Stephan Schmidt, RA/FAIT-Recht, CIPP/E

Das KRITIS-Dachgesetz: Neuer bundeseinheit-licher Rechtsrahmen für die Resilienz kritischer Anlagen

Das KRITIS-Dachgesetz (KRITIS-DachG) setzt die CER-Richtlinie (EU) 2022/2557 in deutsches Recht um und schafft erstmals bundeseinheitliche und sektorübergreifende Mindeststandards für den physischen Schutz kritischer Anlagen. Es ergänzt für die betroffenen Sektoren das bestehende Regime der IT-Sicherheit nach dem BSIG und den auf seiner Grundlage erlassenen Regelungen um einen All-Gefahren-Ansatz. Der vorliegende Beitrag analysiert das neue Gesetz in seinen wesentlichen Regelungsstrukturen und erläutert die Pflichten für betroffene Betreiber.

I. Einleitung und rechtspolitischer Hintergrund

Am 16.3.2026 wurde das Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen (nachfolgend: KRITIS-DachGEG) im Bundesgesetzblatt verkündet. Dieses enthält als Art. 1 das “Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen” (nachfolgend KRITIS-DachG) und in den weiteren Artikeln entsprechende Anpassungen von sektoralen Regelungen. Es ist am 17.3.2026 in Kraft getreten und schließt damit eine Regulierungslücke, die das deutsche Recht seit Jahrzehnten prägte: Erstmals existieren sektorübergreifende Mindeststandards für den physischen Schutz kritischer Anlagen. Damit vollzieht der Gesetzgeber einen Paradigmenwechsel: Weg von einer primär auf IT-Sicherheit ausgerichteten KRITIS-Regulierung, hin zu einem umfassenden Resilienz-Konzept, das sämtliche Gefahrendimensionen – von Naturkatastrophen über Sabotage bis hin zu hybriden Angriffen – in den Blick nimmt. Resilienz bezeichnet dabei die Fähigkeit, Ereignissen zu widerstehen oder sich daran anzupassen und dabei seine Funktionsfähigkeit zu erhalten oder schnell wiederzuerlangen.