KRITIS-Dachgesetz und NIS2: Was gilt für wen?

Das KRITIS-Dachgesetz (in Kraft seit dem 17. März 2026) regelt die physische Resilienz kritischer Anlagen; Aufsicht und Meldungen liegen beim BBK. Das NIS2UmsuCG (in Kraft seit dem 6. Dezember 2025) regelt die Cybersicherheit; zuständig ist das BSI. NIS2 erfasst rund 29.500 Einrichtungen, das KRITIS-Dachgesetz laut Gesetzesbegründung rund 1.700 kritische Anlagen. Beide Gesetze gelten parallel. Wer als Betreiber kritischer Anlagen unter beide fällt, hat mehr Pflichten, nicht weniger.

Was regelt das KRITIS-Dachgesetz und seit wann gilt es?

Das KRITIS-Dachgesetz setzt die EU-CER-Richtlinie 2022/2557 um und ist am 17. März 2026 in Kraft getreten (BGBl. 2026 I Nr. 66). Es verpflichtet Betreiber kritischer Anlagen erstmals bundeseinheitlich zu physischer Resilienz: Objektschutz, Betriebskontinuität, Personalsicherheit. Zuständige Aufsichtsbehörde ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).

Der Gesetzgebungsweg im Überblick:

• Beschluss des Bundestags am 29. Januar 2026 (BT-Drs. 21/2510)
• Zustimmung des Bundesrats am 6. März 2026 (1062. Sitzung)
• Verkündung im Bundesgesetzblatt am 16. März 2026 (Gesetz vom 11. März 2026, BGBl. 2026 I Nr. 66)
• Inkrafttreten am 17. März 2026

Neu ist der sektorübergreifende Anspruch. Bisher regelte das BSIG nur die IT-Sicherheit kritischer Infrastrukturen; der physische Schutz war Ländersache oder in sektorspezifischen Vorschriften verstreut. Das KRITIS-Dachgesetz schafft dafür erstmals einen eigenständigen, bundeseinheitlichen Rechtsrahmen. Die Schwellenwert-Logik ist dagegen vertraut: Der Begriff "Betreiber kritischer Infrastrukturen" und die Regelschwelle von 500.000 versorgten Personen stammen aus dem bisherigen BSIG- und BSI-KritisV-Regime; das KRITIS-Dachgesetz übernimmt diese Logik für die physische Seite.

Was physische Resilienz konkret bedeutet, ergibt sich aus dem Pflichtenkatalog der §§ 12 und 13:

• Risikoanalysen für die eigene kritische Anlage
• Resilienzmaßnahmen und Resilienzplan: baulicher Schutz, Zutrittskontrolle, Notfall- und Wiederanlaufvorsorge, Personalsicherheit
• Vorfallmeldungen an das BBK nach § 18

Deutschland setzt die CER-Richtlinie damit deutlich verspätet um; die EU-Umsetzungsfrist war bereits am 17. Oktober 2024 abgelaufen. Nach Einschätzung des BMI in der Gesetzesbegründung fallen rund 1.700 kritische Anlagen in den Anwendungsbereich des Gesetzes.

Worin unterscheiden sich KRITIS-Dachgesetz und NIS2?

Das KRITIS-Dachgesetz schützt die physische Seite kritischer Anlagen, NIS2 die digitale. Das KRITIS-Dachgesetz verlangt Objektschutz, Betriebskontinuität und Meldungen an das BBK; NIS2 verlangt Cybersicherheits-Risikomanagement und Meldungen an das BSI. Beide Gesetze gelten parallel, ein Betreiber kann gleichzeitig unter beide fallen.

Die Unterschiede lassen sich an vier Punkten festmachen:

• Schutzrichtung: Das KRITIS-Dachgesetz adressiert die physische Resilienz kritischer Anlagen: Sabotage, Naturgefahren, Ausfall von Standorten, Lieferketten und Personal. NIS2 adressiert die Sicherheit von Netz- und Informationssystemen; den Maßnahmenkatalog definiert § 30 BSIG.
• Rechtsgrundlage: Das KRITIS-Dachgesetz setzt die EU-CER-Richtlinie 2022/2557 um. NIS2 kommt über das NIS2UmsuCG nach Deutschland, das die EU-NIS2-Richtlinie 2022/2555 umsetzt und dafür das BSIG novelliert.
• Aufsicht und Meldeweg: Für das KRITIS-Dachgesetz ist das BBK zuständig, Meldungen laufen über die gemeinsame Melde- und Registrierungsplattform von BBK und BSI. Für NIS2 ist das BSI die Aufsichtsbehörde.
• Begrifflichkeit: Das KRITIS-Dachgesetz spricht von Betreibern kritischer Anlagen, NIS2 und BSIG von besonders wichtigen Einrichtungen und wichtigen Einrichtungen. Mischen Sie diese Begriffe nicht; sie bezeichnen unterschiedliche Adressaten mit unterschiedlichen Pflichten.

Auch zeitlich liegen die beiden Gesetze auseinander. Das NIS2UmsuCG ist seit dem 6. Dezember 2025 in Kraft, alle Pflichten gelten seitdem. Was das für Ihre Organisation konkret bedeutet, haben wir im Beitrag NIS2 in Deutschland aufgeschlüsselt. Das KRITIS-Dachgesetz gilt seit dem 17. März 2026; seine Pflichten greifen gestaffelt nach der Registrierung.

Die Größenordnungen unterscheiden sich deutlich: Unter NIS2 fallen in Deutschland laut BSI rund 29.500 Einrichtungen, das KRITIS-Dachgesetz betrifft laut Gesetzesbegründung rund 1.700 kritische Anlagen.

Beide Gesetze ergänzen sich, sie ersetzen sich nicht. Der Gesetzgeber behandelt dieselbe Anlage aus zwei Richtungen: NIS2 fragt, ob Ihre IT einen Angriff übersteht, das KRITIS-Dachgesetz, ob Ihre Anlage einen Brand, ein Hochwasser oder einen Sabotageakt übersteht. BSI-Präsidentin Claudia Plattner sagte zum Bundestagsbeschluss des NIS2UmsuCG: „Mit diesem Gesetz hat Deutschland einen wichtigen Meilenstein auf dem Weg zu einer resilienten Cybernation erreicht, denn wir schützen damit einen entscheidenden Teil unserer digitalen Angriffsfläche viel besser als bisher.“ (BSI-Pressemitteilung vom 13. November 2025)

Wer fällt unter welches Gesetz?

NIS2 greift über Größenkriterien: ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz in einem der regulierten Sektoren, verschärft ab 250 Mitarbeitern. Das KRITIS-Dachgesetz greift über den Versorgungsgrad: Regelschwellenwert sind 500.000 versorgte Personen je Anlage. Größe allein macht Sie nicht zum Betreiber einer kritischen Anlage; umgekehrt macht der KRITIS-Status Sie nach § 28 BSIG automatisch zur besonders wichtigen Einrichtung.

Welche Schwellenwerte gelten bei NIS2?

Maßgeblich ist die Size-Cap-Regel nach § 28 BSIG. Wichtige Einrichtungen sind Unternehmen aus den regulierten Sektoren ab 50 Mitarbeitern oder mit einem Jahresumsatz über 10 Mio. Euro und einer Jahresbilanzsumme über 10 Mio. Euro. Besonders wichtige Einrichtungen sind es ab 250 Mitarbeitern oder mit einem Jahresumsatz über 50 Mio. Euro und einer Jahresbilanzsumme über 43 Mio. Euro. Größenunabhängig erfasst sind Betreiber kritischer Anlagen (§ 28 Abs. 1 BSIG) sowie qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter und TLD-Registries. Die Sektoren stehen in Anlage 1 und 2 des BSIG, insgesamt 18 Sektoren auf EU-Ebene. Die Detailprüfung zeigt der Artikel Bin ich von NIS2 betroffen?

Welche Schwellenwerte gelten beim KRITIS-Dachgesetz?

Der Regelschwellenwert liegt bei 500.000 zu versorgenden Einwohnern je Anlage (§ 5 Abs. 2 KRITISDachG). Die anlagenspezifischen Schwellenwerte legt eine Rechtsverordnung des Bundesinnenministeriums fest. Diese KRITIS-Verordnung liegt bislang nur als Referentenentwurf vor, laut BBK-FAQ zum KRITIS-Dachgesetz ist sie in Erarbeitung und Abstimmung. Der Entwurf behält den Regelschwellenwert bei und ergänzt sektorspezifische Werte.

§ 4 Abs. 1 KRITISDachG bündelt die Betreiber in 10 Sektoren:

• Energie
• Transport und Verkehr
• Finanzwesen
• Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende
• Gesundheitswesen
• Wasser (Trinkwasser und Abwasser)
• Ernährung
• Informationstechnik und Telekommunikation
• Weltraum
• Siedlungsabfallentsorgung

Die CER-Richtlinie listet 11 Sektoren und führt Bankwesen, Finanzmarktinfrastruktur und öffentliche Verwaltung getrennt; das deutsche Gesetz fasst zusammen und ergänzt eigene Bereiche. § 4 Abs. 2 regelt Sonderrollen: DORA-Finanzunternehmen sind von wesentlichen Pflichten ausgenommen, weil die EU-Verordnung 2022/2554 vorgeht. Der Sektor Informationstechnik und Telekommunikation bleibt teilweise beim BSIG-Regime. Siedlungsabfallentsorgung und Sozialversicherung treffen nur reduzierte Pflichten, im Kern die Risikoanalyse nach § 12.

Wie sieht das für ein Stadtwerk aus?

Ein kommunaler Versorger beschäftigt 600 Mitarbeiter und beliefert eine Großstadt mit Strom und Trinkwasser. Als Energieunternehmen fällt er über die Größenkriterien unter NIS2, als besonders wichtige Einrichtung. Versorgt eine seiner Anlagen mehr als 500.000 Personen, ist er zusätzlich Betreiber einer kritischen Anlage nach dem KRITIS-Dachgesetz; dieser Status würde ihn nach § 28 BSIG selbst dann zur besonders wichtigen Einrichtung machen, wenn er die Größenkriterien nicht erfüllte. Das Ergebnis: zwei Registrierungen, zwei Meldewege, zwei Maßnahmenkataloge, ein Unternehmen.

Welche Fristen gelten für KRITIS-Betreiber nach der Registrierung?

Betreiber kritischer Anlagen müssen sich spätestens drei Monate, nachdem ihre Anlage als kritisch gilt, beim BBK registrieren. Wann das der Fall ist, entscheidet die noch ausstehende KRITIS-Verordnung; erst mit ihr startet die Registrierung. Danach läuft die Staffel: Risikoanalyse nach neun Monaten, Resilienzmaßnahmen, Resilienzplan und Meldewesen nach zehn Monaten.

Die Registrierungspflicht ergibt sich aus § 8 Abs. 1 KRITISDachG: Betreiber kritischer Anlagen registrieren sich beim BBK über die gemeinsam mit dem BSI eingerichtete Plattform. Ein festes Startdatum nennt das Gesetz nicht mehr. Ursprünglich stand der 17. Juli 2026 in § 8; das Datum entsprach der CER-Vorgabe, kritische Einrichtungen bis zu diesem Tag zu identifizieren. Der Gesetzgeber hat es mit Änderungsgesetz vom 21. Juli 2026 (BGBl. 2026 I Nr. 221) gestrichen, weil die KRITIS-Verordnung noch fehlt. Die Einzelheiten des Registrierungsverfahrens legt das BBK nun innerhalb von vier Wochen nach Inkrafttreten der Verordnung fest.

Der praktische Haken: Solange die KRITIS-Verordnung nicht in Kraft ist, steht für viele Betreiber noch nicht rechtsverbindlich fest, ab wann ihre Anlage als kritisch gilt und die Drei-Monats-Frist zu laufen beginnt. Warten Sie trotzdem nicht auf die Verordnung, sondern prüfen Sie Ihre Betroffenheit jetzt anhand des Regelschwellenwerts vor.

Ab der Registrierung greift die Fristenstaffel nach § 8 Abs. 7:

• 9 Monate nach Registrierung: Risikoanalyse und Risikobewertung der eigenen Anlage (§ 12), anschließend mindestens alle vier Jahre zu wiederholen.
• 10 Monate nach Registrierung: Resilienzmaßnahmen und Resilienzplan (§ 13), Vorfall-Meldewesen (§ 18) und Nachweispflichten (§ 20).

Für Vorfälle definiert § 18 eigene Fristen:

• Erstmeldung: unverzüglich, spätestens 24 Stunden nach Kenntnis des Vorfalls.
• Ausführlicher Bericht: spätestens einen Monat nach Kenntnis.
• Meldeweg: an das BBK über die gemeinsame Plattform.

NIS2 tickt anders: Besonders wichtige und wichtige Einrichtungen melden dreistufig an das BSI, mit 24 Stunden für die Frühwarnung, 72 Stunden für die Erstmeldung und einem Monat für den Abschlussbericht. Details dazu finden Sie in unserem Beitrag zu den NIS2-Meldepflichten. Wer unter beide Regime fällt, braucht einen Meldeprozess, der beide Wege bedient. Dass Fristendisziplin keine Selbstverständlichkeit ist, zeigt die NIS2-Seite: Zum Stichtag 30. Juni 2026 waren laut der BSI-Übersicht NIS-2 in Zahlen 17.729 Unternehmen registriert; insgesamt rechnet das BSI mit rund 29.500 betroffenen Einrichtungen.

Welche Bußgelder drohen bei Verstößen?

Das KRITIS-Dachgesetz sieht Bußgelder bis zu 1 Mio. Euro vor (§ 24 KRITISDachG). NIS2 reicht deutlich weiter: bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen (§ 65 BSIG). Wer beide Gesetze verletzt, riskiert beide Bußgeldrahmen nebeneinander.

Für Betreiber kritischer Anlagen staffelt § 24 KRITISDachG die Bußgelder nach Verstoßart:

• Bis 1.000.000 Euro für Zuwiderhandlungen gegen vollziehbare Anordnungen der Aufsicht
• Bis 500.000 Euro, wenn Ergebnisse von Sicherheitsaudits nicht übermittelt werden
• Bis 100.000 Euro unter anderem für fehlende oder falsche Registrierungsangaben

Der Bußgeldrahmen wurde im parlamentarischen Verfahren verdoppelt, bleibt aber deutlich unter dem NIS2-Niveau.

Für besonders wichtige Einrichtungen sieht § 65 BSIG bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 Prozent. Hinzu kommt die persönliche Haftung der Geschäftsleitung nach § 38 BSIG. Die einzelnen Tatbestände und zwei Praxisszenarien erläutert der Artikel zu den NIS2-Bußgeldern und Strafen im Detail.

Es sind zwei getrennte Gesetze mit getrennten Pflichten, und BBK und BSI können parallel vorgehen. Ein Betreiber kritischer Anlagen, der zugleich besonders wichtige Einrichtung ist, muss beide Pflichtenkataloge erfüllen und kann bei Verstößen aus beiden Rahmen belangt werden.

Wie setzen Betreiber beide Gesetze ohne Doppelarbeit um?

Beide Gesetze greifen auf dieselben Grundlagen zu: ein Anlagen- und Asset-Inventar, eine Risikoanalyse-Methodik, ein Vorfallprozess mit zwei Meldewegen und ein Business-Continuity-Management. Wer diese Grundlagen einmal sauber aufbaut und die Anforderungen beider Regime auf dieselben Maßnahmen abbildet, erfüllt zwei Gesetze mit einem Programm.

Konkret überlappen sich vier Bereiche:

• Risikoanalyse: § 12 KRITISDachG verlangt eine Risikoanalyse für die kritische Anlage, § 30 BSIG ein Risikomanagement für die Einrichtung. Eine gemeinsame Methodik bedient beide Anforderungen.
• Betriebskontinuität: Der Resilienzplan nach KRITIS-Dachgesetz und die BCM-Anforderungen aus NIS2 lesen aus demselben Business-Continuity-Management. ISO-22301-konforme BC-Pläne liefern zugleich den Kontinuitätsnachweis für das KRITIS-Dachgesetz.
• Vorfallmanagement: Ein Erkennungs- und Bewertungsprozess, zwei Meldewege: an das BBK und an das BSI über die gemeinsame Meldeplattform.
• Physische Sicherheit: Kernthema des KRITIS-Dachgesetzes, sie taucht aber auch im NIS2-Maßnahmenkatalog auf.

Die Schnittmenge aus rund 29.500 NIS2-Einrichtungen und Betreibern von rund 1.700 kritischen Anlagen muss beide Kataloge bedienen. Ohne Cross-Mapping entstehen parallele Programme und doppelte Audit-Zyklen. Mit Cross-Mapping wird eine Investition für das eine Gesetz zum Nachweis für das andere. KaitoSec bildet beide Regime auf demselben Datenmodell ab: ISMS und BCMS arbeiten in einem gemeinsamen Workspace für kontinuierliche Resilienz auf einem Inventar, sodass dieselbe Maßnahme in beiden Katalogen als Nachweis erscheint.

Drei Schritte, mit denen Sie jetzt beginnen können:

1. Prüfen Sie die Betroffenheit für beide Gesetze getrennt: als Betreiber kritischer Anlagen und als besonders wichtige oder wichtige Einrichtung.
2. Bereiten Sie die Registrierungen vor: das BSI-Portal für NIS2, die BBK-Plattform für das KRITIS-Dachgesetz.
3. Setzen Sie Risikoanalyse und BCM so auf, dass beide Regime daraus lesen, statt zwei getrennte Dokumentenstände zu pflegen.

Häufig gestellte Fragen zu KRITIS-Dachgesetz und NIS2

Ersetzt das KRITIS-Dachgesetz NIS2?

Nein. Das KRITIS-Dachgesetz regelt die physische Resilienz kritischer Anlagen, die Aufsicht liegt beim BBK. Das NIS2UmsuCG regelt die Cybersicherheit, die Aufsicht liegt beim BSI. Beide Gesetze gelten parallel; Betreiber kritischer Anlagen müssen in der Regel beide erfüllen und haben damit mehr Pflichten als zuvor, nicht weniger.

Muss ich mich zweimal registrieren?

In vielen Fällen ja, aber über eine gemeinsame Plattform. NIS2-Einrichtungen registrieren sich beim BSI. Betreiber kritischer Anlagen registrieren sich zusätzlich beim BBK, und zwar über die gemeinsame Registrierungsplattform von BBK und BSI nach § 8 KRITISDachG, spätestens drei Monate, nachdem die Anlage als kritisch gilt.

Woher weiß ich, ob meine Anlage kritisch ist?

Der Regelschwellenwert liegt bei 500.000 zu versorgenden Einwohnern (§ 5 KRITISDachG). Die anlagenscharfen Schwellenwerte legt die KRITIS-Verordnung fest, die Stand August 2026 als Entwurf vorliegt. Warten Sie nicht auf die finale Verordnung: Prüfen Sie jetzt anhand des Regelschwellenwerts vor, ob Ihre Anlagen betroffen sein können.

Welche Fristen gelten nach der KRITIS-Registrierung?

Nach der Registrierung läuft eine Frist von neun Monaten für die Risikoanalyse (§ 12 KRITISDachG). Resilienzmaßnahmen, Resilienzplan und Meldewesen müssen nach zehn Monaten stehen (§§ 13, 18, 20). Bei Vorfällen gilt: Erstmeldung ans BBK binnen 24 Stunden, ein ausführlicher Bericht folgt binnen eines Monats.

Was gilt für Banken und Versicherer?

Finanzunternehmen im Anwendungsbereich von DORA (EU-Verordnung 2022/2554) sind von wesentlichen Pflichten des KRITIS-Dachgesetzes ausgenommen; für sie gehen die DORA-Anforderungen vor (§ 4 Abs. 2 KRITISDachG). Auch für die Cybersicherheit gilt DORA als Spezialregime gegenüber NIS2. Banken und Versicherer arbeiten ihre Resilienzpflichten daher primär entlang von DORA ab.