Der KRITIS-Resilienzplan ist das zentrale Dokument, mit dem Betreiber kritischer Anlagen nach dem KRITIS-Dachgesetz (KRITISDachG) zeigen, wie sie ihre kritische Dienstleistung gegen Störungen absichern. Er ist keine zusätzliche Bürokratie neben dem Business Continuity Management, sondern bündelt, was eine gute BCM-Organisation ohnehin erarbeitet, bezogen auf die Risikoanalyse nach § 12 KRITISDachG.
Inhaltsverzeichnis
Kurz erklärt
Der Resilienzplan in vier Punkten
Fristen
Was ab der Registrierung gilt
§ 13 KRITISDachG
Die fünf Absätze im Überblick
Aufbau
Ein Gliederungsvorschlag bis zur amtlichen Vorlage
BCM als Grundlage
Was aus dem Business Continuity Management übernommen werden kann
Nachweise und Pflichten
Was nach der Erstellung des Plans gilt
Typische Schwachstellen
Woran Resilienzpläne in der Praxis scheitern
Häufige Fragen
Vorlagen, Notfallhandbuch und Risikoanalyse
Weiterführend
Vertiefung und Unterstützung
Quellen
Belege und weiterführende Quellen
Kurz erklärt
Der Resilienzplan in vier Punkten
- Was: Darstellung der Resilienzmaßnahmen eines Betreibers kritischer Anlagen, einschließlich der Erwägungen dahinter und des Bezugs zur Risikoanalyse (§ 13 Abs. 4 KRITISDachG).
- Wozu: Die Maßnahmen dienen vier Zielen. Sie sollen Vorfälle verhindern, die Liegenschaften angemessen physisch schützen, auf Vorfälle reagieren und ihre Folgen begrenzen sowie die kritische Dienstleistung zügig wiederherstellen (§ 13 Abs. 1).
- Wann: Die Pflicht greift erstmals zehn Monate nach der Registrierung (§ 8 Abs. 7). Registrieren müssen sich Betreiber erst, wenn die Rechtsverordnung zur Bestimmung kritischer Anlagen in Kraft ist; diese liegt bisher nur als Entwurf vor.
- Wie oft: Der Plan ist anzuwenden und bei Bedarf sowie nach jeder Risikoanalyse zu aktualisieren (§ 13 Abs. 4); die Risikoanalyse ist mindestens alle vier Jahre zu wiederholen.
Fristen im Überblick
Was ab der Registrierung gilt
Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Die Fristen für Betreiber laufen aber erst mit der Registrierung an, und die Registrierungspflicht hängt an einer Rechtsverordnung, die festlegt, welche Anlagen als kritisch gelten.
| Schritt | Frist | Grundlage |
|---|---|---|
| Inkrafttreten des KRITIS-Dachgesetzes | 17. März 2026 | BGBl. 2026 I Nr. 66 |
| Rechtsverordnung zur Bestimmung kritischer Anlagen | noch offen; seit Mai 2026 liegt ein Referentenentwurf vor | § 4 Abs. 3, § 5 Abs. 1 |
| Registrierung | drei Monate, nachdem die Anlage als kritisch gilt (also erst nach Inkrafttreten der Verordnung) | § 8 Abs. 1 |
| Risikoanalyse des Betreibers | erstmals neun Monate nach der Registrierung, danach mindestens alle vier Jahre | § 12, § 8 Abs. 7 |
| Resilienzmaßnahmen und Resilienzplan | erstmals zehn Monate nach der Registrierung | § 13, § 8 Abs. 7 |
| Meldung von Vorfällen | ab zehn Monate nach der Registrierung; Erstmeldung binnen 24 Stunden, ausführlicher Bericht nach einem Monat | § 18 |
| Vorlagen und Muster des BBK | spätestens acht Monate nach Inkrafttreten der Verordnung | § 13 Abs. 5 |
Stand Oktober 2026 besteht laut Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) noch keine Registrierungspflicht, weil die Verordnung noch erarbeitet und abgestimmt wird. Der früher genannte Termin 17. Juli 2026 ist aus dem Gesetz gestrichen. Das BBK empfiehlt dennoch, sich schon jetzt mit der eigenen Resilienz zu befassen. Sinnvoll sind vor allem drei Schritte: die Betroffenheit klären, eine Kontaktstelle benennen und die Risikoanalyse vorbereiten. Dann steht mit der Verordnung nur noch die Registrierung selbst an.
Betrifft Sie das KRITIS-Dachgesetz?
Unser kostenloser Betroffenheitscheck gibt Ihnen in wenigen Minuten eine Ersteinschätzung, als Betreiber oder als Zulieferer. Die Auswertung mit den Punkten, die Sie jetzt prüfen sollten, erhalten Sie als PDF.
Was § 13 KRITISDachG verlangt
Die fünf Absätze im Überblick
- Ziele (Abs. 1): Maßnahmen zur Verhinderung von Vorfällen, zum angemessenen physischen Schutz der Liegenschaften, zur Reaktion auf Vorfälle und Begrenzung ihrer Auswirkungen sowie zur zügigen Wiederherstellung der kritischen Dienstleistung.
- Verhältnismäßigkeit (Abs. 2): Die Maßnahmen müssen verhältnismäßig sein und sich auf die nationalen Risikoanalysen sowie auf die Risikoanalyse des Betreibers stützen. Der Stand der Technik soll eingehalten werden; wirtschaftliche Aspekte einschließlich der Leistungsfähigkeit des Betreibers sind zu berücksichtigen.
- Maßnahmenkatalog (Abs. 3): beispielhaft Notfallvorsorge, physische Sicherung (Objektschutz, Detektion, Zugangskontrollen), Risiko- und Krisenmanagementverfahren, Aufrechterhaltung des Betriebs (etwa Notstromversorgung), alternative Lieferketten, Sicherheitsmanagement für das Personal sowie Schulung und Sensibilisierung, soweit nicht spezialgesetzliche Regelungen der jeweiligen Branche vorgehen.
- Resilienzplan (Abs. 4): Die Maßnahmen sind in einem Resilienzplan darzustellen und anzuwenden. Der Plan lässt die zugrunde liegenden Erwägungen erkennen, nimmt Bezug auf die Risikoanalyse und wird bei Bedarf sowie nach Durchführung einer Risikoanalyse aktualisiert.
- Vorlagen (Abs. 5): Das BBK stellt spätestens acht Monate nach Inkrafttreten der Rechtsverordnung zur Bestimmung kritischer Anlagen Vorlagen und Muster für Resilienzpläne auf seiner Internetseite bereit.
Aufbau eines KRITIS-Resilienzplans
Ein Gliederungsvorschlag bis zur amtlichen Vorlage
Das Gesetz schreibt keine Gliederung vor, und die Vorlagen des BBK sind laut BBK noch in Erstellung. Die folgende Gliederung leitet sich aus den Anforderungen des § 13 ab und lässt sich später an die amtliche Vorlage anpassen.
| Abschnitt | Inhalt | Bezug |
|---|---|---|
| 1. Geltungsbereich | Kritische Anlage(n), kritische Dienstleistung, Standorte, Schnittstellen zu Dienstleistern | § 8 (Registrierung) |
| 2. Ergebnis der Risikoanalyse | Wesentliche Risiken und Szenarien, Bewertung, Stand und Datum der Analyse | § 12, § 13 Abs. 4 |
| 3. Kritische Prozesse und Ressourcen | Zeitkritische Prozesse aus der Business Impact Analyse, maximal tolerierbare Ausfallzeiten, abhängige Ressourcen und Lieferanten | § 13 Abs. 1 |
| 4. Maßnahmen je Ziel | Prävention, physischer Schutz, Reaktion und Begrenzung, Wiederherstellung; jeweils mit Zweck, Verantwortlichen, Stand und Termin | § 13 Abs. 1 und 3 |
| 5. Begründung der Verhältnismäßigkeit | Warum eine Maßnahme gewählt, verschoben oder verworfen wurde; Risiko gegen Aufwand | § 13 Abs. 2 |
| 6. Organisation | Rollen, Krisenstab, Alarmierung, Kommunikation, Meldeweg für Vorfälle | § 13 Abs. 3, § 18 |
| 7. Personal und Sensibilisierung | Sicherheitsmanagement für das Personal, Schulungen, Übungen | § 13 Abs. 3 |
| 8. Test und Übung | Übungsplan, Ergebnisse, abgeleitete Verbesserungen | § 13 Abs. 4 (Anwendung) |
| 9. Pflege | Anlässe und Rhythmus der Aktualisierung, Änderungshistorie, Freigabe durch die Leitung | § 13 Abs. 4 |
BCM als Grundlage
Was aus dem Business Continuity Management übernommen werden kann
Wer ein Business Continuity Management nach ISO 22301 oder BSI-Standard 200-4 betreibt, hat einen großen Teil der Inhalte bereits. Die Business Impact Analyse liefert die zeitkritischen Prozesse und Ressourcen, die Wiederanlaufplanung deckt das Ziel der zügigen Wiederherstellung ab und das Krisenmanagement die Reaktion auf Vorfälle. Neu ist vor allem der ausdrückliche Bezug auf physische Gefährdungen und die Pflicht, die Verhältnismäßigkeit jeder Maßnahme nachvollziehbar zu begründen.
Für die Risikoanalyse selbst bieten die Grundlagen des Risikomanagements den methodischen Rahmen. Wie sich Ressourcenrisiken über Prozesse und Standorte zu einem Unternehmensrisiko verdichten lassen, beschreibt der Beitrag zur Risikoaggregation.
Nachweise und Pflichten
Was nach der Erstellung des Plans gilt
Mit dem fertigen KRITIS-Resilienzplan sind die Pflichten nicht erledigt. Das KRITIS-Dachgesetz regelt auch, wie Betreiber ihre Maßnahmen nachweisen, wie sie Vorfälle melden und wer im Unternehmen verantwortlich ist.
| Pflicht | Was gilt | Grundlage |
|---|---|---|
| Nachweise | Die zuständige Behörde kann risikobasiert ausgewählte Betreiber auffordern, Informationen und Nachweise vorzulegen, insbesondere den Resilienzplan. Der Nachweis ist auch über Audits möglich; deren Ergebnisse samt festgestellter Mängel sind auf Verlangen vorzulegen. | § 16 Abs. 2 und 3 |
| Prüfung und Mängel | Die Behörde kann die Einhaltung vor Ort prüfen, auch mit einem qualifizierten unabhängigen Dritten. Bei Mängeln kann sie einen Mängelbeseitigungsplan und Maßnahmen mit Frist anordnen. | § 16 Abs. 4 und 5 |
| Meldung von Vorfällen | Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis, an die gemeinsame Meldestelle von BBK und BSI; ausführlicher Bericht spätestens einen Monat nach Kenntnis. | § 18 |
| Geschäftsleitung | Sie muss die Resilienzmaßnahmen umsetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherstellen. Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach den gesellschaftsrechtlichen Regeln. | § 20 |
| Mindestanforderungen | Das Bundesministerium des Innern kann sektorübergreifende Mindestanforderungen per Rechtsverordnung festlegen. Betreiber und Branchenverbände können branchenspezifische Resilienzstandards vorschlagen, deren Eignung das BBK feststellt. | § 14 |
| Bußgelder | Bis zu 1 Mio. € bei Verstößen gegen Anordnungen zur Registrierung, bis zu 500.000 € bei nicht oder falsch übermittelten Auditergebnissen, bis zu 200.000 € bei Verstößen gegen Anordnungen nach § 16, sonst bis zu 100.000 €. | § 24 |
Wie die Nachweise im Einzelnen zu erbringen sind, stimmt das BBK derzeit noch ab; auch die Mindestanforderungen sind laut BBK in Abstimmung. Für die Praxis heißt das: den Resilienzplan von der Geschäftsleitung freigeben lassen, den Meldeweg für Vorfälle festlegen und die Belege so ablegen, dass sie sich auf Anforderung vorlegen lassen. Für bestimmte Betreiber im Energiesektor gelten statt § 16 die Regeln des § 5f EnWG.
Typische Schwachstellen
Woran Resilienzpläne in der Praxis scheitern
- Maßnahmen ohne erkennbaren Bezug zu einem Risiko aus der Risikoanalyse.
- Keine Begründung, warum eine Maßnahme nicht umgesetzt wird, obwohl gerade das der Maßstab der Verhältnismäßigkeit verlangt.
- Abhängigkeiten von Lieferanten und Dienstleistern werden nicht betrachtet, obwohl alternative Lieferketten ausdrücklich zum Maßnahmenkatalog gehören.
- Der Plan wird erstellt, aber nicht geübt und nicht nach der nächsten Risikoanalyse fortgeschrieben.
Häufige Fragen
Vorlagen, Notfallhandbuch und Risikoanalyse
Muss ich schon jetzt handeln?
Eine gesetzliche Frist läuft noch nicht, solange die Rechtsverordnung nicht in Kraft ist und keine Registrierung erfolgt ist. Das BBK empfiehlt aber, sich bereits jetzt mit der Resilienz zu befassen. Wer Betroffenheit, Kontaktstelle und Risikoanalyse vorbereitet, gewinnt Zeit für die eigentlichen Maßnahmen, denn für den Resilienzplan bleiben nach der Registrierung nur zehn Monate.
Gibt es eine amtliche Vorlage oder ein Muster für den Resilienzplan?
Noch nicht. Nach § 13 Abs. 5 stellt das BBK spätestens acht Monate nach Inkrafttreten der Rechtsverordnung Vorlagen und Muster bereit; laut BBK sind sie in Erstellung. Bis dahin empfiehlt sich eine Gliederung, die sich an den Absätzen 1 bis 4 orientiert.
Ersetzt ein bestehendes Notfallhandbuch den Resilienzplan?
Nicht vollständig. Ein Notfallhandbuch deckt vor allem Reaktion und Wiederherstellung ab. Der Resilienzplan umfasst zusätzlich Prävention und physischen Schutz, den Bezug zur Risikoanalyse und die Begründung der Verhältnismäßigkeit.
Wie hängen Risikoanalyse und Resilienzplan zusammen?
Die Risikoanalyse nach § 12 ist die Grundlage. Sie ist erstmals neun Monate nach der Registrierung durchzuführen und mindestens alle vier Jahre zu wiederholen. Nach jeder Risikoanalyse ist der Resilienzplan zu aktualisieren.
Weiterführend
Vertiefung und Unterstützung
- KRITIS-Betroffenheitscheck
- KRITIS-Dachgesetz im Überblick
- Business Continuity Management
- Resilienz als Gesamtsystem
- NIS2 in Deutschland
- Weiterbildung KRITIS-Dachgesetz
- Resilienzradar mit aktueller Lage und Abhängigkeiten
- Beratung zum Resilienzplan anfragen
Quellen
- § 13 KRITISDachG, Resilienzpflichten der Betreiber kritischer Anlagen; Resilienzplan: gesetze-im-internet.de
- §§ 14, 16, 18, 20 und 24 KRITISDachG, Mindestanforderungen, Nachweise, Meldewesen, Geschäftsleitung und Bußgelder: gesetze-im-internet.de
- Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen, BGBl. 2026 I Nr. 66: recht.bund.de
- Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, FAQ zum KRITIS-Dachgesetz: bbk.bund.de
- Noerr, Die neue KRITIS-Verordnung (09.06.2026): noerr.com
- IHK Köln, KRITIS-Dachgesetz: Was Unternehmen jetzt wissen und tun müssen: ihk.de
Resilienz-Lagebericht – monatlich, kostenfrei
Aktuelle Ausgabe: Monatsbericht September 2026. Gesamtlage, die wichtigsten Lagen mit Angabe der Belastbarkeit, Sektor-Exposition und was jetzt zu prüfen ist – als PDF.
