{
    "slug": "eu-cer-richtlinie-2022-2557-kritisdachg",
    "titre": "CER-Richtlinie (RL 2022/2557) – KRITIS-Dachgesetz, Resilienzpflichten kritischer Anlagen",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Die CER-Richtlinie (Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen) vom 14.12.2022 verpflichtet die EU-Mitgliedstaaten, Betreiber…",
    "resume_court": "Die **CER-Richtlinie (Richtlinie (EU) 2022/2557** über die Resilienz kritischer Einrichtungen) vom **14.12.2022** verpflichtet die EU-Mitgliedstaaten, Betreiber kritischer Anlagen gegen **alle Gefahrenarten** zu wappnen — nicht nur gegen Cyberangriffe, sondern auch gegen Naturkatastrophen, Sabotage, Terrorismus und technisches Versagen. Sie ist das **physische Gegenstück zu NIS-2** (RL 2022/2555), die die IT-Sicherheit regelt.\n\nAls Richtlinie gilt die CER **nicht unmittelbar** — sie brauchte ein deutsches Umsetzungsgesetz. Die EU-Umsetzungsfrist lief am **17.10.2024** ab; Deutschland hat sie **um rund 17 Monate verfehlt**. Erst das **KRITIS-Dachgesetz (KRITISDachG)** — vom Bundestag am 29.01.2026 beschlossen, Zustimmung des Bundesrates am 06.03.2026, ausgefertigt am **11.03.2026** und am **16.03.2026** im **BGBl. 2026 I Nr. 66** verkündet — ist am **17.03.2026 in Kraft getreten**. Zuständige Bundesbehörde ist das **BBK** (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe).\n\n**Wichtig für Betreiber (Stand 09.09.2026):** Es besteht **noch keine Registrierungspflicht**. Die konkretisierende **Rechtsverordnung zur Bestimmung kritischer Anlagen** (§ 4 Abs. 3, § 5 Abs. 1 KRITISDachG), die den Anwendungsbereich erst praktisch festlegt, befindet sich laut BBK noch in Erarbeitung und Abstimmung. Registrierungs-, Risikoanalyse-, Resilienz- und Meldepflichten laufen erst nach deren Inkrafttreten an.\n\nDer in vielen Quellen noch genannte Stichtag **17.07.2026** ist **nicht mehr geltendes Recht**: Die Verkündungsfassung des § 8 Abs. 1 KRITISDachG enthielt die Wendung „frühestens jedoch bis einschließlich zum 17. Juli 2026\u0022; **Artikel 8 Nummer 4 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221, verkündet am 28.07.2026)** hat sie ersatzlos gestrichen. Geblieben ist allein die relative Frist von drei Monaten ab dem Zeitpunkt, zu dem eine Anlage als kritische Anlage gilt.",
    "faits": [
        {
            "point": "EU-Rechtsgrundlage",
            "valeur": "Richtlinie (EU) 2022/2557 vom 14.12.2022 (CER)",
            "autorite": "A"
        },
        {
            "point": "EU-Inkrafttreten",
            "valeur": "16.01.2023",
            "autorite": "A"
        },
        {
            "point": "EU-Umsetzungsfrist",
            "valeur": "17.10.2024 (von Deutschland verfehlt)",
            "autorite": "A"
        },
        {
            "point": "Aufgehobene Vorgängerregelung",
            "valeur": "Richtlinie 2008/114/EG, aufgehoben zum 18.10.2024",
            "autorite": "A"
        },
        {
            "point": "Deutsches Umsetzungsgesetz",
            "valeur": "KRITIS-Dachgesetz (KRITISDachG)",
            "autorite": "A"
        },
        {
            "point": "Bundestagsbeschluss",
            "valeur": "29.01.2026",
            "autorite": "A"
        },
        {
            "point": "Bundesratszustimmung",
            "valeur": "06.03.2026",
            "autorite": "A"
        },
        {
            "point": "Ausfertigung / Verkündung",
            "valeur": "ausgefertigt 11.03.2026; verkündet am 16.03.2026 in BGBl. 2026 I Nr. 66 (Vollzitat: „KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66)\u0022)",
            "autorite": "A"
        },
        {
            "point": "Inkrafttreten DE",
            "valeur": "17.03.2026 (Art. 11 Abs. 1 des Mantelgesetzes)",
            "autorite": "A"
        },
        {
            "point": "Gestaffeltes Inkrafttreten",
            "valeur": "§ 14 Abs. 3–5 KRITISDachG erst zum 01.01.2030 (Art. 11 Abs. 2)",
            "autorite": "A"
        },
        {
            "point": "Bisher einzige Änderung",
            "valeur": "Art. 8 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221, verkündet 28.07.2026): Streichung des Stichtags 17.07.2026 in § 8 Abs. 1; Muster-/Vorlagenfrist des § 13 Abs. 5 jetzt acht Monate nach Inkrafttreten der Rechtsverordnung",
            "autorite": "A"
        },
        {
            "point": "Zuständige Behörde",
            "valeur": "BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe)",
            "autorite": "A"
        },
        {
            "point": "Erfasste Sektoren",
            "valeur": "Energie, Verkehr/Transport, Finanzwesen, Sozialversicherung/Grundsicherung, Gesundheitswesen, Wasser (Trink- und Abwasser), Ernährung, IT \u0026 Telekommunikation, Weltraum, Siedlungsabfallentsorgung",
            "autorite": "A"
        },
        {
            "point": "Regel-Schwellenwert",
            "valeur": "500.000 zu versorgende Personen je Anlage (zzgl. qualitativer Kriterien: Interdependenzen, Marktanteil, geografische Reichweite)",
            "autorite": "A"
        },
        {
            "point": "Konkretisierung Anwendungsbereich",
            "valeur": "Rechtsverordnung nach § 4 Abs. 3, § 5 Abs. 1 KRITISDachG — noch nicht erlassen (Stand 09.09.2026)",
            "autorite": "A"
        },
        {
            "point": "Registrierung",
            "valeur": "§ 8 KRITISDachG, gemeinsame Registrierungsmöglichkeit BBK/BSI nach § 33 Abs. 1 BSIG; Frist: spätestens 3 Monate, nachdem eine Anlage als kritische Anlage gilt (§ 8 Abs. 1); der ursprüngliche Kalenderstichtag 17.07.2026 ist seit BGBl. 2026 I Nr. 221 gestrichen",
            "autorite": "A"
        },
        {
            "point": "Anlauf der Betreiberpflichten",
            "valeur": "Risikoanalyse (§ 12 Abs. 1) und Resilienzmaßnahmen (§ 13 Abs. 1) erstmals 9 bzw. 10 Monate nach Registrierung (§ 8 Abs. 7 KRITISDachG)",
            "autorite": "A"
        },
        {
            "point": "Meldepflicht Vorfälle",
            "valeur": "§ 18 KRITISDachG, erst 10 Monate nach Registrierung (§ 8 Abs. 7)",
            "autorite": "A"
        },
        {
            "point": "Turnus Risikoanalyse",
            "valeur": "mindestens alle vier Jahre, bedarfsweise häufiger",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen",
            "valeur": "§ 24 Abs. 2 KRITISDachG, gestaffelt: bis 1 Mio. € (Zuwiderhandlung gegen vollziehbare Anordnung nach § 8 Abs. 2 S. 1), bis 500.000 € (Audit-Ergebnis nicht/nicht richtig übermittelt), bis 200.000 € (Anordnungen nach § 16 i. V. m. RVO), bis 100.000 € (übrige Fälle, z. B. Registrierungsangaben)",
            "autorite": "A"
        },
        {
            "point": "Verhältnis zu NIS-2/BSIG",
            "valeur": "CER = physische Resilienz; NIS-2 = IT-Sicherheit. Nachweise nach § 39 BSIG können über das BBK teilweise mitverwendet werden",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Richtlinie (EU) 2022/2557 – Volltext EUR-Lex",
            "url": "https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX%3A32022L2557",
            "autorite": "A"
        },
        {
            "titre": "Richtlinie (EU) 2022/2557 – ELI-Permalink",
            "url": "https://eur-lex.europa.eu/eli/dir/2022/2557/oj?locale=de",
            "autorite": "A"
        },
        {
            "titre": "KRITIS-Dachgesetz (KRITISDachG) – gesetze-im-internet.de",
            "url": "https://www.gesetze-im-internet.de/kritisdachg/",
            "autorite": "A"
        },
        {
            "titre": "BBK – KRITIS-Dachgesetz (zuständige Bundesbehörde)",
            "url": "https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/Strategien-und-rechtlicher-Rahmen/KRITISDachG/kritisdachg_node.html",
            "autorite": "A"
        },
        {
            "titre": "BBK – FAQ zum KRITIS-Dachgesetz (Fristen, Registrierung, Meldewesen)",
            "url": "https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/Strategien-und-rechtlicher-Rahmen/KRITISDachG/FAQ/faq_node.html",
            "autorite": "A"
        },
        {
            "titre": "BMI – FAQ zum KRITIS-Dachgesetz",
            "url": "https://www.bmi.bund.de/SharedDocs/faqs/DE/themen/bevoelkerungsschutz/kritis-dach/kritis-dach.html",
            "autorite": "A"
        },
        {
            "titre": "KRITIS-Dachgesetz – amtlicher Volltext als PDF (Ausfertigungsdatum 11.03.2026, Fußnote zu Art. 11 Abs. 1 und 2 des Mantelgesetzes)",
            "url": "https://www.gesetze-im-internet.de/kritisdachg/KRITISDachG.pdf",
            "autorite": "A"
        },
        {
            "titre": "Bundesgesetzblatt 2026 I Nr. 66 – Umsetzungsgesetz zur Richtlinie (EU) 2022/2557 (ausgegeben zu Bonn am 16.03.2026)",
            "url": "https://www.recht.bund.de/bgbl/1/2026/66/VO.html",
            "autorite": "A"
        },
        {
            "titre": "Bundesgesetzblatt 2026 I Nr. 66 – Regelungstext (PDF)",
            "url": "https://www.recht.bund.de/bgbl/1/2026/66/regelungstext.pdf",
            "autorite": "A"
        },
        {
            "titre": "Bundesgesetzblatt 2026 I Nr. 221 – Gesetz vom 21.07.2026 (Art. 8 = Änderung des KRITIS-Dachgesetzes; verkündet 28.07.2026)",
            "url": "https://www.recht.bund.de/bgbl/1/2026/221/regelungstext.pdf",
            "autorite": "A"
        },
        {
            "titre": "Deutscher Bundestag – Beschluss vom 29.01.2026",
            "url": "https://www.bundestag.de/dokumente/textarchiv/2026/kw05-de-kritische-infrastruktur-1137002",
            "autorite": "A"
        },
        {
            "titre": "BSI – Regulierung nach NIS-2 (Abgrenzung IT-Sicherheit)",
            "url": "https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/regulierte-wirtschaft_node.html",
            "autorite": "A"
        },
        {
            "titre": "BSI-Gesetz (BSIG 2025) – gesetze-im-internet.de",
            "url": "https://www.gesetze-im-internet.de/bsig_2025/",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt CER-Richtlinie (RL 2022/2557) – KRITIS-Dachgesetz, Resilienzpflichten kritischer Anlagen?",
            "reponse": "Die CER-Richtlinie (Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen) vom 14.12.2022 verpflichtet die EU-Mitgliedstaaten, Betreiber kritischer Anlagen gegen alle Gefahrenarten zu wappnen — nicht nur gegen Cyberangriffe, sondern auch gegen Naturkatastrophen, Sabotage, Terrorismus und technisches Versagen. Sie ist das physische Gegenstück zu NIS-2 (RL 2022/2555), die die IT-Sicherheit regelt."
        },
        {
            "question": "Für wen gilt CER-Richtlinie (RL 2022/2557)?",
            "reponse": "Die CER-Richtlinie richtet sich zunächst an die Mitgliedstaaten: Sie müssen eine nationale Resilienzstrategie aufstellen, nationale Risikobewertungen durchführen und kritische Einrichtungen in mindestens elf Sektoren identifizieren. Erst über die nationale Umsetzung erreicht sie die Unternehmen."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei CER-Richtlinie (RL 2022/2557)?",
            "reponse": "„Die CER-Richtlinie gilt seit 2024 direkt.\u0022 Falsch — die CER ist eine Richtlinie, keine Verordnung. Sie wirkt in Deutschland erst über das KRITIS-Dachgesetz seit dem 17.03.2026. „CER und NIS-2 sind dasselbe.\u0022 Falsch — NIS-2 regelt die IT-Sicherheit, CER die physische Resilienz gegen alle Gefahrenarten. Viele Betreiber fallen unter beide Regime und müssen beide Pflichtenkreise erfüllen."
        }
    ],
    "wikidata": [],
    "valid_from": "2026-03-17",
    "valid_to": null,
    "derniere_revision": "2026-09-09",
    "derniere_verification": "2026-09-09",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/eu-cer-richtlinie-2022-2557-kritisdachg"
}