Das KRITIS-Dachgesetz gilt seit dem 17. März 2026 – und trotzdem müssen Betreiber kritischer Anlagen laut BBK derzeit weder registrieren noch Vorfälle nach dem Dachgesetz melden. Der Grund liegt in der fehlenden Identifizierungsverordnung: Ohne sie steht nicht fest, welche Anlagen überhaupt als kritisch gelten. Für Compliance-, Security- und Vorstandsfunktionen heißt das: Wer jetzt schon „KRITIS-Pflichten“ im Sinne des Dachgesetzes abarbeitet, verwechselt Inkrafttreten mit Anwendungsbereich. Parallel läuft NIS2 – das darf nicht als Ersatz für noch ausstehende KRITIS-DachG-Pflichten gelesen werden. Der Referentenentwurf einer KritisV vom Mai 2026, den die AG KRITIS als Transparenzquelle veröffentlicht hat, zeigt zudem: Schwellen und Sektorzuschnitte werden noch verhandelt. Wer Budgets und Auditpläne jetzt festzurrt, sollte Szenarien mit und ohne Identifizierungsverordnung führen und Fristen erst ab Registrierung rechnen.
Was seit März gilt – und was nicht
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) stellt in seinen FAQ klar: Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten. Maßnahmen zur Umsetzung befinden sich in Erarbeitung und Abstimmung. Dazu zählt insbesondere die Rechtsverordnung zur Bestimmung kritischer Anlagen – sie legt den Anwendungsbereich fest.
Auf die direkte Betreiberfrage „Muss ich bereits jetzt tätig werden?“ antwortet das BBK: Aktuell müssen Betreiber einer kritischen Anlage noch nicht tätig werden. Sobald die Identifizierungsverordnung in Kraft ist, sind Betreiber verpflichtet, kritische Anlagen zu registrieren. An die Registrierung knüpfen weitere Anforderungen: Risikoanalysen und Resilienzmaßnahmen. Diese Verpflichtungen gelten erstmals mehrere Monate nach der Registrierung; eine Vorfallmeldepflicht besteht erst später nach Registrierung. Zurzeit besteht laut BBK keine Registrierungspflicht, weil die konkretisierende Verordnung noch erarbeitet und abgestimmt wird.
Wenige Regelungen verlangen schon jetzt Handeln – etwa die Meldung der Länder an das BBK, welche Landesbehörde als zentrale Stelle für sektorübergreifende Angelegenheiten fungiert. Das ist Behördenkoordination, keine Betreiberpflicht. Das BBK empfiehlt dennoch, Resilienz bereits jetzt zu stärken – im eigenen und im öffentlichen Interesse –, ohne daraus eine aktuelle Melde- oder Registrierungspflicht abzuleiten.
CER-Umsetzung, nicht NIS2-Klon
Das KRITIS-Dachgesetz ist laut BBK die nationale Umsetzung der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie). Es legt ein sektorenübergreifendes „Dach“ über erfasste Sektoren und soll Abhängigkeiten und Interdependenzen abbilden. Kritische Infrastrukturen definiert das Gesetz nicht als solchen Begriff; maßgeblich sind „kritische Anlagen“, die eine kritische Dienstleistung in erfassten Sektoren erbringen und quantitative oder qualitative Bemessungskriterien erfüllen – Kriterien, die erst die Identifizierungsverordnung konkretisiert.
NIS2 und das KRITIS-Dachgesetz dürfen in der Praxis nicht vermengt werden, als wären KRITIS-DachG-Pflichten schon über NIS2 „mit erledigt“. Beide Rechtsrahmen existieren parallel; Meldewege, Betroffenheitslogik und Fristen folgen unterschiedlichen Normen. Wer Compliance-Roadmaps baut, braucht getrennte Checklisten: Was NIS2 bereits fordert, und was erst nach Inkrafttreten der KritisV und nach Registrierung unter dem Dachgesetz greift.
RefE KritisV: Transparenzquelle, kein Endstand
Ende Mai 2026 hat die AG KRITIS einen Referentenentwurf des BMI zur „Verordnung zur Bestimmung kritischer Anlagen nach dem KRITIS-Dachgesetz“ veröffentlicht. Die AG KRITIS kennzeichnet das Material ausdrücklich als zivilgesellschaftliche Transparenzarbeit: Sie stellt öffentliche und öffentlich gewordene Entwürfe bereit. Im Begleittext heißt es, die Ressortabstimmung innerhalb der Bundesregierung sei noch nicht abgeschlossen; rechtssystematische und rechtsförmliche Prüfung stünden aus. Änderungen seien möglich.
Sprecher Manuel Atug kritisiert in dem Beitrag, der Schwellenwert betrage derzeit grundsätzlich weiterhin 500.000 von einer Anlage zu versorgende Einwohnerinnen und Einwohner – ein Wert, der laut AG KRITIS seit dem IT-Sicherheitsgesetz 2016 fortgeschrieben und nicht wissenschaftlich untersucht worden sei. Das ist eine zivilgesellschaftliche Bewertung des Entwurfs, kein behördlicher Kommentar. Für Unternehmen heißt der praktische Takeaway: Schwellen und Sektorzuschnitte sind noch Verhandlungsmasse; Planungsszenarien sollten Bandbreiten statt Scheingenauigkeit abbilden.
Wer wartet auf wen?
Die Reihenfolge ist institutionell klar: Zuerst Identifizierungsverordnung, dann Registrierung, dann Fristen für Risikoanalyse, Resilienz und Vorfallmeldung. Betreiber warten auf BMI und Verordnungsgeber; Behörden warten auf abgestimmte Rechtsverordnungen und Vorlagen – Muster für Resilienzpläne und methodische Vorgaben sind laut BBK in Erstellung bzw. Abstimmung. Parallel existieren NIS2-Pflichten; sie ersetzen die ausstehende Konkretisierung des Dachgesetzes nicht.
Für Vorstände und CISO-Bereiche bleibt die Handlungsfrage nüchtern: Resilienz und Inventar jetzt vorbereiten, aber keine Scheinpflichten aus dem Dachgesetz konstruieren, solange die Identifizierungsverordnung fehlt. Sobald die KritisV amtlich vorliegt, zählt der Fristkalender ab Registrierung – nicht ab dem Märztag des Inkrafttretens.
Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft.
