Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen

Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen [Bundesrat Drucksache 81/26 13.02.26 In - Vk - Wi Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.bundesanzeiger-verlag.de ISSN 0720-2946 Gesetzesbeschluss des Deutschen Bundestages B R Fu ss Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen Der Deutsche Bundestag hat in seiner 56. Sitzung am 29. Januar 2026 aufgrund der Beschlussempfehlung und des Berichtes des Innenausschusses – Drucksache 21/3906 – den von der Bundesregierung eingebrachten Entwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen – Drucksachen 21/2510, 21/3855 – mit beigefügten Maßgaben, im U brigen unverändert angenommen. Fristablauf: 06.03.26 Erster Durchgang: Drs. 558/25 1. Artikel 1 wird wie folgt geändert: a) § 1 wird durch den folgenden § 1 ersetzt: „§ 1 Nationale KRITIS-Resilienzstrategie Die Bundesregierung soll eine Strategie zur Verbesserung der Resilienz kritischer Infrastrukturen verabschieden. Die Strategie beinhaltet Erwägungen zu Transparenzpflichten für kritische Infrastrukturen.“ b) § 5 wird wie folgt geändert: aa) Die Überschrift wird durch die folgende Überschrift ersetzt: „§ 5 Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen“. bb) Absatz 3 wird durch den folgenden Absatz 3 ersetzt: (3) „ Ist eine Anlage für die Erbringung einer kritischen Dienstleistung erheblich, ohne die Voraussetzungen der Rechtsverordnung des Absatzes 1 Satz 1 zu erfüllen, so stellt das Bundesministerium des Innern dies im Einzelfall fest, falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist. Ist eine Anlage für die Erbringung einer kritischen Dienstleistung nicht erheblich, obwohl sie die Voraussetzungen der Rechtsverordnung des Absatzes 1 Satz 1 erfüllt, so stellt das Bundesministerium des Innern dies im Einzelfall fest, falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist. Für die Beurteilung der Erheblichkeit einer Anlage für die Erbringung einer kritischen Dienstleistung gilt Absatz 2 entsprechend.“ cc) Nach Absatz 6 wird der folgende Absatz 7 eingefügt: (7) „ Das Bundesministerium des Innern wird ermächtigt, in einer Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, Kriterien und Verfahren festzulegen, mit denen die Länder feststellen können, ob eine Anlage für dieErbringung einer kritischen Dienstleistung erheblich ist, ohne die Voraussetzungen der Rechtsverordnung des Absatzes 1 Satz 1 zu erfüllen. Die Länder können dies für Anlagen feststellen, bei denen für die betroffene Dienstleistung eine Landesbehörde die zuständige Behörde ist. Bei der Festlegung der Kriterien werden die Kriterien nach Absatz 2 berücksichtigt. § 4 Absatz 4 und 5 gilt entsprechend.“ c) § 8 Absatz 1 wird wie folgt geändert: aa) In Nummer 5 wird die Angabe „sowie“ gestrichen. bb) Nummer 6 wird durch die folgenden Nummern 6 und 7 ersetzt: „6. eine Kontaktstelle, über die der Betreiber kritischer Anlagen erreichbar ist; in Bezug auf Maßnahmen nach dem BSI-Gesetz ist die jederzeitige Erreichbarkeit zu gewährleisten, sowie 7. die bei ihm zum Einsatz kommenden Typen von kritischen Komponenten gemäß § 2 Nummer 23 des BSI-Gesetzes.“ cc) Nach Absatz 5 Satz 2 wird der folgende Satz eingefügt: „Die Übermittlung der Information gemäß Absatz 1 Nummer 7 erfolgt ausschließlich an das Bundesamt für Sicherheit in der Informationstechnik.“ d) § 11 wird wie folgt geändert: aa) In Absatz 4 Satz 2 wird die Angabe „, und erstmalig bis einschließlich 17. Januar 2026“ gestrichen. bb) Absatz 8 Satz 1 wird durch den folgenden Satz ersetzt: „Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, methodische und inhaltliche Vorgaben für die Risikoanalysen und Risikobewertungen der nach Absatz 1 Satz 1 und 2 zuständigen Stellen zu bestimmen.“ e) § 12 Absatz 3 Satz 1 wird durch den folgenden Satz ersetzt: „Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, inhaltliche und methodische Vorgaben einschließlich Vorlagen und Muster für die Risikoanalysen und Risikobewertungen der Betreiber kritischer Anlagen zu bestimmen.“ f) § 14 Absatz 1 wird wie folgt geändert: aa) Satz 1 wird durch den folgenden Satz ersetzt: „Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtung nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen.“ bb) Satz 2 wird gestrichen. g) § 16 Absatz 1 wird durch den folgenden Absatz 1 ersetzt: (1) „ Um die Einhaltung der Verpflichtungen nach § 13 Absatz 1 zu überprüfen, kann die zuständige Behörde über das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe das Bundesamt für Sicherheit in der Informationstechnik um die Übersendung derjenigen Bestandteile der nach § 39 des BSI-Gesetzes vorgelegten Nachweise ersuchen, die für die Überprüfung der Einhaltung der Maßnahmen nach § 13 Absatz 1 erforderlich sind.“ h) § 17 Absatz 3 Satz 1 wird durch den folgenden Satz ersetzt: „Das Bundesministerium des Innern kann durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, allgemein feststellen, dass bestimmte Verpflichtungen auf Grund sonstiger öffentlich-rechtlicher Vorschriften, die auch für Betreiber kritischer Anlagen gelten, gleichwertig mit bestimmten Verpflichtungen sind, die für Betreiber kritischer Anlagen nach diesem Gesetz gelten.“ i) § 18 wird wie folgt geändert: aa) Die Überschrift wird durch die folgende Überschrift ersetzt: „§ 18 Meldewesen für Vorfälle; Verordnungsermächtigung“. bb) In Absatz 3 Satz 1 wird nach der Angabe „Behörden“ die Angabe „und der Behörden nach § 3 Absatz 5“ eingefügt. cc) Die Absätze 6 bis 8 werden durch die folgenden Absätze 6 bis 8 ersetzt: (6) „ Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übermittelt dem von dem Vorfall betroffenen Betreiber kritischer Anlagen unverzüglich eine Bestätigung über den Eingang der Meldung nach Absatz 1 und unverzüglich nach seiner Meldung sachdienliche Folgeinformationen, unter anderem Informationen, die die wirksame Reaktion dieses Betreibers auf den betreffenden Vorfall unterstützen könnten. Dabei kann es sich um passende Leitlinien zu Reaktionsverfahren und zur Resilienzstärkung handeln. (7) Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übermittelt den zuständigen Behörden, den nach § 3 Absatz 5 benannten Landesbehörden sowie den nach § 11 Absatz 1 zuständigen Stellen Auswertungen zu Meldungen von Vorfällen im Rahmen vorab zwischen dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe und den Empfängern abgestimmter Prozesse zur Weitergabe und Wahrung der notwendigen Vertraulichkeit. Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, die Prozesse zur Weitergabe der Meldungen an die Länder zu regeln. Die Rechtsverordnung beschreibt die Rahmenbedingungen, insbesondere die technischen und personellen Voraussetzungen, Kriterien für eine Weiterleitung von Meldungen und die Prozessbeschreibung für den Informationsaustausch. § 4 Absatz 4 und 5 gilt entsprechend. (8) Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe erstellt auf der Grundlage der eingegangenen Meldungen nach Absatz 1 sowie weiterer Informationen regelmäßige und anlassbezogene Lagebilder zur Situation der kritischen Anlagen und stellt diese den zuständigen Behörden, den nach § 3 Absatz 5 benannten Landesbehörden, den nach § 11 Absatz 1 zuständigen Stellen, den Betreibern und weiteren betroffenen Adressaten zur Verfügung.“ j) § 23 wird wie folgt geändert: aa) Absatz 1 wird durch den folgenden Absatz 1 ersetzt: „(1) Die Verarbeitung personenbezogener Daten durch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, das Bundesamt für Sicherheit in der Informationstechnik, die Bundesnetzagentur, die Bundesanstalt für Finanzdienstleistungsaufsicht, die zuständigen Behörden und die nach Vorschriften dieses Gesetzes zuständigen Bundesministerien und Landesministerien ist zulässig, soweit dies zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben erforderlich ist.“ bb) In Absatz 2 in der Angabe vor Nummer 1 wird die Angabe „wenn“ durch die Angabe „soweit“ ersetzt. cc) Nach Absatz 2 wird der folgende Absatz 2a eingefügt: „(2a) Die Erforderlichkeit der Verarbeitung personenbezogener Daten im Sinne der Absätze 1 und 2 ist insbesondere dann nicht gegeben, wenn durch eine Verarbeitung anonymisierter oder künstlich erzeugter Daten der Zweck in gleicher Weise erfüllt werden kann.“ k) § 24 wird wie folgt geändert: aa) Absatz 1 Nummer 1 Buchstabe a wird durch den folgenden Buchstaben a ersetzt: „a) Nummer 1 bis 3, 5 oder 6 oder“. bb) Absatz 2 wird durch den folgenden Absatz 2 ersetzt: (2) „ Die Ordnungswidrigkeit kann in den Fällen des Absatzes 1 Nummer 2 Buchstabe a mit einer Geldbuße bis zu einer Million Euro, in den Fällen des Absatzes 1 Nummer 3 mit einer Geldbuße bis zu fünfhunderttausend Euro, in den Fällen des Absatzes 1 Nummer 2 Buchstabe b mit einer Geldbuße bis zu zweihunderttausend Euro und in den übrigen Fällen mit einer Geldbuße bis zu hunderttausend Euro geahndet werden.“ l) § 25 wird durch die folgenden §§ 25 und 26 ersetzt: „§ 25 Evaluierung Das Bundesministerium des Innern wird dieses Gesetz regelmäßig alle fünf Jahre und erstmalig zwei Jahre nach Inkrafttreten im Benehmen mit den zuständigen Behörden der Länder auf wissenschaftlich fundierter Grundlage evaluieren, insbesondere im Hinblick auf die Identifizierung der Betreiber kritischer Anlagen und auf die gegebenenfalls abgestufte Ausgestaltung des Regelschwellenwertes gemäß § 5 Absatz 2 sowie die Höhe der Bußgelder gemäß § 24 und die Frage der Notwendigkeit eines Zertifizierungssystems für Nachweise gemäß § 16. § 26 Anwendungsbestimmung und Übergangsregelung § 8 Absatz 1 Nummer 2 und 6 ist erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 8 Absatz 1 Nummer 2 und 6 in der bis einschließlich … [einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ 2. Nach Artikel 3 werden die folgenden Artikel 4 bis 9 eingefügt: ‚Artikel 4 Änderung des BSI-Gesetzes Das BSI-Gesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2) wird wie folgt geändert: 1. In der Inhaltsübersicht wird nach der Angabe zu § 65 die folgende Angabe eingefügt: „Teil 9 Anwendungsbestimmungen; Übergangsregelungen § 66 Anwendungsbestimmungen und Übergangsregelungen“. 2. § 2 wird wie folgt geändert: a) Nummer 22 wird durch die folgende Nummer 22 ersetzt: „22. „kritische Anlage“ eine Anlage im Sinne des § 2 Nummer 3 des KRITIS- Dachgesetzes;“. b) Nummer 24 wird durch die folgende Nummer 24 ersetzt: „24. „kritische Dienstleistung“ eine Dienstleistung im Sinne des § 2 Nummer 4 des KRITIS-Dachgesetzes;“. 3. Nach § 11 Absatz 4 Satz 2 wird der folgende Satz eingefügt: „Hiervon sind erforderliche Informationsaustausche zwischen dem Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe nach § 3 Absatz 7 des KRITIS- Dachgesetzes ausgenommen.“ 4. § 28 wird wie folgt geändert: a) Absatz 8 wird gestrichen. b) Absatz 9 wird zu Absatz 8. 5. § 33 Absatz 2 wird durch den folgenden Absatz 2 ersetzt: „(2) Die Registrierung von Betreibern kritischer Anlagen erfolgt gemäß § 8 des KRITIS-Dachgesetzes.“ 6. Nach § 39 Absatz 3 wird der folgende Absatz 4 eingefügt: „(4) Die Verpflichtung nach Absatz 1 Satz 1 gilt nicht für Betreiber kritischer Anlagen, die auf Grundlage von § 5 Absatz 7 des KRITIS-Dachgesetzes als solche bestimmt wurden.“ 7. § 56 wird wie folgt geändert: a) Absatz 4 wird gestrichen. b) Die Absätze 5 bis 8 werden zu den Absätzen 4 bis 7. 8. § 65 Absatz 2 Nummer 1 Buchstabe a wird durch den folgenden Buchstaben a ersetzt: „a) § 11 Absatz 6, § 16 Absatz 1 Satz 1, auch in Verbindung mit Absatz 4, § 17 Satz 1 oder § 39 Absatz 1 Satz 5,“. 9. Nach § 65 wird der folgende Teil 9 eingefügt: „Teil 9 Anwendungsbestimmungen; Übergangsregelungen § 66 Anwendungsbestimmungen und Übergangsregelungen § 2 Nummer 22 und 24 und § 33 Absatz 2 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 2 Nummer 22 und 24 in der bis einschließlich … [einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ Artikel 5 Änderung der Außenwirtschaftsverordnung Die Außenwirtschaftsverordnung vom 2. August 2013 (BGBl. I S. 2865), die zuletzt durch Artikel 27 des Gesetzes vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) geändert worden ist, wird wie folgt geändert: 1. 55a Absatz 1 wird wie folgt geändert: a) In den Nummern 1 und 2 wird jeweils die Angabe „im Sinne des BSI-Gesetzes“ durch die Angabe „im Sinne des § 2 Nummer 3 des KRITIS-Dachgesetzes“ ersetzt. b) Nummer 4 wird durch die folgende Nummer 4 ersetzt: „4. Cloud-Computing-Dienste erbringt und die hierfür genutzten Anlagen die im Anhang der Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 des KRITIS- Dachgesetzes genannten Schwellenwerte in Bezug auf den jeweiligen Cloud- Computing-Dienst erreichen oder überschreiten,“. 2. § 82a wird durch den folgenden § 82a ersetzt: „§ 82a Übergangsbestimmungen (1) Die §§ 55 bis 62a in der ab dem 1. Mai 2021 geltenden Fassung sind erstmals auf schuldrechtliche Rechtsgeschäfte über den Erwerb eines inländischen Unternehmens anzuwenden, die ab dem 1. Mai 2021 abgeschlossen werden. Im Fall eines Angebots im Sinne des Wertpapiererwerbs- und Übernahmegesetzes ist der Zeitpunkt der Veröffentlichung der Entscheidung zur Abgabe des Angebots maßgeblich. (2) § 55a Absatz 1 Nummer 1, 2 und 4 ist erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 55a Absatz 1 Nummer 1, 2 und 4 in der bis einschließlich … [einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ Artikel 6 Änderung des Telekommunikationsgesetzes Das Telekommunikationsgesetz vom 23. Juni 2021 (BGBl. I S. 1858), das zuletzt durch Artikel 12 des Gesetzes vom 9. Januar 2026 (BGBl. 2026 I Nr. 7) geändert worden ist, wird wie folgt geändert: 1. In § 174 Absatz 3 Nummer 8 und Absatz 5 Nummer 8 wird jeweils die Angabe „§ 2 Nummer 24 des BSI-Gesetzes“ durch die Angabe „§ 2 Nummer 4 des KRITIS- Dachgesetzes“ ersetzt. 2. In § 214 Absatz 3 wird die Angabe „§ 2 Nummer 22 des BSI-Gesetzes“ durch die Angabe „§ 2 Nummer 4 des KRITIS-Dachgesetzes“ ersetzt. 3. Nach § 230 Absatz 15 wird der folgende Absatz 16 eingefügt: (16) „ § 174 Absatz 3 Nummer 8 und Absatz 5 Nummer 8 sowie § 214 Absatz 3 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS- Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung sind § 174 Absatz 3 Nummer 8 und Absatz 5 Nummer 8 sowie § 214 Absatz 3 in der bis einschließlich … [einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ Artikel 7 Änderung des Energiesicherungsgesetzes Das Energiesicherungsgesetz vom 20. Dezember 1974 (BGBl. I S. 3681), das zuletzt durch Artikel 21 des Gesetzes vom 18. Dezember 2025 (BGBl. 2025 I Nr. 347) geändert worden ist, wird wie folgt geändert: 1. In der Inhaltsübersicht wird nach der Angabe zu § 31 die folgende Angabe eingefügt: „§ 31a Übergangsbestimmung“. 2. In § 17 Absatz 1, § 18 Absatz 2 Satz 1 Nummer 1 und § 29 Absatz 1 Satz 1 wird jeweils die Angabe „§ 2 Nummer 22 des BSI-Gesetzes“ durch die Angabe „§ 2 Nummer 3 des KRITIS-Dachgesetzes“ ersetzt. 3. Nach § 31 wird der folgende § 31a eingefügt: „§ 31a Übergangsbestimmung § 17 Absatz 1, § 18 Absatz 2 Satz 1 Nummer 1 und § 29 Absatz 1 Satz 1 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS- Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung sind § 17 Absatz 1, § 18 Absatz 2 Satz 1 Nummer 1 und § 29 Absatz 1 Satz 1 in der bis einschließlich … [einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ Artikel 8 Änderung des Wärmeplanungsgesetzes Das Wärmeplanungsgesetz vom 20. Dezember 2023 (BGBl. 2023 I Nr. 394), das zuletzt durch Artikel 9 des Gesetzes vom 22. Dezember 2025 (BGBl. 2025 I Nr. 348) geändert worden ist, wird wie folgt geändert: 1. In der Inhaltsübersicht wird nach der Angabe zu § 34 die folgende Angabe eingefügt: „§ 34a Übergangsbestimmung“. 2. In § 11 Absatz 4 Satz 1 wird die Angabe „§ 2 Nummer 22 des BSI-Gesetzes vom 2. Dezember 2025 (BGBl. I 2025 Nr. 301, S. 2)“ durch die Angabe „§ 2 Nummer 3 des KRITIS-Dachgesetzes“ ersetzt. 3. Nach § 34 wird der folgende § 34a eingefügt: „§ 34a Übergangsbestimmung § 11 Absatz 4 Satz 1 ist erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 11 Absatz 4 Satz 1 in der bis einschließlich … [einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ Artikel 9 Änderung der BSI-Kritisverordnung Die BSI-Kritisverordnung vom 22. April 2016 (BGBl. I S. 958), die zuletzt durch Artikel 2 des Gesetzes vom 18. Dezember 2025 (BGBl. 2025 I Nr. 347) geändert worden ist, wird wie folgt geändert: Nach § 11 wird der folgende § 12 eingefügt: „§ 12 Außerkrafttreten Die BSI-Kritisverordnung vom 22. April 2016 (BGBl. I S. 958), die zuletzt durch Artikel 2 des Gesetzes vom 18. Dezember 2025 (BGBl. 2025 I Nr. 347) geändert worden ist, tritt mit Inkrafttreten der Rechtsverordnung nach § 4 Absatz 4 und § 5 Absatz 1 des KRITIS- Dachgesetzes außer Kraft. Das Bundesministerium des Innern gibt das Inkrafttreten im Bundesgesetzblatt bekannt.“ ‘ 3. Der bisherige Artikel 4 wird zu Artikel 10. 4. Der bisherige Artikel 5 wird zu Artikel 11. Drucksache 81/26 - 10 -]