Berlin (08. September 2025) – Die Betreiber kritischer Anlagen (KRITIS) müssen sich voraussichtlich bis zum 17. Juli 2026 beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe registrieren. Außerdem haben sie alle vier Jahre eine Risikoanalyse und Risikobewertung durchzuführen, einen Resilienzplan zu erstellen und kritische Vorfälle binnen 24 Stunden zu melden. Als kritisch gilt eine Anlage dann, wenn sie mindestens 500.000 Einwohner versorgt. Das geht aus dem zweiten Referentenentwurf des Gesetzes zur Umsetzung der EU-Richtlinie 2022/2557 hervor, der am 29. August 2025 veröffentlicht wurde. Ein erster Gesetzentwurf war bereits am 06. November 2024 vom Bundeskabinett verabschiedet worden, konnte aber nach dem Scheitern der Ampel-Koalition aufgrund des Diskontinuitätsprinzips nicht weiterverfolgt werden.
Das „Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen“ (KRITIS–Dachgesetz) nimmt dabei zehn Sektoren ins Visier: Energie, Transport und Verkehr, Finanzwesen, Sozial- und Arbeitslosenversicherung, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum und Siedlungsabfallentsorgung. Es trifft keine sektoren- oder branchenspezifischen Regelungen. Vielmehr sollen durch bundeseinheitliche Regelungen für den physischen Schutz kritischer Infrastrukturen sowohl die Resilienz der Wirtschaft insgesamt gestärkt als auch die Versorgung der Bevölkerung gesichert werden. Aktuell befindet sich der Referentenentwurf in der Abstimmung mit den Ländern und Verbänden. Das Gesetz soll laut Entwurf bis zum 17. Januar 2026 verabschiedet werden.
Beim Resilienzmanagement ist ein mehrstufiger Prozess vorgesehen: (1) Erheblichkeitsvorgaben bzw. Schwellwertbestimmung durch das Bundesinnenministerium, (2) Registrierpflicht durch die Betreiber, (3) Prüfung auf besondere KRITIS-Bedeutung für Europa, (3) nationale Risikoanalysen und Risikobewertungen durch Bundes- und Landesministerien, (4) individuelle Risikoanalysen und Risikobewertungen sowie (5) individuelle Resilienzpläne durch die Betreiber, (6) sektorenübergreifende Mindestanforderungen durch das Bundesinnenministerium sowie (7) branchenspezifische Resilienzstandards durch Verbände, (8) Nachweise zur Einhaltung der Verpflichtungen durch die Betreiber kombiniert mit (9) Umsetzungs- und Überwachungspflichten für Geschäftsleitungen sowie (10) einer Ad-hoc-Meldepflicht bei Vorfällen und (11) Bußgeldvorschriften für den Fall der Nichteinhaltung.
Download des „Referentenentwurfs eines Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen“: https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/Downloads/referentenentwuerfe/KM4/Kritis-Dachgesetz.pdf?__blob=publicationFile&v=1
Quelle: Bundesministerium des Innern