Das KRITIS-Dachgesetz (KRITIS-DachG)
Resilienzplanung im Bereich Kritischer Infrastrukturen (KRITIS)
Die derzeitigen gesellschaftlichen und wirtschaftlichen Entwicklungen zeigen, dass Maßnahmen zur Absicherung Kritischer Infrastrukturen dringender denn je sind. So zählen hybride Bedrohungen auch 2026 zu den weltweit größten Risiken und verdeutlichen die Anfälligkeit Kritischer Infrastrukturen (Alli-anz Risk Barometer, 2026). Gleichzeitig führen reale Betriebsunterbrechungen vor Augen, wie verwund-bar zentrale Versorgungssysteme im Alltag sind. Dies kann sich etwa in großflächigen Stromausfällen, IT-Systemstörungen oder Unterbrechungen in der Lieferkette äußern.
Vor diesem Hintergrund wird ersichtlich, dass Deutschland mit dem KRITIS‑Dachgesetz (KRITIS-DachG) nicht nur eine europäische Vorgabe erfüllt, sondern auch einem akuten sicherheitspolitischen Bedarf begegnet. Zusammen mit dem Digital Operational Resilience Act (DORA) und den NIS-2-Umsetzungsgesetz (NIS-2) schafft das KRITIS-Dachgesetz somit Rahmenbedingungen auf politischer Ebene, die auf die Resilienz von Unternehmen und Organisationen abzielen.
Download: KRITIS-Dachgesetz Checkliste
Regulatorische Anforderungen
Die „Critical Entities Resilience“ – Directive (EU 2022/2557) wurde 2022 in der EU verabschiedet und ist in Deutschland am 17. März 2026 in Kraft getreten. Hierbei stellt das KRITIS-Dachgesetz diverse Anforderungen an die physische Sicherheit sowie die Resilienz und Ausfallsicherheit von Unternehmen. So soll der physische Schutz die bestehenden IT-Sicherheitsmaßnahmen ergänzen.
Das Gesetz schafft erstmals bundesweit einheitliche Mindeststandards für den physischen Schutz kritischer Anlagen und verpflichtet die Betreiber u. a. zur Durchführung von Risikoanalysen sowie zur Erstellung von Resilienzplänen. Diese Maßnahmen müssen regelmäßig aktualisiert (im Bedarfsfall oder mindestens alle 4 Jahre) und gegenüber zuständigen Behörden nachgewiesen werden. Zudem bestehen Meldepflichten bei Sicherheitsvorfällen sowie die Pflicht zur Implementierung organisatorischer Maßnahmen und Verfahren zur Aufrechterhaltung des Betriebs, wie z. B. Business Continuity Management (BCM) und Krisenmanagement.
Als „Dachgesetz“ werden sektorübergreifende Ziele festgelegt:
An welche Sektoren wendet sich das KRITIS DachG?
Das KRITIS-Dachgesetz richtet sich an Betreiber kritischer Infrastrukturen, also an Unternehmen und Einrichtungen, die
- essenziell für die Gesamtversorgung sind und
- mehr als 500.000 Personen versorgen.
Diese zählen somit laut KRITIS-Dachgesetz als kritische Anlage.
Ziel ist es, die Resilienz der kritischen Anlagen gegenüber allen denkbaren Gefahren – von Naturkatastrophen über Cyberangriffe bis hin zu menschlichem Versagen – zu stärken („All-Gefahren-Ansatz“).
- Energie
- Verkehr und Transport
- Finanzwesen
- Gesundheit
- Wasser
- Ernährung
- Informationstechnik und Telekommunikation
- Weltraum
- Siedlungsabfallentsorgung
- Staat und Verwaltung*
*Im Gesetz wird der Sektor wörtlich als „Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende“ betitelt.
Download: Umsetzung eines modularen Resilienzmanagements gemäß KRITIS Dachgesetz
Der Betreiber kritischer Anlagen führt auf Grundlage der nationalen Risikoanalysen und Risikobewertungen, die vom BBK zur Verfügung gestellt werden, sowie anderer vertrauenswürdiger Informationsquellen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durch.
NIS-2-Umsetzungsgesetz
Das NIS-2-Umsetzungsgesetz, das auf der NIS-2-Richtlinie (EU) 2022/2555 basiert, ist im Dezember 2025 in Kraft getreten. Ziel der Richtlinie ist es, ein einheitliches und hohes Cybersicherheitsniveau in der EU zu schaffen. Die Mitgliedstaaten sind verpflichtet, eine nationale Cybersicherheitsstrategie zu entwickeln, die sowohl Ziele als auch organisatorische Strukturen auf nationaler Ebene umfasst.
