Am 17.03.2026 ist das Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen (KRITIS-Dachgesetz – KRITISDachG) in Kraft getreten. Es setzt die europäische CER-Richtlinie (Richtlinie (EU) 2022/2557) über die Resilienz kritischer Einrichtungen um und ergänzt den bislang vor allem auf IT- und Cybersicherheit ausgerichteten Schutz Kritischer Infrastrukturen nach dem BSI-Gesetz (BSIG) und der NIS-2-Richtlinie (NIS-2). Neben IT- und Cybersicherheit wird damit auch der physische Schutz von Anlagen, Standorten, Personal, Lieferketten und Betriebsabläufen zu einer verbindlichen Betreiberpflicht.
Für betroffene Unternehmen ist das mehr als ein weiteres Sicherheitsgesetz. Das KRITIS-Dachgesetz ist auch eine Frage ordnungsgemäßer Unternehmensorganisation: Es macht physische Resilienz zur Aufgabe der Betreiberorganisation und nimmt ausdrücklich auch die Geschäftsleitung in die Pflicht. Der All-Gefahren-Ansatz des Gesetzes trägt einer veränderten Sicherheitslage Rechnung, in der auch physische Angriffe, Sabotageakte und hybride Bedrohungen die Funktionsfähigkeit zentraler Versorgungsstrukturen beeinträchtigen können.
Unmittelbare Adressaten des KRITIS-Dachgesetzes sind Betreiber kritischer Anlagen in zentralen Sektoren wie Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Ob eine konkrete Anlage tatsächlich als kritische Anlage gilt, hängt jedoch nicht allein vom Sektor ab. Entscheidend ist, ob sie für die Erbringung einer kritischen Dienstleistung erheblich ist. Die konkrete Bestimmung der kritischen Dienstleistungen, Anlagenkategorien und Schwellenwerte bleibt einer Rechtsverordnung des Bundesministeriums des Innern vorbehalten. Hierzu liegt seit dem 26.05.2026 ein Referentenentwurf für eine KRITIS-Verordnung vor; das Verordnungsverfahren ist noch nicht abgeschlossen. Der im Gesetz genannte Wert von grundsätzlich 500.000 zu versorgenden Einwohnern ist dabei nur ein Regelwert für die Festlegung der Schwellenwerte, kein unmittelbar anwendbarer Schwellenwert.
Unternehmen, die bereits heute als KRITIS-Betreiber eingeordnet sind oder in kritischen Sektoren tätig sind, sollten ihre mögliche Betroffenheit frühzeitig prüfen. Zusätzliche Komplexität kann sich künftig daraus ergeben, dass das Gesetz eine weitere Verordnungsermächtigung vorsieht: Danach können Kriterien und Verfahren festgelegt werden, nach denen die Länder auch Anlagen unterhalb der allgemeinen Schwellenwerte als kritisch feststellen können, sofern für die betroffene Dienstleistung eine Landesbehörde zuständig ist.
Mittelbar betroffen sein können zudem Unternehmen, die für Betreiber kritischer Anlagen wesentliche Leistungen erbringen oder in deren Betriebs-, Sicherheits- oder Notfallorganisation eingebunden sind, etwa IT- und Rechenzentrumsdienstleister, Facility-Management-Unternehmen, Sicherheitsdienstleister, Wartungs- und Instandhaltungsunternehmen, Bauunternehmen, Betreiber technischer Anlagen oder sonstige kritische Zulieferer. Sie werden regelmäßig nicht selbst unmittelbare Adressaten des KRITIS-Dachgesetzes sein, können aber über vertragliche Bestimmungen, Audit-Rechte, Informationspflichten und Meldeprozesse in die Resilienzorganisation des Betreibers einbezogen werden.
Das KRITIS-Dachgesetz sieht mehrere zeitlich gestaffelte Pflichten vor. Betreiber kritischer Anlagen müssen sich spätestens drei Monate, nachdem eine Anlage als kritisch eingestuft ist, beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren. Die Registrierungspflicht kann frühestens mit Ablauf des 17.07.2026 relevant werden und setzt voraus, dass die Anlage nach der erst noch zu erlassenden KRITIS-Verordnung als kritisch einzuordnen ist. Die Registrierung erfolgt dann über eine gemeinsame Registrierungsmöglichkeit des BBK und des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Die Pflicht zur Risikoanalyse und Risikobewertung greift erstmals neun Monate nach Registrierung. Danach müssen Betreiber mindestens alle vier Jahre sowie im Bedarfsfall prüfen, welchen natürlichen, technischen, menschlich verursachten oder hybriden Risiken ihre kritischen Dienstleistungen ausgesetzt sind.
Zehn Monate nach Registrierung greifen die Pflichten zu Resilienzmaßnahmen, Meldewesen und Geschäftsleitungsorganisation. Betreiber müssen verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen treffen, um Vorfälle zu verhindern, physischen Schutz zu gewährleisten, auf Vorfälle zu reagieren und die kritische Dienstleistung nach Vorfällen zügig wiederherzustellen. Die Maßnahmen sind in einem Resilienzplan darzustellen. In Betracht kommen insbesondere Notfallvorsorge, baulicher und organisatorischer Objektschutz, Zugangskontrollen, Überwachung, Alarm- und Krisenmanagement, Notstromversorgung, alternative Lieferketten sowie Schulungen und Übungen.
Vorfälle sind unverzüglich, spätestens 24 Stunden nach Kenntnis, über die gemeinsame Meldestelle von BBK und BSI zu melden. Spätestens einen Monat nach Kenntnis ist ein ausführlicher Bericht zu übermitteln. Unternehmen benötigen daher klare Eskalationswege, Zuständigkeiten und Entscheidungskriterien.
Besonders relevant ist § 20 KRITISDachG. Danach ist die Geschäftsleitung verpflichtet, die Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen. Physische Resilienz wird damit aus der operativen Sicherheitsorganisation auf die Ebene der Unternehmensleitung gehoben.
Das Bußgeldregime des KRITIS-Dachgesetzes setzt allerdings nicht bei allen Pflichten gleichermaßen an. § 24 KRITISDachG sanktioniert vor allem Verstöße gegen Verfahrens- und Mitwirkungspflichten, etwa gegen Registrierungs-, Nachweis-, Audit- oder Auskunftspflichten. Nicht unmittelbar als Ordnungswidrigkeit ausgestaltet sind dagegen Verstöße gegen die Risikoanalysepflichten, die materiellen Resilienzpflichten, die Meldepflichten oder die Geschäftsleitungspflichten.
Die praktische Steuerungswirkung des Gesetzes läuft deshalb nicht allein über Bußgelder. Wesentlich sind vielmehr behördliche Anordnungen, Nachweise, Audits, Mängelbeseitigungspläne, das parallele BSI-Regime für die digitale Seite und die gesellschaftsrechtliche Organisations- und Innenhaftung der Geschäftsleitung.
Das KRITIS-Dachgesetz kann auch bei M&A-Transaktionen, Infrastrukturprojekten und immobiliennahen Geschäftsmodellen relevant werden. In der Legal Due Diligence wird künftig verstärkt zu prüfen sein, ob eine Zielgesellschaft oder eine ihrer Anlagen in den KRITIS-Anwendungsbereich fällt, ob Risikoanalyse, Resilienzplan oder Meldeprozesse bestehen und ob offene behördliche Anforderungen oder relevante Vorfälle vorliegen. Auch Kosten für Nachrüstung, bauliche Sicherung, Notstromversorgung, Zutrittskontrollen, Überwachung oder organisatorische Maßnahmen können bewertungs- und transaktionsrelevant werden. Je nach Befund können Garantien, Freistellungen, Closing Conditions oder Covenants im Kaufvertrag erforderlich sein.
Relevanz besteht zudem für Betreiber-, Miet-, Facility-Management-, Bau-, Wartungs-, Sicherheits- und IT-Dienstleistungsverträge. Wer für einen Betreiber kritischer Anlagen etwa Zutrittskontrollen, Objektschutz, Wartung sicherheitsrelevanter Anlagen, IT- oder Rechenzentrumsleistungen oder Notfallprozesse übernimmt, wird faktisch Teil des Resilienzkonzepts – auch ohne selbst Adressat des Gesetzes zu sein. Die Einbindung erfolgt in diesen Fällen vor allem über vertragliche Resilienz-, Audit-, Informations- und Mitwirkungspflichten. Hinzu kommt, dass Betreiber ihre eigenen Nachweis-, Audit- und Meldepflichten nur erfüllen können, wenn auch Dienstleister über abgestimmte Eskalations- und Informationsprozesse verfügen. Bestandsverträge können daher nachverhandelt werden; Neuverträge werden voraussichtlich häufiger entsprechende Regelungen enthalten.
Betroffene und potenziell betroffene Unternehmen sollten kurzfristig insbesondere
Das KRITIS-Dachgesetz markiert den Schritt von einer primär IT-zentrierten KRITIS-Regulierung hin zu einem umfassenderen Schutz kritischer Anlagen. Es macht physische Resilienz zur gesetzlichen Betreiberpflicht – und zugleich zur Governance-Aufgabe. Betroffene und potenziell betroffene Unternehmen sollten deshalb zeitnah prüfen, ob Anlagen, Dienstleister, Verträge, Meldewege, interne Prozesse und Governance-Strukturen auf die neuen Anforderungen vorbereitet sind. KRITIS-Compliance sollte dabei nicht isoliert betrachtet werden: Physische Sicherheit, Cybersicherheit nach BSIG/NIS-2 und die Verantwortung der Geschäftsleitung müssen sinnvoll ineinandergreifen.
Physische Resilienz ist künftig kein Randthema der Sicherheitsabteilung mehr. Sie wird Bestandteil ordnungsgemäßer Unternehmensorganisation.
2026
In vierter Auflage ist im Verlag C.H.Beck GmbH & Co. KG das Handbuch „Compliance in Versicherungsunternehmen – Rechtliche Anforderungen und praktische Umsetzung“ erschienen. Unser Versicherungsexperte Dr. Jürgen Bürkle hat das Werk herausgegeben und zugleich mit eigenen Beiträgen als Autor mitgestaltet.
2026
Dr. Eike Dirk Eschenfelder hat im Betriebs-Berater (Heft 30/2026) einen Kommentar zu der Entscheidung des OLG Celle vom 2. März 2026 – 20 U 3/26 – unter dem Titel „Bestätigungsvermerk des Abschlussprüfers als öffentliche Kapitalmarktinformation“ veröffentlicht.
2026
In der neuen Ausgabe von Die News – Fachzeitschrift für Familienunternehmen analysieren Esther Klingelhöfer und Tobias Reinhard in ihrem Fachbeitrag „Familientradition trifft Fremdmanagement“ die rechtlichen Besonderheiten der Fremdgeschäftsführung in Familienunternehmen. Wird die Unternehmensführung in fremde Hände gelegt, eröffnet dies zwar neue Perspektiven, bringt jedoch auch rechtliche Herausforderungen mit sich, die nicht unterschätzt werden sollten.
2026
Am 31. Mai 2026 ist die neue EU-Richtlinie zur Korruptionsbekämpfung (Richtlinie (EU) 2026/1021) in Kraft getreten. Sie ersetzt ältere europäische Vorgaben und schafft einen einheitlicheren strafrechtlichen Rahmen für die Korruptionsbekämpfung in der Europäischen Union.
