© kuzma / 123RF.com

Der Anschlag auf das Berliner Stromnetz zeigt die Verwundbarkeit der Infrastruktur. Zu deren Schutz fordert der Bundestag nun per Gesetz eine Reduzierung der Transparenzpflichten.

Betreiber kritischer Infrastrukturen sollen künftig besser vor Sabotage, Terroranschlägen und den Folgen von Naturkatastrophen geschützt sein. Das sieht das sogenannte Kritis-Dachgesetz vor, das der Bundestag Ende Januar 2026 mit den Stimmen von Union, SPD und AfD beschlossen hat [1]. Deutschland setzt damit die CER-Richtlinie (Critical Entities Resilience) der EU zur Resilienz kritischer Einrichtungen um.

Durch das Aus der Ampelkoalition war Deutschland mit der Umsetzung der Richtlinie deutlich in Verzug geraten. Einen im November 2024 vom damaligen Kabinett beschlossenen Entwurf [2] verabschiedete der Bundestag vor der Neuwahl nicht mehr. Stattdessen startete die schwarz-rote Regierung im September 2025 einen neuen Anlauf [3].

Die Fraktionen von Union und SPD ergänzten den praktisch unveränderten Entwurf der Ampel nur an einigen Stellen. So enthält er nun kein konkretes Datum mehr, zu dem die Bundesregierung eine nationale Kritis-Resilienzstrategie vorlegen muss. Der ursprünglich vorgesehene Termin, der 17. Januar 2026, ist bereits verstrichen. Damit gerät Deutschland ein weiteres Mal in Verzug.

Weniger Transparenzpflichten

Die Erfahrungen aus dem Anschlag auf die Berliner Stromversorgung von Anfang Januar 2026 fanden keinen direkten Niederschlag mehr im Gesetz. Allerdings fordern die Abgeordneten in einem Entschließungsantrag [4] die Bundesregierung dazu auf, bestehende Informations-, Transparenz- und Veröffentlichungspflichten für Kritis-Betreiber zu überprüfen und anzupassen.

Daneben verlangt der Bundestag, bereits veröffentlichte, öffentlich zugängliche Infrastrukturinformationen zu überprüfen und, wo möglich, konsequent aus den öffentlich zugänglichen Bereichen zu entfernen. Damit unterstützen die Koalitionsfraktionen entsprechende Forderungen von Bundesinnenminister Alexander Dobrindt (CSU). Seiner Ansicht nach erleichtern die frei verfügbaren Informationen die Vorbereitung von Anschlägen. “Ich glaube, dass wir ein zu hohes Maß an öffentlichen Informationen gegenüber unserer kritischen Infrastruktur zur Verfügung stellen. Das ist zu einem erheblichen Teil gesetzlich sogar angeordnet”, äußerte Dobrindt (Abbildung 1) in einem Pressestatement als Begründung.

Abbildung 1: Bundesinnenminister Dobrindt und BSI-Präsidentin Claudia Plattner präsentieren den BSI-Jahreslagebericht 2025 zur Cybersicherheit. Quelle: BMI / Henning Schacht

Das mache es Personen, die Anschläge vorbereiten, in manchen Bereichen zu leicht, “weil man Engstellen, weil man Flaschenhälse, weil man Elemente einer kritischen Infrastruktur durch öffentlich zugängliche Informationen identifizieren kann, die dann auch, wenn man sie attackiert, zu einem maximalen Schaden führen können”, ergänzte der Minister. Daher wolle er zusammen mit Bundeswirtschaftsministerin Katherina Reiche (CDU) “dieses Maß an Transparenz reduzieren”. Er kündigte an: “Wir werden die notwendigen Gesetze dafür vorlegen, um diese Informations-Zurverfügungstellung einzuschränken.”

In diesem Zusammenhang warnte der IT-Branchenverband Bitkom davor, Datenleitungen im Gigabit-Grundbuch öffentlich zugänglich zu verzeichnen: Das würde nach Ansicht des Verbands potenzielle Sabotageakte erleichtern. “Stattdessen brauchen wir in diesem Bereich Datensparsamkeit und ein strenges Sicherheits- und Zugangskonzept”, heißt es in einer Bitkom-Mitteilung [5].

Schutzbereiche

Das nun beschlossene Kritis-Dachgesetz [6] sieht einheitliche Regeln zum Schutz von Energieunternehmen, Flughäfen und anderen großen Infrastruktureinrichtungen vor. Halten sich Betreiber nicht daran, müssen sie künftig mit Bußgeldern rechnen. Das Gesetz fordert unter anderem eine Registrierung sowie die Erarbeitung von Plänen zur Erhöhung der Widerstandsfähigkeit. Außerdem soll es die Betreiber verpflichten, Störfälle zu melden.

Zur kritischen Infrastruktur (Kritis) im Sinne des Gesetzes zählen laut Paragraf 4 zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Bestimmte Vorgaben gelten auch für die Bundesverwaltung.

Der Digitalverband Bitkom kritisiert allerdings, es sei mit Blick auf die angespannte Sicherheitslage unverständlich, dass dennoch ein erheblicher Teil der Bundesverwaltung vom Gesetz ausgenommen bleibt und die Landesverwaltungen gar nicht erst vorkommen. Staat und Verwaltungen dürften in für unser Gemeinwesen zentralen Bereichen nicht hinter das Schutzniveau privater Anlagen zurückfallen, betont der Verband.

Mindestgröße

Zur kritischen Infrastruktur zählen generell für die Gesamtversorgung in Deutschland wichtige Einrichtungen, die mehr als 500 000 Menschen versorgen. Das Gesetz berücksichtigt gegenseitige Abhängigkeiten: Beispielsweise sind Transportwege auch für die Versorgung mit Nahrungsmitteln essenziell.

Eine neu hinzugekommene Passage sieht jedoch vor, dass die Bundesländer selbst zusätzliche Anlagen unterhalb des eigentlichen Schwellenwerts von 500 000 versorgten Personen als kritische Infrastruktur definieren können. “Das führt zu einem föderalen Flickenteppich und hohem bürokratischem Aufwand”, findet der Bitkom, und fordert: “Die Bundesländer sollten auf regionale Sonderwege verzichten und so dafür sorgen, dass bundesweit einheitliche Regeln gelten.”

Schnelle Risikoanalyse

Der Bundesverband der Energie- und Wasserwirtschaft (BDEW) begrüßte den Beschluss und drängte in einer Stellungnahme [7] auf eine umgehende Veröffentlichung der nationalen Risikoanalyse. Das sei für den Energiesektor zwingend erforderlich. Die Finanzierung von Schutzmaßnahmen erfordert nach Ansicht des BDEW eine faire Kostenverteilung zwischen Wirtschaft und Staat (Abbildung 2).

Abbildung 2: Kerstin Andreae, Vorsitzende der Hauptgeschäftsführung des BDEW, drängt auf eine Veröffentlichung der nationalen Risikoanalyse. Quelle: Thomas Trutschel Photothek / BDEW

Dem Verband zufolge soll die Umsetzung des Kritis-Dachgesetzes durch einheitliche, umsetzbare und bürokratiearme Vorgaben erfolgen, die konsequent mit der Umsetzung von NIS-2 verzahnt sind. Eine Doppelregulierung und widersprüchliche Anforderungen würden nach Ansicht der Versorger die Resilienz schwächen, anstatt sie zu stärken. Zudem müssten rasch tragfähige Lösungen für die Drohnenabwehr und deren Finanzierung gefunden werden.

Kopfgeld

In der Plenardebatte zum Entwurf des Gesetzes teilte Bundesinnenminister Dobrindt mit, man habe “das Fahndungskonzept gegen die linksterroristische Vulkangruppe, die den Anschlag in Berlin durchgeführt hat, umgesetzt”, verbunden mit einer Belohnung von 1 Million Euro für Hinweise zur Aufklärung des Verbrechens. Damit verbessere die Koalition den physischen Schutz der kritischen Infrastruktur: “Wir stärken die Cybersicherheit mit NIS-2 und dem Cyberdome. Und wir rüsten gegen den Linksextremismus mit dem Aufwuchs des Verfassungsschutzes und neuen Ermittlungsmethoden auf.” (uba)