KRITIS-Dachgesetz: Warum im Gesetz wörtlich „Objektschutz“ steht

Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Es ist geltendes Recht, kein Entwurf und kein Vorhaben.

Der amtliche Titel sagt bereits, worum es geht: „Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen". Ausgefertigt wurde es am 11. März 2026 (BGBl. 2026 I Nr. 66), in Kraft getreten nach Artikel 11 Absatz 1 des Artikelgesetzes am 17. März 2026; § 14 Absatz 3 bis 5 folgen erst zum

Januar 2030. Zwischenzeitlich geändert wurde es durch Artikel 8 des Gesetzes vom 21. Juli 2026 (BGBl. 2026 I Nr. 221).

In der Beratungspraxis wird es überwiegend von Informationssicherheits- und Rechtsberatungen bearbeitet. Das ist nachvollziehbar, weil dort die Mandate liegen — aber es passt nicht zu dem, was im Gesetz steht.

Der Halbsatz, um den es geht

§ 13 Abs. 3 Nr. 2 Buchst. a KRITISDachG verlangt wörtlich:

„Maßnahmen der baulichen und technischen Sicherung und des organisatorischen Schutzes (Objektschutz) wie Liegenschaftsabgrenzungen und hemmende Fassadenelemente"

Ein Bundesgesetz benutzt den Begriff Objektschutz im Gesetzestext. Die weiteren Maßnahmenkategorien des § 13 Abs. 3 lesen sich entsprechend: Notfallvorsorge, Umgebungsüberwachung, Einsatz von Detektionsgeräten, Zugangskontrollen, Krisenmanagementverfahren und Abläufe im Alarmfall, Betriebskontinuität einschließlich Notstromversorgung und alternativer Lieferketten, ein angemessenes Sicherheitsmanagement hinsichtlich der Mitarbeitenden sowie das Vertrautmachen des Personals durch Informationsmaterialien, Schulungen und Übungen.

Das ist Perimeter, Zutritt, Detektion, Alarmorganisation, Personalsicherheit und Unterweisung. Ein Informationssicherheitsmanagementsystem deckt davon nichts ab.

Der Anwendungsbereich ist ausdrücklich physisch zugeschnitten

§ 4 Abs. 1 nennt zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum und Siedlungsabfallentsorgung.

Entscheidend ist aber § 4 Abs. 2. Danach gelten die §§ 12 bis 16, 18 und 20 nicht für Finanzunternehmen nach der DORA-Verordnung und nicht für Betreiber im Sektor Informationstechnik und Telekommunikation. Für Siedlungsabfallentsorgung und Sozialversicherung bleibt es allein bei § 12.

Für den Resilienzplan nach § 13 bleiben damit praktisch übrig: Energie, Transport und Verkehr, Gesundheitswesen, Wasser, Ernährung und Weltraum. Der Gesetzgeber hat die IT-lastigen Sektoren aus genau dem Teil herausgenommen, der physische Maßnahmen verlangt.

Was das Gesetz sonst verlangt

Registrierung. § 8 Abs. 1: spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, beim BBK über eine gemeinsam von BSI und BBK eingerichtete Möglichkeit.

Fristen nach der Registrierung. § 8 Abs. 7: Die Pflichten aus § 12 (Risikoanalyse und Risikobewertung des Betreibers) gelten erstmals neun Monate nach der Registrierung, die Pflichten aus den §§ 13, 18 und 20 erstmals zehn Monate danach. Die Zehn-Monats-Frist erfasst damit gleichzeitig den Resilienzplan, das Meldewesen und die Geschäftsleitungspflicht.

Nachvollziehbarkeit. § 13 Abs. 4 verlangt nicht nur, dass der Resilienzplan die Maßnahmen darstellt, sondern dass die zugrundeliegenden Erwägungen hervorgehen und auf die Risikoanalyse Bezug genommen wird. Er ist bei Bedarf sowie nach jeder Risikoanalyse zu aktualisieren.

Geschäftsleitung. § 20 begründet eine eigene Umsetzungs- und Überwachungspflicht der Geschäftsleitungen.

Schwellenwert. § 5 Abs. 2 Satz 2 nennt als Regelwert grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner. Nach § 5 Abs. 3 kann das BMI im Einzelfall auch Anlagen unterhalb dieses Werts als erheblich feststellen; nach § 5 Abs. 7 können die Länder eigene Anlagen feststellen.

Das Gesetz gilt — die Verordnung dazu fehlt noch

Damit hier keine Verwechslung entsteht, weil beides gern durcheinandergerät: Das Gesetz ist in Kraft. Was noch aussteht, ist die Rechtsverordnung, die es ausfüllt — die „KRITIS-Verordnung" (KritisV) nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG.

Für sie hat das Bundesinnenministerium am 26. Mai 2026 einen Referentenentwurf vorgelegt; die Stellungnahmefrist lief bis zum 16. Juni 2026. Nach dem Entwurf sollen Anlagen, die die maßgeblichen Schwellenwerte bereits 2025 erreicht haben, mit Inkrafttreten der Verordnung als kritisch gelten — dieses Datum löst für sie dann zugleich den Fristenlauf aus. Der Entwurf ist noch kein geltendes Recht; Änderungen im weiteren Verfahren sind nicht ausgeschlossen.

Daraus folgt eine schlichte Kette: Ohne die Verordnung gibt es keine verbindlichen sektorspezifischen Schwellenwerte. Ohne Schwellenwerte gilt keine Anlage als kritische Anlage. Ohne diese Einstufung läuft die Drei-Monats-Frist des § 8 Abs. 1 nicht — und ohne Registrierung laufen auch die Neun- und Zehn-Monats-Fristen des § 8 Abs. 7 nicht.

§ 8 Abs. 8 bestätigt die Abhängigkeit ausdrücklich: Das BBK legt die Einzelheiten des Registrierungsverfahrens erst innerhalb von vier Wochen nach Inkrafttreten dieser Verordnung fest. Und § 13 Abs. 5: Vorlagen und Muster für Resilienzpläne stellt das BBK spätestens acht Monate nach Inkrafttreten der Verordnung bereit.

Wer heute mit konkreten Fälligkeitsterminen wirbt, wird von jedem Betreiber mit Rechtsabteilung korrigiert. Über die Pflichten sprechen, nicht über Termine: Die Pflichten stehen im Gesetz und gelten, die Termine hängen an der Verordnung.

Zu den Bußgeldern, korrekt zugeordnet

In Sekundärquellen kursiert die Angabe, die Verweigerung des Zutritts sei mit bis zu einer Million Euro bewehrt. Nach dem Wortlaut des § 24 Abs. 2 trifft das nicht zu:

bis 1.000.000 €: Zuwiderhandlung gegen eine Anordnung nach § 8 Abs. 2 Satz 1 (Vorlageverlangen zur Feststellung der Kritikalität)
bis 500.000 €: Auditergebnis nach § 16 Abs. 3 Satz 3 nicht oder nicht richtig übermittelt
bis 200.000 €: Zuwiderhandlung gegen Anordnungen nach § 16
bis 100.000 €: alle übrigen Fälle, einschließlich fehlerhafter Registrierung nach § 8 Abs. 1 und der Zutrittsverweigerung nach § 16 Abs. 4 Satz 3

Was Betreiber sinnvollerweise jetzt tun

Nicht auf die Verordnung warten, aber auch nicht in Aktionismus verfallen. Sinnvoll ist die Vorarbeit, die ohnehin gebraucht wird und die keine Verordnung voraussetzt: Liegenschaften und Perimeter abgrenzen, den vorhandenen physischen Schutz dokumentieren, Zutrittsregelungen und Alarmabläufe schriftlich fassen, Übungen planen. Wer das hat, schreibt den Resilienzplan später aus einer Grundlage statt aus dem Nichts.

Stand: 8. August 2026. Inkrafttreten, Fundstelle und Änderungsstand des Gesetzes wurden an der amtlichen Fassung auf gesetze-im-internet.de geprüft. Der Stand des Verordnungsverfahrens beruht auf öffentlich zugänglichen Berichten zum Referentenentwurf und kann sich kurzfristig ändern — vor einer Entscheidung bitte den aktuellen Stand prüfen. Dieser Beitrag ist eine fachliche Einordnung und keine Rechtsberatung.

Quellen: KRITIS-Dachgesetz im Volltext · CMS: Legal Update zur KRITIS-Verordnung