Das KRITIS-Dachgesetz (KRITISDachG) ist seit dem 17. März 2026 in Kraft. Es schafft den Rechtsrahmen für die physische und organisatorische Resilienz kritischer Anlagen und setzt die CER-Richtlinie in deutsches Recht um.
Der konkrete Anwendungsbereich wird durch eine Rechtsverordnung zu kritischen Dienstleistungen und Anlagen bestimmt. Diese befindet sich derzeit noch in Erarbeitung. Deshalb besteht aktuell noch keine Registrierungspflicht nach dem KRITISDachG. Betreiber sollten die Übergangszeit nutzen, um Betroffenheit, Risiken und ihre operative Reaktionsfähigkeit vorzubereiten.
Details zum Gesetz finden Sie auf unserer ausführlichen Seite: KRITIS Dachgesetz
Außerdem verweisen wir als Grundlage für die Aussage zur Aussetzung der Registrierungspflicht auf das FAQ des BBK.
KRITIS-Dachgesetz 2026: Was gilt für Betreiber kritischer Anlagen?
Das Gesetz betrifft Betreiber kritischer Anlagen in zehn Sektoren, darunter Energie, Transport und Verkehr, Gesundheitswesen, Wasser, Ernährung und Weltraum. Ob eine Organisation tatsächlich betroffen ist, hängt nicht allein von Branche oder Unternehmensgröße ab, sondern von der kritischen Dienstleistung und der späteren Einstufung ihrer Anlagen.
Für einige Bereiche gelten vorrangige Spezialregelungen: Insbesondere DORA-regulierte Finanzunternehmen sowie Betreiber im Sektor Informationstechnik und Telekommunikation sind von wesentlichen Betreiberpflichten des KRITISDachG ausgenommen. Die regulatorische Einordnung muss deshalb immer organisations- und sektorspezifisch erfolgen.
Risikoanalyse: Von der nationalen Lage zur Betreiberbewertung
Nationale Risikoanalysen liefern den Rahmen. Für Betreiber kritisch eingestufter Anlagen wird entscheidend, die eigene Risikoanalyse und Risikobewertung aufzubauen: im Bedarfsfall, mindestens jedoch alle vier Jahre. Dabei sind auch Abhängigkeiten zu anderen kritischen Dienstleistungen, Sektoren und Ländern zu berücksichtigen.
PREVISEC unterstützt die operative Grundlage dafür: Vorfälle strukturiert erfassen, klassifizieren, Verantwortliche einbinden und wiederkehrende Muster auswerten. Die Plattform ersetzt jedoch weder die methodische Risikoanalyse noch die rechtliche Betroffenheitsprüfung. Vielmehr entsteht eine äußerst wertvolle Datengrundlage für die kontinuierliche Weiterentwicklung der eigenen Resilienz durch die Nutzung in der operativen Bewältigung von Ereignissen und Krisen.
Die Betreiberpflicht folgt aus § 12 KRITISDachG. Sie beginnt erstmals neun Monate nach Registrierung.
Resilienzpflichten der Betreiber kritischer Anlagen; Resilienzplan
Auszug aus dem Gesetzestext:
Was liefert PREVISEC für die Umsetzung dieser Anforderungen?
(1) Der Betreiber kritischer Anlagen ist verpflichtet, nach Maßgabe der
Absätze 2 und 3 Maßnahmen zur Gewährleistung seiner Resilienz zu treffen, um (…)
3. auf Vorfälle zu reagieren, sie abzuwehren und die negativen Auswirkungen solcher Vorfälle zu begrenzen und
PREVISEC kann operative Resilienzmaßnahmen im Incident- und Krisenmanagement digital steuern und nachvollziehbar dokumentieren.
Die Plattform unterstützt damit eine fachbereichsübergreifende Reaktion nach dem All-Gefahren-Ansatz.
4. nach Vorfällen die zügige Wiederherstellung der kritischen Dienstleistung zu gewährleisten. (…)
PREVISEC unterstützt die Koordination von Wiederherstellungsmaßnahmen im Sinne des BCM. Erforderliche Schritte können Verantwortlichen zugewiesen, nachverfolgt und dokumentiert werden.
3. zum Zweck der Zielerreichung nach Absatzes 1 Nummer 3 zählen:
a) Risiko- und Krisenmanagementverfahren und -protokolle und
Mit dem digitalen Krisenraum unterstützt PREVISEC professionelles Krisenmanagement: Lagebild, Ziele, Entscheidungen, Aufgaben und Protokollierung werden in einer gemeinsamen Arbeitsumgebung zusammengeführt.
b) vorgegebene Abläufe im Alarmfall
(…)
Für relevante Ereignis- und Vorfallstypen lassen sich Alarmierungen und vordefinierte Reaktionsabläufe konfigurieren. So können zuständige Personen schnell eingebunden und die Erstbewertung sowie Bewältigung eingeleitet werden.
6. das Personal für die unter den in Absatz 1 Nummer 1 bis 4 sowie in Nummer 5 genannten Maßnahmen durch Informationsmaterialien, Schulungen und Übungen vertraut zu machen.
PREVISEC stellt die für Rollen und Abläufe benötigten Informationen im Prozess bereit. Übungen können unter Nutzung der Plattform durchgeführt und ihre Ergebnisse für die Weiterentwicklung der Abläufe dokumentiert werden.
(4) Der Betreiber kritischer Anlagen muss die Maßnahmen nach Absatz 1 in einem Resilienzplan darstellen und diesen anwenden. Aus dem Resilienzplan müssen die den Maßnahmen zugrunde liegenden Erwägungen hervorgehen. Auf die Risikoanalyse und Risikobewertung des Betreibers ist Bezug zu nehmen. Der Resilienzplan ist bei Bedarf sowie nach Durchführung einer Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen zu aktualisieren.
PREVISEC kann Informationen zu geplanten und umgesetzten Maßnahmen, Verantwortlichkeiten, Ereignissen und Übungen als Grundlage für den Resilienzplan bereitstellen. Diese Informationen können referenziert oder – soweit im Projekt vorgesehen – in den Plan exportiert werden. Die Verantwortung für Inhalt, Anwendung und Aktualisierung des Resilienzplans verbleibt beim Betreiber.
Lernen Sie unsere Lösung PREVISEC kennen:
Jetzt Produkt-tour starten