Die kurze Antwort
Das KRITIS-Dachgesetz (KRITIS-DachG) ist seit März 2026 in Kraft und schafft den ersten bundeseinheitlichen Rahmen für die physische Resilienz kritischer Anlagen. Seit dem 17. Juli 2026 läuft die Registrierung auf der gemeinsamen Plattform von BBK und BSI — und damit die Uhr: Nach der Registrierung sind Risikoanalyse (neun Monate) sowie Resilienzmaßnahmen und Meldepflicht (zehn Monate) fällig. Ende Juli 2026 wurden zudem Anpassungen an BSIG und KRITIS-Dachgesetz im Bundesgesetzblatt verkündet, die den physischen und den Cyber-Rahmen weiter verzahnen.
Für Betreiber in zehn Sektoren — von Energie und Wasser bis IT und Logistik — heißt das: Resilienz ist nicht länger eine freiwillige Best Practice, sondern eine dokumentations- und nachweispflichtige Anforderung. Und weil kritische Dienste heute in Software laufen, landet ein großer Teil dieser Arbeit bei den Entwicklungs- und Betriebsteams.
Was seit Mitte Juli gilt
Das Gesetz zur Stärkung der physischen Resilienz kritischer Anlagen — kurz KRITIS-Dachgesetz — wurde im März 2026 im Bundesgesetzblatt verkündet und trat noch im selben Monat in Kraft. Es setzt die europäische CER-Richtlinie zur Resilienz kritischer Einrichtungen in deutsches Recht um und zieht damit einen bundeseinheitlichen Rahmen dort ein, wo bislang ein Flickenteppich aus Sektor- und Landesregelungen bestand. Neu ist die Stoßrichtung: Es geht nicht um Cyberangriffe, sondern um den physischen Fortbestand der Versorgung — bei Sabotage, Naturereignissen, Stromausfällen oder Lieferkettenstörungen.
Der entscheidende Takt kam Mitte Juli. Seit dem 17. Juli 2026 ist die gemeinsame Registrierungsplattform von Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) und Bundesamt für Sicherheit in der Informationstechnik (BSI) geöffnet. Betreiber müssen sich innerhalb von drei Monaten nach ihrer Feststellung als kritische Anlage registrieren — und mit diesem Schritt beginnt der Countdown für alle weiteren Pflichten. Wer erst jetzt mit der Umsetzung anfängt, plant deshalb rückwärts von harten Terminen. Genau an dieser Stelle wird aus einem Regulierungstext ein Engineering-Projekt, das oft eine gründliche Modernisierung bestehender Systeme auslöst, weil Alt-Architekturen die geforderte Ausfallsicherheit nicht ohne Umbau liefern.
Die vier Pflichtenblöcke
Das Gesetz lässt sich für die Praxis auf vier Blöcke herunterbrechen. Erstens die Registrierung: Betreiber melden sich mit Anlagendaten, Kontaktstellen und Versorgungsgebiet über die BBK-BSI-Plattform an. Zweitens die Risikoanalyse und -bewertung: mindestens alle vier Jahre, auf Grundlage der nationalen Risikoanalysen — eine strukturierte Betrachtung, welche Bedrohungen die Anlage treffen können und wie verwundbar sie ist.
Drittens die Resilienzmaßnahmen: geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen, festgehalten in einem Resilienzplan. Dazu zählen die Aufrechterhaltung des Betriebs durch Business-Continuity-Planung, der physische Schutz von Anlagen, Krisenmanagement und Vorfallreaktion sowie Personalsicherheit. Viertens die Meldepflicht: Schwere Störungen sind binnen 24 Stunden zu melden, ein ausführlicher Bericht folgt innerhalb eines Monats. Die zeitlichen Anker sind klar gesetzt — ab Registrierung ist die Risikoanalyse nach neun, sind Resilienzmaßnahmen und Meldepflicht nach zehn Monaten fällig.
Drei dieser vier Blöcke haben eine direkte Software-Dimension. Business Continuity heißt in der Praxis Redundanz, Failover und getestete Wiederanlaufpläne; Vorfallreaktion heißt Erkennung, Alarmierung und eine Meldekette, die die 24-Stunden-Frist auch nachts und am Wochenende trägt; und der Nachweis heißt lückenlose, prüffeste Dokumentation. Das ist die Art von belastbarer Grundinfrastruktur, die im Cloud- und DevOps-Engineering entsteht — nicht in einem PDF-Ordner.
Physische Resilienz neben NIS2
Das KRITIS-Dachgesetz ersetzt nicht die Cybersicherheitspflichten, sondern stellt sich daneben. Während das BSI-Gesetz in seiner NIS2-Fassung die digitale Widerstandsfähigkeit unter Aufsicht des BSI regelt, adressiert das KRITIS-Dachgesetz die physische Resilienz und wird vom BBK begleitet. Beide zusammen bilden ein zweistufiges System — und für viele Betreiber überschneiden sich die betroffenen Anlagen. Wer als kritische Anlage gilt, trägt damit in der Regel beide Pflichtenkreise gleichzeitig.
Die Ende Juli 2026 im Bundesgesetzblatt verkündeten Anpassungen an BSIG und KRITIS-Dachgesetz unterstreichen diese Verzahnung. Für Teams ist die Botschaft, die Rahmen nicht in getrennten Silos abzuarbeiten: Eine Risikoanalyse, die physische und Cyber-Bedrohungen gemeinsam betrachtet, ein Incident-Prozess, der beide Meldewege bedient, und ein Kontroll- und Nachweisregister, das für beide Aufsichten taugt, sparen Doppelarbeit und schließen die Lücken, die zwischen zwei getrennten Programmen entstehen. Ein belastbarer Sicherheitsaudit deckt beide Seiten ab und liefert zugleich einen Teil der geforderten Nachweise.
Was das für DACH-Teams bedeutet
Für Software-Teams in Deutschland, Österreich und der Schweiz verschiebt sich die Messlatte. Ausfallsicherheit war lange ein Qualitätsmerkmal, über das man intern stolz sprach; unter dem KRITIS-Dachgesetz wird sie zu einer Anforderung, die man belegen muss. Das ändert die Reihenfolge im Projekt: Redundanz, Wiederanlaufziele und Meldeketten gehören in die Architektur- und Betriebsplanung, nicht in eine Nachrüstrunde kurz vor einem Audit.
Praktisch heißt das drei Dinge. Erstens: Redundanz und Failover werden zu Architekturzielen mit definierten Wiederanlauf- und Wiederherstellungszeiten, nicht zu vagen Absichtserklärungen. Zweitens: Vorfall-Erkennung und -Meldung brauchen einen geübten, auch außerhalb der Bürozeiten tragfähigen Prozess, weil die 24-Stunden-Frist keine Kulanz kennt. Drittens: Dokumentation wird zum First-Class-Artefakt — Resilienzplan, Testprotokolle und Meldenachweise müssen prüffest vorliegen, nicht rekonstruierbar sein. Teams, die diese drei Punkte früh einplanen, verwandeln eine Pflicht in einen Betriebsvorteil.
Was Sie jetzt tun sollten
Wenn Ihre Anlage unter das Gesetz fällt oder Sie für einen Betreiber entwickeln, ist jetzt der Moment, rückwärts von den Fristen zu planen. Eine praktische Reihenfolge:
- Feststellung und Registrierung klären. Prüfen Sie, ob Ihre Anlage die Schwellen erreicht, und registrieren Sie sich fristgerecht über die BBK-BSI-Plattform. Ab hier laufen alle weiteren Uhren.
- Risikoanalyse physisch und digital denken. Betrachten Sie physische und Cyber-Bedrohungen in einer Analyse, statt zwei getrennte Übungen zu fahren. Das erfüllt beide Regelwerke effizienter.
- Resilienz in die Architektur ziehen. Definieren Sie Wiederanlauf- und Wiederherstellungsziele, bauen Sie Redundanz und Failover ein und testen Sie den Wiederanlauf regelmäßig — nicht nur auf dem Papier.
- Die Meldekette bauen und üben. Sorgen Sie für Erkennung, Eskalation und einen Meldeweg, der die 24-Stunden-Frist rund um die Uhr trägt. Eine ungeübte Kette reißt genau dann, wenn es zählt.
- Nachweise als Artefakt führen. Halten Sie Resilienzplan, Testergebnisse und Meldeprotokolle prüffest und aktuell. Was nicht dokumentiert ist, gilt im Zweifel als nicht getan.
Nichts davon ist Rechtsberatung, und die genauen Pflichten hängen von Ihrer Anlage, Ihrem Sektor und den Konkretisierungen durch Verordnungen ab. Das Signal ist aber eindeutig: Mit der geöffneten Registrierung ist das KRITIS-Dachgesetz aus der Theorie in den Terminplan gerückt. Im Vorteil sind die Betreiber und Teams, die Resilienz jetzt einbauen — statt zu warten, bis die erste Frist oder die erste Störung sie einholt.
Häufig gestellte Fragen
Für wen gilt das KRITIS-Dachgesetz?
Es gilt für Betreiber kritischer Anlagen in zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung, Gesundheit, Wasser, Ernährung, IT und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Die Regelschwelle liegt bei der Versorgung von mindestens 500.000 Menschen; per Verordnung sind niedrigere Schwellen möglich.
Seit wann läuft die Registrierung und welche Fristen gelten?
Die gemeinsame BBK-BSI-Plattform ist seit dem 17. Juli 2026 verfügbar. Betreiber registrieren sich innerhalb von drei Monaten nach Feststellung. Ab der Registrierung ist die erste Risikoanalyse nach neun Monaten fällig, Resilienzmaßnahmen und Meldepflicht greifen nach zehn Monaten.
Worin unterscheidet sich das KRITIS-Dachgesetz von NIS2 und dem BSI-Gesetz?
Das KRITIS-Dachgesetz adressiert die physische Resilienz und wird vom BBK begleitet; das BSI-Gesetz in seiner NIS2-Fassung regelt die Cybersicherheit unter Aufsicht des BSI. Beide gelten parallel und bilden ein zweistufiges System aus physischem und digitalem Schutz.
Welche Resilienzmaßnahmen verlangt das Gesetz?
Betreiber müssen geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen ergreifen und in einem Resilienzplan dokumentieren — darunter Business-Continuity-Planung, physischer Schutz, Krisenmanagement und Vorfallreaktion sowie Personalsicherheit. Schwere Störungen sind binnen 24 Stunden zu melden, ein ausführlicher Bericht folgt binnen eines Monats.
Was sollten Software-Teams von KRITIS-Betreibern jetzt tun?
Resilienz als Entwurfs- und Betriebsanforderung behandeln: Redundanz und Failover in die Architektur einbauen, eine Vorfall-Erkennung mit belastbaren Meldeketten für die 24-Stunden-Frist aufbauen und Nachweise prüffest dokumentieren. Weil KRITIS-Dachgesetz und NIS2 parallel gelten, empfiehlt sich ein gemeinsamer Arbeitsstrom für physische und Cyber-Resilienz.
Quellen
OpenKRITIS — KRITIS-Dachgesetz: Resilienz Kritischer Infrastrukturen, 2026
GÖRG — KRITIS-Dachgesetz: neuer bundeseinheitlicher Rechtsrahmen tritt in Kraft, März 2026
Gesetze im Internet — KRITISDachG (Primärquelle, Gesetzestext)