GENERATORENJahrelang angekündigt, mehrfach verschoben — jetzt ist es verbindlich: Das KRITIS-Dachgesetz wurde am 29. Januar 2026 vom Bundestag beschlossen, passierte am 6. März den Bundesrat und ist seit Mitte März 2026 in Kraft. Damit setzt Deutschland die europäische CER-Richtlinie (EU) 2022/2557 um und regelt erstmals sektorenübergreifend den physischen Schutz kritischer Infrastrukturen — als Gegenstück zur NIS-2-Umsetzung, die die Cybersicherheit adressiert.
Für Betreiber zählt vor allem eine Frist: Die Registrierung bei der gemeinsamen Plattform von BBK und BSI ist spätestens drei Monate, nachdem eine Anlage als kritisch gilt, vorzunehmen (§ 8 Abs. 1 in der Fassung des Gesetzes vom 21. Juli 2026). Welche Anlagen als kritisch gelten, bestimmt erst die zugehörige Rechtsverordnung — solange sie fehlt, besteht keine Registrierungspflicht, und für die meisten Betreiber läuft noch keine Uhr (Stand 19.10.2026). Wer darauf wartet, verliert trotzdem Zeit, denn nach der Registrierung greift ein fester Pflichtenfahrplan von der Risikoanalyse bis zum dokumentierten Resilienzplan. Und in fast jedem dieser Schritte steht eine Frage im Zentrum: Was passiert bei Stromausfall?
Wer betroffen ist
Das Gesetz gilt für Betreiber kritischer Anlagen in den gesetzlich definierten Sektoren — darunter Energie, Wasser und Abwasser, Gesundheit, Ernährung sowie Transport und Verkehr. Als Regelschwelle gilt die aus der bisherigen KRITIS-Systematik bekannte Logik: erfasst sind Anlagen, deren Ausfall die Versorgung von mindestens 500.000 Personen beeinträchtigen würde; die Details legen Rechtsverordnungen fest. Jeder Betreiber muss seine Betroffenheit selbst prüfen — die Behörde wartet nicht, sie kann nicht registrierte Anlagen auch von Amts wegen aufnehmen. Die Länder können darüber hinaus Betreiber unterhalb der Schwellenwerte einbeziehen.
Die Pflichten im Zeitverlauf
| Pflicht | Frist | Inhalt |
|---|---|---|
| Registrierung | spätestens 3 Monate, nachdem die Anlage als kritisch gilt (erst nach der Rechtsverordnung) | Anmeldung über die gemeinsame BBK/BSI-Plattform, inkl. 24/7-Kontaktstelle |
| Risikoanalyse | erstmals 9 Monate nach Registrierung, dann mind. alle 4 Jahre | Alle Gefahren: Natur, Technik, menschliches Handeln — inkl. Abhängigkeiten von anderen Sektoren (Strom!) |
| Resilienzmaßnahmen + Resilienzplan | 10 Monate nach Registrierung | Angemessene technische, bauliche und organisatorische Maßnahmen, dokumentiert und begründet |
| Störungsmeldung | binnen 24 Stunden | Erhebliche Störungen an das BBK melden |
| Nachweise & Aufsicht | laufend | Nachweisführung gegenüber dem BBK, u. a. durch Audits |
Dazu kommen ausdrückliche Pflichten der Geschäftsleitung: Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Verstöße sind bußgeldbewehrt — der Rahmen reicht bis zu einer Million Euro, und eine persönliche Verantwortung der Leitungsebene ist ausdrücklich vorgesehen.
Kernaussage
Das Gesetz schreibt kein Notstromaggregat vor. Es verlangt aber verhältnismäßige, begründete Maßnahmen, um Ausfälle zu verhindern, zu beherrschen und die Versorgung schnell wiederherzustellen — und nennt dabei die Notstromversorgung ausdrücklich als mögliche Maßnahme (§ 13 Abs. 3 Nr. 4 a)). Für jede stromabhängige kritische Dienstleistung ist die Netzersatzanlage damit die Basismaßnahme — ihr Fehlen müsste ein Resilienzplan erst einmal überzeugend begründen.
Wo die Notstromversorgung ins Spiel kommt
Die Risikoanalyse muss Abhängigkeiten zwischen Sektoren betrachten — und die Stromversorgung ist die Abhängigkeit Nummer eins: Ohne Netz stehen Pumpen, Kühlketten, Leitstellen und IT. Aus dem Gesetz ergeben sich für die Auslegung drei konkrete Konsequenzen:
- Belastbares Lastprofil statt Schätzung — die Maßnahme muss im Plan begründet sein; eine Bedarfsanalyse mit Messung liefert genau diese Grundlage.
- Langzeitfähigkeit — wer für mehrtägige Lagen plant, legt die Anlage nach PRP aus, nicht nach der Standby-Angabe. Hintergründe: Leistungsangaben nach ISO 8528.
- Durchhaltefähigkeit — ein Aggregat ohne Kraftstoffkonzept ist nach Stunden am Ende. Wie Tankgröße und Nachschub für 72 Stunden geplant werden, zeigt der Beitrag Kraftstoffvorhaltung für 72 Stunden.
Was Betreiber jetzt tun sollten
- Betroffenheit prüfen — Sektoren und Schwellenwerte gegen die eigenen Anlagen halten; das Ergebnis dokumentieren (auch ein „nicht betroffen” gehört begründet in die Akte).
- Registrierung vorbereiten — Pflicht wird sie erst, wenn die Rechtsverordnung gilt; dann bleiben drei Monate, nachdem die Anlage als kritisch gilt. Kontaktstelle und Zuständigkeiten vorher klären, statt sie unter Fristdruck zu benennen.
- Stromabhängigkeit inventarisieren — welche kritischen Prozesse hängen am Netz, welche Notstromkapazität existiert heute, in welchem Zustand?
- Lücken schließen — Bedarfsanalyse, Auslegung, Kraftstoff- und Wartungskonzept; Bestandsanlagen auf Probelauf-Historie und Prüfstatus checken.
- In den Resilienzplan überführen — Maßnahmen, Begründung, Zuständigkeiten, Testrhythmus.
Auch wer unter den Schwellenwerten liegt — etwa kleinere Kommunen und Versorger — tut gut daran, sich an dieser Systematik zu orientieren. Für die Einordnung des eigenen Standorts genügt eine unverbindliche Anfrage.
Häufige Fragen
Schreibt das KRITIS-Dachgesetz ein Notstromaggregat vor?
Nicht als feste Pflicht. Es verlangt verhältnismäßige Maßnahmen gegen alle Gefahren und nennt die Notstromversorgung ausdrücklich als mögliche Maßnahme (§ 13 Abs. 3 Nr. 4 a)) — und weil nahezu jede kritische Dienstleistung stromabhängig ist, führt in der Praxis kaum ein Resilienzplan an einer Netzersatzanlage vorbei. Entscheidend ist die begründete Ableitung aus der Risikoanalyse.
Wir liegen unter der 500.000er-Schwelle — betrifft uns das Gesetz trotzdem?
Unmittelbar verpflichtet sind Betreiber kritischer Anlagen; welche das sind, legt die Rechtsverordnung des Bundesinnenministeriums fest (Regelwert 500.000 versorgte Einwohner je Anlage), daneben kann das Ministerium Anlagen im Einzelfall als kritisch feststellen. Die Länder können einzelne Anlagen zusätzlich als kritisch feststellen, sobald eine Rechtsverordnung des Bundes dafür Kriterien festlegt. Unabhängig davon lohnt die Orientierung an den Pflichten: Risikoanalyse, begründete Maßnahmen und dokumentierte Tests sind auch unterhalb der Schwelle ein brauchbarer Maßstab.
Wo und wie wird registriert?
Über die gemeinsame digitale Plattform von BBK und BSI. Benötigt werden Angaben zu Betreiber, Anlage, Sektor und kritischer Dienstleistung sowie eine rund um die Uhr erreichbare Kontaktstelle. Änderungen sind fortlaufend nachzumelden.
Stand: Oktober 2026. Das Gesetz wurde am 21. Juli 2026 geändert, unter anderem bei der Registrierungsfrist; Details regeln nachgelagerte Rechtsverordnungen, die noch fehlen. Konkrete Rechtsfragen gehören zu Ihrer Rechtsberatung.