmbito de aplicação da diretiva da UE

Datas-chave

  1. KRITIS-Dachgesetz em vigor
  2. No máximo três meses Registo através da plataforma de registo comum do BSI e do BBK, depois de uma instalação ser considerada crítica · § 8 Abs. 1 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗
  3. Sem demora, no máximo duas semanas / anualmente Alterações dos dados de registo; valores alterados do grau de abastecimento uma vez por ano · § 8 Abs. 6 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗
  4. Nove meses após o registo A obrigação de análise e avaliação de riscos passa a aplicar-se · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗
  5. Dez meses após o registo Passam a aplicar-se as medidas de resiliência e o plano de resiliência, a obrigação de notificação e as obrigações da direção · § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗
  6. Pelo menos de quatro em quatro anos Repetir a análise e a avaliação de riscos e, depois, atualizar o plano de resiliência · § 12 Abs. 1 KRITISDachG§ 12 KRITISDachG Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen führt auf Grundlage der nationalen Risikoanalysen und Risikobewertungen und anderer vertrauenswürdiger Informationsquellen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durch, die Folgendes berücksichtigt: - 1. die in § 11 Absatz 2 Nummer 1 genannten Risiken, - 2. Risiken, die geeignet sein können, die Verfügbarkeit der kritischen …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗
  7. 24 horas / um mês Primeira notificação de um incidente ao BBK através do ponto de notificação comum e, depois, relatório pormenorizado · § 18 Abs. 1 KRITISDachG§ 18 KRITISDachG Meldewesen für Vorfälle; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen ist verpflichtet, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis der vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichteten gemeinsamen Meldestelle zu melden. Bei einem andauernden Vorfall ist die Erstmeldung zu aktualisieren. …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗
  8. Entram em vigor o § 14, n.os 3 a 5; o seu texto ainda não foi publicado · § 14 Abs. 3–5 KRITISDachG§ 14 KRITISDachG Sektorenübergreifende und sektorspezifische Mindestanforderungen; branchenspezifische Resilienzstandards; Verordnungsermächtigungen(1) Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen. Zudem gilt § 4 Absatz 4 entsprechend. Das Bundesministerium des Innern kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf das Bundesamt für Bevölkerungsschutz und …Versão de: 05.10.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗

O regulamento nos termos do § 4, n.º 3, e do § 5, n.º 1, do KRITISDachG, com serviços críticos, categorias de instalações, valores-limite e datas de referência, ainda não foi publicado (a outubro de 2026). Até lá, uma instalação só é considerada crítica por determinação em caso concreto (§ 5, n.º 3).

Como o Complass ajuda

  • 7fases
  • 25passos guiados
  • 7modelos de documento
  • 37requisitos no catálogo

  • Conduzido da classificação às evidências

    Sete fases: abrangência e classificação, registo e ponto de contacto, análise de riscos, medidas de resiliência, plano de resiliência, sistema de notificação, bem como evidências, supervisão e direção.

  • Catálogo de medidas de resiliência nos termos do § 13

    Medidas em seis grupos nos termos do § 13, n.º 3, da prevenção de emergências e proteção das instalações, passando pela gestão de crises e recuperação, até ao pessoal, formações e exercícios, cada uma com estado e evidência.

  • Modelos

    Verificação da abrangência, ficha de registo, análise de riscos, plano de resiliência, modelo de notificação e resumo das evidências.

  • Notificações com prazos

    Processo e modelo de notificação com todos os dados obrigatórios nos termos do § 18, n.º 2, registar incidentes na gestão de incidentes, documentar os momentos das notificações e distingui-los das notificações nos termos do § 32 BSIG.

  • Complementar com a gestão da continuidade

    A análise de impacto no negócio no módulo adicional de gestão da continuidade (BCM) fornece a criticidade, os tempos de paragem toleráveis e os objetivos de retoma dos seus processos de negócio como base para a análise de riscos e o plano de resiliência.

As fases no módulo

  1. Applicability and classification
  2. Registration and contact point
  3. Risk analysis and risk assessment
  4. Resilience measures
  5. Resilience plan
  6. Incident reporting
  7. Evidence, supervision and management body

Catálogo: Resilience measures under Section 13 KRITIS Umbrella Act

Módulos adequados

Gestão de riscos

Registo de riscos com avaliação qualitativa ou quantitativa, apetite pelo risco e plano de tratamento, ligado a ativos, vulnerabilidades e incidentes.

Saber mais

Gestão de incidentes

Registar incidentes, verificar as obrigações de notificação ao abrigo da NIS2, do CRA e do RGPD e acompanhar os prazos de notificação com contagem decrescente.

Saber mais

Supplier Management

Classifique os fornecedores, solicite autoavaliações e evidências diretamente ao fornecedor, verifique-as e peça mais informação. Com questionários para a NIS2, o RGPD, a ISO 27001, o CRA e a IEC 62443-2-4.

Saber mais

Lei-Quadro KRITIS no Complass: o que precisa no mínimo

A primeira seleção cobre as obrigações no Complass, se se aplicarem a si. Se assim for, é o que mostra a verificação gratuita de aplicabilidade. Para a verificação de aplicabilidade

O que precisa no mínimo

Se o KRITIS-Dachgesetz se aplica a si: esta seleção cobre as obrigações daí decorrentes no Complass. Está pré-selecionada ao testar ou encomendar.

Dimensão do portal Start

  • NIS2: Medidas de gestão de riscos e obrigações de notificação; as notificações são preparadas na gestão de incidentes (incluída). (§§ 30, 32 BSIG (abre num novo separador))
  • Lei-Quadro KRITIS: Registo, análise de risco e medidas de resiliência para instalações críticas. (§§ 8, 12, 13 KRITIS-Dachgesetz (abre num novo separador))
  • Cockpit de gestão: A direção tem de implementar as medidas de gestão de riscos, supervisionar a sua implementação e participar regularmente em formações. (§ 38 BSIG (abre num novo separador)) (incluído)
  • Gestão da continuidade de negócio (BCM): Plano de resiliência com preparação para emergências, formações e exercícios; no módulo com análise de impacto no negócio e ISO 22301. (§ 13 KRITIS-Dachgesetz (abre num novo separador))
  • Gestão de incidentes: incluído
  • RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base): incluído
Preço da seleção mínima
ItemPreço líquido por mês
Start S179 €
NIS2incluído
Lei-Quadro KRITIS99 €
Gestão da continuidade de negócio (BCM)79 €
RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base)incluído
Total357 € líquido/mês

Com pagamento anual, duração mínima de 12 meses. Pagamento mensal com um acréscimo de 15 %. Todos os preços sem IVA, atualizados a 16/10/2026.

Teste gratuito de 14 dias: Seleção mínima Lei-Quadro KRITIS Encomendar: Seleção mínima Lei-Quadro KRITIS

Ajustar a seleção na visão geral de preços: Seleção mínima Lei-Quadro KRITIS

Recomendado para maior impacto Oferta, não uma obrigação

Business com Supplier Management

Mais impacto com Gestão de riscos e Supplier Management, capacidade para 10 utilizadores e 2 referenciais.

548 € líquidos/mês, mais 191 € do que a seleção mínima.

Com pagamento anual, duração mínima de 12 meses. Pagamento mensal com um acréscimo de 15 %. Todos os preços sem IVA, atualizados a 16/10/2026.

Testar com Business: Seleção mínima Lei-Quadro KRITIS

Ver na vista geral de preços: Seleção mínima Lei-Quadro KRITIS

Bom saber: Pode cumprir as obrigações também sem o Complass. O Complass apoia-o na implementação e na evidência, mas não substitui aconselhamento jurídico. Informações legais

Perguntas frequentes

O KRITIS-Dachgesetz aplica-se também fora da Alemanha?

Não. É direito alemão e aplica-se a instalações críticas na Alemanha. Os outros Estados-Membros da UE transpõem a Diretiva CER com leis próprias; para instalações aí situadas aplica-se o respetivo direito nacional.

Ainda não sabemos se a nossa instalação é crítica. O que devemos fazer agora?

O regulamento com os valores-limite ainda não foi publicado. Registe já agora os seus serviços, instalações e valores do grau de abastecimento e documente a avaliação. Se uma instalação for considerada crítica, há três meses para o registo; dez meses após o registo, o plano de resiliência e o sistema de notificação têm de estar implementados.

Já implementámos a NIS2. É suficiente?

Não. A lei BSI regula a cibersegurança, o KRITIS-Dachgesetz a proteção física e a manutenção do abastecimento. O registo é, porém, feito em conjunto, e pode usar como evidência análises de riscos, documentos e certificados existentes (§ 17). No Complass, usa a gestão de riscos para os riscos de ambas as leis.

Que coimas prevê a lei?

Só há coimas para determinadas infrações, com montantes máximos entre 100 000 euros e 1 milhão de euros: dados de registo em falta ou incorretos, incumprimento de ordens executórias, resultados de auditoria não transmitidos e recusa de acesso ou de informações numa inspeção (§ 24). Em caso de medidas em falta, a autoridade pode ordenar a correção das deficiências (§ 16); a direção responde nos termos do direito societário (§ 20).

O Complass substitui uma análise jurídica?

Não. O Complass estrutura a verificação da abrangência, as obrigações e as evidências com base no texto da lei; a avaliação jurídica em cada caso concreto cabe a si.

Teste o Complass com os seus próprios dados

Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.

Experimentar grátis Pedir demonstração