RESILIENZ

KRITIS-Dachgesetz: Stärkung kritischer Infrastrukturen

Mit der Verabschiedung des KRITIS-Dachgesetzes (KRITIS-DachG) hat der Bundestag einen wichtigen Schritt zum Schutz kritischer Infrastrukturen in Deutschland vollzogen. Das Gesetz setzt die EU-CER-Richtlinie um und reagiert auf reale Bedrohungen wie Sabotage, Extremismus und Naturgefahren. Auch Ereignisse wie großflächige Stromausfälle verdeutlichen die Verwundbarkeit zentraler Versorgungssysteme. Das KRITIS-Dachgesetz ist am 17.03.2026 in Kraft getreten. Die Regelungen des § 14 Abs. 3 bis 5 treten erst am 01.01.2030 in Kraft und gelten damit mit zeitlicher Übergangsfrist.
Das KRITIS-Dachgesetz (Umsetzung der CER-Richtlinie (EU) 2022/2557) gilt für Einrichtungen in den Sektoren Energie, Transport und Verkehr, Banken- und Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser und Abwasser, Ernährung, Abfallwirtschaft, digitale Infrastruktur, Weltraum und öffentliche Verwaltung. Die Einstufung als kritische Einrichtung erfolgt anhand sektorspezifischer Kriterien, insbesondere der Versorgungsrelevanz und möglicher Auswirkungen eines Ausfalls. Die Einrichtung muss hierzu essenziell für die Gesamtversorgung in Deutschland sein und mehr als 500.000 Personen versorgen. Die rechtliche Grundlage bildet die CER-Richtlinie, insbesondere Artikel 6 und 7.
Das KRITIS-Dachgesetz verpflichtet kritische Einrichtungen im Sinne der CER-Richtlinie (EU) 2022/2557 zu angemessenen Maßnahmen zur Stärkung ihrer Resilienz. Dazu zählen regelmäßige Risikoanalysen, geeignete technische, bauliche und organisatorische Schutzmaßnahmen (z. B. Zutrittskontrollen, physische Sicherung, Notfall- und Ersatzversorgung) sowie ein wirksames Risiko- und Krisenmanagement. Sicherheitsrelevante Vorfälle sind ohne unangemessene Verzögerung den zuständigen nationalen Behörden zu melden. Die Verantwortung für die Umsetzung liegt bei der obersten Leitungsebene. Verstöße unterliegen den jeweils national festgelegten Aufsichts- und Sanktionsmechanismen.
Aktueller Handlungsbedarf für Unternehmen:
Unternehmen in den betroffenen Sektoren sollten jetzt aktiv werden. Dazu gehören:
  • Status-Check: Einschätzung, ob das eigene Unternehmen unter das KRITIS-DachG fällt – besonders bei regionalen oder grenznahen Versorgungsschwellen.
  • Risikomanagement: Aufbau oder Aktualisierung eines ganzheitlichen Risikomanagements inklusive physischer und digitaler Schutzmaßnahmen.
  • Prozesse zur Meldung: Etablierung klarer interner Abläufe zur Erkennung, Bewertung und fristgerechten Meldung von Sicherheitsvorfällen.
  • Ressourcenplanung: Schulung von Mitarbeitenden und Investitionen in Sicherheitstechnologien sowie Notfall- und Krisenpläne.
  • Regulatorische Verzahnung: Abgleich vorhandener Compliance-Programme (z. B. NIS2-Anforderungen) mit den neuen KRITIS-Pflichten, um Doppelarbeit und Lücken zu vermeiden.
Das KRITIS-Dachgesetz stärkt die Resilienz kritischer Infrastrukturen – ein wichtiger Schritt für Deutschland. Als IHK setzen wir uns aktiv für klare und einheitliche Rahmenbedingungen ein und haben hierzu bereits eine Stellungnahme abgegeben: Stellungnahme DIHK
Auf EU-Ebene sind die Mitgliedstaaten verpflichtet, bis zum 17. Juli 2026 kritische Einrichtungen zu ermitteln und entsprechend den Vorgaben der CER-Richtlinie einzustufen.
Offen bleiben jedoch Fragen zur Umsetzung, insbesondere für kleinere Versorger, zur Verzahnung mit bestehenden Vorgaben sowie zum Schutz sensibler Informationen. Einheitliche und praxistaugliche Regelungen sind entscheidend, damit der Schutz kritischer Infrastrukturen wirksam gelingt.
Weitere Informationen finden Sie hier auf der Seite der Bundesregierung: Schutz kritischer Infrastruktur gestärkt | Bundesregierung