Das KRITIS-Dachgesetz ist seit März 2026 in Kraft (Bundestag 29.01.2026, Bundesrat 06.03.2026, BGBl. 2026 I Nr. 66) und setzt die europäische CER-Richtlinie (EU) 2022/2557 um. Es verpflichtet rund 1.300 Betreiber kritischer Anlagen in zehn Sektoren erstmals bundeseinheitlich zu physischer Resilienz — von der Registrierung über die Risikoanalyse bis zum Resilienzplan. Die erste Frist ist bereits abgelaufen: Die Registrierung bei BBK und BSI war bis zum 17.07.2026 vorzunehmen. Wer sie verpasst hat, sollte jetzt unverzüglich nachregistrieren und parallel mit der Risikoanalyse beginnen.
Wer betroffen ist
Das Gesetz adressiert Betreiber kritischer Anlagen in zehn Sektoren — darunter Energie, Wasser, Gesundheit und Transport. Nach den Schätzungen aus dem Gesetzgebungsverfahren fallen rund 1.300 Betreiber unter die neuen Pflichten. Anders als das IT-Sicherheitsrecht zielt das KRITIS-Dachgesetz auf die physische und organisatorische Widerstandsfähigkeit: Es geht um Anlagen, Prozesse und — ausdrücklich — um Personal, nicht allein um IT-Systeme. Die Cyber-Seite regelt parallel das BSIG; zur Abgrenzung siehe den Beitrag zur Personalsicherheit nach § 30 BSIG.
Die Fristenkaskade: Registrierung, Risikoanalyse, Resilienzplan
Das Pflichtenprogramm ist zeitlich gestaffelt:
- Registrierung bei BBK/BSI bis 17.07.2026 — diese Frist ist abgelaufen.
- Risikoanalyse: binnen neun Monaten nach der Registrierung müssen Betreiber die für ihre Anlage relevanten Risiken systematisch analysieren.
- Resilienzplan: binnen zehn Monaten ist darzulegen, mit welchen technischen, organisatorischen und personellen Maßnahmen den identifizierten Risiken begegnet wird.
Die Kaskade bedeutet: Die Registrierung war nicht das Ziel, sondern der Startschuss. Ab jetzt laufen die materiellen Fristen — und die anspruchsvollste Aufgabe, der Resilienzplan, folgt unmittelbar auf die Risikoanalyse. Wer die neun Monate für die Risikoanalyse voll ausschöpft, hat für den Resilienzplan faktisch kaum noch Puffer. Es empfiehlt sich daher, beide Arbeitspakete von Beginn an parallel zu denken: Die Struktur des Resilienzplans — welche Maßnahmenkategorien er abdecken muss, wer intern verantwortet, welche Nachweise die Aufsicht erwarten wird — lässt sich bereits während der Risikoanalyse aufsetzen.
Frist verpasst — was jetzt?
Betreiber, die sich bis zum 17.07.2026 nicht registriert haben, sollten die Registrierung nicht aufschieben, sondern unverzüglich nachholen. Drei Gründe sprechen für schnelles Handeln:
- Die Registrierungspflicht besteht fort — sie erledigt sich nicht durch Fristablauf, das Versäumnis wächst mit jedem Tag.
- Die Folgefristen für Risikoanalyse und Resilienzplan hängen an der Registrierung; wer spät registriert, verschiebt sein gesamtes Pflichtenprogramm nach hinten und gerät gegenüber der Aufsicht in Erklärungsnot.
- Eine proaktive Nachmeldung mit begonnener Risikoanalyse dokumentiert Compliance-Willen — abwarten dokumentiert das Gegenteil.
Prüfen Sie im Zweifel zunächst sauber, ob Ihre Anlage die Betreiberkriterien erfüllt, und dokumentieren Sie diese Prüfung auch bei negativem Ergebnis. Gerade Betreiber, die bisher nicht unter das IT-Sicherheitsrecht fielen, unterschätzen häufig, dass das Dachgesetz eigenständige Kriterien setzt — die Betroffenheitsprüfung gehört deshalb auch dann ins Protokoll, wenn sie verneint wird.
Personalsicherheit: eigener Pflichtenkreis, keine Fußnote
Ein Aspekt wird in vielen Umsetzungsprojekten unterschätzt: Das KRITIS-Dachgesetz — insbesondere § 13 KRITIS-DachG — und die zugrunde liegende CER-Richtlinie behandeln die Sicherheit des Personals als eigenständigen Pflichtenkreis neben baulichen und technischen Maßnahmen. Hintergrundüberprüfungen von Beschäftigten in kritischen Funktionen sind unionsrechtlich ausdrücklich vorgesehen. Wer den Resilienzplan auf Zäune, Sensorik und Notfallpläne verengt, lässt eine tragende Säule aus. Wie sich die Personalprüfpflicht konkret umsetzen lässt, zeigt der Umsetzungsleitfaden Hintergrundüberprüfungen; die Abgrenzung zur staatlichen Sicherheitsüberprüfung erläutert der Beitrag Staatliche Sicherheitsüberprüfung vs. eigenes Screening.
Handlungsempfehlung
Klären Sie jetzt drei Dinge in dieser Reihenfolge: Erstens den Registrierungsstatus — falls versäumt, unverzüglich nachregistrieren. Zweitens den Fahrplan für die Risikoanalyse, mit klarer Verantwortlichkeit und realistischem Zeitpuffer vor der Neun-Monats-Frist. Drittens die Personalsicherheit als eigenes Arbeitspaket im Resilienzplan: Welche Rollen sind kritisch, welche Prüftiefe ist angemessen, wie wird dokumentiert? Für den letzten Punkt liefert Indicium prüffeste Software-Reports mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) — ab €79 pro Report. Wie das in Ihrem Sektor aussieht, zeigen wir gern in einer Demo.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.