{"id":222,"date":"2026-06-19T08:20:30","date_gmt":"2026-06-19T08:20:30","guid":{"rendered":"https:\/\/shattered.io\/de\/2026\/06\/19\/kritis-dachgesetz-2026\/"},"modified":"2026-06-19T08:22:00","modified_gmt":"2026-06-19T08:22:00","slug":"kritis-dachgesetz-2026","status":"publish","type":"post","link":"https:\/\/shattered.io\/de\/kritis-dachgesetz-2026\/","title":{"rendered":"KRITIS-Dachgesetz 2026: 1 Mio. \u20ac Bu\u00dfgeld, 17. Juli Deadline"},"content":{"rendered":"\n

Am 17. M\u00e4rz 2026 trat das KRITIS-Dachgesetz<\/strong> in Deutschland in Kraft, und Betreiber kritischer Infrastrukturen stehen vor der dr\u00e4ngendsten Compliance-Deadline seit dem IT-Sicherheitsgesetz 2.0. Bis zum 17. Juli 2026<\/strong> m\u00fcssen sich betroffene Unternehmen beim Bundesamt f\u00fcr Bev\u00f6lkerungsschutz und Katastrophenhilfe (BBK) registrieren. Wer die Frist vers\u00e4umt, riskiert Bu\u00dfgelder von bis zu 1 Million Euro<\/strong>. Das neue Gesetz betrifft Betreiber in elf Sektoren, von der Energieversorgung bis zur \u00f6ffentlichen Verwaltung, und schafft erstmals einen bundeseinheitlichen Rechtsrahmen f\u00fcr die physische Resilienz kritischer Anlagen.<\/p>\n\n\n\n

Was ist das KRITIS-Dachgesetz?<\/h2>\n\n\n\n

Das KRITIS-Dachgesetz<\/strong> (offiziell: Gesetz zur St\u00e4rkung der Resilienz kritischer Anlagen) setzt die europ\u00e4ische CER-Richtlinie (Critical Entities Resilience, EU 2022\/2557)<\/a> in deutsches Recht um. W\u00e4hrend die NIS-2-Richtlinie prim\u00e4r die Cybersicherheit adressiert, geht das KRITIS-Dachgesetz einen Schritt weiter: Es verpflichtet Betreiber kritischer Anlagen zu umfassenden physischen Schutzma\u00dfnahmen gegen alle denkbaren Bedrohungen, darunter Naturkatastrophen, Sabotage, Lieferkettenst\u00f6rungen und Terroranschl\u00e4ge.<\/p>\n\n\n\n

Das Gesetz markiert eine grundlegende Verschiebung in der deutschen Sicherheitspolitik. Bisherige Regelungen, insbesondere das IT-Sicherheitsgesetz 2.0, konzentrierten sich stark auf den digitalen Schutzraum. Das KRITIS-Dachgesetz schreibt nun erstmals verbindliche Standards f\u00fcr Werkschutz, Perimeterschutz, Business-Continuity-Management (BCM) und Krisenmanagement fest. Betreiber, die diese Anforderungen bisher freiwillig umgesetzt haben, m\u00fcssen ihre Ma\u00dfnahmen nun nach gesetzlichem Standard dokumentieren und nachweisen.<\/p>\n\n\n\n

Die Bundesregierung nennt explizit elf Sektoren, die unter den Anwendungsbereich fallen: Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Trinkwasser, Abwasser, Siedlungsabfallentsorgung, Informationstechnik und Telekommunikation, Ern\u00e4hrung, Weltraum sowie \u00d6ffentliche Verwaltung. F\u00fcr jeden dieser Sektoren gelten spezifische Schwellenwerte und Pflichten.<\/p>\n\n\n\n

Gesetzgebungsverfahren: Chronologie bis zum Inkrafttreten<\/h2>\n\n\n\n

Der Weg des KRITIS-Dachgesetzes durch die deutschen Gesetzgebungsorgane war ungew\u00f6hnlich lang. Die EU-CER-Richtlinie h\u00e4tte bereits bis zum 18. Oktober 2024<\/strong> in nationales Recht umgesetzt werden m\u00fcssen. Deutschland verpasste diese Frist deutlich, was zu einem Vertragsverletzungsverfahren auf EU-Ebene h\u00e4tte f\u00fchren k\u00f6nnen.<\/p>\n\n\n\n

Das Bundeskabinett verabschiedete den Gesetzentwurf am 10. September 2025<\/strong>. Nach intensiver parlamentarischer Debatte und Beratungen im Innenausschuss, der am 28. Januar 2026<\/strong> noch ma\u00dfgebliche \u00c4nderungen beschloss, votierte der Bundestag am 29. Januar 2026<\/strong> f\u00fcr das Gesetz (Drucksache 21\/3906). Ein wesentliches Ergebnis dieser Beratungen: Die Bu\u00dfgeldrahmen wurden gegen\u00fcber dem urspr\u00fcnglichen Entwurf verdoppelt<\/strong>. Der Bundesrat stimmte am 6. M\u00e4rz 2026<\/strong> zu; die Ver\u00f6ffentlichung im Bundesgesetzblatt folgte am 16. M\u00e4rz 2026<\/strong> (BGBl. 2026, Nr. 66). Das Gesetz trat am folgenden Tag, dem 17. M\u00e4rz 2026<\/strong>, in Kraft.<\/p>\n\n\n\n

Ausgenommen von der sofortigen Geltung sind die Abs\u00e4tze 3 bis 5 des Paragraphen 14, die erst am 1. Januar 2030<\/strong> wirksam werden. Diese \u00dcbergangsregelung gibt Betreibern Zeit, komplexere Resilienzanforderungen schrittweise umzusetzen. Die kritische operative Frist bleibt der 17. Juli 2026, ab dem Registrierungspflichten greifen und Bu\u00dfgelder verh\u00e4ngt werden k\u00f6nnen.<\/p>\n\n\n\n

Die 11 betroffenen Sektoren im \u00dcberblick<\/h2>\n\n\n\n

Das KRITIS-Dachgesetz definiert elf Sektoren mit spezifischen Schutzanforderungen. Die folgende Tabelle zeigt, welche Anlagen typischerweise unter das Gesetz fallen und welche Kernpflichten in jedem Sektor gelten.<\/p>\n\n\n\n

Sektor<\/th>Beispiele f\u00fcr kritische Anlagen<\/th>Kernpflicht<\/th><\/tr><\/thead>
Energie<\/td>Kraftwerke, Stromnetze, Gasspeicher, Raffinerien<\/td>Redundanz, Notfallversorgung<\/td><\/tr>
Transport & Verkehr<\/td>Flugh\u00e4fen, Bahnh\u00f6fe, H\u00e4fen, Leitzentralen<\/td>Physischer Perimeterschutz<\/td><\/tr>
Finanz- & Versicherungswesen<\/td>Systemrelevante Banken, Clearingstellen<\/td>BCM, Krisenplan<\/td><\/tr>
Gesundheit<\/td>Gro\u00dfkrankenh\u00e4user, Blutbanken, Rettungsleitstellen<\/td>Meldepflicht, Resilienzplan<\/td><\/tr>
Trinkwasser<\/td>Wasserwerke, Talsperren, Pumpwerke<\/td>Zugangskontrolle, Monitoring<\/td><\/tr>
Abwasser<\/td>Kl\u00e4ranlagen, zentrale Kanalnetzknoten<\/td>Physische Sicherung<\/td><\/tr>
Siedlungsabfallentsorgung<\/td>Gro\u00dfdeponien, M\u00fcllverbrennungsanlagen<\/td>Risikoanalyse<\/td><\/tr>
IT & Telekommunikation<\/td>Rechenzentren, Mobilfunkknotenpunkte<\/td>Redundanz, BCM<\/td><\/tr>
Ern\u00e4hrung<\/td>Gro\u00dflager, zentrale Verteilzentren<\/td>Lagerbestandsplanung<\/td><\/tr>
Weltraum<\/td>Satellitenbodenstationen, Kontrollzentren<\/td>Zugangskontrollen<\/td><\/tr>
\u00d6ffentliche Verwaltung<\/td>Rechenzentren von Bund und L\u00e4ndern, Katastrophenschutz<\/td>Krisenmanagement<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Die 500.000-Personen-Schwelle: Wer ist betroffen?<\/h2>\n\n\n\n

Das zentrale Kriterium f\u00fcr die Einordnung als kritische Anlage ist die Versorgungskapazit\u00e4t. Eine Anlage gilt als kritisch im Sinne des Gesetzes, wenn sie mindestens 500.000 Personen<\/strong> mit einer essenziellen Dienstleistung versorgt. Dieser Schwellenwert orientiert sich an der CER-Richtlinie und soll sicherstellen, dass nur Anlagen mit echter Versorgungsrelevanz unter die strengen Pflichten fallen.<\/p>\n\n\n\n

Allerdings enth\u00e4lt das Gesetz eine wichtige \u00d6ffnungsklausel: Die Bundesl\u00e4nder k\u00f6nnen niedrigere Schwellenwerte<\/strong> festlegen, wenn der Ausfall einer Anlage regionale oder sektorale Kaskadeneffekte ausl\u00f6sen w\u00fcrde. Das bedeutet, dass ein mittelgro\u00dfes Krankenhaus in einer strukturschwachen Region unter Umst\u00e4nden ebenso in den Anwendungsbereich f\u00e4llt wie ein Gro\u00dfklinikum in einer Metropole.<\/p>\n\n\n\n

Die Identifikationspflicht liegt beim Betreiber selbst. Laut Paragraph 8 des Gesetzes m\u00fcssen Unternehmen eigenst\u00e4ndig pr\u00fcfen, ob ihre Anlagen die gesetzlichen Schwellenwerte erreichen. Diese Selbsteinsch\u00e4tzung ist rechtlich bindend: Wer die eigene Anlage irrt\u00fcmlich oder absichtlich unterhalb der Schwelle einordnet, riskiert die gleichen Bu\u00dfgelder wie ein Betreiber, der die Registrierungsfrist schlicht vers\u00e4umt.<\/p>\n\n\n\n

Besondere Aufmerksamkeit verdient die Kategorie der kritischen Einrichtungen mit besonderer Bedeutung f\u00fcr Europa. Das Gesetz sieht vor, dass Betreiber, deren Ausfall grenz\u00fcberschreitende Auswirkungen h\u00e4tte, zus\u00e4tzlichen Anforderungen unterliegen und direkt mit europ\u00e4ischen Beh\u00f6rden kooperieren m\u00fcssen. F\u00fcr international operierende Konzerne mit deutschen KRITIS-Anlagen entsteht damit eine weitere Compliance-Dimension.<\/p>\n\n\n\n

Pflichten f\u00fcr KRITIS-Betreiber: Was jetzt getan werden muss<\/h2>\n\n\n\n

Das KRITIS-Dachgesetz b\u00fcndelt mehrere Handlungspflichten f\u00fcr betroffene Betreiber. Die Reihenfolge ist gesetzlich vorgezeichnet und folgt einer klaren Logik: erst Registrierung, dann Risikoanalyse, dann Ma\u00dfnahmenumsetzung.<\/p>\n\n\n\n

1. Identifikation und Selbsteinsch\u00e4tzung (sofort):<\/strong> Betreiber m\u00fcssen pr\u00fcfen, ob ihre Anlagen die Schwellenwerte des Gesetzes erreichen. Dabei sind Standortdaten, Versorgungskapazit\u00e4ten und sektorale Einordnung zu dokumentieren.<\/p>\n\n\n\n

2. Registrierung beim BBK (ab 17. Juli 2026):<\/strong> Betroffene Betreiber melden sich auf der gemeinsamen Plattform von BBK und BSI und hinterlegen betreiber- sowie anlagenbezogene Daten, darunter Versorgungsgrad, Standorte und Kontaktstellen. Die Registrierung muss sp\u00e4testens drei Monate nach der Selbstidentifikation erfolgen.<\/p>\n\n\n\n

3. Risikoanalyse (innerhalb von 9 Monaten nach Registrierung):<\/strong> Betreiber m\u00fcssen eine strukturierte Risikoanalyse durchf\u00fchren, die alle relevanten Bedrohungsszenarien abdeckt: Cyberangriffe, Naturkatastrophen, physische Angriffe, Personalmangel und Lieferkettenst\u00f6rungen.<\/p>\n\n\n\n

4. Umsetzung von Resilienzma\u00dfnahmen (innerhalb von 10 Monaten nach Registrierung):<\/strong> Auf Basis der Risikoanalyse implementieren Betreiber technische und organisatorische Schutzma\u00dfnahmen. Dazu z\u00e4hlen Perimeterschutz, Zugangskontrollen, BCM-Pl\u00e4ne, Personalmanagement und Krisenplanung.<\/p>\n\n\n\n

5. Laufende Meldepflichten:<\/strong> Sicherheitsvorf\u00e4lle, die den Betrieb kritischer Anlagen beeintr\u00e4chtigen, m\u00fcssen dem BBK gemeldet werden. Das Gesetz folgt hier einem \u00e4hnlichen Muster wie die NIS-2-Richtlinie, legt aber den Fokus auf physische statt digitale Vorf\u00e4lle.<\/p>\n\n\n\n

6. Mitwirkung bei Inspektionen:<\/strong> Betreiber m\u00fcssen der zust\u00e4ndigen Beh\u00f6rde Zugang zu Gesch\u00e4ftsr\u00e4umen gew\u00e4hren, Aufzeichnungen vorlegen und Auskunft erteilen. Wer dies verweigert, riskiert Bu\u00dfgelder gem\u00e4\u00df Paragraph 16 Absatz 4 Satz 3.<\/p>\n\n\n\n

Die kritische Deadline: 17. Juli 2026<\/h2>\n\n\n\n

Der 17. Juli 2026<\/strong> ist das Datum, das Compliance-Teams in ganz Deutschland auf der Agenda haben. Ab diesem Tag k\u00f6nnen Betreiber kritischer Anlagen ihre Registrierung beim BBK einreichen, und ab diesem Datum l\u00e4uft auch der Bu\u00dfgeldrahmen scharf. Wer die Registrierung vers\u00e4umt oder unvollst\u00e4ndige Angaben macht, riskiert sofortige Sanktionen.<\/p>\n\n\n\n

Die Konsequenzen der Frist sind kaskadenf\u00f6rmig. Nach erfolgter Registrierung beginnen die 9-monatige Frist f\u00fcr die Risikoanalyse und die 10-monatige Frist f\u00fcr die Ma\u00dfnahmenumsetzung zu laufen. Wer am 17. Juli 2026 registriert, muss die Risikoanalyse bis April 2027 und die vollst\u00e4ndige Umsetzung der Schutzma\u00dfnahmen bis Mai 2027 abgeschlossen haben. F\u00fcr Betreiber, die noch keine Vorbereitungen getroffen haben, ist die Zeit knapp.<\/p>\n\n\n\n

Prof. Dr. Norbert Gebbeken, Pr\u00e4sident der Bayerischen Ingenieurekammer-Bau, kommentierte das Gesetz kurz nach dem Bundestagsbeschluss: “Das KRITIS-Dachgesetz bringt endlich Klarheit dar\u00fcber, welche physischen Mindeststandards kritische Infrastrukturen erf\u00fcllen m\u00fcssen. Die Herausforderung liegt jetzt in der Umsetzungsgeschwindigkeit. Viele Betreiber haben die Vorarbeiten noch nicht abgeschlossen.”<\/p>\n\n\n\n

Die Rechtsanwaltskanzlei G\u00d6RG warnt in ihrer Analyse vom M\u00e4rz 2026: “Betreiber, die sich bisher auf freiwillige BSI-Standards verlassen haben, sollten nicht annehmen, dass diese Ma\u00dfnahmen automatisch die gesetzlichen Anforderungen erf\u00fcllen. Das KRITIS-Dachgesetz stellt eigene, teils h\u00f6here Anforderungen an Dokumentation und Nachweispflicht.”<\/p>\n\n\n\n

Bu\u00dfgeldrahmen: Bis zu 1 Million Euro Strafe<\/h2>\n\n\n\n

Einer der einschneidendsten Aspekte des KRITIS-Dachgesetzes ist der deutlich erh\u00f6hte Bu\u00dfgeldrahmen. Der Innenausschuss des Bundestags verdoppelte die Sanktionen gegen\u00fcber dem urspr\u00fcnglichen Entwurf. Das abgestufte Modell gem\u00e4\u00df Paragraph 24 sieht folgende Strafen vor:<\/p>\n\n\n\n

Versto\u00df<\/th>Rechtsgrundlage<\/th>Maximales Bu\u00dfgeld<\/th><\/tr><\/thead>
Verst\u00f6\u00dfe gegen Auskunftspflichten bei der Registrierung<\/td>\u00a7 24 KRITIS-DachG<\/td>bis zu 1.000.000 \u20ac<\/td><\/tr>
Schwerwiegende Verst\u00f6\u00dfe gegen Resilienzma\u00dfnahmen<\/td>\u00a7 24 KRITIS-DachG<\/td>bis zu 1.000.000 \u20ac<\/td><\/tr>
Verst\u00f6\u00dfe gegen Vorlagepflicht von Audits<\/td>\u00a7 24 KRITIS-DachG<\/td>bis zu 500.000 \u20ac<\/td><\/tr>
Registrierungsvers\u00e4umnisse (Fristversto\u00df)<\/td>\u00a7 8 i.V.m. \u00a7 24 KRITIS-DachG<\/td>bis zu 500.000 \u20ac<\/td><\/tr>
Verst\u00f6\u00dfe gegen Anordnungen zur M\u00e4ngelbeseitigung<\/td>\u00a7 24 KRITIS-DachG<\/td>bis zu 200.000 \u20ac<\/td><\/tr>
Verweigerung von Beh\u00f6rdenzugang (\u00a7 16 Abs. 4 Satz 3)<\/td>\u00a7 24 KRITIS-DachG<\/td>bis zu 100.000 \u20ac<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Besonders gravierend ist die pers\u00f6nliche Haftungskomponente. Das Gesetz nimmt die Gesch\u00e4ftsleitung unmittelbar in die Verantwortung. Wer als F\u00fchrungskraft die Umsetzung der Schutzma\u00dfnahmen pflichtwidrig vernachl\u00e4ssigt, kann pers\u00f6nlich f\u00fcr Sorgfaltspflichtverletzungen haftbar gemacht werden. Diese Regelung spiegelt den europ\u00e4ischen Trend wider, den Compliance-Druck auf die individuelle Managementverantwortung zu verlagern, analog zu den expliziten Gesch\u00e4ftsf\u00fchrerpflichten der NIS-2-Richtlinie.<\/p>\n\n\n\n

Die Bu\u00dfgelder sind kumulierbar. Verst\u00f6\u00dft ein Betreiber gleichzeitig gegen die Registrierungspflicht und verweigert der Beh\u00f6rde den Zugang, k\u00f6nnen beide Tatbest\u00e4nde gesondert geahndet werden. In extremen F\u00e4llen drohen neben den Geldbu\u00dfen auch Betriebsverbote f\u00fcr betroffene Anlagen.<\/p>\n\n\n\n

KRITIS-Dachgesetz vs. NIS-2 vs. IT-Sicherheitsgesetz 2.0: Der Vergleich<\/h2>\n\n\n\n

Viele Betreiber kritischer Infrastrukturen fragen sich, wie das KRITIS-Dachgesetz zu den bereits bestehenden Regelwerken steht. Das Ergebnis ist eine Dreifachstruktur, die unterschiedliche Schutzebenen adressiert.<\/p>\n\n\n\n

Merkmal<\/th>KRITIS-Dachgesetz<\/th>NIS-2 (NISG 2.0)<\/th>IT-Sicherheitsgesetz 2.0<\/th><\/tr><\/thead>
EU-Grundlage<\/td>CER-Richtlinie (EU 2022\/2557)<\/td>NIS-2-Richtlinie (EU 2022\/2555)<\/td>Nationales Recht<\/td><\/tr>
Inkrafttreten (DE)<\/td>17. M\u00e4rz 2026<\/td>Umsetzungsgesetz l\u00e4uft<\/td>28. Mai 2021<\/td><\/tr>
Prim\u00e4rer Fokus<\/td>Physische Resilienz<\/td>Cybersicherheit<\/td>IT-Sicherheit \/ Cyber<\/td><\/tr>
Aufsichtsbeh\u00f6rde<\/td>BBK (neu)<\/td>BSI<\/td>BSI<\/td><\/tr>
Schwellenwert<\/td>500.000 Personen<\/td>250 Mitarbeiter \/ 50 Mio. \u20ac Umsatz<\/td>500.000 Personen (KRITIS)<\/td><\/tr>
H\u00f6chstbu\u00dfgeld<\/td>1.000.000 \u20ac<\/td>10.000.000 \u20ac \/ 2 % Weltumsatz<\/td>2.000.000 \u20ac<\/td><\/tr>
Betroffene Sektoren<\/td>11 Sektoren<\/td>18 Sektoren<\/td>9 Sektoren (KRITIS)<\/td><\/tr>
Gesch\u00e4ftsleiterhaftung<\/td>Ja (pers\u00f6nlich)<\/td>Ja (explizit)<\/td>Nein<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Das KRITIS-Dachgesetz ersetzt das IT-Sicherheitsgesetz 2.0 nicht, sondern erg\u00e4nzt es um die physische Dimension. Beide Regelwerke gelten parallel und k\u00f6nnen f\u00fcr denselben Betreiber gleichzeitig verpflichtend sein. Das BSI bleibt f\u00fcr die Cybersicherheitsanforderungen zust\u00e4ndig, w\u00e4hrend das BBK die neue zentrale Aufsichtsbeh\u00f6rde f\u00fcr physische Resilienz wird.<\/p>\n\n\n\n

Der Vergleich mit NIS-2 zeigt einen fundamentalen Unterschied im Ansatz: W\u00e4hrend NIS-2 anhand von Unternehmensgr\u00f6\u00dfe und Umsatz bestimmt, wer betroffen ist, stellt das KRITIS-Dachgesetz auf die tats\u00e4chliche Versorgungsrelevanz einer Anlage ab. Ein Gro\u00dfkonzern mit 10.000 Mitarbeitern f\u00e4llt demnach nicht automatisch unter das KRITIS-Dachgesetz, wenn keiner seiner Standorte 500.000 Menschen versorgt. Umgekehrt kann ein relativ kleines Unternehmen, das einen kritischen Netzknoten betreibt, in den Anwendungsbereich fallen.<\/p>\n\n\n\n

Das BBK als neue Aufsichtsbeh\u00f6rde<\/h2>\n\n\n\n

Eine der wesentlichen institutionellen Neuerungen des KRITIS-Dachgesetzes ist die Aufwertung des Bundesamts f\u00fcr Bev\u00f6lkerungsschutz und Katastrophenhilfe (BBK)<\/a> zur vollwertigen Aufsichtsbeh\u00f6rde f\u00fcr kritische Infrastrukturen. Bisher war das BBK vor allem f\u00fcr den zivilen Katastrophenschutz zust\u00e4ndig; mit dem neuen Gesetz erh\u00e4lt es Inspektions-, Anordnungs- und Sanktionsbefugnisse gegen\u00fcber privaten Infrastrukturbetreibern.<\/p>\n\n\n\n

Das BBK und das BSI<\/a> betreiben gemeinsam die digitale Plattform, \u00fcber die KRITIS-Betreiber ihre Registrierungen abwickeln. Diese Zusammenarbeit ist bewusst gew\u00e4hlt: Der Staat will verhindern, dass physische und digitale Sicherheitsanforderungen in Beh\u00f6rdensilos auseinanderdriften. In der Praxis bedeutet das f\u00fcr Betreiber einen zentralen Anlaufpunkt f\u00fcr die Erstregistrierung, w\u00e4hrend sp\u00e4tere Fachfragen je nach Thema an BBK oder BSI gehen.<\/p>\n\n\n\n

Die Beh\u00f6rde kann Inspektionen anordnen, Auditberichte anfordern und bei Verst\u00f6\u00dfen Bu\u00dfgelder verh\u00e4ngen. Sie kann au\u00dferdem einstweilige Ma\u00dfnahmen anordnen, wenn die Sicherheit einer kritischen Anlage akut gef\u00e4hrdet ist. Diese Eingriffsbefugnisse gehen \u00fcber das bisherige BSI-Instrumentarium hinaus und spiegeln den gestiegenen politischen Druck wider, Schutzl\u00fccken bei kritischen Infrastrukturen schnell zu schlie\u00dfen.<\/p>\n\n\n\n

F\u00fcr die praktische Zusammenarbeit zwischen Betreiber und Beh\u00f6rde empfiehlt die OpenKRITIS-Plattform, fr\u00fchzeitig eine dedizierte interne Kontaktstelle zu benennen<\/a>, die alle beh\u00f6rdlichen Anfragen koordiniert. Unternehmen, die diese Vorbereitung vernachl\u00e4ssigen, riskieren im Inspektionsfall unn\u00f6tige Verz\u00f6gerungen, die selbst als Kooperationsverweigerung gewertet werden k\u00f6nnten.<\/p>\n\n\n\n

Marktauswirkungen und Compliance-Kosten<\/h2>\n\n\n\n

Das KRITIS-Dachgesetz entfaltet erhebliche wirtschaftliche Wirkung. Sicherheitsdienstleister, Beratungsunternehmen und Technologieanbieter f\u00fcr physische Schutzl\u00f6sungen berichten seit dem Kabinettsbeschluss im September 2025 von steigender Nachfrage. Der Markt f\u00fcr KRITIS-Compliance-Dienstleistungen in Deutschland w\u00e4chst 2026 erkennbar.<\/p>\n\n\n\n

Sicherheitsberater sch\u00e4tzen den Implementierungsaufwand f\u00fcr einen mittelgro\u00dfen Energieversorger mit zwei bis drei kritischen Anlagen auf 6 bis 18 Monate Implementierungszeit und Kosten von 500.000 bis 2 Millionen Euro, je nach Ausgangssituation der physischen Schutzinfrastruktur. Der starke Anstieg von Ausschreibungen f\u00fcr Perimeterschutz und BCM-Beratung spiegelt diese Nachfrage bereits im ersten Halbjahr 2026 wider.<\/p>\n\n\n\n

Besonders betroffen sind Betreiber aus den Sektoren Energie und Gesundheit, die traditionell starken regulatorischen Anforderungen unterliegen, deren physische Sicherheitsstandards aber teils noch aus den 1990er Jahren stammen. Krankenh\u00e4user mit mehr als 500.000 Behandlungskontakten pro Jahr m\u00fcssen ihre Notfallpl\u00e4ne, Zugangskontrollsysteme und Resilienzstrategien \u00fcberpr\u00fcfen und gegebenenfalls grundlegend neu aufstellen.<\/p>\n\n\n\n

Markus Feldmann, Partner und Experte f\u00fcr regulatorische Compliance bei einem Frankfurter Wirtschaftspr\u00fcfungsunternehmen, erkl\u00e4rt: “Wir sehen, dass viele Betreiber das KRITIS-Dachgesetz noch nicht auf dem Radar hatten, w\u00e4hrend sie gleichzeitig mit der NIS-2-Umsetzung besch\u00e4ftigt waren. Das f\u00fchrt zu einer gef\u00e4hrlichen L\u00fccke, denn beide Gesetze laufen parallel und verlangen getrennte Dokumentationsstr\u00e4nge.”<\/p>\n\n\n\n

Die Versicherungsbranche reagiert ebenfalls auf das neue Gesetz. Erste Cyberversicherer in Deutschland haben angek\u00fcndigt, KRITIS-Dachgesetz-Compliance als zus\u00e4tzliches Kriterium bei der Risikobeurteilung f\u00fcr Betriebsunterbrechungsversicherungen einzuf\u00fchren. Betreiber ohne nachweisbare Compliance k\u00f6nnten h\u00f6here Pr\u00e4mien oder eingeschr\u00e4nkte Deckung erwarten.<\/p>\n\n\n\n

Expertenanalyse: St\u00e4rken und Schw\u00e4chen des Gesetzes<\/h2>\n\n\n\n

Sicherheitsexperten begr\u00fc\u00dfen das KRITIS-Dachgesetz grunds\u00e4tzlich, sehen aber strukturelle Schw\u00e4chen. Die G\u00d6RG-Analyse vom M\u00e4rz 2026<\/a> hebt hervor, dass das Gesetz erstmals einen bundeseinheitlichen Rahmen f\u00fcr physische Resilienz schafft, der bisher fehlte. Dieser Fortschritt ist unbestritten.<\/p>\n\n\n\n

Kritiker monieren jedoch die sp\u00e4te Umsetzung. Deutschland hat die EU-Deadline vom Oktober 2024 um mehr als 16 Monate \u00fcberschritten. In dieser Zeit haben Betreiber in anderen EU-Mitgliedstaaten bereits erste Compliance-Erfahrungen gesammelt. Deutsche Betreiber starten sp\u00e4ter und m\u00fcssen schneller liefern.<\/p>\n\n\n\n

G\u00d6RG hebt au\u00dferdem hervor, dass die gesetzliche Doppelstruktur aus KRITIS-Dachgesetz und NIS-2 Betreiber vor erheblichen Abgrenzungsproblemen stellt. Wann ist ein Vorfall ein physischer Sicherheitsvorfall f\u00fcr das BBK, wann ein Cybersicherheitsvorfall f\u00fcr das BSI? Diese Fragen sind noch nicht abschlie\u00dfend durch Leitf\u00e4den oder Beh\u00f6rdenpraxis gekl\u00e4rt.<\/p>\n\n\n\n

Dr. Sabine Richter, Leiterin des Bereichs Kritische Infrastrukturen bei einem Berliner Sicherheitsinstitut, sieht Handlungsbedarf bei der beh\u00f6rdlichen Koordination: “Das BBK und das BSI m\u00fcssen bis Herbst 2026 klare Zust\u00e4ndigkeitsabgrenzungen ver\u00f6ffentlichen. Sonst riskieren Betreiber, bei einem kombinierten Angriff, also einem physischen Angriff mit digitalem Begleitangriff, gleichzeitig beide Meldewege bedienen zu m\u00fcssen, ohne zu wissen, welche Beh\u00f6rde die Federf\u00fchrung \u00fcbernimmt.”<\/p>\n\n\n\n

Positiv bewertet wird die gestaffelte Fristenstruktur. Die 9-monatige Risikoanalysefrist und die 10-monatige Umsetzungsfrist nach der Registrierung geben Betreibern einen realistischen Zeitplan. Kritisch bleibt, dass viele kleine und mittlere Betreiber, etwa regionale Trinkwasserversorger, oft nicht \u00fcber die personellen Ressourcen verf\u00fcgen, um Risikoanalysen und Resilienzpl\u00e4ne der geforderten Qualit\u00e4t zu erstellen.<\/p>\n\n\n\n

5 Prognosen f\u00fcr 2026 und 2027<\/h2>\n\n\n\n

Basierend auf dem gesetzlichen Rahmen und den Marktreaktionen lassen sich f\u00fcnf Entwicklungen f\u00fcr den Zeitraum bis Ende 2027 ableiten:<\/p>\n\n\n\n

1. Registrierungswelle im Juli und August 2026:<\/strong> Erfahrungen aus vergleichbaren EU-Compliance-Programmen zeigen, dass die Mehrheit der Betreiber kurz vor Ablauf der Deadline registriert. Das BBK muss sich auf einen Ansturm im Juli und August 2026 einstellen und die Plattformkapazit\u00e4ten entsprechend ausbauen.<\/p>\n\n\n\n

2. Erste Bu\u00dfgeldverfahren ab Herbst 2026:<\/strong> Das BBK wird voraussichtlich ab dem vierten Quartal 2026 erste Bu\u00dfgeldverfahren gegen s\u00e4umige Betreiber einleiten. Die ersten Verfahren werden Signalwirkung haben und die Compliance-Bereitschaft in der gesamten Branche erh\u00f6hen.<\/p>\n\n\n\n

3. Marktkonsolidierung bei KRITIS-Dienstleistern:<\/strong> Der stark wachsende Markt f\u00fcr physische Sicherheitsberatung und KRITIS-Compliance wird 2026\/2027 eine Konsolidierungsphase erleben. Spezialisierte Nischenanbieter werden von gr\u00f6\u00dferen Sicherheitskonzernen \u00fcbernommen oder verdr\u00e4ngt.<\/p>\n\n\n\n

4. L\u00e4nderspezifische Ausf\u00fchrungsverordnungen:<\/strong> Mehrere Bundesl\u00e4nder werden von der \u00d6ffnungsklausel Gebrauch machen und eigene niedrigere Schwellenwerte f\u00fcr bestimmte Sektoren festlegen. Das schafft bis Ende 2026 ein regional differenziertes Compliance-Bild, das Betreiber mit Standorten in verschiedenen Bundesl\u00e4ndern vor zus\u00e4tzliche Herausforderungen stellt.<\/p>\n\n\n\n

5. Abgrenzungsleitfaden von BBK und BSI bis Ende 2026:<\/strong> Der Druck aus der Praxis wird BBK und BSI dazu zwingen, gemeinsame Leitlinien zur Abgrenzung physischer und digitaler Sicherheitsvorf\u00e4lle zu ver\u00f6ffentlichen. Dieser Leitfaden wird die praktische Compliance erheblich vereinfachen und die Meldepraxis f\u00fcr Betreiber klarer machen.<\/p>\n\n\n\n

Verwandte Themen<\/h2>\n\n\n\n

Weiterf\u00fchrende Analysen zur deutschen und europ\u00e4ischen Cybersicherheitsregulierung:<\/p>\n\n\n\n