Fünf nach zwölf: Das KRITIS-Dachgesetz kommt

Die Umsetzung der CER-Richtlinie (RL (EU) 2022/2557) in deutsches Recht lässt weiter auf sich warten. Eigentlich hätte die Bundesregierung bis Oktober 2024 liefern müssen – doch die Frist ist längst verstrichen, das Vertragsverletzungsverfahren der EU-Kommission läuft bereits. Nun liegt ein neuer Referentenentwurf für das KRITIS-Dachgesetz vor, zu dem derzeit die Verbände Stellung nehmen können. Auffällig ist dabei die sehr kurze Frist – die Anhörung endet bereits am 4. September 2025. Das verdeutlicht den erheblichen Zeitdruck, unter dem die Bundesregierung steht, um das Gesetz endlich auf den Weg zu bringen.

Der zweite Anlauf

Bereits die alte Bundesregierung hatte die Umsetzung der CER-Richtlinie nicht fristgerecht geschafft. Ein nahezu fertig abgestimmter Gesetzentwurf vom November 2024 wurde durch den Regierungswechsel jedoch nicht mehr verabschiedet.

Die neue Bundesregierung musste deshalb quasi bei null ansetzen – und das Verfahren mit einem Referentenentwurf erneut eröffnen. Inhaltlich unterscheidet sich dieser kaum vom bereits 2024 abgestimmten Entwurf, die Änderungen sind überwiegend redaktioneller Natur. Neu ist jedoch, dass die Höhe der Bußgelder nun ausdrücklich festgelegt wurde. Insgesamt handelt es sich weiterhin um eine nahezu 1:1-Umsetzung der EU-Vorgaben. Größere inhaltliche Neuerungen oder zusätzliche Belastungen für Unternehmen sind daher auch in der aktuellen Fassung nicht zu erwarten.

Was das KRITIS-Dachgesetz regelt

Das KRITIS-Dachgesetz soll die physische Resilienz kritischer Anlagen stärken – also den Schutz vor analogen Gefahren wie Naturkatastrophen, technischen Ausfällen oder Sabotage. Es ergänzt damit das nationale IT-Sicherheitsrecht, das bislang primär auf den digitalen Schutz abzielt.

Betroffen sind zehn Sektoren, darunter Energie, Transport und Verkehr, Gesundheitswesen, Finanz- und Versicherungswesen, Informationstechnik und Telekommunikation sowie öffentliche Verwaltung. Betreiber kritischer Anlagen müssen künftig organisatorische, technische und sicherheitsbezogene Maßnahmen ergreifen, die durch Behörden wie das Bundesamt für Sicherheit in der Informationstechnik, die Bundesnetzagentur und die Bundesanstalt für Finanzdienstleistungsaufsicht überwacht werden.

Bei Verstößen drohen empfindliche Sanktionen: Von Bußgeldern bis zu 500.000 € bis hin zu Anordnungen durch die Aufsichtsbehörden.

Wer handeln muss und was jetzt zu tun ist

Das Gesetz richtet sich an Betreiber sogenannter „kritischer Anlagen“. Ob eine Einrichtung darunterfällt, bestimmt sich insbesondere nach der Zugehörigkeit zu einem der betroffenen Sektoren und nach bestimmten Schwellenwerten.

Für diese Betreiber ergeben sich umfangreiche Pflichten – von der Registrierung und der Benennung einer 24/7-Kontaktstelle über Risikoanalysen bis hin zu Resilienzplänen und strengen Meldepflichten.

Eine detaillierte Übersicht der Pflichten sowie konkrete Handlungsempfehlungen finden Sie in unserem früheren Beitrag zum KRITIS-Dachgesetz.

Wann das Gesetz kommt

Einen exakten Zeitplan gibt es weiterhin nicht. Doch die Kombination aus laufendem EU-Vertragsverletzungsverfahren und knapper Verbändeanhörung zeigt: Die Bundesregierung will das Gesetz zügig verabschieden. Die Kabinettbefassung ist für den 10. September vorgesehen. Sollte der Prozess ähnlich verlaufen wie bei der NIS-2-Umsetzung, könnte daher in wenigen Wochen bereits ein Regierungsentwurf vorliegen.

Für betroffene Unternehmen heißt das: Jetzt vorbereiten – nicht abwarten.

Unsere Unterstützung

Das KRITIS-Dachgesetz bringt für Betreiber kritischer Anlagen erhebliche neue Anforderungen mit sich. Wir unterstützen Sie dabei, frühzeitig Klarheit zu gewinnen: von der Prüfung, ob Ihre Einrichtung betroffen ist, über die Analyse der künftigen Pflichten bis hin zur Entwicklung von Resilienzstrategien und der Erstellung erforderlicher Dokumentationen.