Was lange währt, wird gut? Das Bundeskabinett hat den Gesetzesentwurf zum KRITIS-Dachgesetz beschlossen. Fast ein Jahr verging zwischen der Veröffentlichung des Referentenentwurfs und dem nun abgesegneten Entwurf im Bundeskabinett. Erste Stimmen äußern sich kritisch zu dem Papier.
Mit dem Gesetz kommt die Bundesregierung der EU-Richtlinie 2022/2557 nach, die einen einheitlichen europäischen Rechtsrahmen zur Stärkung der Resilienz kritischer Einrichtungen in mindestens elf Sektoren gegen Gefahren, auch außerhalb des IT-Schutzes im Binnenmarkt, schaffen soll. Ziel der Richtlinie ist es, einheitliche Mindestverpflichtungen für kritische Einrichtungen festzulegen und deren Umsetzung durch kohärente, gezielte Unterstützungs- und Aufsichtsmaßnahmen zu garantieren. Eigentlich sollte diese Richtlinie bereits bis Mitte Oktober 2024 in nationales Recht umgesetzt worden sein.
Verspätete Umsetzung
Mit diesem vom Bundesinnenministerium vorgelegten Gesetzentwurf wird erstmals bundesweit festgelegt, welche Unternehmen und Einrichtungen Teil der Kritischen Infrastruktur (KRITIS) sind. Außerdem enthält er bundeseinheitliche und sektorübergreifende Mindeststandards für den physischen Schutz von KRITIS. Zudem soll es eine Meldepflicht für Vorfälle geben. Für den Schutz der KRITIS soll ein All-Gefahren-Ansatz gelten, das heißt, es soll unter anderem von Risiken durch Naturkatastrophen, Sabotage, Terror oder menschliches Versagen ausgegangen werden. Das KRITIS-Dachgesetz gilt für die Sektoren: Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Trinkwasser, Abwasser, Siedlungsabfallentsorgung, Informationstechnik und Telekommunikation, Ernährung, Weltraum sowie Öffentliche Verwaltung. Die verpflichtenden Resilienzmaßnahmen müssen von Einrichtungen umgesetzt werden, die essenziell für die Gesamtversorgung in Deutschland sind und mehr als 500.000 Personen versorgen.
Zu den Maßnahmen zählen unter anderem Instrumente und Verfahren zur Überwachung der Umgebung, der Einsatz von Detektionsgeräten, Zugangskontrollen, Krisenmanagementverfahren sowie Maßnahmen zur Aufrechterhaltung des Betriebs, wie eine Notstromversorgung. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) soll als zentrale Anlaufstelle fungieren. Die Länder sollen dem BBK zudem eine Landesbehörde benennen, die auf Landesebene zuständig ist. Das BBK soll dann zur Überprüfung Nachweise der Maßnahmen anfordern können.
„Die russische Aggression in Europa, Sabotageakte und Terroranschläge bedrohen unsere Sicherheit. Durch den Klimawandel erleben wir immer häufiger Naturkatastrophen wie Starkregen und Überschwemmungen. Der Schutz kritischer Infrastrukturen von Krankenhäusern bis hin zur Lebensmittel-, Strom- und Wasserversorgung ist daher von größter Bedeutung“, erklärte dazu Bundesinnenministerin Nancy Faeser (SPD).
Auf Anfrage des Behörden Spiegel, wie sich das BBK für die Aufgabe aufstellen wird, äußerte sich eine Sprecherin des BBK wie folgt: „Im BBK besteht bereits eine Referatsgruppe zum Infrastrukturschutz. In den Referaten dieses Abteilungsstrangs werden auch alle KRITIS-Angelegenheiten bearbeitet.“ Es könnten aber noch keine Angaben über den Aufwand zu Aufgabenbewältigung und die dafür benötigten Stellenzuwüchse machen.
Kritik von der AG KRITIS
Manuel Atug von der AG KRITIS kritisiert die „vielen Auslagerungen an die Länder und eine sehr obskure Eingrenzung der ‚Einrichtungen der Bundesverwaltung‘, die sehr lückenhaft dargestellt wird.“ Damit werde ein erheblicher Teil der Bundesverwaltung weiterhin physischen Risiken ausgesetzt.
Der Erfüllungsaufwand der Verwaltung werde gar nicht erst beziffert. Zusätzlicher Erfüllungsaufwand für Gemeinden sowie für Sozialversicherungsträger werde ebenfalls erwartet, aber auch hier fehle eine konkrete Bezifferung, so Atug. „Offensichtlich wurde mit heißer Nadel gestrickt“, fügte der Experte hinzu. Erhebliche Nachbesserungen seien zwingend erforderlich, denn die nächsten physischen Bedrohungen stünden im Zuge des Klimawandels bereits Schlange.
Ende der Ampel, Ende des KRITIS-DachG?
„Nachbesserungsbedarf sehe ich darin, dass der KRITIS-Sektor ‚Medien und Kultur‘ nicht wegfällt und dass die Schwellenwerte stärker an die Realität angepasst werden, d. h. niedrigere Größen festgelegt werden“, sagt Dr. Hans-Walter Borries, stellvertretender Vorstandsvorsitzender des Bundesverbandes für den Schutz Kritischer Infrastrukturen e.V. (BSKI). „Behörden auf Landesebene sowie Landkreise, kreisfreie Städte und auch kreisangehörige Städte und Gemeinden sollten sich diesen Überprüfungskriterien anpassen und Krisenmanagement- (sowie BCM-) Elemente in ihre Gefahrenabwehr- und Notfallpläne integrieren. Die entsprechenden Krisen- und Verwaltungsstäbe sind entsprechend auszubilden und zu schulen“, führt Borries weiter aus.
Nach Gesprächen mit anderen Expertinnen und Experten geht Borries davon aus, dass das KRITIS-DachG – je nach Regierungsentwicklung – frühestens im Frühjahr 2025 kommen könnte. Es sei jedoch auch möglich, dass es ganz entfällt oder erst weit ins Jahr 2025 von der neuen Bundesregierung verschoben wird. „Ich bedauere diese Verzögerung und wünsche mir eine schnellstmögliche Umsetzung des KRITIS-DachG. Ich hoffe, dass das Gesetz trotz des möglichen Endes der Ampelkoalition nicht fallengelassen wird.“
Erhebliche finanzieller Aufwand befürchten
Vom Verband kommunaler Unternehmen (VKU) heißt es auf Anfrage, dass man den Ansatz grundsätzlich unterstütze. Viele Details seien noch offen und müssten erst noch ausbuchstabiert werden. Positiv sei, dass der neue Entwurf einfacher und praxistauglicher als seine Vorgängerversionen sei. Absolut sinnvoll sei, dass die Bundesregierung auf das Instrument branchenspezifischer Sicherheitsstandards setzt, das sich bereits bei der Cybersicherheit bewährt habe. „Wir rechnen damit, dass eine erhebliche Zahl der kommunalen Unternehmen vom Gesetz reguliert werden wird. Die Umsetzung wird voraussichtlich mit erheblichen finanziellen und personellen Kosten für unsere Unternehmen verbunden sein“, erklärte ein VKU-Sprecher.
Kerstin Andreae, Vorsitzende der Hauptgeschäftsführung des Bundesverbandes der Energie- und Wasserwirtschaft e.V. (BDEW), kritisiert, dass das KRITIS-DachG zwar ein „wichtiges Puzzlestück zur Stärkung der Resilienz in den kritischen Infrastrukturen“ sei, jedoch „nicht das erhoffte Dach“. „Die sicherheitspolitische Lage erfordert über das Gesetz hinausgehende Neuregelungen in den Zuständigkeiten der Gefahrenabwehrbehörden. Bei den Veröffentlichungs- und Transparenzpflichten brauchen wir einen Neustart, um zu verhindern, dass neue kritische Energieanlagen über Verwaltungsportale mit Leistungs- und Geodaten auffindbar sind (z. B. Marktstammdatenregister). Diese Portale gefährden sogar den Schutz kritischer Infrastrukturen“, betont Andreae. Das weitere Gesetzgebungsverfahren müsse jedoch zügig voranschreiten, damit das Gesetz noch vor Ende der Legislaturperiode in Kraft treten kann, so Andreae weiter.
