Am 6. März 2026 hat der Bundesrat dem KRITIS-Dachgesetz endgültig zugestimmt. Damit werden erstmals einheitliche Standards für den physischen Schutz kritischer Infrastrukturen erlassen. Energie-, Wasser- und Telekommunikationsversorger sowie Abwasser- und Abfallbetriebe sollen künftig Risikoanalysen erstellen, Sicherheitsmaßnahmen umsetzen und schwere Störungen melden. Ziel ist, die Versorgung besser gegen Sabotage, extreme Wetterereignisse und Terrorangriffe zu schützen. Für die Wasserwirtschaft bedeutet das: Risiken müssen systematisch analysiert, Resilienzmaßnahmen umgesetzt und sicherheitsrelevante Störungen verpflichtend gemeldet werden.

Der Verband kommunaler Unternehmen (VKU) begrüßte die Entscheidung. VKU-Hauptgeschäftsführer Ingbert Liebing sagt: „Das jahrelange Warten hat ein Ende. Die Einigung ist ein wichtiger Schritt für den Schutz kritischer Infrastrukturen. Die Unternehmen haben damit endlich Rechts- und Planungssicherheit für ihre Investitionen.“ Die Zustimmung des Bundesrats sei überfällig.

Das KRITIS-Dachgesetz ist ein Bekenntnis zur Resilienz

Hinter der politischen Einigung steht mehr als eine reine Verwaltungsvorgabe. Das Dachgesetz ist ein Bekenntnis zur Resilienz, wie sie in Zeiten zunehmender Sabotagerisiken, extremer Wetterereignisse und geopolitischer Spannungen dringlicher denn je wird. Der Verband kommunaler Unternehmen (VKU) begrüßt das Gesetz grundsätzlich, warnt jedoch vor übermäßiger Bürokratie. „Resilienz ist kein Selbstläufer“, betont der VKU. Ohne eine fundierte nationale Risikoanalyse, praktikable Meldepflichten und eine finanzielle Flankierung könne das Gesetz zu einer „halben Lösung“ werden.

Liebing verwies zudem auf die Grenzen der Betreiber. „100-prozentige Sicherheit gibt es nicht“, sagt er. „Die Abwehr von Terrorangriffen bleibt Aufgabe von Bund und Ländern. Stadtwerke, Wasserversorger und Müllabfuhren sind nicht die Polizei.“

Gleichzeitig erneuert der VKU seine Vorschläge für den besseren Schutz kritischer Infrastrukturen:

1. Schutz kritischer Infrastrukturen zum überragenden öffentlichen Interesse erklären, um Abwägungen zu beschleunigen und Sicherheitsinteressen zu priorisieren.
2. Neubewertung und Anpassung von Transparenzpflichten
3. Nationale Gesamtstrategie und Risikoanalyse vorlegen, wie es die CER‑Richtlinie bereits seit Januar verlangt.
4. Nationale Notfallreserve aufbauen, u. a. mit Großgeräten für Inselnetzversorgung binnen 24 Stunden.
5. Finanzierung sichern, u. a. über die Ausnahme von der Schuldenbremse (Art. 109 GG) und das SVIK.

Infrastrukturbetreiber müssen heute viele Daten offenlegen, zum Beispiel durch Transparenzregeln, das Informationsfreiheitsgesetz oder Open-Data-Vorgaben. Dort, wo solche Offenlegungen aber die physische und/oder IT-Sicherheit gefährden, sollten die Regeln überprüft und angepasst werden. Der VKU begrüßt, dass dieser Aspekt in der Protokollerklärung der Bundesregierung aufgegriffen wurde.

Hintergrund zum Dachgesetz

Das Kritis-Dachgesetz schafft erstmals Mindeststandards für den Schutz kritischer Infrastrukturen vor physischen Angriffen, verpflichtet zu Risiko- und Resilienzplänen und Einführung von Krisenmanagementsystemen sowie zur Meldung größerer Störungen oder Vorfälle an Behörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Das Kritis-Dachgesetz schreibt außer einer Risikoanalyse und Risikobewertung keine weiteren konkreten Maßnahmen vor. Was Unternehmen konkret machen müssen, wird erst später in entsprechenden Gesetzen und Verordnungen des Bundesministeriums des Inneren bzw. später der Fachministerien oder durch branchenspezifische Sicherheitsstandards geregelt. Insgesamt werden elf Sektoren adressiert, unter anderem Energie-, Wasser-, Abfall- und Telekommunikationswirtschaft.

Mit dem Kritis-Dachgesetz will Deutschland die EU-Richtlinie über die Resilienz kritischer Einrichtungen (sog. CER-Richtlinie) in deutsches Recht umsetzen. Das hätte eigentlich schon bis zum 17. Oktober 2024 passieren müssen. Deshalb hat die EU-Kommission bereits ein Vertragsverletzungsverfahren in Gang gesetzt. Frist zur Umsetzung der Maßnahmen ist der 17. Juli 2026. Schutz vor Cyber-Angriffen adressiert wiederum die NIS2-Richtlinie.

Statement des VKU, bevor der Bundesrat am 6.3. zugestimmt hat

Quelle: VKU, Presse- und Informationsamt der Bundesregierung