KRITIS-Dachgesetz

Das KRITIS-Dachgesetz (KRITISDachG) verpflichtet Betreiber kritischer Anlagen seit März 2026 zu Maßnahmen für die physische Sicherheit. Es ergänzt die Cybersecurity-Vorgaben aus der NIS-2-Richtlinie. Prüfen Sie, ob Ihr Unternehmen zu den betroffenen Sektoren zählt.

Genauer erklärt

Das Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen (KRITIS-Dachgesetz) ist am 17. März 2026 in Kraft getreten. Es setzt die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) in nationales Recht um und konzentriert sich auf den Schutz vor physischen Gefahren wie Naturkatastrophen, Sabotage oder Unfällen.

Das Gesetz ergänzt die Regelungen zur Cybersicherheit, die durch das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) und das BSI-Gesetz (BSIG) abgedeckt werden. Betroffen sind Betreiber sogenannter kritischer Anlagen in Sektoren wie Energie, Verkehr, Gesundheit, Wasser und IT.

Pflichten aus dem KRITIS-Dachgesetz

Zentrale Pflichten für Betreiber umfassen:

• Regelmäßige Durchführung einer Risikoanalyse und -bewertung (mindestens alle vier Jahre).
• Umsetzung angemessener technischer, sicherheitsbezogener und organisatorischer Maßnahmen zum Schutz der Anlagen.
• Erstellung und Anwendung eines Resilienzplans, der diese Maßnahmen dokumentiert.

Ziel ist es, die Fähigkeit zur Aufrechterhaltung kritischer Dienstleistungen bei nicht-cyberbezogenen Vorfällen sicherzustellen und die allgemeine Widerstandsfähigkeit (Resilienz) zu erhöhen.

Artikel zum Begriff

• BSI-Gesetz (BSIG)Das BSIG in der Fassung vom Dezember 2025: wie das Gesetz aufgebaut ist, welche Paragrafen für Unternehmen zählen und was aus alten Vorschriften wie § 8a wurde.
• KRITIS und NIS-2KRITIS-Betreiber: Sektoren, Schwellenwerte, Pflichten nach BSIG und KRITIS-Dachgesetz sowie der Stand der neuen Verordnung im Oktober 2026.