Mit dem „Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen“ (KRITIS‑Dachgesetz) will die Bundesregierung die Resilienz kritischer Anlagen in Deutschland stärken. Das Gesetz setzt die Richtlinie der Europäischen Union zur Stärkung kritischer Einrichtungen um (sog. „CER-Richtlinie“). Der Bundestag hat das KRITIS‑Dachgesetzes am 29. Januar 2026 verabschiedet, nach der Zustimmung des Bundesrats ist das Gesetz dann am 17. März 2026 in Kraft getreten.

Mit dem Gesetz hat die Bundesregierung einen ersten Schritt unternommen, um wirtschaftlich „kritische“, das heißt hochrelevante, Anlagen künftig besser zu schützen. Wesentliche Regelungsinhalte des Gesetzes, wie die Identifikation von kritischen Anlagen, die Systematik erforderlicher Resilienzanalysen oder der sektorübergreifenden Mindeststandards, wurden jedoch in noch ausstehende Rechtsverordnungen ausgelagert. Das Bundesministerium des Innern hat nun den Entwurf der ersten dieser Verordnungen vorgelegt, welche die Identifikation von kritischen Anlagen regelt.

Definition und Systematik kritischer Anlagen

Die Verordnung bestimmt kritische Anlagen anhand von Sektoren, Anlagenkategorien und Schwellenwerten. Das BMI orientiert sich mit der Verordnung an der Systematik des BSI-Gesetzes. Dabei erfasst die Kritisverordnung (KritisV) neben den Anlagen selbst auch Anlagenteile, Verfahrensschritte und „Nebeneinrichtungen“. Mehrere betriebstechnisch verbundene Anlagen können unter bestimmten Voraussetzungen auch als eine „gemeinsame Anlage“ gelten.

Die Verordnung legt für verschiedene Sektoren spezifische Schwellenwerte fest, die sich unter anderem an Produktionsmengen, technischen Parametern oder Versorgungsgrößen orientieren. Durch abgesenkte Schwellenwerte und neue Anlagenkategorien erweitert sich der Kreis betroffener Unternehmen. Die Verordnung setzt auf die Eigenverantwortung von Unternehmen, die ihre Betroffenheit grundsätzlich selbst prüfen müssen.

Pflichten für Betreiber kritischer Anlagen

Fällt eine Anlage nach der Kritisverordnung unter das KRITIS-Dachgesetz, müssen die Betreiber sich innerhalb von drei Monaten beim BSI als kritische Anlage registrieren. In Resilienzplänen müssen Betreiber Maßnahmen benennen, die jegliche physischen, digitalen und hybriden Bedrohungen im Sinne eines „All-Gefahren-Ansatzes“ berücksichtigen. Wesentliche Resilienzmaßnahmen können unter anderem die Bildung von Notfallteams, Objektschutz und Maßnahmen zur Ausfallsicherheit und Ersatzversorgung sein. Als Grundlage für die Maßnahmen dienen Risikoanalysen und Risikobewertungen, die von den zuständigen staatlichen Stellen auf Bundes- und Landesebene und durch die Betreiber zur Verfügung gestellt werden. Branchenverbände können darüber hinaus eigene Resilienzstandards entwickeln, die das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) auf Antrag anerkennen kann.

DIHK spricht sich für umsetzbare Regelungen aus

Die DIHK begrüßt das Ziel, die Resilienz kritischer Infrastrukturen zu stärken. Wie die Angriffe auf die Energieinfrastruktur in Berlin gezeigt haben, ist die gesamte gewerbliche Wirtschaft in besonderem Maße auf funktionierende Versorgungsstrukturen angewiesen. Akzeptanz und Wirksamkeit des KRITIS-Dachgesetzes hängt jedoch maßgeblich von der praktischen Umsetzbarkeit ab. Die stärkere Verzahnung mit bestehenden IT-Sicherheitsvorgaben – insbesondere mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung– ist aus DIHK-Sicht grundsätzlich positiv. Wichtig bleibt, redundante Anforderungen und unnötige Bürokratie zu vermeiden und bestehende Nachweise anzuerkennen.

Die Anforderungen des KRITIS-Dachgesetzes sollten möglichst bundesweit einheitlich umgesetzt werden. Mit Blick auf regionale Versorgungsstrukturen oder spezialisierte Dienstleistungen können jedoch auch kleinere Anlagen bedeutend sein, die unterhalb der vorgesehenen Schwellenwerte liegen. Am Ende ist es sinnvoll, auch die regionalen Gegebenheiten zu berücksichtigen. Dieses Spannungsfeld sollte der Gesetzgeber beachten.

Für die eigenständige Betroffenheitsprüfung benötigen Unternehmen aber praxisnahe Leitfäden, Prüfschemata, Unterstützungsangebote und Informationen. Staatliche Stellen sollten daher relevante Informationen zur Gefährdungs- und Bedrohungslage bereitstellen, damit Unternehmen ihre Resilienzanforderungen gezielt umsetzen können. Die IHKs übernehmen dabei eine wichtige Rolle als Multiplikatoren.

Kritisch hat die DIHK den derzeit nicht belastbar abschätzbaren Erfüllungsaufwand bewertet. Die notwendigen Investitionen in Sicherheitsmaßnahmen, Dokumentationspflichten sowie laufende Prüf‑ und Nachweisprozesse bedeuten für Unternehmen zusätzliche Kosten. Gerade für kleine und mittlere Unternehmen ist eine realistische Bewertung der Belastungen notwendig. 

Positiv bewertet die DIHK die vorgesehene Evaluierung des KRITIS-Dachgesetzes und der nachgeordneten Verordnungen, da sie zur Identifikation möglicher Überregulierung beiträgt. Erkenntnisse aus Übungen, Krisensimulationen, realen Störfällen und Cybervorfällen sowie die praktischen Erfahrungen der Betreiber sollten systematisch ausgewertet und im Sinne eines „Proof of Concept“ zu einer umfassenden Wirksamkeitsanalyse zusammengeführt werden. Der Fokus der Evaluierung sollte auf der Wirksamkeit des Gesetzes liegen. Bisher fokussiert sich der für die Evaluierung festgelegte Rahmen zu sehr auf die Systematik der Verordnung. Damit das KRITIS-Dachgesetz praxisorientiert evaluiert werden kann, spricht sich die DIHK für eine strukturierte Beteiligung von Betreibern, IHKs, Verbänden und Wissenschaft im Sinn der Praxis-Checks aus.

Die KRITIS-Verordnung ist nicht zustimmungspflichtig und wird nach der Verbändeanhörung in Kraft treten. 

Download

Die DIHK-Stellungnahme zum Thema finden Sie hier: