GENERATORENJahrelang angekündigt, mehrfach verschoben — jetzt ist es verbindlich: Das KRITIS-Dachgesetz wurde am 29. Januar 2026 vom Bundestag beschlossen, passierte am 6. März den Bundesrat und ist seit Mitte März 2026 in Kraft. Damit setzt Deutschland die europäische CER-Richtlinie (EU) 2022/2557 um und regelt erstmals sektorenübergreifend den physischen Schutz kritischer Infrastrukturen — als Gegenstück zur NIS-2-Umsetzung, die die Cybersicherheit adressiert.
Für Betreiber zählt vor allem ein Datum: Die Registrierung bei der gemeinsamen Plattform von BBK und BSI ist zum 17. Juli 2026 der zentrale Stichtag für bestehende kritische Anlagen; neu eingestufte Anlagen haben ab Einstufung drei Monate Zeit. Danach greift ein fester Pflichtenfahrplan — von der Risikoanalyse bis zum dokumentierten Resilienzplan. Und in fast jedem dieser Schritte steht eine Frage im Zentrum: Was passiert bei Stromausfall?
Wer betroffen ist
Das Gesetz gilt für Betreiber kritischer Anlagen in den gesetzlich definierten Sektoren — darunter Energie, Wasser und Abwasser, Gesundheit, Ernährung sowie Transport und Verkehr. Als Regelschwelle gilt die aus der bisherigen KRITIS-Systematik bekannte Logik: erfasst sind Anlagen, deren Ausfall die Versorgung von mindestens 500.000 Personen beeinträchtigen würde; die Details legen Rechtsverordnungen fest. Jeder Betreiber muss seine Betroffenheit selbst prüfen — die Behörde wartet nicht, sie kann nicht registrierte Anlagen auch von Amts wegen aufnehmen. Die Länder können darüber hinaus Betreiber unterhalb der Schwellenwerte einbeziehen.
Die Pflichten im Zeitverlauf
| Pflicht | Frist | Inhalt |
|---|---|---|
| Registrierung | Stichtag 17.07.2026 (Bestand); sonst 3 Monate nach Einstufung | Anmeldung über die gemeinsame BBK/BSI-Plattform, inkl. 24/7-Kontaktstelle |
| Risikoanalyse | erstmals 9 Monate nach Registrierung, dann mind. alle 4 Jahre | Alle Gefahren: Natur, Technik, menschliches Handeln — inkl. Abhängigkeiten von anderen Sektoren (Strom!) |
| Resilienzmaßnahmen + Resilienzplan | 10 Monate nach Registrierung | Angemessene technische, bauliche und organisatorische Maßnahmen, dokumentiert und begründet |
| Störungsmeldung | binnen 24 Stunden | Erhebliche Störungen an das BBK melden |
| Nachweise & Aufsicht | laufend | Nachweisführung gegenüber dem BBK, u. a. durch Audits |
Dazu kommen ausdrückliche Pflichten der Geschäftsleitung: Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Verstöße sind bußgeldbewehrt — der Rahmen reicht bis zu einer Million Euro, und eine persönliche Verantwortung der Leitungsebene ist ausdrücklich vorgesehen.
Kernaussage
Das Gesetz schreibt kein Notstromaggregat wörtlich vor. Es verlangt aber wirksame, begründete Maßnahmen, um Ausfälle zu verhindern, zu beherrschen und die Versorgung schnell wiederherzustellen. Für jede stromabhängige kritische Dienstleistung ist die Netzersatzanlage damit die Basismaßnahme — ihr Fehlen müsste ein Resilienzplan erst einmal überzeugend begründen.
Wo die Notstromversorgung ins Spiel kommt
Die Risikoanalyse muss Abhängigkeiten zwischen Sektoren betrachten — und die Stromversorgung ist die Abhängigkeit Nummer eins: Ohne Netz stehen Pumpen, Kühlketten, Leitstellen und IT. Aus dem Gesetz ergeben sich für die Auslegung drei konkrete Konsequenzen:
- Belastbares Lastprofil statt Schätzung — die Maßnahme muss im Plan begründet sein; eine Bedarfsanalyse mit Messung liefert genau diese Grundlage.
- Langzeitfähigkeit — wer für mehrtägige Lagen plant, legt die Anlage nach PRP aus, nicht nach der Standby-Angabe. Hintergründe: Leistungsangaben nach ISO 8528.
- Durchhaltefähigkeit — ein Aggregat ohne Kraftstoffkonzept ist nach Stunden am Ende. Wie Tankgröße und Nachschub für 72 Stunden geplant werden, zeigt der Beitrag Kraftstoffvorhaltung für 72 Stunden.
Was Betreiber jetzt tun sollten
- Betroffenheit prüfen — Sektoren und Schwellenwerte gegen die eigenen Anlagen halten; das Ergebnis dokumentieren (auch ein „nicht betroffen” gehört begründet in die Akte).
- Registrierung abschließen — der 17. Juli 2026 steht vor der Tür.
- Stromabhängigkeit inventarisieren — welche kritischen Prozesse hängen am Netz, welche Notstromkapazität existiert heute, in welchem Zustand?
- Lücken schließen — Bedarfsanalyse, Auslegung, Kraftstoff- und Wartungskonzept; Bestandsanlagen auf Probelauf-Historie und Prüfstatus checken.
- In den Resilienzplan überführen — Maßnahmen, Begründung, Zuständigkeiten, Testrhythmus.
Auch wer unter den Schwellenwerten liegt — etwa kleinere Kommunen und Versorger — tut gut daran, sich an dieser Systematik zu orientieren: Sie ist der neue Stand der Technik für Notfallvorsorge, und Förderprogramme wie Ausschreibungen nehmen zunehmend darauf Bezug. Für die Einordnung des eigenen Standorts genügt eine unverbindliche Anfrage.
Häufige Fragen
Schreibt das KRITIS-Dachgesetz ein Notstromaggregat vor?
Nicht wörtlich. Es verlangt verhältnismäßige Maßnahmen gegen alle Gefahren — und weil nahezu jede kritische Dienstleistung stromabhängig ist, führt in der Praxis kaum ein Resilienzplan an einer Netzersatzanlage vorbei. Entscheidend ist die begründete Ableitung aus der Risikoanalyse.
Wir liegen unter der 500.000er-Schwelle — betrifft uns das Gesetz trotzdem?
Unmittelbar verpflichtet sind Betreiber kritischer Anlagen oberhalb der Schwellen; die Länder können den Kreis per Verordnung erweitern. Unabhängig davon lohnt die Orientierung an den Pflichten: Risikoanalyse, begründete Maßnahmen und dokumentierte Tests sind auch unterhalb der Schwelle der Maßstab, an dem Aufsicht, Versicherer und Fördergeber messen.
Wo und wie wird registriert?
Über die gemeinsame digitale Plattform von BBK und BSI. Benötigt werden Angaben zu Betreiber, Anlage, Sektor und kritischer Dienstleistung sowie eine rund um die Uhr erreichbare Kontaktstelle. Änderungen sind fortlaufend nachzumelden.
Stand: Juli 2026. Das Gesetz ist jung — eine Novelle ist bereits avisiert; Details regeln nachgelagerte Rechtsverordnungen. Konkrete Rechtsfragen gehören zu Ihrer Rechtsberatung.