Der Bundestag hat am 29.01.2026 endlich das KRITIS-Dachgesetz zur Umsetzung der CER-Richtlinie verabschiedet. Nachdem die Frist zur Umsetzung bis zum 17.10.2024 deutlich gerissen worden war, hat das Gesetzesvorhaben in den letzten Wochen – wohl in Anbetracht der jüngsten Anschläge auf das Stromnetz im Berliner Südosten - nochmal an Fahrt aufgenommen.

📄 Die Texte sind im Kommentar verlinkt.

Das KRITIS-DachG ist als ein zum BSIG/ #NIS2 parallel laufendes Regelungsregime gedacht, dass sich nicht mit dem Schutz von IT-Systemen, sondern mit dem #Perimeterschutz befasst. Der Anwendungsbereich ist vergleichsweise eng: Adressiert werden lediglich Betreiber kritischer Anlagen, nicht aber sonstige besonders wichtige und wichtige Einrichtungen i. S. d. BSIG. Betreiber unterhalb der Schwellenwerte können aber durch BMI und Länder gesondert verpflichtet werden, § 5 Abs. 3-7 KRITIS-DachG.

Kernregelungen des Gesetzes sind u. a.:

◻️ Registrierungspflicht nach § 8 KRITIS-DachG innerhalb von drei Monaten, nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschl. 17.07.2026,
◻️ Pflicht zur Vornahme von Risikoanalysen und -bewertungen nach § 12 KRITIS-DachG; ergänzend hierzu finden nationale Risikoanalysen und -bewertungen nach § 11 KRITIS-DachG statt,
◻️ besondere Resilienzpflichten nach § 13 KRITIS-DachG; hierbei müssen betroffene Unternehmen auf Grundlage der nationalen und unternehmensbezogenen Risikoanalysen und -bewertungen verhältnismäßige TOM nach dem Stand der Technik treffen,
◻️ Nachweis- und Meldepflichten nach §§ 16 ff. KRITIS-DachG, inkl. Querverweise auf das BSIG und
◻️ Umsetzungs- und Überwachungspflicht für Geschäftsleitungen nach § 20 KRITIS-DachG.

Die Nichteinhaltung einzelner Pflichten ist nach § 24 KRITIS-DachG bußgeldbewehrt. Hiervon nicht erfasst ist allerdings die zentrale Pflicht zur Vornahme von TOM nach § 13 KRITIS-DachG. Das verwässert die Vorschrift.

Hervorzuheben ist, dass mit dem KRITIS-DachG auch die KRITIS-bezogenen Vorschriften des BSIG geändert werden. Die Bestimmung, wer als Betreiber kritischer Anlagen gilt, wird final durch eine Rechtsverordnung auf Grundlage von §§ 4 f. KRITIS-DachG vorgenommen. Zentral für eine Einordnung als KRITIS-Betreiber wird aber weiterhin eine Versorgung von mindestens 500.000 Personen sein; es ist nicht anzunehmen, dass sich viel an der gegenwärtigen BSI-KritisV ändern wird.

Auch sonst sieht das KRITIS-DachG eine Vielzahl von Verordnungsermächtigungen vor. Das schafft zumindest in der Übergangszeit Rechtsunsicherheit für unmittelbar betroffene Unternehmen.

Das KRITIS-DachG wird nun bald in Kraft treten. Eine Übergangsfrist ist explizit nur für die Registrierungspflicht vorgesehen. Unternehmen sollten sich jetzt informieren, ob sie voraussichtlich in den Anwendungsbereich des KRITIS-DachG fallen.

#KRITIS #ITSicherheit
➕ IT-Sicherheitsrecht@HK2

HK2 - Search

Expertise

Lawyers