Veröffentlicht am 05.10.2026

KRITIS-Dachgesetz: Was seit März 2026 für Betreiber kritischer Infrastruktur gilt – und was das für Pflegeeinrichtungen bedeutet

Ein neues Gesetz für die Widerstandsfähigkeit kritischer Infrastruktur

Seit dem 17. März 2026 gilt in Deutschland das KRITIS-Dachgesetz. Es setzt die EU-Richtlinie zur Resilienz kritischer Einrichtungen (CER-Richtlinie, 2022/2557) in nationales Recht um und fasst erstmals neun Sektoren unter einem gemeinsamen Dach zusammen: Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Trinkwasser, Abwasser, Siedlungsabfallentsorgung, Informationstechnik und Telekommunikation, Ernährung sowie öffentliche Verwaltung. Wichtig für die Einordnung: Das KRITIS-Dachgesetz ist nicht dasselbe wie das NIS-2-Umsetzungsgesetz, über das wir bereits berichtet haben. NIS-2 regelt digitale Cybersicherheit; das KRITIS-Dachgesetz schützt davon unabhängig die physische und operative Resilienz – also etwa Zutrittskontrollen, Notstromversorgung, Krisenmanagement und die Fähigkeit, nach einem Vorfall den Betrieb aufrechtzuerhalten oder schnell wiederherzustellen.

Diese Fristen laufen jetzt

Für Betreiber, die unter das Gesetz fallen, ist 2026 ein Jahr mit mehreren konkreten Terminen. Die Registrierungsplattform beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) soll zum 17. Juli 2026 öffnen. Ab der Registrierung haben betroffene Betreiber neun Monate Zeit für eine Risikoanalyse, nach zehn Monaten greifen die eigentlichen Resilienzpflichten – also ein dokumentierter Resilienzplan mit konkreten physischen Schutzmaßnahmen. Erhebliche Störungen müssen künftig binnen 24 Stunden gemeldet werden. Wer sich trotz Pflicht nicht registriert, riskiert ein Bußgeld von bis zu 100.000 Euro; wer angeforderte Unterlagen nicht liefert, bis zu 1 Million Euro.

Betrifft das auch Pflegeeinrichtungen?

Hier ist Ehrlichkeit wichtiger als eine schnelle Antwort: Das Gesetz selbst nennt ‚Gesundheit‘ als einen der neun betroffenen Sektoren, legt aber keine konkreten Schwellenwerte fest, ab wann eine Einrichtung als ‚kritische Anlage‘ gilt. Diese Schwellenwerte sollen über eine eigene Rechtsverordnung (die sogenannte KritisV) bestimmt werden – zum jetzigen Zeitpunkt liegt dazu nach unserer Recherche erst ein Referentenentwurf vor, der sich noch in der Abstimmung befindet. Erfahrungsgemäß orientieren sich solche Schwellenwerte im Gesundheitssektor an sehr großen Einrichtungen mit hoher Versorgungsrelevanz, etwa Krankenhäuser ab einer bestimmten Bettenzahl oder Trägerverbünde mit entsprechender regionaler Bedeutung. Für die meisten ambulanten Pflegedienste und kleineren bis mittleren Sozialstationen ist es nach aktuellem Stand unwahrscheinlich, direkt als KRITIS-Betreiber eingestuft zu werden – eine verbindliche Aussage dazu lässt sich aber erst treffen, wenn die KritisV final vorliegt. Größere Träger mit mehreren Standorten, eigenen Kliniken oder überregionaler Versorgungsfunktion sollten die Verordnung im Blick behalten und sich im Zweifel von spezialisierter Stelle einstufen lassen.

Warum das Thema trotzdem auf Ihre Agenda gehört

Auch ohne formelle KRITIS-Pflicht lohnt sich ein Blick auf das, was das Gesetz von Betreibern verlangt – denn es beschreibt im Grunde, was gute IT- und Betriebssicherheit in der Pflege ohnehin ausmacht: eine aktuelle Übersicht über kritische Systeme und Abhängigkeiten, ein dokumentierter Notfall- und Krisenplan, klare Zuständigkeiten im Ernstfall, geprüfte Lieferketten bei wichtigen Dienstleistern und die Fähigkeit, einen Vorfall schnell zu erkennen und zu melden. Das deckt sich mit Anforderungen, die ohnehin aus Cyberversicherungen, aus der DSGVO oder schlicht aus eigenem Interesse an einem stabilen Betrieb entstehen. Wer hier schon heute solide aufgestellt ist, tut sich leichter, falls künftige Schwellenwerte doch greifen – und ist im Alltag ohnehin besser gegen Ausfälle gewappnet.

Was Sie konkret prüfen können

Ein realistischer erster Schritt ist eine ehrliche Bestandsaufnahme: Gibt es einen aktuellen, schriftlichen Notfallplan für IT-Ausfälle und andere Betriebsstörungen? Ist klar geregelt, wer im Ernstfall informiert wird und wer entscheidet? Sind kritische Dienstleister (etwa der IT-Dienstleister, der Softwareanbieter für die Dokumentation oder der Stromlieferant) bekannt und deren Ausfallrisiko eingeschätzt? Gibt es physische Schutzmaßnahmen für Serverräume und zentrale Technik? Dieser Beitrag ersetzt keine rechtliche Einstufung im Einzelfall – ob und wie das KRITIS-Dachgesetz konkret auf Ihre Einrichtung zutrifft, sollte bei Unsicherheit verbindlich geprüft werden, sobald die branchenspezifische Verordnung vorliegt.

bitman-Perspektive

Ob KRITIS-Pflicht oder nicht: Notfallpläne, Lieferantenbewertung und physische Absicherung der IT gehören für uns zum Kerngeschäft rund um Netzwerke, Server und IT-Sicherheit für soziale Dienste. Wenn Sie wissen möchten, wo Ihre Einrichtung heute steht und was sich mit überschaubarem Aufwand verbessern lässt, sprechen Sie uns an.