Zwei Fristen sind bereits verstrichen, eine dritte wurde inzwischen geändert. Das KRITIS-DachG ist am 17.03.2026 in Kraft getreten, das NIS2-Umsetzungsgesetz gilt seit dem 06.12.2025. Die BSIG-Registrierungspflicht (Cybersicherheit, beim BSI) hatte eine Frist bis zum 06.03.2026, die ebenfalls bereits abgelaufen ist.
Anders bei der physischen KRITIS-DachG-Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK): Der ursprünglich feste Stichtag 17.07.2026 wurde am 12.06.2026 vom Bundestag per Gesetzesänderung aufgehoben. An seine Stelle tritt eine Frist, die erst drei Monate nach Inkrafttreten der noch ausstehenden KRITIS-Verordnung beginnt – ein konkretes Datum steht damit aktuell noch nicht fest. Betreiber sollten die Registrierung dennoch vorbereiten, um bei Inkrafttreten der Verordnung sofort reagieren zu können.
Nach der Registrierung folgt die erste Risikoanalyse, die anschließend in regelmäßigen Abständen (typischerweise alle vier Jahre) zu aktualisieren ist. Bei verspäteter oder unvollständiger Registrierung drohen Bußgelder bis 100.000 €, bei fehlenden Prüfnachweisen bis 500.000 € (§ 24 KRITIS-DachG).
Da sich Melde- und Umsetzungsfristen je nach Sektor unterscheiden können und sich die Rechtslage weiterentwickelt, empfehlen wir, den eigenen Status frühzeitig prüfen zu lassen, statt auf ein festes Datum zu warten. CIBORIUS unterstützt Betreiber dabei, einen eigenen Fristenkalender zu erstellen und Sicherheitskonzepte so rechtzeitig zu planen, dass Auditnachweise und Umsetzungstermine zuverlässig eingehalten werden.