KRITIS-Dachgesetz: Naturgefahren in der Risikoanalyse, mit Tabelle für Datenquellen und Resilienzplan

Das KRITIS-Dachgesetz ist seit dem 17.03.2026 in Kraft, und es verlangt von Betreibern kritischer Anlagen eine Risikoanalyse, die ausdrücklich naturbedingte Risiken und Extremereignisse durch Naturgefahren einschließt (§ 12 KRITISDachG). Meine Position: Die Naturgefahren sind der Teil dieser Analyse, den du heute schon fertig machen kannst, ohne auf die noch fehlende Verordnung zu warten. Und wer sie nur mit dem Blick in die Vergangenheit bewertet, plant Schutzmaßnahmen für ein Klima, das es in der Nutzungsdauer der Anlage nicht mehr gibt. Eine Klimarisikoanalyse ersetzt die KRITIS-Risikoanalyse aber nicht: Das Gesetz verfolgt einen All-Gefahren-Ansatz, Klima ist ein Teil davon.

Tabelle: Naturgefahren, amtliche Datenquellen und Fragen für den Resilienzplan

Die Tabelle gehst du je Anlage durch. Die Quellen sind frei zugänglich, bis auf die Baunormen. Die rechte Spalte ist die Frage, die dein Resilienzplan nach § 13 KRITISDachG beantworten sollte; das Gesetz verlangt, dass dort die Erwägungen hinter jeder Maßnahme stehen und auf die Risikoanalyse Bezug genommen wird.

Die Hochwasserkarte zeigt keinen Starkregen, der sich fernab jedes Flusses in einer Senke sammelt. Erst beide Karten zusammen ergeben das Überflutungsbild. Wie man die Hochwasserkarten liest, steht in meinem Artikel zur Hochwassergefahrenkarte.

Was das KRITIS-Dachgesetz verlangt und ab wann

Das Gesetz steht als Artikel 1 im Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 vom 11.03.2026 (BGBl. 2026 I Nr. 66). Es setzt die europäische Richtlinie über die Resilienz kritischer Einrichtungen um, kurz CER-Richtlinie (Critical Entities Resilience). Die Pflichten der Betreiber hängen an einer Kette von Fristen (§ 8 KRITISDachG):

• Eine Rechtsverordnung des Bundesministeriums des Innern (BMI) legt Anlagenkategorien, Schwellenwerte und Stichtage fest.
• Spätestens 3 Monate, nachdem eine Anlage danach als kritisch gilt, registrierst du sie beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).
• 9 Monate nach der Registrierung gilt die Pflicht zur Risikoanalyse und Risikobewertung, danach im Bedarfsfall, mindestens alle 4 Jahre.
• 10 Monate nach der Registrierung gelten die Resilienzpflichten mit Resilienzplan, die Meldepflicht für Vorfälle und die Umsetzungspflicht der Geschäftsleitung.

Die Verordnung fehlt noch. Nach Auskunft des BBK befindet sie sich in Erarbeitung und Abstimmung, eine Registrierungspflicht besteht derzeit nicht (FAQ des BBK, Stand November 2026). Die erste Fassung nannte den 17.07.2026 als frühesten Termin für die Registrierung; diese Angabe ist im Juli 2026 gestrichen worden (BGBl. 2026 I Nr. 221, Artikel 8). Auch die Vorgaben zur Methode der Risikoanalyse sollen per Verordnung kommen (§ 12 Abs. 3).

Inhaltlich muss die Analyse die Risiken aus § 11 Abs. 2 Nr. 1 KRITISDachG berücksichtigen: naturbedingte, technische und menschlich verursachte Risiken, darunter Extremereignisse durch Unfälle, Naturgefahren und gesundheitliche Notlagen sowie hybride Bedrohungen. Dazu kommen die Abhängigkeiten von anderen kritischen Dienstleistungen. Die Begründung des Regierungsentwurfs spricht ausdrücklich von „naturbedingten, klimatischen und vom Menschen verursachten Risiken“ (Drucksache 21/2510, S. 58). Die CER-Richtlinie verlangt bei den Resilienzmaßnahmen eine gebührende Berücksichtigung von Katastrophenvorsorge und Anpassung an den Klimawandel (Art. 13 Abs. 1 Buchst. a RL (EU) 2022/2557).

Ein Bußgeld für eine fehlende Risikoanalyse sieht das Gesetz nicht direkt vor. Die zuständige Behörde kann aber den Resilienzplan und Nachweise anfordern und die Beseitigung von Mängeln anordnen; wer solchen Anordnungen nicht folgt, riskiert bis zu 200.000 €. Eine fehlende Registrierung kostet bis zu 100.000 €, wer eine Anordnung des BBK zur Klärung der Registrierungspflicht missachtet, bis zu 1 Mio. € (§ 24 KRITISDachG).

Wen das Gesetz trifft

Es gilt für Betreiber kritischer Anlagen in 10 Sektoren, von Energie und Wasser über Ernährung und Gesundheit bis Siedlungsabfallentsorgung (§ 4 KRITISDachG). Der Regelwert für die Schwellen liegt bei 500.000 von einer Anlage zu versorgenden Einwohnern (§ 5 Abs. 2); das BMI kann Anlagen auch im Einzelfall einstufen. Für Finanzunternehmen unter der EU-Verordnung zur digitalen operationalen Resilienz (DORA) und für Informationstechnik und Telekommunikation gelten Risikoanalyse und Resilienzplan nach diesem Gesetz nicht. In der Siedlungsabfallentsorgung und bei der Sozialversicherung gilt die Risikoanalyse, der Resilienzplan nicht.

Bei diesem Regelwert dürften die meisten Mittelständler nicht darunter fallen; das ist meine Einschätzung, solange die Verordnung fehlt. Spüren werden sie das Gesetz trotzdem, wenn ein Betreiber für seinen Resilienzplan alternative Lieferketten ermittelt (§ 13 Abs. 3 Nr. 4).

Was eine Klimarisikoanalyse nach ISO 14091 abdeckt und was nicht

Eine Klimarisikoanalyse nach UBA-Handreichung und DIN EN ISO 14091 prüft je Standort die Klimagefahren, die Exposition der Anlagen und ihre Verwundbarkeit, heute und in Klimaszenarien. Sie liefert damit den Naturgefahren-Teil der KRITIS-Analyse für Hochwasser, Starkregen, Hitze, Trockenheit, Sturm und Waldbrand, und sie liefert Maßnahmen, die in den Resilienzplan passen: bauliche Sicherung, Notstrom, alternative Lieferwege. Nach § 17 KRITISDachG können Risikoanalysen, die du aus anderen Gründen oder freiwillig erstellt hast, zum Nachweis herangezogen werden.

Was sie nicht abdeckt: Erdbeben, technisches Versagen, Sabotage, Terrorismus, hybride Bedrohungen, Pandemien, das Sicherheitsmanagement für Personal und das Meldewesen. Abhängigkeiten von anderen Betreibern streift sie nur, etwa wenn ein Sturm das vorgelagerte Stromnetz trifft. Die nationalen Risikoanalysen, auf denen deine Analyse aufbauen soll, bekommst du erst nach der Registrierung; veröffentlicht werden sie nicht.

Ein Punkt, an dem ich bewusst über das Gesetz hinausgehe, ist der Zeithorizont. Die KRITIS-Analyse wird mindestens alle 4 Jahre erneuert, die Anlagen selbst laufen deutlich länger. Bei einer Klimarisikoanalyse für eine kerntechnische Anlage habe ich die Projektionen bis 2100 mit Worst-Case-Bandbreiten gelegt, weil der Median bei sicherheitsrelevanter Infrastruktur die falsche Größe ist.

Was du vor der Verordnung schon tun kannst

Prüfe anhand der Sektorliste und des Regelwerts, ob deine Anlage voraussichtlich kritisch wird. Geh dann die Tabelle oben für jede Anlage durch und halte die Ergebnisse so fest, dass du später auf sie verweisen kannst: Gefahr, betroffenes Anlagenteil, Folge für die Dienstleistung. Das ist die Verkettung, die ein Resilienzplan braucht, nicht „Starkregen nimmt zu“, sondern „Wasser im Kabelkanal legt die Pumpensteuerung lahm“. Muster für Resilienzpläne muss das BBK spätestens 8 Monate nach Inkrafttreten der Verordnung bereitstellen (§ 13 Abs. 5).

Ein Screening im Rahmen meiner Klimarisikoanalyse für einen Standort dauert 2 bis 3 Wochen und stuft jede relevante Klimagefahr nach hoch, mittel oder niedrig ein, mit Zeithorizont und Gegenmaßnahme. Umfang und Festpreis stehen auf der Preisseite. Für die übrigen Gefahren des All-Gefahren-Ansatzes brauchst du andere Fachleute; das gehört in die Abgrenzung jedes Auftrags.

Häufige Fragen

Quellen
Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. (o. J.). FAQ zum KRITIS-Dachgesetz. BBK.
Bundesregierung. (2025, 3. November). Entwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen, Drucksache 21/2510. Deutscher Bundestag.
Europäisches Parlament und Rat der Europäischen Union. (2022, 14. Dezember). Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen. Amtsblatt der Europäischen Union.
Gesetz zur besseren Verhinderung missbräuchlicher Anerkennungen der Vaterschaft und zur Änderung weiterer Vorschriften. (2026, 21. Juli). BGBl. 2026 I Nr. 221, Artikel 8. Bundesministerium der Justiz und für Verbraucherschutz.
Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen. (2026, 11. März). BGBl. 2026 I Nr. 66. Bundesministerium der Justiz und für Verbraucherschutz.
KRITIS-Dachgesetz. (2026). Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen. Bundesministerium der Justiz und für Verbraucherschutz.