Welche Fristen gelten für die Umsetzung des KRITIS-Dachgesetzes?

Michael Schenkelberg · 30 Sep. 2026

Das KRITIS-Dachgesetz ist seit dem 4. Juli 2024 in Kraft. Die wichtigsten Umsetzungsfristen für betroffene Betreiber beginnen ab dem Zeitpunkt der Registrierungspflicht und staffeln sich über mehrere Jahre. Wer jetzt handelt, vermeidet nicht nur Bußgelder, sondern schafft auch eine solide Grundlage für die physische Resilienz seiner Anlage. Dieser Artikel beantwortet die häufigsten Fragen rund um Fristen, Pflichten und den praktischen Einstieg.

Wann tritt das KRITIS-Dachgesetz in Kraft?

Das KRITIS-Dachgesetz (offiziell: KRITIS-DachG) ist am 4. Juli 2024 in Kraft getreten. Es setzt die europäische CER-Richtlinie (Critical Entities Resilience Directive) in deutsches Recht um und schafft erstmals einen einheitlichen Rechtsrahmen für die physische Resilienz kritischer Infrastrukturen in Deutschland.

Das Gesetz richtet sich ausdrücklich an die physische Sicherheit kritischer Anlagen, also an bauliche, organisatorische und technische Schutzmaßnahmen. Es ist damit klar von der NIS2-Richtlinie zu trennen, die sich auf IT- und Cybersicherheit konzentriert. Beide Regelwerke können für denselben Betreiber relevant sein, verfolgen aber unterschiedliche Schutzziele und stellen unterschiedliche Anforderungen.

Mit dem Inkrafttreten beginnt eine Kaskade von Pflichten, deren Fristen sich über die nächsten Jahre erstrecken. Welche das konkret sind, hängt davon ab, ob ein Betreiber als betroffener Betreiber eingestuft wird.

Welche Fristen gelten für betroffene Betreiber?

Die Umsetzungsfristen des KRITIS-Dachgesetzes sind gestaffelt. Betroffene Betreiber müssen sich zunächst beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren, anschließend eine Risikoanalyse durchführen und darauf aufbauend Maßnahmen zur Resilienzsteigerung umsetzen.

Die wichtigsten Fristen im Überblick:

Registrierungspflicht: Betroffene Betreiber müssen sich innerhalb von drei Monaten nach Feststellung ihrer Betroffenheit beim BBK registrieren.
Risikoanalyse und Risikobewertung: Innerhalb von neun Monaten nach der Registrierung muss eine Risikoanalyse abgeschlossen sein.
Resilienzplan: Auf Basis der Risikoanalyse ist innerhalb von drei weiteren Monaten, also zwölf Monate nach der Registrierung, ein Resilienzplan zu erstellen.
Hintergrundüberprüfungen: Regelungen zu Hintergrundüberprüfungen für Personal mit Zugang zu kritischen Anlagen sind ebenfalls zu berücksichtigen, sobald die entsprechenden Durchführungsbestimmungen vorliegen.

Hinweis: Da das Gesetz und die zugehörigen Rechtsverordnungen noch nicht vollständig in Kraft gesetzt sind, können sich einzelne Fristen noch konkretisieren. Es empfiehlt sich, den Stand der Verordnungen regelmäßig zu verfolgen und frühzeitig mit der Vorbereitung zu beginnen.

Welche Sektoren fallen unter das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz erfasst elf Sektoren, die als kritisch für das Funktionieren des Gemeinwesens gelten. Ein Betreiber fällt dann unter das Gesetz, wenn er eine Anlage in einem dieser Sektoren betreibt und bestimmte Schwellenwerte überschreitet.

Die elf Sektoren sind:

Energie
Verkehr
Bankwesen
Finanzmarktinfrastrukturen
Gesundheit
Trinkwasser
Abwasser
Digitale Infrastruktur
Öffentliche Verwaltung
Weltraum
Ernährung

Ob Ihre Einrichtung als betroffener Betreiber gilt, hängt von sektorspezifischen Schwellenwerten ab, die in der zugehörigen Rechtsverordnung festgelegt werden. Um das schnell zu klären, können Sie den KRITIS-Betroffenheitsrechner nutzen, der Ihnen eine erste Orientierung gibt, ob Ihre Anlage unter das Gesetz fällt.

Was müssen Betreiber bis zu den Fristen konkret umsetzen?

Betroffene Betreiber müssen bis zu den jeweiligen Fristen einen strukturierten Risikomanagementprozess durchlaufen und auf dessen Basis geeignete Schutzmaßnahmen planen und umsetzen. Der Prozess folgt einer klaren Logik: Risiken identifizieren, bewerten, mit bestehenden Maßnahmen abgleichen und dann gezielt handeln.

Risikoanalyse als Fundament

Am Anfang steht eine systematische Risikoanalyse. Dabei werden relevante Bedrohungen und Gefahren für die kritische Anlage identifiziert und bewertet. Das schließt sowohl natürliche Ereignisse wie Hochwasser oder Sturm als auch menschlich verursachte Risiken wie Sabotage oder unbefugten Zutritt ein. Anerkannte Normen wie DIN ISO 31000 bieten hierfür eine bewährte methodische Grundlage.

Resilienzplan und Schutzmaßnahmen

Auf Basis der Risikoanalyse ist ein Resilienzplan zu erstellen. Dieser dokumentiert, welche Maßnahmen zur Risikominimierung bereits bestehen, wo Lücken sind und welche technischen oder organisatorischen Maßnahmen zusätzlich ergriffen werden. Konkret kann das bedeuten:

Bauliche Schutzmaßnahmen wie Zutrittskontrollen oder gesicherte Perimeter
Technische Systeme wie stille Alarmierung oder Notfall- und Gefahrenreaktionssysteme (NGRS)
Organisatorische Maßnahmen wie Notfallpläne, Übungen und Schulungen
Hintergrundüberprüfungen für sicherheitsrelevantes Personal

Wichtig: Die Maßnahmen müssen verhältnismäßig und auf die spezifischen Risiken der Anlage zugeschnitten sein. Ein pauschaler Maßnahmenkatalog erfüllt die gesetzlichen Anforderungen nicht.

Was passiert bei Nichteinhaltung der Fristen?

Das KRITIS-Dachgesetz sieht bei Verstößen gegen die Pflichten empfindliche Bußgelder vor. Betreiber, die Registrierungs-, Analyse- oder Meldepflichten nicht fristgerecht erfüllen, riskieren Sanktionen, deren Höhe sich nach der Schwere des Verstoßes richtet.

Neben den unmittelbaren finanziellen Konsequenzen entstehen bei Nichteinhaltung weitere Risiken:

Haftungsrisiken: Kommt es zu einem Sicherheitsvorfall und lässt sich nachweisen, dass Schutzmaßnahmen fehlten, kann das zu zivilrechtlichen Ansprüchen führen.
Reputationsschäden: Öffentliche Verwaltungen und Betreiber kritischer Infrastrukturen stehen besonders im Fokus der Öffentlichkeit.
Behördliche Anordnungen: Zuständige Behörden können Maßnahmen anordnen und deren Umsetzung überwachen.

Die Behörden haben angekündigt, die Umsetzung aktiv zu begleiten und zu kontrollieren. Wer die Fristen ignoriert, handelt also nicht nur gesetzeswidrig, sondern setzt seine Einrichtung unnötigen Risiken aus.

Wie können Betreiber die Fristen realistisch einhalten?

Die Fristen des KRITIS-Dachgesetzes sind ambitioniert, aber mit einer strukturierten Vorgehensweise gut zu schaffen. Der wichtigste Schritt ist, jetzt mit der Bestandsaufnahme zu beginnen, statt auf die vollständige Verabschiedung aller Durchführungsverordnungen zu warten.

Ein praxistauglicher Einstieg in die KRITIS-Dachgesetz-Umsetzung sieht so aus:

Betroffenheit prüfen: Stellen Sie fest, ob Ihre Anlage unter das Gesetz fällt. Der KRITIS-Betroffenheitsrechner hilft dabei als erste Orientierung.
Registrierung vorbereiten: Halten Sie alle relevanten Angaben zu Ihrer Anlage bereit, um die Registrierung beim BBK fristgerecht durchzuführen.
Risikoanalyse beauftragen oder intern starten: Eine Risikoanalyse nach DIN ISO 31000 schafft die methodische Grundlage für alle weiteren Schritte.
Bestehende Maßnahmen dokumentieren: Viele Betreiber haben bereits Schutzmaßnahmen im Einsatz. Diese systematisch zu erfassen, spart Zeit und zeigt, wo wirklich Lücken bestehen.
Resilienzplan entwickeln: Auf Basis der Analyse lässt sich ein realistischer, priorisierbarer Maßnahmenkatalog erstellen.

Gerade für Bestandsgebäude, etwa in öffentlichen Verwaltungen oder Bildungseinrichtungen, ist es wichtig zu wissen: Technische Systeme wie Notfall- und Gefahrenreaktionssysteme lassen sich oft auch ohne vollständige Sanierung nachrüsten. Das senkt den Aufwand erheblich und ermöglicht eine schrittweise Umsetzung im laufenden Betrieb. Mehr zu den möglichen Sicherheitsmaßnahmen für Betreiber finden Sie in der Leistungsübersicht.

Wie wir Ihnen bei der KRITIS-Dachgesetz-Umsetzung helfen

Wir vom Ingenieurbüro Michael Schenkelberg begleiten Betreiber kritischer Infrastrukturen, öffentliche Verwaltungen und Bildungseinrichtungen dabei, die Anforderungen des KRITIS-Dachgesetzes strukturiert und fristgerecht umzusetzen. Unser Ansatz ist dabei immer gleich: erst verstehen, dann planen, dann handeln.

Konkret unterstützen wir Sie bei:

Betroffenheitsprüfung: Mit unserem KRITIS-Betroffenheitsrechner klären wir schnell, ob Ihre Anlage unter das Gesetz fällt.
Risikoanalyse und Risikobewertung: Wir führen strukturierte Risikoanalysen nach DIN ISO 31000 durch und bewerten bestehende Maßnahmen.
Fachplanung technischer Systeme: Wir planen Notfall- und Gefahrenreaktionssysteme, stille Alarmierung und bauliche Schutzkonzepte, auch für Bestandsgebäude.
Resilienzplanung: Wir entwickeln mit Ihnen einen realistischen Resilienzplan, der die gesetzlichen Anforderungen erfüllt und zu Ihrer Einrichtung passt.
Schulungen und Krisenmanagement: Wir bereiten Ihre Mitarbeiter auf Notfallsituationen vor und stärken die organisatorische Resilienz Ihrer Einrichtung.

Michael Schenkelberg ist zertifizierter Notfall- und Krisenmanager des BdSi und verfügt über mehr als 25 Jahre Erfahrung in der Beratung von Betreibern kritischer Infrastrukturen und öffentlichen Einrichtungen. Wenn Sie wissen möchten, wo Sie bei der KRITIS-Umsetzung stehen und was als Nächstes zu tun ist, nehmen Sie jetzt Kontakt auf und wir schauen es uns gemeinsam an.

Michael Schenkelberg