Wasser, Strom, Lebensmittel oder der öffentliche Personenverkehr sind für uns alltägliche Dinge, die jedoch lebensnotwendig sind. Die Versorgung mit diesen und weiteren unentbehrlichen Gütern und Dienstleistungen übernehmen in Deutschland sogenannte Kritische Infrastrukturen (KRITIS).

„Kritische Infrastrukturen sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden“ (Nationale Strategie zum Schutz Kritischer Infrastrukturen – KRITIS-Strategie, BMI 2009, S. 3)

Das KRITISDachG reguliert kritische Anlagen sowie Einrichtungen mit Bundesrelevanz.

Das KRITIS-Dachgesetz definiert Kritische Infrastrukturen als solche nicht, vielmehr definiert es „kritische Anlagen“. Eine Anlage gilt als kritisch, wenn sie eine kritische Dienstleistung in mindestens einem der erfassten Sektoren erbringt und zusätzlich quantitative oder qualitative Bemessungskriterien erfüllt. Konkrete Bestimmungen hierzu werden in der Identifizierungsverordnung geregelt werden, diese wird Ihnen hier zur Verfügung stehen, sobald diese in Kraft tritt.

Ein ebenen-, sektoren- und gefahrenübergreifendes „Gesetz zum Schutz Kritischer Infrastrukturen“ gab es in Deutschland bislang nicht. Einzelne Aspekte des Schutzes Kritischer Infrastrukturen sind zwar in Fachgesetzen festgeschrieben worden, etwa um europäische Vorgaben in deutsches Recht zu überführen. Das KRITIS-Dachgesetz legt jedoch nun erstmalig ein "Dach" über die erfassten Sektoren, um eine Harmonisierung über die Sektoren hinweg zu erreichen und somit zusätzlich Abhängigkeiten und Interdependenzen erfassen und abbilden zu können. Das Gesetz stellt die nationale Umsetzung der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (kurz: CER-Richtlinie) dar.

Das KRITIS-Dachgesetz ist am 17.03.2026 in Kraft getreten. Maßnahmen zur Umsetzung des KRITIS-Dachgesetzes befinden sich zurzeit in Erarbeitung und Abstimmung. Beispielsweise müssen auf Grundlage des KRITIS-Dachgesetzes verschiedene Rechtsverordnungen erarbeitet und erlassen werden. Dies betrifft etwa die Rechtsverordnung zur Bestimmung kritischer Anlagen gem. § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG, die den Anwendungsbereich des Gesetzes festlegt.

Wenige Regelungen aus dem KRITIS-Dachgesetz erfordern jetzt schon Handlungsbedarf. So müssen die Länder dem BBK einen Monat nach Inkrafttreten des KRITIS-Dachgesetzes melden, welche Landesbehörde als zentrale Stelle für sektorübergreifende Angelegenheiten fungiert.

Neue Informationen zur Umsetzung des KRITIS-Dachgesetzes werden auf der Website des BBK veröffentlicht werden. Zudem werden neue Rechtsverordnungen im Bundesgesetzblatt veröffentlicht.

Aktuell müssen Sie als ein Betreiber einer kritischen Anlage noch nicht tätig werden. Sobald die Rechtsverordnung zur Bestimmung kritischer Anlagen gem. § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG in Kraft getreten ist, sind Betreiber verpflichtet, ihre kritischen Anlagen zu registrieren. An die Registrierung sind weitere Anforderungen an die Betreiber kritischer Anlagen geknüpft. Dazu zählen beispielsweise die Durchführung von Risikoanalysen gem. § 12 Abs. 1 KRITISDachG und die Umsetzung von Resilienzmaßnahmen gem. § 13 Abs. 1 KRITISDachG. Diese Verpflichtungen gelten für die Betreiber kritischer Anlagen erstmals neun, bzw. zehn Monate nach der Registrierung (vgl. § 8 Abs. 7 KRITISDachG). Eine Verpflichtung zur Meldung von Vorfällen besteht erst zehn Monate nach der Registrierung einer kritischen Anlage (vgl. § 8 Abs. 7 KRITISDachG). Das BBK empfiehlt jedoch, sich jetzt schon mit der Steigerung der Resilienz auseinanderzusetzen, um Vorfälle im eigenen Interesse der Betreiber und im Interesse der Allgemeinheit zu verhindern.

Zurzeit besteht noch keine Registrierungspflicht auf der Grundlage des KRITISDachG, da sich die konkretisierende Rechtsverordnung zur Bestimmung kritischer Anlagen gem. § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG noch in Erarbeitung und Abstimmung befindet.

Nach erfolgreicher Registrierung werden wesentliche Elemente der Nationalen Risikoanalysen und -bewertungen den Betreibern kritischer Anlagen übermittelt. Eine allgemeine Veröffentlichung der Nationalen Risikoanalysen und -bewertungen erfolgt nicht.

Das Gesetz ist zum 17.03.2026 in Kraft getreten. Entsprechend befinden sich die unverbindlichen Muster und Vorlagen für die Resilienzpläne zurzeit in Erstellung. Eine Veröffentlichung auf der Website des BBK erfolgt nach Fertigstellung.

Inhaltliche und methodische Vorgaben einschließlich Vorlagen und Muster für die Risikoanalysen und -bewertungen der Betreiber kritischer Anlagen befinden sich zurzeit in Abstimmung. Näheres hierzu wird künftig in einer Rechtsverordnung geregelt und diesbezügliche Informationen auf der Website des BBK bereitgestellt.

Maßnahmen sind auf Basis der betreiberseitigen Risikobetrachtung unter Berücksichtigung der sektorübergreifenden Mindestanforderungen sowie ggf. vorhandener branchenspezifischer Resilienzstandards bzw. sektorspezifischer Anforderungen der zuständigen Behörden umzusetzen. Die sektorübergreifenden Mindestanforderungen befinden sich aktuell in Abstimmung und werden künftig in einer Rechtsverordnung näher geregelt.

Beschreibungen der Anforderungen sowie des Verfahrens sind aktuell in Abstimmung und werden nach Fertigstellung auf der Website des BBK veröffentlicht.

Das Verfahren zur Erbringung von Nachweisen bzgl. der Erfüllung der Resilienzpflichten befindet sich aktuell in Abstimmung und wird anschließend auf der Website des BBK veröffentlicht.

Die Verpflichtung zur Meldung von Vorfällen ist an die Registrierung gekoppelt und gilt erst zehn Monate nach erfolgter Registrierung als Betreiber kritischer Anlagen (vgl. § 8 Abs. 7 KRITISDachG). Zurzeit besteht noch keine Meldepflicht da sich die konkretisierende Rechtsverordnung zur Bestimmung kritischer Anlagen gem. § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG noch in Erarbeitung und Abstimmung befindet.

Eine Pflicht zur Meldung von Vorfällen besteht erst zehn Monate nach erfolgter Registrierung einer kritischen Anlage.