CER-Richtlinie (RL 2022/2557) – KRITIS-Dachgesetz, Resilienzpflichten kritischer Anlagen
Kurzantwort
Die CER-Richtlinie (Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen) vom 14.12.2022 verpflichtet die EU-Mitgliedstaaten, Betreiber kritischer Anlagen gegen alle Gefahrenarten zu wappnen — nicht nur gegen Cyberangriffe, sondern auch gegen Naturkatastrophen, Sabotage, Terrorismus und technisches Versagen. Sie ist das physische Gegenstück zu NIS-2 (RL 2022/2555), die die IT-Sicherheit regelt.
Als Richtlinie gilt die CER nicht unmittelbar — sie brauchte ein deutsches Umsetzungsgesetz. Die EU-Umsetzungsfrist lief am 17.10.2024 ab; Deutschland hat sie um rund 17 Monate verfehlt. Erst das KRITIS-Dachgesetz (KRITISDachG) — vom Bundestag am 29.01.2026 beschlossen, Zustimmung des Bundesrates am 06.03.2026, verkündet im BGBl. 2026 I Nr. 66 — ist am 17.03.2026 in Kraft getreten. Zuständige Bundesbehörde ist das BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe).
Wichtig für Betreiber (Stand 05.09.2026): Es besteht noch keine Registrierungspflicht. Die konkretisierende Rechtsverordnung zur Bestimmung kritischer Anlagen (§ 4 Abs. 3, § 5 Abs. 1 KRITISDachG), die den Anwendungsbereich erst praktisch festlegt, befindet sich laut BBK noch in Erarbeitung und Abstimmung. Registrierungs-, Risikoanalyse-, Resilienz- und Meldepflichten laufen erst nach deren Inkrafttreten an.
Kernfakten
| Punkt | Wert |
|---|---|
| EU-Rechtsgrundlage | Richtlinie (EU) 2022/2557 vom 14.12.2022 (CER) |
| EU-Inkrafttreten | 16.01.2023 |
| EU-Umsetzungsfrist | 17.10.2024 (von Deutschland verfehlt) |
| Aufgehobene Vorgängerregelung | Richtlinie 2008/114/EG, aufgehoben zum 18.10.2024 |
| Deutsches Umsetzungsgesetz | KRITIS-Dachgesetz (KRITISDachG) |
| Bundestagsbeschluss | 29.01.2026 |
| Bundesratszustimmung | 06.03.2026 |
| Verkündung | BGBl. 2026 I Nr. 66 (11.03.2026) |
| Inkrafttreten DE | 17.03.2026 |
| Gestaffeltes Inkrafttreten | § 14 Abs. 3–5 KRITISDachG erst zum 01.01.2030 |
| Zuständige Behörde | BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe) |
| Erfasste Sektoren | Energie, Verkehr/Transport, Finanzwesen, Sozialversicherung/Grundsicherung, Gesundheitswesen, Wasser (Trink- und Abwasser), Ernährung, IT & Telekommunikation, Weltraum, Siedlungsabfallentsorgung |
| Regel-Schwellenwert | 500.000 zu versorgende Personen je Anlage (zzgl. qualitativer Kriterien: Interdependenzen, Marktanteil, geografische Reichweite) |
| Konkretisierung Anwendungsbereich | Rechtsverordnung nach § 4 Abs. 3, § 5 Abs. 1 KRITISDachG — noch nicht erlassen (Stand 05.09.2026) |
| Registrierung | § 8 KRITISDachG, digitale Plattform BBK/BSI |
| Anlauf der Betreiberpflichten | Risikoanalyse (§ 12 Abs. 1) und Resilienzmaßnahmen (§ 13 Abs. 1) erstmals 9 bzw. 10 Monate nach Registrierung (§ 8 Abs. 7 KRITISDachG) |
| Meldepflicht Vorfälle | § 18 KRITISDachG, erst 10 Monate nach Registrierung (§ 8 Abs. 7) |
| Turnus Risikoanalyse | mindestens alle vier Jahre, bedarfsweise häufiger |
| Bußgeldrahmen | bis zu 1 Mio. EUR (gegenüber Regierungsentwurf erhöht) — Höhe nicht amtlich gegengeprüft, siehe Hinweis unten |
| Verhältnis zu NIS-2/BSIG | CER = physische Resilienz; NIS-2 = IT-Sicherheit. Nachweise nach § 39 BSIG können über das BBK teilweise mitverwendet werden |
> Faktencheck-Hinweis: Der Bußgeldrahmen und die konkreten Registrierungsfristen stammen aus qualifizierten Sekundärquellen bzw. hängen von der noch ausstehenden Rechtsverordnung ab. Sie sind nicht gegen den amtlichen Gesetzestext im Bundesgesetzblatt verifiziert. Für rechtsverbindliche Angaben ist der Gesetzestext auf gesetze-im-internet.de/kritisdachg maßgeblich. Dieses Topic ist als review_needed markiert.
Geltungsbereich
Die CER-Richtlinie richtet sich zunächst an die Mitgliedstaaten: Sie müssen eine nationale Resilienzstrategie aufstellen, nationale Risikobewertungen durchführen und kritische Einrichtungen in mindestens elf Sektoren identifizieren. Erst über die nationale Umsetzung erreicht sie die Unternehmen.
In Deutschland setzt das KRITIS-Dachgesetz erstmals ein sektorenübergreifendes „Dach" über den physischen Schutz kritischer Anlagen. Bisher waren einzelne Aspekte über Fachgesetze verstreut (Energiewirtschaftsgesetz, Wasserhaushaltsgesetz, BSIG). Adressat sind Betreiber kritischer Anlagen — nicht die kritische Infrastruktur als Ganzes. Eine Anlage gilt als kritisch, wenn sie eine kritische Dienstleistung in einem erfassten Sektor erbringt und die quantitativen oder qualitativen Bemessungskriterien erfüllt.
Der Regelschwellenwert von 500.000 zu versorgenden Personen ist derselbe, der aus der BSI-Kritisverordnung bekannt ist. Neu ist, dass daneben qualitative Kriterien treten und die Länder Betreiber unterhalb der Schwellenwerte per eigener Rechtsverordnung bestimmen können, sofern eine Landesbehörde zuständig ist.
Die vier Resilienzziele
Resilienzmaßnahmen nach § 13 KRITISDachG müssen verhältnismäßig sein und vier Ziele abdecken:
- Verhindern — Vorfälle sollen gar nicht erst eintreten
- Schützen — angemessener physischer Schutz der Anlage (Zutritt, Perimeter, Objektschutz)
- Reagieren und Folgen begrenzen — Notfallpläne, Redundanzen, Krisenorganisation
- Wiederherstellen — Rückkehr zum Regelbetrieb nach einem Vorfall
Alle Maßnahmen sind in einem Resilienzplan zu dokumentieren und bedarfsweise zu aktualisieren. Das BBK will unverbindliche Muster und Vorlagen bereitstellen; diese befanden sich Stand 05.09.2026 noch in Erstellung.
Meldewesen für Vorfälle
Das Meldewesen orientiert sich an den aus NIS-2 bekannten Fristen:
- Erstmeldung binnen 24 Stunden nach Kenntnis des Vorfalls
- Aktualisierungen, solange der Vorfall andauert
- Ausführlicher Abschlussbericht binnen einem Monat
Meldungen laufen über eine gemeinsame Plattform von BBK und BSI. Die Pflicht greift erst zehn Monate nach der Registrierung einer kritischen Anlage (§ 8 Abs. 7 KRITISDachG) — Stand heute besteht sie also für niemanden.
Was Betreiber jetzt tun sollten
Auch ohne laufende Frist ist Vorarbeit sinnvoll, weil die Fristen nach Inkrafttreten der Rechtsverordnung eng getaktet sind:
- Betroffenheit prüfen: Erbringt eine Anlage eine kritische Dienstleistung in einem der erfassten Sektoren? Wie viele Personen werden versorgt?
- Registrierungsdaten vorbereiten: Versorgungsgrad, Standorte, Kontaktstelle
- Methodik für physische Risikoanalysen definieren — einschließlich Interdependenzen innerhalb und zwischen Sektoren
- Resilienzplan-Struktur anlegen, Übungen und Schulungen planen
- Melde- und Nachweisprozesse organisatorisch verankern und mit bestehenden Pflichten aus BSIG/NIS-2 und ggf. DORA synchronisieren
- Branchenspezifische Resilienzstandards mitgestalten — anerkannte Standards können sektorspezifische Verordnungen entbehrlich machen
Häufige Fehler
- „Die CER-Richtlinie gilt seit 2024 direkt." Falsch — die CER ist eine Richtlinie, keine Verordnung. Sie wirkt in Deutschland erst über das KRITIS-Dachgesetz seit dem 17.03.2026.
- „CER und NIS-2 sind dasselbe." Falsch — NIS-2 regelt die IT-Sicherheit, CER die physische Resilienz gegen alle Gefahrenarten. Viele Betreiber fallen unter beide Regime und müssen beide Pflichtenkreise erfüllen.
- „Wir müssen uns jetzt sofort registrieren." Falsch — Stand 05.09.2026 besteht keine Registrierungspflicht. Die Rechtsverordnung zur Bestimmung kritischer Anlagen ist noch nicht in Kraft.
- „Das Gesetz gilt vollständig seit dem 17.03.2026." Differenziert — es ist in Kraft, aber § 14 Abs. 3 bis 5 KRITISDachG treten erst zum 01.01.2030 in Kraft, und die operativen Betreiberpflichten hängen an der Registrierung.
- „Nur Konzerne sind betroffen." Differenziert — maßgeblich ist der Versorgungsgrad der Anlage, nicht die Unternehmensgröße. Zudem können die Länder Betreiber unterhalb der Schwellenwerte per Rechtsverordnung einbeziehen.
- „Es reicht, den BSI-Nachweis nach § 39 BSIG einzureichen." Falsch — dieser deckt nur die IT-Seite ab. Zuständige Behörden dürfen über das BBK gezielt auf Teile davon zurückgreifen, soweit sie die physische Resilienz betreffen; ein Vollersatz ist er nicht.
Quellen
- Richtlinie (EU) 2022/2557 – Volltext EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX%3A32022L2557
- Richtlinie (EU) 2022/2557 – ELI-Permalink: https://eur-lex.europa.eu/eli/dir/2022/2557/oj?locale=de
- KRITIS-Dachgesetz (KRITISDachG) – gesetze-im-internet.de: https://www.gesetze-im-internet.de/kritisdachg/
- BBK – KRITIS-Dachgesetz (zuständige Bundesbehörde): https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/Strategien-und-rechtlicher-Rahmen/KRITISDachG/kritisdachg_node.html
- BBK – FAQ zum KRITIS-Dachgesetz (Fristen, Registrierung, Meldewesen): https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/Strategien-und-rechtlicher-Rahmen/KRITISDachG/FAQ/faq_node.html
- BMI – FAQ zum KRITIS-Dachgesetz: https://www.bmi.bund.de/SharedDocs/faqs/DE/themen/bevoelkerungsschutz/kritis-dach/kritis-dach.html
- Bundesgesetzblatt 2026 I Nr. 66 – Umsetzungsgesetz zur Richtlinie (EU) 2022/2557: https://www.recht.bund.de/bgbl/1/2026/66/VO.html
- Deutscher Bundestag – Beschluss vom 29.01.2026: https://www.bundestag.de/dokumente/textarchiv/2026/kw05-de-kritische-infrastruktur-1137002
- BSI – Regulierung nach NIS-2 (Abgrenzung IT-Sicherheit): https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/regulierte-wirtschaft_node.html
- BSI-Gesetz (BSIG 2025) – gesetze-im-internet.de: https://www.gesetze-im-internet.de/bsig_2025/
Änderungsverlauf
- 2026-09-05: Erstveröffentlichung durch EU-Recht-Bot. CER-Richtlinie (EU) 2022/2557 und deutsche Umsetzung durch das KRITIS-Dachgesetz (in Kraft 17.03.2026, BGBl. 2026 I Nr. 66) dokumentiert. Verspätete Umsetzung (EU-Frist 17.10.2024) vermerkt. Fehlende Rechtsverordnung nach § 4 Abs. 3, § 5 Abs. 1 KRITISDachG als Grund für noch nicht laufende Betreiberpflichten festgehalten. factcheck_status=review_needed wegen nicht amtlich gegengeprüftem Bußgeldrahmen und registrierungsabhängigen Fristen. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"
Siehe auch
- NIS-2 UmsuCG – Cybersecurity-Pflichten für KRITIS
- Cyber Resilience Act (CRA) – CE-Pflichten für Produkte mit digitalen Elementen
- DORA – digitale operationale Resilienz im Finanzsektor
- EU Data Act (VO 2023/2854)
Stand
- Stand: 2026-09-05
- EU-Richtlinie in Kraft: 2023-01-16
- EU-Umsetzungsfrist: 2024-10-17 (von Deutschland verfehlt)
- Deutsches Umsetzungsgesetz in Kraft: 2026-03-17
- Teilinkrafttreten § 14 Abs. 3–5 KRITISDachG: 2030-01-01
- Status: aktuell — Rechtsverordnung zur Bestimmung kritischer Anlagen ausstehend
- Quellenautorität: A (RL 2022/2557, KRITISDachG, BBK, BMI, Bundesgesetzblatt)
- Faktencheck: review_needed (Bußgeldrahmen und Registrierungsfristen nicht amtlich gegengeprüft)
- Lizenz: CC BY 4.0