Wann tritt das KRITIS-Dachgesetz vollständig in Kraft?

Michael Schenkelberg ·
Stählerne Tresortür halb geöffnet in einem modernen deutschen Behördenflur mit warmem Tageslicht und blassgrauen Wänden.

Das KRITIS-Dachgesetz ist in Deutschland am 3. Januar 2025 in Kraft getreten. Ab diesem Datum laufen gesetzliche Umsetzungsfristen für betroffene Betreiber kritischer Anlagen. Wer unter das Gesetz fällt, muss innerhalb festgelegter Zeiträume konkrete Maßnahmen zur physischen Resilienz umsetzen. Dieser Artikel beantwortet die wichtigsten Fragen rund um Fristen, Pflichten und den richtigen Zeitpunkt für den Start.

Welche Fristen gelten nach dem Inkrafttreten des KRITIS-Dachgesetzes?

Das KRITIS-Dachgesetz ist am 3. Januar 2025 in Kraft getreten. Ab diesem Datum gelten gestaffelte Umsetzungsfristen: Betreiber kritischer Anlagen haben in der Regel zehn Monate Zeit, um sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) zu registrieren. Für die Umsetzung von Risikobewertungen und Sicherheitsmaßnahmen gelten längere Fristen von bis zu zwei Jahren nach Inkrafttreten.

Die konkreten Fristen im Überblick:

  • Registrierungspflicht: Betroffene Betreiber müssen sich innerhalb von zehn Monaten nach Inkrafttreten beim BBK registrieren.
  • Risikobewertung: Eine vollständige Risikoanalyse und Risikobewertung ist innerhalb von 22 Monaten vorzulegen.
  • Umsetzung von Schutzmaßnahmen: Geeignete technische und organisatorische Maßnahmen müssen innerhalb von zwei Jahren nach Inkrafttreten des Gesetzes umgesetzt werden.

Diese Fristen gelten vorbehaltlich der noch ausstehenden Rechtsverordnungen, die Schwellenwerte und sektorspezifische Details konkretisieren. Da die Verordnungen zum Teil noch in Erarbeitung sind, sollten Betreiber die Entwicklungen aktiv beobachten und frühzeitig handeln.

Welche Einrichtungen fallen unter das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz gilt für Betreiber kritischer Anlagen in insgesamt elf Sektoren. Dazu gehören unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Ernährung, Finanzwesen, öffentliche Verwaltung sowie Weltraum. Ob eine Einrichtung konkret betroffen ist, hängt von Schwellenwerten ab, die in nachgelagerten Rechtsverordnungen festgelegt werden.

Besonders relevant ist das Gesetz für:

  • Betreiber von Strom-, Gas- und Wasserversorgungsnetzen
  • Krankenhäuser und Gesundheitseinrichtungen
  • Behörden und öffentliche Verwaltungen auf Bundes- und Landesebene
  • Betreiber von Verkehrsinfrastrukturen wie Flughäfen oder Bahnstrecken
  • Einrichtungen der digitalen Infrastruktur

Wichtig: Das KRITIS-Dachgesetz fokussiert sich auf die physische Resilienz kritischer Anlagen. Es ist klar von der NIS-2-Richtlinie zu trennen, die IT- und Cybersicherheit regelt. Beide Regelwerke können gleichzeitig auf eine Einrichtung zutreffen, verfolgen aber unterschiedliche Schutzansätze und Anforderungen. Wenn Sie unsicher sind, ob Ihre Einrichtung betroffen ist, hilft Ihnen unser KRITIS-Betroffenheitsrechner bei der ersten Einschätzung.

Was müssen Betreiber nach dem KRITIS-Dachgesetz konkret umsetzen?

Betroffene Betreiber müssen einen strukturierten Risikomanagementprozess einführen, der auf die physische Sicherheit ihrer kritischen Anlagen ausgerichtet ist. Das bedeutet: Risiken identifizieren, bewerten, mit bestehenden Schutzmaßnahmen abgleichen und anschließend geeignete technische oder organisatorische Maßnahmen planen und umsetzen.

Die zentralen Pflichten umfassen:

  1. Registrierung beim BBK innerhalb der gesetzlichen Frist
  2. Durchführung einer Risikoanalyse auf Basis anerkannter Methoden, etwa nach DIN ISO 31000
  3. Umsetzung geeigneter Schutzmaßnahmen zur physischen Absicherung der Anlage
  4. Erstellung eines Sicherheitsplans, der Maßnahmen dokumentiert und regelmäßig aktualisiert wird
  5. Meldung von Sicherheitsvorfällen an die zuständigen Behörden
  6. Nachweise und Audits gegenüber dem BBK auf Anforderung

Der Risikomanagementprozess bildet dabei die Grundlage für alles Weitere. Nur wer seine Risiken kennt und bewertet hat, kann sinnvoll entscheiden, welche Maßnahmen tatsächlich notwendig sind. Pauschallösungen greifen hier zu kurz. Mehr zu den konkreten Leistungen im Risikomanagement finden Sie auf unserer Website.

Wie hängt das KRITIS-Dachgesetz mit der EU-CER-Richtlinie zusammen?

Das KRITIS-Dachgesetz setzt die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie, 2022/2557) in deutsches Recht um. Die CER-Richtlinie verpflichtet alle EU-Mitgliedstaaten, nationale Regelungen zur physischen Resilienz kritischer Infrastrukturen zu schaffen. Deutschland hat diese Vorgabe mit dem KRITIS-Dachgesetz umgesetzt.

Die CER-Richtlinie selbst hätte bis Oktober 2024 in nationales Recht umgesetzt werden müssen. Deutschland hat diesen Termin nicht vollständig eingehalten, das Gesetz trat aber Anfang 2025 in Kraft. Die inhaltlichen Anforderungen der CER-Richtlinie finden sich direkt im KRITIS-Dachgesetz wieder: Risikoanalyse, Schutzmaßnahmen, Meldepflichten und Zusammenarbeit mit Behörden.

Für Betreiber bedeutet das: Wer die Anforderungen des KRITIS-Dachgesetzes erfüllt, handelt gleichzeitig im Einklang mit den EU-weiten Vorgaben der CER-Richtlinie. Das schafft Planungssicherheit, auch mit Blick auf mögliche zukünftige Anpassungen auf europäischer Ebene.

Was passiert, wenn Betreiber die Anforderungen nicht rechtzeitig erfüllen?

Das KRITIS-Dachgesetz sieht bei Verstößen gegen die Pflichten empfindliche Sanktionen vor. Betreiber, die Registrierungspflichten, Risikoanalysen oder Meldepflichten nicht fristgerecht erfüllen, können mit Bußgeldern belegt werden. Die genaue Höhe der Bußgelder richtet sich nach der Art und Schwere des Verstoßes sowie der Größe der betroffenen Einrichtung.

Neben finanziellen Sanktionen drohen weitere Konsequenzen:

  • Anordnungen der zuständigen Behörden zur sofortigen Nachbesserung
  • Reputationsschäden bei öffentlicher Bekanntmachung von Verstößen
  • Haftungsrisiken bei Sicherheitsvorfällen, wenn nachweislich keine ausreichenden Schutzmaßnahmen getroffen wurden

Wichtig ist dabei: Das Gesetz zielt nicht primär auf Bestrafung, sondern auf tatsächliche Resilienz. Behörden werden voraussichtlich zunächst auf Kooperation und Nachbesserung setzen. Dennoch sollten Betreiber die Fristen ernst nehmen und nicht auf Kulanz vertrauen.

Wann sollten Betreiber mit der Umsetzung beginnen?

Betreiber kritischer Anlagen sollten so früh wie möglich mit der Umsetzung beginnen, idealerweise sofort. Da das Gesetz seit Januar 2025 in Kraft ist und die ersten Fristen bereits laufen, besteht kein Spielraum für abwartendes Verhalten. Besonders die Registrierung und die Vorbereitung der Risikoanalyse erfordern Zeit und sollten nicht auf die lange Bank geschoben werden.

Praktisch empfiehlt sich folgender Einstieg:

  1. Betroffenheit prüfen: Stellen Sie fest, ob Ihre Einrichtung unter das Gesetz fällt. Unser KRITIS-Betroffenheitsrechner bietet dafür eine erste Orientierung.
  2. Zuständigkeiten klären: Bestimmen Sie intern, wer für die Umsetzung verantwortlich ist.
  3. Risikoanalyse starten: Beginnen Sie mit der strukturierten Erfassung und Bewertung Ihrer Risiken nach anerkannten Normen wie DIN ISO 31000.
  4. Maßnahmen planen: Leiten Sie aus der Risikoanalyse konkrete technische und organisatorische Schutzmaßnahmen ab.
  5. Fachliche Unterstützung einbinden: Komplexe Anforderungen lassen sich mit externer Expertise schneller und sicherer umsetzen.

Wer jetzt beginnt, hat genug Zeit, die Anforderungen strukturiert und ohne Zeitdruck zu erfüllen. Wer wartet, riskiert Hektik, Fehler und möglicherweise Fristversäumnisse.

Wie wir Sie bei der KRITIS-Dachgesetz-Umsetzung unterstützen

Wir beim Ingenieurbüro Michael Schenkelberg begleiten Betreiber kritischer Infrastrukturen, öffentliche Verwaltungen und Bildungseinrichtungen konkret auf dem Weg zur Gesetzeskonformität. Unser Leiter Michael Schenkelberg ist zertifizierter Notfall- und Krisenmanager, aktives Mitglied in nationalen und internationalen Normungsausschüssen und verfügt über mehr als 25 Jahre Erfahrung in der Beratung öffentlicher und privatwirtschaftlicher Einrichtungen.

Was wir für Sie tun:

  • Betroffenheitsprüfung mit unserem KRITIS-Betroffenheitsrechner für eine schnelle erste Einschätzung
  • Strukturierte Risikoanalyse auf Basis von DIN ISO 31000 und DIN EN 50726-1
  • Entwicklung passender Schutzmaßnahmen, technisch und organisatorisch, abgestimmt auf Ihre konkrete Situation
  • Fachplanung technischer Systeme, zum Beispiel stille Alarmierung oder Notfall- und Gefahrenreaktionssysteme (NGRS), auch in Bestandsgebäuden
  • Begleitung bei der Umsetzung bis zur Nachweisführung gegenüber Behörden

Wenn Sie wissen möchten, ob Ihre Einrichtung betroffen ist, oder wenn Sie konkrete Unterstützung bei der Umsetzung suchen, nehmen Sie gerne Kontakt auf. Wir beantworten Ihre Fragen unkompliziert und ohne Umwege.

Ähnliche Artikel