Am 6. März 2026 hat der Bundesrat dem KRITIS-Dachgesetz zugestimmt – nach intensiver Debatte und trotz Vorbehalten der Länder. Das Gesetz tritt zum überwiegenden Teil am Tag nach der Verkündung im Bundesgesetzblatt in Kraft und ergänzt die bestehende NIS2-Regulierung um eine physische Dimension.
Das KRITIS-Dachgesetz setzt die EU-CER-Richtlinie (Critical Entities Resilience) in deutsches Recht um und verpflichtet Betreiber kritischer Anlagen in zehn Sektoren – darunter Energie, Wasser, Gesundheit, Ernährung und Transport – zu einem verbesserten physischen Schutz ihrer Anlagen.
Was das konkret bedeutet
Betroffene Betreiber müssen künftig Resilienzpläne erstellen, regelmäßige Risikoanalysen durchführen und Vorfälle melden. Der Schwellenwert: Anlagen, die mehr als 500.000 Personen versorgen. Das Bundesinnenministerium legt die konkreten Kriterien per Rechtsverordnung fest.
Die Länder übten in einer begleitenden Entschließung Kritik: Der Schwellenwert sollte auf 150.000 versorgte Einwohner abgesenkt werden, um auch ländliche Infrastruktur zu erfassen. Eine Evaluierung ist bereits in zwei Jahren geplant.
Wichtig für NIS2-betroffene Unternehmen: KRITIS-Betreiber, die bereits unter NIS2 fallen, haben nun eine doppelte Regulierungspflicht. NIS2 regelt die Cybersicherheit, das KRITIS-Dachgesetz die physische Resilienz. Beide Regime sind getrennt zu erfüllen.