Melde- und Informationsportal
Häufig gesucht

Informationen zum KRITIS-Dachgesetz

Gesetzliche Grundlage, Zuständigkeiten und Fristen

Mit Inkrafttreten des KRITIS-Dachgesetzes (KRITISDachG) am 17.03.2026 wurden erstmals bundesweit einheitliche Anforderungen zur Stärkung der physischen Resilienz kritischer Anlagen geschaffen.

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) ist für die Registrierung von Betreibern kritischer Anlagen gemäß KRITISDachG zuständig. Über das Melde- und Informationsportal (MIP) können Betreiber ihrer gesetzlichen Registrierungspflicht nachkommen. Betreiber sind verpflichtet, spätestens drei Monate, nachdem deren Anlagen auf Grundlage der Kritisverordnung (KritisV) als kritische Anlagen gelten, diese Anlagen über das MIP zu registrieren. Die KritisV ist derzeit in Abstimmung.

Das BBK stellt auf seiner Website weiterführende Informationen zum KRITISDachG bereit. Hierzu zählen FAQ mit Informationen zu Betreiberpflichten z. B. zur Registrierung, und zum Meldewesen und damit verbundene Fristen sowie weitere Unterstützungsangebote.
www.bbk.bund.de/kritis-dachgesetz
Die Informationsangebote werden sukzessive ergänzt und an neue rechtliche sowie fachliche Entwicklungen angepasst.

Registrierung gemäß § 8 KRITISDachG:

Wo muss ich mich als Betreiber kritischer Anlagen registrieren?

Registrierungsdaten müssen gemäß § 8 Abs. 1 KRITISDachG dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) über eine gemeinsam vom BBK und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) eingerichtete Registrierungsmöglichkeit übermittelt werden.
Die Registrierung erfolgt mittels der bekannten und etablierten Melde- und Informationsportal (MIP) über die Meldestelle KRITIS.

Was ist erforderlich, wenn ich mich bereits im BSI-Portal gemäß BSI-Gesetz (BSIG) registriert habe?

Eine Registrierung im BSI-Portal gemäß BSI-Gesetz (BSIG) ersetzt nicht die Registrierung gemäß KRITISDachG. Eine Registrierung als Betreiber einer kritischen Anlage nach KRITISDachG ist (zusätzlich) obligatorisch. Bitte registrieren Sie sich im MIP, auch wenn Sie bereits über das BSI-Portal als „besonders wichtige Einrichtung“ registriert sind. Betreiber, die bereits über einen Account im MIP verfügen, sollen diesen auch weiterhin nutzen. Betreiber kritischer Anlagen sollen bereits erfolgte Registrierungen nach BSIG für die Registrierung nach KRITIS-Dachgesetz nach Möglichkeit nutzen können.

Welche Daten müssen bei der Registrierung angegeben werden?

Die im Rahmen der Registrierung kritischer Anlagen und deren Betreiber erhobenen Daten werden durch § 8 Abs. 1 KRITISDachG abschließend beschrieben. Die zu erhebenden Daten teilen sich auf in Informationen zu Betreibern sowie Informationen zu den jeweiligen kritischen Anlagen.

Angaben zum Betreiber

  • Name des Betreibers (einschließlich Rechtsform und falls einschlägig, Handelsregisternummer)
  • Anschrift und aktuelle Kontaktdaten des Betreibers (einschließlich der E-Mail-Adresse und der Telefonnummer)
  • Sofern zutreffend: Aufzählung der kritischen Dienstleistungen, die in anderen oder für andere EU-Mitgliedstaaten erbracht werden (Aufschlüsselung der kritischen Dienstleistungen nach EU-Mitgliedstaat)
  • Kontaktstelle, über die der Betreiber kritischer Anlagen erreichbar ist
  • Zum Einsatz kommende Typen von kritischen Komponenten gemäß § 2 Nr. 23 BSIG

Die Erfassung der zum Einsatz kommenden Typen von kritischen Komponenten gemäß § 2 Nr. 23 BSIG wird im Rahmen der Registrierung als Betreiber kritischer Anlagen nicht über das MIP, sondern über einen gesonderten Weg, in Anlehnung an die bereits durch das BSI etablierte Praxis erfolgen. Hierzu wird das BBK zeitnah weiterführende Informationen bereitstellen.
Informationen zur bisherigen Registrierung kritischer Komponenten finden Sie in den FAQ des BSI zur Registrierung: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ-allgemein/FAQ-zu-NIS-2_node.html#doc1137642bodyText4

Angaben zur kritischen Anlage

  • Name oder referenzierbare Bezeichnung der kritischen Anlage
  • Standort der kritischen Anlage (Kreis/kreisfreie Stadt)
  • Versorgungsgebiet der kritischen Anlage (alle versorgten Kreise und kreisfreien Städte sowie, sofern sich das Versorgungsgebiet über Deutschland hinaus erstreckt, alle betroffenen EU-Mitgliedstaaten sind auszuwählen).
  • Sektor, Branche, kritische Dienstleistung, Bereich, öffentliche IP-Adressbereiche* und Anlagenkategorie der kritischen Anlage
    *Die öffentlichen IP-Adressbereiche werden ausschließlich auf Betreiberebene und nicht anlagenspezifisch abgefragt.
  • Werte zum Versorgungsgrad der kritischen Anlage

Wofür werden die im Rahmen der Registrierung erhobenen Kontaktdaten genutzt?

Die erhobenen Kontaktdaten dienen der behördlichen Aufsicht sowie dem schnellen Informations- und Meldewesen zwischen Betreibern kritischer Anlagen und zuständigen Behörden. Für Betreiber kritischer Anlagen resultieren teils fristgebundene Pflichten aus einer abgeschlossenen Registrierung gemäß KRITISDachG:

  • Pflichten aus dem KRITIS-Dachgesetz, z. B. die Erstellung einer Risikoanalyse und -bewertung (neun Monate nach Registrierung) sowie eines Resilienzplans (zehn Monate nach Registrierung), die Entgegennahme von Informationen des BBK nach meldepflichtigen Vorfällen, Lagebildern oder Registrierungsmitteilungen sowie die Übermittlung bzw. Aktualisierung von Kontaktdaten bei betreiberseitigen Änderungen.
  • Pflichten aus dem BSIG, z. B. IT-sicherheitsbezogene Risikomanagementmaßnahmen einschließlich Nachweispflicht, Entgegennahme von Informationen des BSI wie IT-Sicherheitsinformationen oder Lageberichten (Hinweis: Hierfür wird gemäß § 8 Abs. 1 Nr. 7 BSIG eine jederzeitige Erreichbarkeit (24/7) benötigt)

Im Rahmen der Registrierung kann im Registrierungsformular ausgewählt werden, ob eine Kontaktstelle alle Pflichten gegenüber BBK und BSI (jederzeitige Erreichbarkeit (24/7)) wahrnehmen soll oder ob diese Pflichten auf bis zu drei Kontaktstellen aufgeteilt werden. Die dritte Kontaktstelle kann bspw. die organisatorische Kontaktstelle sein. Die Pflichten der Betreiber können auch von einer einzelnen Kontaktstelle wahrgenommen werden.

Welche Fristen gelten für die Registrierung? Ab wann muss ich mich registrieren?

Betreiber müssen ihre Anlagen, die gemäß Kritisverordnung (KritisV) als kritische Anlagen gelten, bis spätestens drei Monate, nachdem ihre Anlage als kritisch im Sinne der KritisV gilt, registrieren. Die KritisV befindet sich derzeit in der Abstimmung.

Sind die Registrierungsdaten öffentlich einsehbar?

Nein, die Registrierungsdaten sind nicht öffentlich einsehbar.

In welcher Form erhalte ich nach der Registrierung eine Bestätigung?

Nach Absendung der Registrierungsdaten im MIP erhalten Betreiber kritischer Anlagen innerhalb von vier Wochen eine Bestätigung über die erfolgreiche Übermittlung der Registrierungsdaten. Nach erfolgter Plausibilisierung der Registrierungsdaten durch das BBK erhalten Betreiber zudem jeweils eine Mitteilung über die erfolgreiche Registrierung oder auch Ablehnung einer Registrierung je gemeldeter kritischer Anlage. Die Mitteilung wird als PDF-Dokument an die vom Betreiber angegebene E-Mail-Adresse übersandt.

Was passiert, wenn ich meiner Registrierungspflicht nicht nachkomme?

Rechtfertigen Tatsachen die Annahme, dass ein Betreiber seiner Registrierungspflicht gemäß § 8 Abs. 1 KRITISDachG nicht nachkommt, kann das BBK vom Betreiber verlangen, Unterlagen vorzulegen sowie Auskünfte zu erteilen, soweit dies erforderlich ist, um festzustellen, ob eine Anlage kritisch im Sinne des KRITISDachG ist. Wenn nach Prüfung eine Registrierungspflicht vorliegt, teilt das BBK dies dem betroffenen Betreiber mit und fordert diesen auf, sich gemäß § 8 Abs. 1 KRITISDachG zu registrieren.
Kommt der Betreiber dieser Aufforderung nicht nach, kann das BBK gemäß § 8 Abs. 3 KRITISDachG nach Anhörung des Betreibers die Registrierung selbst vornehmen. Verstöße gegen die Registrierungspflicht können als Ordnungswidrigkeit gemäß § 24 KRITISDachG geahndet werden.

Meldewesen für Vorfälle gemäß § 18 KRITISDachG:

Ab wann müssen Vorfälle gemeldet werden?

Die Verpflichtung zur Meldung von Vorfällen gemäß § 18 KRITISDachG ist an die Registrierung kritischer Anlage gekoppelt und gilt erst zehn Monate nach erfolgter Registrierung als Betreiber kritischer Anlagen gemäß § 8 Abs. 7 KRITISDachG. Zurzeit besteht noch keine Meldepflicht nach KRITISDachG, da sich die KritisV noch in Abstimmung befindet. Die Meldepflicht gemäß § 32 BSIG bleibt davon unberührt.

Wie kann ich bereits jetzt freiwillig einen Vorfall melden?

Eine Pflicht zur Meldung von Vorfällen nach KRITISDachG besteht erst zehn Monate nach erfolgter Registrierung einer kritischen Anlage gemäß § 8 Abs. 7 KRITISDachG. Betreiber kritischer Anlagen haben die Möglichkeit, bereits freiwillig Meldungen über das im MIP hinterlegte Meldeformular nach BSIG abzugeben. Aus der freiwilligen Abgabe von Meldungen leiten sich keine Pflichten für Betreiber kritischer Anlagen ab.

Was gilt als Vorfall?

Ein Vorfall ist ein Ereignis, das die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnte (§ 2 Nr. 9 KRITISDachG). Als Ausnahme gelten Ereignisse, die ausschließlich Sicherheitsvorfälle im Sinne des § 2 Nr. 40 BSIG oder § 3 Nr. 53 des Telekommunikationsgesetzes (TKG) sind.

An wen muss ein Vorfall gemeldet werden?

Vorfälle müssen gemäß § 18 Abs. 1 KRITISDachG dem BBK gemeldet werden. Dies wird über eine Meldestelle erfolgen, die von BBK and BSI gemeinsam betrieben wird.

Welche Informationen müssen gemeldet werden?

Gemäß § 18 Abs. 2 KRITISDachG müssen die Meldungen die zu ihrem Zeitpunkt verfügbaren Informationen enthalten, die erforderlich sind, damit Art, Ursache und mögliche, auch grenzüberschreitende, Auswirkungen und Folgen des Vorfalls ermittelt und nachvollzogen werden können.
Die Meldungen müssen insbesondere folgende Informationen enthalten:

  • die Anzahl und den Anteil der von dem Vorfall Betroffenen,
  • die bisherige und voraussichtliche Dauer des Vorfalls sowie
  • das betroffene geografische Gebiet des Vorfalls, unter Berücksichtigung des Umstands, ob das Gebiet geografisch isoliert ist.

Erhalte ich Einsicht in Meldungen anderer Unternehmen, zum Beispiel bei Vorfällen, die meinen Sektor oder meine Branche betreffen?

Nein, Vorfallsmeldungen werden anderen Unternehmen nicht zur Verfügung gestellt. Liegt die Offenlegung des Vorfalls im öffentlichen Interesse, so kann das BBK nach Anhörung des Betreibers der betroffenen kritischen Anlage und im Einvernehmen mit der zuständigen Behörde des Bundes oder im Benehmen mit der zuständigen Behörde des Landes die Öffentlichkeit über den Vorfall informieren oder den Betreiber verpflichtet, dies zu tun. Zudem wird das BBK gemäß § 18 Abs. 8 KRITISDachG auf der Grundlage der eingegangenen Vorfallsmeldungen sowie weiterer Informationen regelmäßige und anlassbezogene Lagebilder zur Situation der kritischen Anlagen erstellen, die auch den Betreibern kritischer Anlagen zur Verfügung gestellt werden. Bei der Erstellung von Lagebildern nach § 18 Abs. 8 KRITISDachG sind die erforderliche Vertraulichkeit sowie die Betriebs- und Geschäftsgeheimnisse des Betreibers kritischer Anlagen zu beachten.