Update: Inkrafttreten am 17. März 2026 Bundesrat beschließt KRITIS-Dachgesetz

Nachdem der Bundesrat dem KRITIS-Dachgesetz zugestimmt hat, wurde es am 16. März 2026 im Bundesgesetzblatt verkündet. Demnach trat das Gesetz am 17. März 2026 in Kraft. Doch einige Bundesländer sind damit nicht glück­lich.

Am Freitag, den 6. März 2026, hat der Bundesrat über den aktuellen Entwurf zum KRITIS-Dach­gesetz debattiert – und ihm zugestimmt. Nachdem das Gesetz am 16. März 2026 im Bundes­ge­setz­blatt verkündet wurde, gilt es seit dem 17. März 2026.

Physischer Schutz kritischer Anlagen

Grünes Licht für KRITIS-Dachgesetz

Was ist das KRITIS-Dachgesetz?

Mit dem Inkrafttreten des KRITIS-Dachgesetzes werden erstmalig die Sektoren Energie, Trans­port und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Trinkwasser, Abwasser, Sied­lungs­ab­fall­ent­sor­gung, Informationstechnik und Telekommunikation, Ernährung, Welt­raum sowie Öffentliche Verwaltung in einer EU-Richtlinie zusammengefasst. Das KRITIS-Dachgesetz ist die Umsetzung der europäischen CER-Richtlinie in deutsches Recht. Ziel ist es, die Resilienz kri­tischer Anlagen von Betrieben dieser Sektoren zu stärken, dazu gehören auch Maßnahmen im Bereich der IT-Sicherheit. Damit werden einheitliche Mindeststandards für den Schutz wich­ti­ger Infrastrukturen in ganz Europa eingeführt. Zudem wird die Zusammenarbeit zwi­schen den Ländern verbessert, was die Versorgungssicherheit in Deutschland und Europa erhöhen soll.

Kernelemente des KRITIS-Dachgesetzes sind:

• 1. Wichtigste KRITIS in Deutschland identifizieren: Zuerst müssen die wichtigsten KRITIS-Betreiber in Deutschland identifiziert werden. Hierbei handelt es sich um kritische In­frastrukturen, ohne die das Funktionieren der Wirtschaft insgesamt und folglich die Versorgungssicherheit der Bevölkerung im Bundesgebiet gefährdet ist.

• 2. Risikobewertung: Für die einzelnen kritischen Dienstleistungen werden nationale Ri­si­ko­be­wer­tungen durchgeführt, auf deren Grundlage die Betreiber eigene Risikobewertungen durchführen sollen.

• 3. Mindestanforderungen: Das KRITIS-Dachgesetz legt Mindestanforderungen fest, die für alle Sektoren gelten. Dabei gilt der All-Gefahren-Ansatz. Das bedeutet, dass jedes denkbare Ri­si­ko berücksichtigt werden muss, von Naturkatastrophen bis hin zu Sabotage, Terror­an­schlä­gen und menschlichem Versagen. Die Betreiber müssen außerdem Vorfälle melden.

Am 6. März lag dem Bundesrat ein Entwurf des KRITIS-Dachgesetzes vor, welcher durch den Deutschen Bundestag angepasst und nun als Gesetz verkündet wurde. So erhalten Länder mit der Öffnungsklausel die Mög­lichkeit, weitere kritische Anlagen für kritische Dienstleistungen, die allein in ihrer Zu­stän­dig­keit liegen, zu identifizieren. Das Bundesinnenministerium erhält die Ermächtigung, die ent­sprechenden Kriterien und Verfahren per Rechtsverordnung fest­zu­le­gen, die der Zu­stim­mung des Bundesrates bedarf. Zudem sollen Erwägungen zu Trans­pa­renz­pflich­ten für kritische In­frastrukturen berücksichtigt werden, und eine Evaluierung des KRITIS-Dach­ge­setzes soll bereits in zwei Jahren und nicht erst in fünf Jahren erfolgen.

NIS-2 und KRITIS-Dachgesetz verschärfen Anforderungen

Neue EU-Regulierungen überfordern internationale Konzerne

Stimmen zum aktuellen KRITIS-Dachgesetz

Der Bundesrat hat die Möglichkeit, den Vermittlungsausschuss einzuberufen, abgelehnt. Dies wäre ein mögliches Vorgehen gewesen, wenn sich Bundesrat und Bundestag nicht auf einen Gesetzesentwurf hätten einigen können. Zum Beispiel stand im Raum, dass einzelne Bun­des­län­der nach eigenem Ermessen den Schwellenwert für die Anwendbarkeit des KRITIS-Dach­ge­set­zes von 500.000 auf 150.000 zu versorgende Einwohner abzusenken. Dass diese Möglichkeit vom Tisch ist, bemängeln die Länder. Dadurch würden zahlreiche essentielle Infra­struk­tur­ein­rich­tun­gen nicht erfasst, insbesondere im ländlichen Raum. Auch mit Blick auf die praktische Umsetzung der Öffnungsklausel erwarten die Bundesländer Unklarheiten. Gerade im Ener­gie­be­reich könne die Regelung zu Problemen führen, denn Strom- und Gas­netze seien als Verbundsysteme ausgestaltet, deren Stabilität nicht an Landesgrenzen haltmache.

Der Digitalverband Bitkom hatte sich vor der Plenarsitzung am 6. März gegen die Öff­nungs­klau­sel ausgesprochen. „Eine pauschale Absenkung des Schwel­len­werts von 500.000 auf 150.000 versorgte Einwohner würde den Kreis der be­troffenen Un­ter­neh­men schlagartig massiv ver­größern und insbesondere auch kleinere Betreiber betreffen, ohne dass diese eine aus­reich­en­de Vorbereitungszeit haben. Ein breiterer Anwendungsbereich bedeutet nicht automatisch mehr Sicherheit“, wurde Bitkom-Präsident Dr. Ralf Wintergerst in einer Pressemeldung zitiert. Eine Anrufung des Vermittlungsausschusses hätte weitere mo­na­te­lange Verzögerungen bei der Stärkung der Abwehr von hybriden Angriffen bedeutet. „Gerade in der aktuell an­ge­spann­ten Sicherheitslage brauchen wir zügig einen praxistauglichen Rechtsrahmen für den Schutz kritischer Infrastrukturen.“

Dies sieht auch der Verband kommunaler Unternehmen (VKU) so und begrüßt in einer Stel­lung­nahme den Beschluss des Bundesrats. VKU-Hauptgeschäftsführer Ingbert Liebing sagt: „Das jahrelange Warten hat ein Ende. Die Einigung ist ein wichtiger Schritt für den Schutz kri­tischer Infrastrukturen. Die Unternehmen haben damit endlich Rechts- und Planungs­sicher­heit für ihre Investitionen.“ Die Zustimmung des Bundesrats sei überfällig. Dennoch sehe der VKU noch weiteren Handlungsbedarf. Die Bundesregierung müsse nun schnell die Nationale Ri­si­ko­analyse und -bewertung vorlegen. Auch neue Meldepflichten, etwa für kritische Kom­po­nen­ten, müssten praxistauglich ausgestaltet werden. Zudem spricht sich der VKU ebenfalls für eine Neu­bewertung und Anpassung von Transparenzpflichten, wie sie der Bundestag im aktu­ellen Ent­wurf erwägt hat. Darüber hinaus macht der Verband folgende Vorschläge für einen besseren Schutz kritischer Infrastrukturen:

• Schutz kritischer Infrastrukturen zum überragenden öffentlichen Interesse erklären, um Abwägungen zu beschleunigen und Sicherheitsinteressen zu priorisieren

• Nationale Gesamtstrategie und Risikoanalyse vorlegen, wie es die CER‑Richtlinie bereits seit Januar 2026 verlangt.

• Nationale Notfallreserve aufbauen, unter anderem mit Großgeräten für Inselnetzversorgung binnen 24 Stunden

• Finanzierung sichern, unteranderem über die Ausnahme von der Schuldenbremse (Art. 109 GG) und dem Sondervermögen Infrastruktur und Klimaneutralität (SVIK)

KRITIS-Dachgesetz fordert ganzheitliche Sicherheit

Warum IT-Sicherheit nicht mehr genügt und physische Sicherheit Pflicht wird

Wer fällt unter das KRITIS-Dachgesetz?

Laut Bundesministerium des Innern (BMI) hängt die Betroffenheit des KRITIS-Dachgesetzes von quantitativen und qualitativen Kriterien ab. Ist eine Einrichtung essenziell für die Ge­samt­ver­sorgung in Deutschland und versorgt mehr als 500.000 Personen, zählt sie zur kritischen Infrastruktur im Sinne des Gesetzentwurfs. Darüber hinaus soll auch berücksichtigt werden, wie die verschiedenen kritischen Infrastrukturen miteinander verbunden sind. Einige Sektoren, wie der Energiesektor, sind für das Funktionieren anderer Sektoren unerlässlich. Wasser- und Transportinfrastrukturen sind ebenso unverzichtbar für die Versorgung und Funktionsfähigkeit aller anderen Bereiche. Diese wechselseitigen Abhängigkeiten verdeutlichen, dass nicht nur die Größe oder Bedeutung einer einzelnen Einrichtung entscheidend ist, sondern auch deren Rolle im Zusammenspiel mit anderen kritischen Infrastrukturen.

Systeme zur Angriffserkennung

KRITIS-Betreiber haben Nachholbedarf

(ID:50777519)