Seit dem 17. Juli 2026 können und müssen sich Betreiber kritischer Anlagen auf der gemeinsamen Plattform von BBK und BSI registrieren. Mit der Registrierung beginnen die eigentlichen Fristen erst.
Das KRITIS-Dachgesetz schafft erstmals einen bundeseinheitlichen Rahmen für den physischen Schutz kritischer Infrastrukturen, als Ergänzung zur Cybersicherheit nach NIS2. Betreiber kritischer Anlagen müssen sich spätestens drei Monate nach der Identifikation ihrer Anlage als kritisch registrieren, frühestens seit dem 17. Juli 2026.
Risikoanalyse: u. a. Naturgefahren, menschliches Versagen, Anschläge, Sabotage und hybride Bedrohungen.
Resilienzplan inkl. Maßnahmenumsetzung: physische Sicherung, Redundanzen und Krisenmanagement, dazu Nachweis- und Meldepflichten.
Wer als Betreiber einer kritischen Anlage unter das KRITIS-Dachgesetz fällt, ist in aller Regel zugleich besonders wichtige Einrichtung nach NIS2, mit eigenen Pflichten: BSI-Registrierung, zehn Risikomanagement-Maßnahmen nach § 30 BSIG, Meldepflichten und GF-Schulungspflicht. Physische Resilienz und Cybersicherheit laufen damit als zwei parallele Pflichtenkreise, die sich inhaltlich überschneiden, etwa bei Risikoanalyse, Krisenmanagement und Business Continuity.
NIS2 Pilot enthält einen KRITIS-Dachgesetz-Assistenten, der durch die Anforderungen führt, sowie den BSI-Registrierungs-Assistenten und den Reifegrad-Check für die NIS2-Seite. So behalten Sie beide Pflichtenkreise in einer App im Blick, lokal und ohne Cloud.
Maßgeblich sind Sektor-Zugehörigkeit und Schwellenwerte, die per Rechtsverordnung bestimmt werden (Orientierungsgröße ist der Versorgungsgrad, etwa 500.000 versorgte Personen). Ob eine konkrete Anlage die Schwellen erreicht, sollte anhand der Verordnung geprüft werden, im Zweifel mit rechtlicher Unterstützung.
Nein. Die NIS2-Registrierung (Cybersicherheit, BSI) und die Registrierung nach dem KRITIS-Dachgesetz (physische Resilienz, Plattform von BBK und BSI) sind zwei verschiedene Pflichten. Betreiber kritischer Anlagen müssen in der Regel beide erfüllen.
Das Gesetz sieht Durchsetzungs- und Sanktionsmechanismen vor. Wie die Behördenpraxis konkret aussehen wird, zeigt sich nach dem Anlaufen der Plattform. Die Parallele zur NIS2-Registrierung legt nahe, die Frist ernst zu nehmen: Dort geht das BSI inzwischen aktiv gegen nicht registrierte Unternehmen vor.
