Nexvyra

CER-Richtlinie (RL 2022/2557) – KRITIS-Dachgesetz, Resilienzpflichten kritischer Anlagen In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-09-09 · letzte Prüfung: 2026-09-09 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Die **CER-Richtlinie (Richtlinie (EU) 2022/2557** über die Resilienz kritischer Einrichtungen) vom **14.12.2022** verpflichtet die EU-Mitgliedstaaten, Betreiber kritischer Anlagen gegen **alle Gefahrenarten** zu wappnen — nicht nur gegen Cyberangriffe, sondern auch gegen Naturkatastrophen, Sabotage, Terrorismus und technisches Versagen. Sie ist das **physische Gegenstück zu NIS-2** (RL 2022/2555), die die IT-Sicherheit regelt. Als Richtlinie gilt die CER **nicht unmittelbar** — sie brauchte ein deutsches Umsetzungsgesetz. Die EU-Umsetzungsfrist lief am **17.10.2024** ab; Deutschland hat sie **um rund 17 Monate verfehlt**. Erst das **KRITIS-Dachgesetz (KRITISDachG)** — vom Bundestag am 29.01.2026 beschlossen, Zustimmung des Bundesrates am 06.03.2026, ausgefertigt am **11.03.2026** und am **16.03.2026** im **BGBl. 2026 I Nr. 66** verkündet — ist am **17.03.2026 in Kraft getreten**. Zuständige Bundesbehörde ist das **BBK** (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe). **Wichtig für Betreiber (Stand 09.09.2026):** Es besteht **noch keine Registrierungspflicht**. Die konkretisierende **Rechtsverordnung zur Bestimmung kritischer Anlagen** (§ 4 Abs. 3, § 5 Abs. 1 KRITISDachG), die den Anwendungsbereich erst praktisch festlegt, befindet sich laut BBK noch in Erarbeitung und Abstimmung. Registrierungs-, Risikoanalyse-, Resilienz- und Meldepflichten laufen erst nach deren Inkrafttreten an. Der in vielen Quellen noch genannte Stichtag **17.07.2026** ist **nicht mehr geltendes Recht**: Die Verkündungsfassung des § 8 Abs. 1 KRITISDachG enthielt die Wendung „frühestens jedoch bis einschließlich zum 17. Juli 2026"; **Artikel 8 Nummer 4 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221, verkündet am 28.07.2026)** hat sie ersatzlos gestrichen. Geblieben ist allein die relative Frist von drei Monaten ab dem Zeitpunkt, zu dem eine Anlage als kritische Anlage gilt.

Kernfakten

PunktWert
EU-RechtsgrundlageRichtlinie (EU) 2022/2557 vom 14.12.2022 (CER)
EU-Inkrafttreten16.01.2023
EU-Umsetzungsfrist17.10.2024 (von Deutschland verfehlt)
Aufgehobene VorgängerregelungRichtlinie 2008/114/EG, aufgehoben zum 18.10.2024
Deutsches UmsetzungsgesetzKRITIS-Dachgesetz (KRITISDachG)
Bundestagsbeschluss29.01.2026
Bundesratszustimmung06.03.2026
Ausfertigung / Verkündungausgefertigt 11.03.2026; verkündet am 16.03.2026 in BGBl. 2026 I Nr. 66 (Vollzitat: „KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66)")
Inkrafttreten DE17.03.2026 (Art. 11 Abs. 1 des Mantelgesetzes)
Gestaffeltes Inkrafttreten§ 14 Abs. 3–5 KRITISDachG erst zum 01.01.2030 (Art. 11 Abs. 2)
Bisher einzige ÄnderungArt. 8 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221, verkündet 28.07.2026): Streichung des Stichtags 17.07.2026 in § 8 Abs. 1; Muster-/Vorlagenfrist des § 13 Abs. 5 jetzt acht Monate nach Inkrafttreten der Rechtsverordnung
Zuständige BehördeBBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe)
Erfasste SektorenEnergie, Verkehr/Transport, Finanzwesen, Sozialversicherung/Grundsicherung, Gesundheitswesen, Wasser (Trink- und Abwasser), Ernährung, IT & Telekommunikation, Weltraum, Siedlungsabfallentsorgung
Regel-Schwellenwert500.000 zu versorgende Personen je Anlage (zzgl. qualitativer Kriterien: Interdependenzen, Marktanteil, geografische Reichweite)
Konkretisierung AnwendungsbereichRechtsverordnung nach § 4 Abs. 3, § 5 Abs. 1 KRITISDachG — noch nicht erlassen (Stand 09.09.2026)
Registrierung§ 8 KRITISDachG, gemeinsame Registrierungsmöglichkeit BBK/BSI nach § 33 Abs. 1 BSIG; Frist: spätestens 3 Monate, nachdem eine Anlage als kritische Anlage gilt (§ 8 Abs. 1); der ursprüngliche Kalenderstichtag 17.07.2026 ist seit BGBl. 2026 I Nr. 221 gestrichen
Anlauf der BetreiberpflichtenRisikoanalyse (§ 12 Abs. 1) und Resilienzmaßnahmen (§ 13 Abs. 1) erstmals 9 bzw. 10 Monate nach Registrierung (§ 8 Abs. 7 KRITISDachG)
Meldepflicht Vorfälle§ 18 KRITISDachG, erst 10 Monate nach Registrierung (§ 8 Abs. 7)
Turnus Risikoanalysemindestens alle vier Jahre, bedarfsweise häufiger
Bußgeldrahmen§ 24 Abs. 2 KRITISDachG, gestaffelt: bis 1 Mio. € (Zuwiderhandlung gegen vollziehbare Anordnung nach § 8 Abs. 2 S. 1), bis 500.000 € (Audit-Ergebnis nicht/nicht richtig übermittelt), bis 200.000 € (Anordnungen nach § 16 i. V. m. RVO), bis 100.000 € (übrige Fälle, z. B. Registrierungsangaben)
Verhältnis zu NIS-2/BSIGCER = physische Resilienz; NIS-2 = IT-Sicherheit. Nachweise nach § 39 BSIG können über das BBK teilweise mitverwendet werden

Geltungsbereich

Die CER-Richtlinie richtet sich zunächst an die Mitgliedstaaten: Sie müssen eine nationale Resilienzstrategie aufstellen, nationale Risikobewertungen durchführen und kritische Einrichtungen in mindestens elf Sektoren identifizieren. Erst über die nationale Umsetzung erreicht sie die Unternehmen.

In Deutschland setzt das KRITIS-Dachgesetz erstmals ein sektorenübergreifendes „Dach" über den physischen Schutz kritischer Anlagen. Bisher waren einzelne Aspekte über Fachgesetze verstreut (Energiewirtschaftsgesetz, Wasserhaushaltsgesetz, BSIG). Adressat sind Betreiber kritischer Anlagen — nicht die kritische Infrastruktur als Ganzes. Eine Anlage gilt als kritisch, wenn sie eine kritische Dienstleistung in einem erfassten Sektor erbringt und die quantitativen oder qualitativen Bemessungskriterien erfüllt.

Der Regelschwellenwert von 500.000 zu versorgenden Personen ist derselbe, der aus der BSI-Kritisverordnung bekannt ist. Neu ist, dass daneben qualitative Kriterien treten und die Länder Betreiber unterhalb der Schwellenwerte per eigener Rechtsverordnung bestimmen können, sofern eine Landesbehörde zuständig ist.

Die vier Resilienzziele

Resilienzmaßnahmen nach § 13 KRITISDachG müssen verhältnismäßig sein und vier Ziele abdecken:

  1. Verhindern — Vorfälle sollen gar nicht erst eintreten
  2. Schützen — angemessener physischer Schutz der Anlage (Zutritt, Perimeter, Objektschutz)
  3. Reagieren und Folgen begrenzen — Notfallpläne, Redundanzen, Krisenorganisation
  4. Wiederherstellen — Rückkehr zum Regelbetrieb nach einem Vorfall

Alle Maßnahmen sind in einem Resilienzplan zu dokumentieren und bedarfsweise zu aktualisieren. Das BBK will unverbindliche Muster und Vorlagen bereitstellen; diese befanden sich Stand 09.09.2026 noch in Erstellung. Die Verkündungsfassung des § 13 Abs. 5 KRITISDachG nannte dafür den 17.01.2026 — ein Datum, das zwei Monate vor dem Inkrafttreten des Gesetzes lag; Art. 8 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221) hat es durch eine Frist von acht Monaten nach Inkrafttreten der Rechtsverordnung ersetzt.

Meldewesen für Vorfälle

Das Meldewesen orientiert sich an den aus NIS-2 bekannten Fristen:

Meldungen laufen über eine gemeinsame Plattform von BBK und BSI. Die Pflicht greift erst zehn Monate nach der Registrierung einer kritischen Anlage (§ 8 Abs. 7 KRITISDachG) — Stand heute besteht sie also für niemanden.

Was Betreiber jetzt tun sollten

Auch ohne laufende Frist ist Vorarbeit sinnvoll, weil die Fristen nach Inkrafttreten der Rechtsverordnung eng getaktet sind:

Häufige Fehler

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-09-09
Letzte Prüfung:
2026-09-09
In Kraft seit:
2026-03-17
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.