--- title: "CER-Richtlinie (RL 2022/2557) – KRITIS-Dachgesetz, Resilienzpflichten kritischer Anlagen" slug: "eu-cer-richtlinie-2022-2557-kritisdachg" domaine: "datenschutz" valid_from: "2026-03-17" valid_to: null last_reviewed: "2026-09-09" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/eu-cer-richtlinie-2022-2557-kritisdachg.md wikidata_subjects: [] factcheck_status: "ok" --- # CER-Richtlinie (RL 2022/2557) – KRITIS-Dachgesetz, Resilienzpflichten kritischer Anlagen ## Kurzantwort Die **CER-Richtlinie (Richtlinie (EU) 2022/2557** über die Resilienz kritischer Einrichtungen) vom **14.12.2022** verpflichtet die EU-Mitgliedstaaten, Betreiber kritischer Anlagen gegen **alle Gefahrenarten** zu wappnen — nicht nur gegen Cyberangriffe, sondern auch gegen Naturkatastrophen, Sabotage, Terrorismus und technisches Versagen. Sie ist das **physische Gegenstück zu NIS-2** (RL 2022/2555), die die IT-Sicherheit regelt. Als Richtlinie gilt die CER **nicht unmittelbar** — sie brauchte ein deutsches Umsetzungsgesetz. Die EU-Umsetzungsfrist lief am **17.10.2024** ab; Deutschland hat sie **um rund 17 Monate verfehlt**. Erst das **KRITIS-Dachgesetz (KRITISDachG)** — vom Bundestag am 29.01.2026 beschlossen, Zustimmung des Bundesrates am 06.03.2026, ausgefertigt am **11.03.2026** und am **16.03.2026** im **BGBl. 2026 I Nr. 66** verkündet — ist am **17.03.2026 in Kraft getreten**. Zuständige Bundesbehörde ist das **BBK** (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe). **Wichtig für Betreiber (Stand 09.09.2026):** Es besteht **noch keine Registrierungspflicht**. Die konkretisierende **Rechtsverordnung zur Bestimmung kritischer Anlagen** (§ 4 Abs. 3, § 5 Abs. 1 KRITISDachG), die den Anwendungsbereich erst praktisch festlegt, befindet sich laut BBK noch in Erarbeitung und Abstimmung. Registrierungs-, Risikoanalyse-, Resilienz- und Meldepflichten laufen erst nach deren Inkrafttreten an. Der in vielen Quellen noch genannte Stichtag **17.07.2026** ist **nicht mehr geltendes Recht**: Die Verkündungsfassung des § 8 Abs. 1 KRITISDachG enthielt die Wendung „frühestens jedoch bis einschließlich zum 17. Juli 2026"; **Artikel 8 Nummer 4 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221, verkündet am 28.07.2026)** hat sie ersatzlos gestrichen. Geblieben ist allein die relative Frist von drei Monaten ab dem Zeitpunkt, zu dem eine Anlage als kritische Anlage gilt. ## Kernfakten | Punkt | Wert | |---|---| | EU-Rechtsgrundlage | Richtlinie (EU) 2022/2557 vom 14.12.2022 (CER) | | EU-Inkrafttreten | 16.01.2023 | | EU-Umsetzungsfrist | 17.10.2024 (von Deutschland verfehlt) | | Aufgehobene Vorgängerregelung | Richtlinie 2008/114/EG, aufgehoben zum 18.10.2024 | | Deutsches Umsetzungsgesetz | KRITIS-Dachgesetz (KRITISDachG) | | Bundestagsbeschluss | 29.01.2026 | | Bundesratszustimmung | 06.03.2026 | | Ausfertigung / Verkündung | ausgefertigt 11.03.2026; verkündet am 16.03.2026 in BGBl. 2026 I Nr. 66 (Vollzitat: „KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66)") | | Inkrafttreten DE | 17.03.2026 (Art. 11 Abs. 1 des Mantelgesetzes) | | Gestaffeltes Inkrafttreten | § 14 Abs. 3–5 KRITISDachG erst zum 01.01.2030 (Art. 11 Abs. 2) | | Bisher einzige Änderung | Art. 8 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221, verkündet 28.07.2026): Streichung des Stichtags 17.07.2026 in § 8 Abs. 1; Muster-/Vorlagenfrist des § 13 Abs. 5 jetzt acht Monate nach Inkrafttreten der Rechtsverordnung | | Zuständige Behörde | BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe) | | Erfasste Sektoren | Energie, Verkehr/Transport, Finanzwesen, Sozialversicherung/Grundsicherung, Gesundheitswesen, Wasser (Trink- und Abwasser), Ernährung, IT & Telekommunikation, Weltraum, Siedlungsabfallentsorgung | | Regel-Schwellenwert | 500.000 zu versorgende Personen je Anlage (zzgl. qualitativer Kriterien: Interdependenzen, Marktanteil, geografische Reichweite) | | Konkretisierung Anwendungsbereich | Rechtsverordnung nach § 4 Abs. 3, § 5 Abs. 1 KRITISDachG — noch nicht erlassen (Stand 09.09.2026) | | Registrierung | § 8 KRITISDachG, gemeinsame Registrierungsmöglichkeit BBK/BSI nach § 33 Abs. 1 BSIG; Frist: spätestens 3 Monate, nachdem eine Anlage als kritische Anlage gilt (§ 8 Abs. 1); der ursprüngliche Kalenderstichtag 17.07.2026 ist seit BGBl. 2026 I Nr. 221 gestrichen | | Anlauf der Betreiberpflichten | Risikoanalyse (§ 12 Abs. 1) und Resilienzmaßnahmen (§ 13 Abs. 1) erstmals 9 bzw. 10 Monate nach Registrierung (§ 8 Abs. 7 KRITISDachG) | | Meldepflicht Vorfälle | § 18 KRITISDachG, erst 10 Monate nach Registrierung (§ 8 Abs. 7) | | Turnus Risikoanalyse | mindestens alle vier Jahre, bedarfsweise häufiger | | Bußgeldrahmen | § 24 Abs. 2 KRITISDachG, gestaffelt: bis 1 Mio. € (Zuwiderhandlung gegen vollziehbare Anordnung nach § 8 Abs. 2 S. 1), bis 500.000 € (Audit-Ergebnis nicht/nicht richtig übermittelt), bis 200.000 € (Anordnungen nach § 16 i. V. m. RVO), bis 100.000 € (übrige Fälle, z. B. Registrierungsangaben) | | Verhältnis zu NIS-2/BSIG | CER = physische Resilienz; NIS-2 = IT-Sicherheit. Nachweise nach § 39 BSIG können über das BBK teilweise mitverwendet werden | ## Geltungsbereich Die CER-Richtlinie richtet sich zunächst an die **Mitgliedstaaten**: Sie müssen eine nationale Resilienzstrategie aufstellen, nationale Risikobewertungen durchführen und kritische Einrichtungen in mindestens elf Sektoren identifizieren. Erst über die nationale Umsetzung erreicht sie die Unternehmen. In Deutschland setzt das KRITIS-Dachgesetz erstmals ein **sektorenübergreifendes „Dach"** über den physischen Schutz kritischer Anlagen. Bisher waren einzelne Aspekte über Fachgesetze verstreut (Energiewirtschaftsgesetz, Wasserhaushaltsgesetz, BSIG). Adressat sind **Betreiber kritischer Anlagen** — nicht die kritische Infrastruktur als Ganzes. Eine Anlage gilt als kritisch, wenn sie eine kritische Dienstleistung in einem erfassten Sektor erbringt **und** die quantitativen oder qualitativen Bemessungskriterien erfüllt. Der Regelschwellenwert von **500.000 zu versorgenden Personen** ist derselbe, der aus der BSI-Kritisverordnung bekannt ist. Neu ist, dass daneben qualitative Kriterien treten und die **Länder** Betreiber unterhalb der Schwellenwerte per eigener Rechtsverordnung bestimmen können, sofern eine Landesbehörde zuständig ist. ## Die vier Resilienzziele Resilienzmaßnahmen nach § 13 KRITISDachG müssen **verhältnismäßig** sein und vier Ziele abdecken: 1. **Verhindern** — Vorfälle sollen gar nicht erst eintreten 2. **Schützen** — angemessener physischer Schutz der Anlage (Zutritt, Perimeter, Objektschutz) 3. **Reagieren und Folgen begrenzen** — Notfallpläne, Redundanzen, Krisenorganisation 4. **Wiederherstellen** — Rückkehr zum Regelbetrieb nach einem Vorfall Alle Maßnahmen sind in einem **Resilienzplan** zu dokumentieren und bedarfsweise zu aktualisieren. Das BBK will unverbindliche **Muster und Vorlagen** bereitstellen; diese befanden sich Stand 09.09.2026 noch in Erstellung. Die Verkündungsfassung des § 13 Abs. 5 KRITISDachG nannte dafür den 17.01.2026 — ein Datum, das zwei Monate **vor** dem Inkrafttreten des Gesetzes lag; Art. 8 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221) hat es durch eine Frist von acht Monaten nach Inkrafttreten der Rechtsverordnung ersetzt. ## Meldewesen für Vorfälle Das Meldewesen orientiert sich an den aus NIS-2 bekannten Fristen: - **Erstmeldung** binnen **24 Stunden** nach Kenntnis des Vorfalls - **Aktualisierungen**, solange der Vorfall andauert - **Ausführlicher Abschlussbericht** binnen **einem Monat** Meldungen laufen über eine gemeinsame Plattform von BBK und BSI. Die Pflicht greift erst **zehn Monate nach der Registrierung** einer kritischen Anlage (§ 8 Abs. 7 KRITISDachG) — Stand heute besteht sie also für niemanden. ## Was Betreiber jetzt tun sollten Auch ohne laufende Frist ist Vorarbeit sinnvoll, weil die Fristen nach Inkrafttreten der Rechtsverordnung eng getaktet sind: - **Betroffenheit prüfen**: Erbringt eine Anlage eine kritische Dienstleistung in einem der erfassten Sektoren? Wie viele Personen werden versorgt? - **Registrierungsdaten vorbereiten**: Versorgungsgrad, Standorte, Kontaktstelle - **Methodik für physische Risikoanalysen** definieren — einschließlich Interdependenzen innerhalb und zwischen Sektoren - **Resilienzplan-Struktur** anlegen, Übungen und Schulungen planen - **Melde- und Nachweisprozesse** organisatorisch verankern und mit bestehenden Pflichten aus **BSIG/NIS-2** und ggf. **DORA** synchronisieren - **Branchenspezifische Resilienzstandards** mitgestalten — anerkannte Standards können sektorspezifische Verordnungen entbehrlich machen ## Häufige Fehler - **„Die CER-Richtlinie gilt seit 2024 direkt."** Falsch — die CER ist eine **Richtlinie**, keine Verordnung. Sie wirkt in Deutschland erst über das KRITIS-Dachgesetz seit dem 17.03.2026. - **„CER und NIS-2 sind dasselbe."** Falsch — NIS-2 regelt die **IT-Sicherheit**, CER die **physische Resilienz** gegen alle Gefahrenarten. Viele Betreiber fallen unter beide Regime und müssen beide Pflichtenkreise erfüllen. - **„Wir müssen uns jetzt sofort registrieren."** Falsch — Stand 09.09.2026 besteht **keine** Registrierungspflicht. Die Rechtsverordnung zur Bestimmung kritischer Anlagen ist noch nicht in Kraft. - **„Die Registrierungsfrist war der 17.07.2026."** Überholt — dieser Stichtag stand in der Verkündungsfassung des § 8 Abs. 1 KRITISDachG und wurde durch Art. 8 Nr. 4 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221, verkündet 28.07.2026) ersatzlos gestrichen. Suchmaschinen und Sekundärquellen führen ihn vielfach weiter. - **„Das Gesetz gilt vollständig seit dem 17.03.2026."** Differenziert — es ist in Kraft, aber § 14 Abs. 3 bis 5 KRITISDachG treten erst zum **01.01.2030** in Kraft, und die operativen Betreiberpflichten hängen an der Registrierung. - **„Nur Konzerne sind betroffen."** Differenziert — maßgeblich ist der Versorgungsgrad der Anlage, nicht die Unternehmensgröße. Zudem können die Länder Betreiber **unterhalb** der Schwellenwerte per Rechtsverordnung einbeziehen. - **„Es reicht, den BSI-Nachweis nach § 39 BSIG einzureichen."** Falsch — dieser deckt nur die IT-Seite ab. Zuständige Behörden dürfen über das BBK gezielt auf Teile davon zurückgreifen, soweit sie die **physische** Resilienz betreffen; ein Vollersatz ist er nicht. ## Änderungsverlauf - 2026-09-09: Faktencheck am amtlichen Volltext des KRITISDachG (gesetze-im-internet.de, PDF-Fassung; der Einzelnorm-Abruf liefert leer). Bestätigt: Inkrafttreten 17.03.2026 und Teilinkrafttreten § 14 Abs. 3–5 zum 01.01.2030 (Fußnote zu Art. 11 Abs. 1 und 2), Registrierungsfrist drei Monate (§ 8 Abs. 1), Pflichtenanlauf 9 Monate für § 12 und 10 Monate für §§ 13, 18, 20 (§ 8 Abs. 7), Meldefristen 24 Stunden / Aktualisierung / ausführlicher Bericht binnen eines Monats (§ 18 Abs. 1), Vier-Jahres-Turnus der Risikoanalyse (§ 12 Abs. 1), Regelschwellenwert 500 000 zu versorgende Einwohner (§ 5), zehn Sektoren (§ 4 Abs. 1) und die Bußgeldstaffel 1 Mio./500 000/200 000/100 000 Euro (§ 24 Abs. 2). Zwei Korrekturen: (1) Das Datum 11.03.2026 ist das **Ausfertigungsdatum**, nicht das Verkündungsdatum — BGBl. 2026 I Nr. 66 wurde am **16.03.2026** ausgegeben; die Kernfaktenzeile und die Kurzantwort trennen beides jetzt. (2) Ergänzt wurde die bislang fehlende Änderung des Gesetzes: Art. 8 Nr. 4 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221, verkündet 28.07.2026) hat den Registrierungsstichtag „frühestens jedoch bis einschließlich zum 17. Juli 2026" aus § 8 Abs. 1 gestrichen und die Muster-/Vorlagenfrist des § 13 Abs. 5 (ursprünglich 17.01.2026) auf acht Monate nach Inkrafttreten der Rechtsverordnung verschoben; gesetze-im-internet.de weist den Text bislang als „nachgewiesener Text noch nicht dokumentarisch bearbeitet" ohne diese Änderung aus. Der Vollzugsstand (keine Registrierungspflicht, Rechtsverordnung nach § 4 Abs. 3 / § 5 Abs. 1 in Erarbeitung, BBK-Muster in Erstellung) wurde gegen die FAQ des BBK gegengeprüft und die Standangaben von 05.09. auf 09.09.2026 fortgeschrieben. factcheck_status auf ok. | change_type=factcheck field="factcheck_status" old="review_needed" new="ok" reviewed_by="Andreas Warkentin" - 2026-09-05: Faktencheck der bislang nicht amtlich gegengeprüften Angaben am konsolidierten Volltext des KRITISDachG (§§ 8, 12, 18, 24; gesetze-im-internet.de liefert per Abruf leer, Volltext-Gegenprüfung über lxgesetze.de): Bußgeldrahmen amtlich bestätigt und auf die Staffelung des § 24 Abs. 2 präzisiert (1 Mio./500.000/200.000/100.000 €); Registrierungsfrist 3 Monate (§ 8 Abs. 1) ergänzt; Pflichtenanlauf 9/10 Monate nach Registrierung (§ 8 Abs. 7), Meldefristen 24 h/laufend/1 Monat (§ 18 Abs. 1) und Vier-Jahres-Turnus der Risikoanalyse (§ 12 Abs. 1) bestätigt. Faktencheck-Hinweisblock entfernt, factcheck_status auf ok. | change_type=factcheck field="factcheck_status" old="review_needed" new="ok" reviewed_by="Nexvyra Faktencheck-Agent (Freigabe-Chunk 3)" - 2026-09-05: Erstveröffentlichung durch EU-Recht-Bot. CER-Richtlinie (EU) 2022/2557 und deutsche Umsetzung durch das KRITIS-Dachgesetz (in Kraft 17.03.2026, BGBl. 2026 I Nr. 66) dokumentiert. Verspätete Umsetzung (EU-Frist 17.10.2024) vermerkt. Fehlende Rechtsverordnung nach § 4 Abs. 3, § 5 Abs. 1 KRITISDachG als Grund für noch nicht laufende Betreiberpflichten festgehalten. factcheck_status=review_needed wegen nicht amtlich gegengeprüftem Bußgeldrahmen und registrierungsabhängigen Fristen. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot" ## Siehe auch - [NIS-2 UmsuCG – Cybersecurity-Pflichten für KRITIS](/fakten/nis2-umsucg-kritis.html) - [Cyber Resilience Act (CRA) – CE-Pflichten für Produkte mit digitalen Elementen](/fakten/cyber-resilience-act-cra.html) - [DORA – digitale operationale Resilienz im Finanzsektor](/fakten/dora-finanzsektor.html) - [EU Data Act (VO 2023/2854)](/fakten/eu-data-act-2023-2854.html) ## Stand - Stand: 2026-09-09 - EU-Richtlinie in Kraft: 2023-01-16 - EU-Umsetzungsfrist: 2024-10-17 (von Deutschland verfehlt) - Deutsches Umsetzungsgesetz in Kraft: 2026-03-17 - Teilinkrafttreten § 14 Abs. 3–5 KRITISDachG: 2030-01-01 - Status: aktuell — Rechtsverordnung zur Bestimmung kritischer Anlagen ausstehend - Quellenautorität: A (RL 2022/2557, KRITISDachG, BBK, BMI, Bundesgesetzblatt) - Faktencheck: ok (Fristen, Schwellenwert, Sektoren und Bußgeldstaffel am 09.09.2026 am amtlichen Volltext §§ 4, 5, 8, 12, 18, 24 KRITISDachG verifiziert; Verkündungsdatum korrigiert; Änderung durch BGBl. 2026 I Nr. 221 ergänzt) - Lizenz: CC BY 4.0 ## Quellen - Richtlinie (EU) 2022/2557 – Volltext EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX%3A32022L2557 - Richtlinie (EU) 2022/2557 – ELI-Permalink: https://eur-lex.europa.eu/eli/dir/2022/2557/oj?locale=de - KRITIS-Dachgesetz (KRITISDachG) – gesetze-im-internet.de: https://www.gesetze-im-internet.de/kritisdachg/ - BBK – KRITIS-Dachgesetz (zuständige Bundesbehörde): https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/Strategien-und-rechtlicher-Rahmen/KRITISDachG/kritisdachg_node.html - BBK – FAQ zum KRITIS-Dachgesetz (Fristen, Registrierung, Meldewesen): https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/Strategien-und-rechtlicher-Rahmen/KRITISDachG/FAQ/faq_node.html - BMI – FAQ zum KRITIS-Dachgesetz: https://www.bmi.bund.de/SharedDocs/faqs/DE/themen/bevoelkerungsschutz/kritis-dach/kritis-dach.html - KRITIS-Dachgesetz – amtlicher Volltext als PDF (Ausfertigungsdatum 11.03.2026, Fußnote zu Art. 11 Abs. 1 und 2 des Mantelgesetzes): https://www.gesetze-im-internet.de/kritisdachg/KRITISDachG.pdf - Bundesgesetzblatt 2026 I Nr. 66 – Umsetzungsgesetz zur Richtlinie (EU) 2022/2557 (ausgegeben zu Bonn am 16.03.2026): https://www.recht.bund.de/bgbl/1/2026/66/VO.html - Bundesgesetzblatt 2026 I Nr. 66 – Regelungstext (PDF): https://www.recht.bund.de/bgbl/1/2026/66/regelungstext.pdf - Bundesgesetzblatt 2026 I Nr. 221 – Gesetz vom 21.07.2026 (Art. 8 = Änderung des KRITIS-Dachgesetzes; verkündet 28.07.2026): https://www.recht.bund.de/bgbl/1/2026/221/regelungstext.pdf - Deutscher Bundestag – Beschluss vom 29.01.2026: https://www.bundestag.de/dokumente/textarchiv/2026/kw05-de-kritische-infrastruktur-1137002 - BSI – Regulierung nach NIS-2 (Abgrenzung IT-Sicherheit): https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/regulierte-wirtschaft_node.html - BSI-Gesetz (BSIG 2025) – gesetze-im-internet.de: https://www.gesetze-im-internet.de/bsig_2025/ ## Stand - Letzte Änderung: 2026-09-09 - Letzte Prüfung: 2026-09-09 - In Kraft seit: 2026-03-17 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0