Entwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen

Entwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen [Bundesrat Drucksache 558/1/25 11.11.25 ... Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.bundesanzeiger-verlag.de ISSN 0720-2946 E m p f e h l u n g e n der Ausschüsse In - AV - DS - Fz - G - U - Vk - Wi zu Punkt … der 1059. Sitzung des Bundesrates am 21. November 2025 Entwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen Der federführende Ausschuss für Innere Angelegenheiten (In), der Ausschuss für Agrarpolitik und Verbraucherschutz (AV), der Ausschuss für Digitales und Staatsmodernisierung (DS), der Finanzausschuss (Fz), der Gesundheitsausschuss (G), der Ausschuss für Umwelt, Naturschutz und nukleare Sicherheit (U), der Verkehrsausschuss (Vk) und der Wirtschaftsausschuss (Wi) empfehlen dem Bundesrat, zu dem Gesetzentwurf gemäß Artikel 76 Absatz 2 des Grundgesetzes wie folgt Stellung zu nehmen: 1. Zum Gesetzentwurf allgemein Der Bundesrat stellt fest, dass beim Schutz der Kritischen Infrastruktur (KRITIS) Handlungsbedarf besteht und ein einheitliches Regelungswerk für Resilienzmaßnahmen gefahren- und sektorübergreifend dringend ist. Kritische Infrastrukturen sind zugleich Rückgrat und Schwachstelle unserer modernen Gesellschaft. Angesichts hybrider Bedrohungen und einer verschärften geopolitischen Sicherheitslage muss dem Schutz der Kritischen Infrastruktur besondere Aufmerksamkeit zukommen. Vor diesem Hintergrund ist aus Sicht des Bundesrates zu begrüßen, dass die Bundesregierung mit dem vorgelegten Gesetzentwurf den bestehenden Handlungsbedarf zur Steigerung der Resilienz der Kritischen Infrastruktur aufgreift. In ... In der Sache wird der Gesetzentwurf seiner intendierten und durch die gewählte Gesetzesbezeichnung ausdrücklich betonten Zielsetzung allerdings nicht gerecht. Die gebotene Steigerung des Schutz- und Resilienz-Niveaus der KRITIS bleibt deutlich hinter den Erwartungen der Länder zurück und läuft Gefahr, nicht bundesweit einheitlich erreicht zu werden. Ihre Position haben die Länder anhand bisher vorgelegter Regelungsentwürfe beispielsweise durch mehrere Stellungnahmen der IMK und eines ihrer Arbeitskreise seit Herbst 2022 nachdrücklich dargelegt. Zwischen Bund und Ländern besteht Einigkeit, dass es eines besseren Schutzes Kritischer Infrastruktur bedarf und hierfür ein verlässlicher Rechtsrahmen zu schaffen ist. Die Umsetzung der CER-Richtlinie über die Resilienz kritischer Einrichtungen gibt hierzu Gelegenheit. Gesamtgesellschaftliche Resilienz und flächendeckende Versorgungssicherheit können nur durch eine Härtung des Gesamtsystems KRITIS bewirkt werden. Dies verlangt eine verbindliche Festlegung aller KRITIS-Sektoren, eine höhere Regelungsintensität im Sinne konkreter Vorgaben für KRITIS-Betreiber zur Krisenvorsorge sowie flankierend eine fachgesetzliche Regulierung in allen Bereichen Kritischer Infrastruktur. Insbesondere mit Blick hierauf erfüllt der Gesetzentwurf nicht die in der Nationalen Sicherheitsstrategie und der Deutschen Resilienzstrategie durch den Bund gesetzten Ziele zur Verbesserung des Schutzes der Kritischen Infrastruktur und löst auch die Zusagen im Eckpunktepapier für das KRITISDachG-E (vgl. BT-Drucksache 20/5491) nicht ein. Aus Sicht des Bundesrates müssen zudem beim vorliegenden Gesetzesvorhaben die Erfahrungen, die in den letzten zehn Jahren aus der vergleichbaren IT- Sicherheitsgesetzgebung für KRITIS gewonnen werden konnten, berücksichtigt werden. Der Gesetzentwurf bedarf aus Sicht des Bundesrates insbesondere folgender Schärfungen: [a) Was zur Kritischen Infrastruktur in Deutschland gehört, muss umfassend, abschließend und bundesweit definiert werden, um in der Praxis einen einheitlichen Vollzug der Maßnahmen in Bund, Ländern und Kommunen sowie auf Betreiberseite rund um den Schutz und die Resilienz der Kritischen Infrastruktur sicherzustellen. Dabei muss das Gesetz orientiert an der zwischen Bund und Ländern vereinbarten und etablierten KRITIS- Bereichseinteilung unabhängig von der Gesetzgebungskompetenz alle KRITIS-Sektoren zumindest benennen, auch wenn sodann im Anwendungsbereich einzelne KRITIS (wie vorgesehen) ausgenommen sind (bspw., weil die Gesetzgebungskompetenz bei den Ländern liegt). Die im 2. [In] bei Annahme entfällt Ziffer 5 ... Gesetzentwurf vorgesehene Sektoraufschlüsselung entspricht nicht den gängigen Sektorenbezeichnungen und ist unvollständig (u. a. die Sektoren „Staat und Verwaltung“ sowie „Medien und Kultur“ fehlen). Daneben werden Teile der kritischen Dienstleistungen im Gesetz genannt, während die restliche KRITIS-Definition in einer Verordnung erfolgen soll, zu der jedoch noch kein Entwurf vorliegt.] b) Die durch den Gesetzentwurf von KRITIS-Betreibern geforderten Resilienzmaßnahmen müssen alle Teile des Risiko- und Krisenmanagements für KRITIS systematisch adressieren, also die Vermeidung von Störungen/Ausfällen, die Vorbereitung auf (unvermeidbare) Störungen/Ausfälle, die Bewältigung von eingetretenen Störungen/Ausfällen und die Nachsorge im Sinne des Lernens aus Ereignissen. Die im Gesetzentwurf genannten Maßnahmen (§ 13 Absatz 3 KRITISDachG-E) sind diesen einzelnen Teilbereichen des KRITIS-Schutzes falsch zugeordnet, was zu beheben ist. Die Resilienzpflichten der Betreiber stehen insgesamt unter einem Abwägungsgebot, bei dem explizit genannt wird, dass wirtschaftliche Aspekte der Betreiber zu berücksichtigen sind. Anstatt (wie im Entwurf) den Fokus auf das Risiko eines Vorfalls zu legen, sollte die Versorgungssicherheit der genannten Wirtschaftlichkeit gegenübergestellt werden, was jedoch im Abwägungszusammenhang nicht angeführt wird. c) Der im Gesetzentwurf festgelegte Regelschwellenwert von 500 000 versorgten Personen, der die Grundlage für die Berechnung von spezifischen Kennzahlen für kritische Dienstleistungen sein wird, um damit den Anwendungsbereich des Gesetzes abzustecken, muss die Kritische Infrastruktur flächendeckend im Sinne der Versorgungssicherheit im gesamten Bundesgebiet erfassen. Dies kann nur durch eine Absenkung des Regelschwellenwerts erreicht werden. {d) Für die im Gesetz vorgesehenen konkretisierenden Rechtsverordnungen muss eine Zustimmungsbedürftigkeit des Bundesrates etabliert werden, da sich erst hieraus die eigentlichen Wirkungen zur Resilienzsteigerung der KRITIS, aber auch die Vollzugsaufwände in den Ländern ergeben. Somit sind die Länder hiervon direkt in ihren Finanzen, Behörden und Verwaltungsabläufen betroffen.} e) Für einen umfassenden KRITIS-Schutz in Deutschland ist das KRITISDachG-E nur ein Baustein, den es mit weiteren notwendigen fachgesetzlichen Neuregelungen durch den Bundesgesetzgeber zu ergänzen gilt. Gesetzliche Regelungen zum Schutz Kritischer Infrastruktur finden sich derzeit in unterschiedlicher Regelungstiefe in Fachgesetzen, wobei in den 3. {In} bei Annahme entfällt Ziffer 4 ... Gesetzesvorbemerkungen ausgeführt wird: „[Es] fehlt eine Übersicht über die bereits auf Grund anderer Fachgesetze ergriffenen Maßnahmen, die zur Resilienzsteigerung der Betreiber kritischen Anlagen getätigt wurden.“ So hat der Bund bislang auch nicht dargelegt, wie die Regelungen eines „Dachgesetzes“ mit den weiteren nötigen fachgesetzlichen Regelungsinhalten in Einklang gebracht werden und ineinandergreifen. Es sollten analog den dezidierten Änderungen im Energierecht in den Artikeln 2 und 3 auch für die restlichen KRITIS-Bereiche die fachgesetzlichen Anpassungen vollzogen werden. f) Das KRITISDachG-E sollte auch Regelungen zum Schutz sicherheitsrelevanter Informationen treffen, die sich unter anderem an Betreiber kritischer Anlagen richten und die Veröffentlichung sensibler Informationen wirksam verhindern. Darüber hinaus ist zu prüfen, die Fristen im Gesetzestext an dessen Inkrafttreten zu koppeln. Der vorliegende Gesetzentwurf sieht an mehreren Stellen fixe Fristen und Stichtage vor (bspw. für die Erstellung der Nationalen KRITIS-Resilienzstrategie, der Risikoanalysen und der Betreiberpflichten). Erste Fristen liegen bereits so zukunftsnah, dass angesichts des noch laufenden Gesetzgebungsverfahrens erwogen werden sollte, die starren Datumsangaben durch einen bestimmten Zeitraum nach Inkrafttreten des Gesetzes zu ersetzen. 4. Zum Gesetzentwurf allgemein Der Bundesrat bemängelt, dass der vorliegende Gesetzentwurf vorsieht, dass verschiedene Regelungsinhalte erst in Rechtsverordnungen konkretisiert werden, die nicht der Zustimmung des Bundesrates bedürfen sollen. Es ist nicht ersichtlich, warum von der Regelung des Artikels 80 Absatz 2 Grundgesetz abgewichen werden sollte, wonach Rechtsverordnungen, die aufgrund zustimmungsbedürftiger Gesetze erlassen werden und von den Ländern im Auftrag des Bundes oder als eigene Angelegenheit ausgeführt werden, ebenfalls der Zustimmung des Bundesrates bedürfen. Die im Gesetzentwurf enthaltenen Verordnungsermächtigungen sind daher im weiteren Gesetzgebungsverfahren so zu ändern, dass der Erlass der Rechtsverordnungen der Zustimmung des Bundesrates bedarf. Begründung: Weite Teile der planungs- und umsetzungsrelevanten Regelungsinhalte des Gesetzentwurfes, wie etwa für die einzelnen Sektoren relevante kritische Dienst- Fz ... leistungsprozesse, allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte oder auch weitergehende Resilienzpflichten für Betreiber von als kritisch eingestuften Anlagen sollen durch Rechtsverordnungen bestimmt werden. Deren Inhalt ist noch nicht bekannt, wird aber die Praxis erheblich bestimmen. Der Entwurf sieht vor, dass die Rechtsverordnungen nicht der Zustimmung des Bundesrates bedürfen sollen. Für eine Ausnahme vom verfassungsrechtlichen Prinzip der Zustimmungsbedürftigkeit von Rechtsverordnungen sind keine Gründe ersichtlich. Das zu erlassende Gesetz gilt nicht nur für die kritische Infrastruktur, die in die Zuständigkeit des Bundes fällt, d. h. das zu erlassende Gesetz wird auch durch die Länder ausgeführt. Der Gesetzentwurf betrifft präventive Maßnahmen, die über einen langen Zeitraum gelten sollen – es geht also nicht um zeitkritische Vorhaben, für die u. U. ein verkürztes Rechtsetzungsverfahren hinnehmbar sein könnte. 5. Zum Gesetzentwurf allgemein Der Bundesrat kritisiert, dass in § 4 Absatz 1 KRITISDachG-E der Sektor „öffentliche Verwaltung“ nicht aufgeführt wird, sodass dieser nicht vom Anwendungsbereich des Gesetzentwurfes erfasst wird. Der Bundesrat bittet, im weiteren Gesetzgebungsverfahren zu prüfen, ob der Sektor „öffentliche Verwaltung“ in den Geltungsbereich der Norm aufgenommen werden kann. Begründung: Im vorliegenden KRITISDachG-E wurde in § 4 Absatz 1 der im Referentenentwurf der Bundesregierung zuvor aufgeführte Sektor „öffentliche Verwaltung“ gestrichen, mit der Folge, dass keine Anlagen der Finanzverwaltung als kritische Anlagen – unerheblich entsprechender Schwellenwerte – eingestuft werden. Dementsprechend sind die Anlagen der Finanzverwaltung, trotz ihrer herausragenden Bedeutung für den Landeshaushalt sowie die Liquidität der Landesbeschäftigten, auch nach derzeitiger Entwurfsfassung vom Anwendungsbereich des Gesetzes ausgenommen. Die damit einhergehenden Pflichten können mit Blick auf die noch nicht bekannten Rechtsverordnungen aktuell nicht abschließend beurteilt werden. Ein genereller Ausschluss der öffentlichen Verwaltung aus dem Anwendungsbereich des Gesetzes scheint jedoch aufgrund der Bedeutung für die Aufrechterhaltung der Staats- und Regierungsfunktionen nicht zielführend. 6. Zum Gesetzentwurf allgemein Mit dem Gesetz sollen die europarechtlichen Vorgaben der Richtlinie (EU) 2022/2557 in einem neuen Stammgesetz umgesetzt und die dafür notwendigen Regelungen zur Identifizierung kritischer Anlagen sowie deren Registrierung getroffen werden. Fz Fz ... Dabei geht auch die Bundesregierung davon aus, dass bei den Landesministerien und zuständigen Landesbehörden Erfüllungsaufwand entsteht. Eine Bezifferung der Kosten sei nicht möglich, da die Anzahl der jeweiligen Verfahren zum jetzigen Zeitpunkt nicht bestimmt werden könne. Eine belastbare Abschätzung der Kosten für Resilienzmaßnahmen ist nach Auffassung der Bundesregierung erst zu einem späteren Zeitpunkt im Rahmen der Erstellung der Rechtsverordnung möglich. Die Ermittlung und Darstellung der Kostenfolgen, die den Ländern durch die Bundesgesetze entstehen, sind essenziell für die Beurteilung der Auswirkungen auf die öffentlichen Haushalte. Es wird deshalb gebeten, die Angaben zu den Mehrausgaben, die den Ländern durch das Bundesgesetz entstehen würden, zu konkretisieren. Sollten die entsprechenden Kostenprognosen des Bundes relevante Mehrbelastungen für die Länder erkennen lassen, ist darüber hinaus sicherzustellen, dass die aus der bundesgesetzlichen Verpflichtung von Ländern resultierenden Ausgaben durch den Bund kompensiert werden. 7. Zu Artikel 1 (§ 1 KRITISDachG) Artikel 1 § 1 ist durch den folgenden § 1 zu ersetzen: „§ 1 Nationale KRITIS-Resilienzstrategie Die Bundesregierung soll eine Strategie zur Verbesserung der Resilienz kritischer Infrastrukturen verabschieden, an deren Erstellung die Länder mitwirken.“ Begründung: Die Verantwortlichkeiten beim Schutz kritischer Infrastrukturen sind zwischen Bund und Ländern aufgeteilt. Die Richtlinie (EU) 2022/2557 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die Resilienz kritischer Einrichtungen (CER-RL) sieht gemäß Artikel 4 Mindestelemente einer Strategie vor, die einen unmittelbaren Bezug zu Aufgaben haben, für deren Erfüllung die Länder zuständig sein sollen. Folgerichtig ist laut Begründung des Gesetzentwurfs vorgesehen, die Strategie gemeinsam mit den Ländern und unter Beteiligung der Zivilgesellschaft zu erarbeiten. Weiter soll die Strategie Aspekte berücksichtigen, die im KRITISDachG-E nicht geregelt werden sollen (vgl. BR-Drucksache. 558/25, S. 39). So würde etwa eine Berücksichtigung des Sektors Medien und Kultur eine Beteiligung der Länder zwingend voraussetzen, da dieser der Länderzuständigkeit unterliegt. Vor diesem Hintergrund ist die Festschreibung einer Länderbeteiligung in § 1 KRITISDachG-E unerlässlich. In ... Da noch keine bundesseitigen Bemühungen oder Kontaktaufnahmen zur Erstellung einer solchen Strategie bekannt sind, sollte eine Fristnennung unterbleiben. Dies bedeutet ausdrücklich nicht, dass die Verabschiedung einer solchen Strategie verzögert werden soll. An einer zeitnahen Erstellung, auch innerhalb der durch die CER-RL vorgesehenen Frist, sind die Länder sehr interessiert. 8. Zu Artikel 1 (§ 2 Nummer 01 – neu – KRITISDachG) Vor Artikel 1 § 2 Nummer 1 ist die folgende Nummer 01 einzufügen: ‚01. sind „Kritische Infrastruktur“ Organisationen oder Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der wirtschaftlichen Tätigkeit, der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden,“ ‘ Begründung: Diese Änderung dient der Anpassung des vorliegenden Gesetzentwurfs an die Vorgaben der Richtlinie (EU) 2022/2557. Entgegen der Richtlinie (EU) 2022/2557 enthält der vorliegende Gesetzentwurf den Begriff der kritischen Infrastruktur gerade nicht, obgleich dies zwingend erforderlich ist. Der Begriff der kritischen Anlage in § 2 Nummer 3 KRITISDachG-E vermag den Begriff der kritischen Infrastruktur nicht in vergleichbarer Weise abzubilden. Vielmehr bezeichnet der Begriff der kritischen Infrastruktur nach Artikel 2 Nummer 4 CER-Richtlinie „Objekte, Anlagen, Ausrüstung. Netze oder Systeme oder Teile eines Objekts, einer Anlage, Ausrüstung, eines Netzes oder eines Systems, die für die Erbringung eines wesentlichen Dienstes erforderlich sind.“ Demnach umfasst der Begriff der kritischen Infrastruktur verschiedene Ebenen und Funktionsbereiche. Folgerichtig ist eine kritische Anlage ein Teil der kritischen Infrastruktur. Dieses umfassende Verständnis ist für eine nachhaltige Resilienz unerlässlich. Krankenhäuser sind als Teil der Gesundheitsversorgung z. B. nicht nur als Ganzes eine für die Gesellschaft unverzichtbare kritische Infrastruktur, sondern diese haben selbst eine Vielzahl anderer kritischer Infrastrukturen. Neben Betreibern außerhalb des Krankenhauses, wie branchenfremde Dienstleister aber auch Dienstleister der Gesundheitsbranche, setzt sich das System Krankenhaus selbst aus verschiedenen Funktionsbereichen und Ebenen zusammen. Jeder Funktionsbereich und jede Ebene ist für sich genommen eine kritische Infrastruktur, die ihrerseits wiederum Teil der kritischen Infrastruktur „Krankenhaus“ ist. 9. Zu Artikel 1 (§ 2 Nummer 1 KRITISDachG) In Artikel 1 § 2 Nummer 1 ist nach der Angabe „Finanzwesen“ die Angabe „und im Sektor Leistungen der Sozialversicherung sowie Grundsicherung für G G ... Arbeitsuchende“ einzufügen. Begründung In § 1 Nummer 1 KRITISDachG-E werden die Betreiber kritischer Anlagen definiert. Maßgebend ist dabei der bestimmende Einfluss unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände. Für den Sektor Finanzwesen ist ungeachtet der rechtlichen und wirtschaftlichen Umstände die tatsächliche Sachherrschaft entscheidend, so dass auch deren IT- Dienstleister als Betreiber kritischer Anlagen gelten. Leistungen von Sozialversicherungen werden ebenfalls durch externe IT- Dienstleister erbracht, deren Ausfall oder eine Beeinträchtigung unmittelbar die Leistungserbringung der Sozialversicherung gefährden kann. Aus diesem Grund muss die Regelung ebenfalls auf den Sektor Leistungen der Sozialversicherungen sowie Grundsicherung für Arbeitsuchende erweitert werden. 10. Zu Artikel 1 (§ 3 Absatz 2 Satz 1 Nummer 4 KRITISDachG) In Artikel 1 § 3 Absatz 2 Satz 1 Nummer 4 ist die Angabe „soweit er in die Zuständigkeit der bundeseigenen Eisenbahnverkehrsunternehmen oder Eisenbahninfrastrukturunternehmen fällt,“ durch die Angabe „der Eisenbahnen in der Aufsicht des Eisenbahn-Bundesamtes nach § 5 Absatz 1a Nummer 1 und Absatz 1e Satz 1 Nummer 4 und Nummer 4a des Allgemeinen Eisenbahngesetzes,“ zu ersetzen. Begründung: Die Aufgaben nach dem Gesetz sollen vom BBK wahrgenommen werden. Soweit eine sektorspezifische Aufsichtsbehörde besteht, werden diese Aufgaben vom BBK in Zusammenarbeit mit dieser Aufsichtsbehörde umgesetzt*. Der Gesetzentwurf weist den Eisenbahnaufsichtsbehörden der Länder die Aufgaben für die nichtbundeseigenen Eisenbahnverkehrs- und Eisenbahninfrastrukturunternehmen (NE) und dem Eisenbahn-Bundesamt (EBA) lediglich die Aufgaben gegenüber den Eisenbahnen des Bundes (EdB) zu. Diese Aufgabenzuweisung wird an Zuständigkeitsbereiche der jeweiligen Unternehmen gebunden. Mit der sog. Bahnreform wurde u. a. die damalige „Deutsche Bundesbahn“ in eine Aktiengesellschaft überführt. Artikel 87e Absatz 3 Satze 1 des Grundgesetzes schreibt als Organisationsform dieser neu gebildeten Einheit eindeutig eine Führung als Wirtschaftsunternehmen vor. Wirtschaftsunternehmen haben jedoch keine Aufgabenbereiche, für die sie im rechtlichen Sinne gesetzlich „zuständig“ wären. Dies gilt insbesondere für die Eisenbahnverkehrsunterneh- * § 3 Absatz 1 und 2 KRITISDachG-E; Handreichung BMI zum KRITISDachG-E vom November 2024: „Das BBK arbeitet dabei mit den je nach Sektor zuständigen Aufsichtsbehörden des Bundes oder der Länder zusammen.“ Vk ... men des Bundes, die ihre Tätigkeiten eigenwirtschaftlich gestalten müssen und über die Einstellung von Verkehren allein aufgrund wirtschaftlicher Erwägungen in eigener unternehmerischer Verantwortung entscheiden. Die Aufgabenzuweisung an das EBA kann daher nicht an vermeintliche „Zuständigkeiten“ von Wirtschaftsunternehmen gebunden werden. Mit dem Fünften Eisenbahnrechtsänderungsgesetz vom 16. April 2007 wurde das EBA sektorspezifische Aufsichtsbehörde für alle Eisenbahnen, die bundesweit operieren, und daher für ihren Betrieb einer eisenbahnrechtlichen Sicherheitsbescheinigung oder Sicherheitsgenehmigung bedürfen. Damit unterliegen die vom KRITISDachG-E betroffenen Eisenbahnen seit dem 20. April 2007 der sektorspezifischen Aufsicht des EBA – unabhängig davon, ob es sich dabei um EdB oder NE handelt. Die Länder sind für diese Unternehmen dagegen nicht mehr die sektorspezifische Aufsichtsbehörde. Die Aufgabenzuweisung kann daher nicht daran geknüpft werden, ob es sich um ein bundeseigenes Unternehmen handelt. Würde man die Ländereisenbahnaufsichtsbehörden abweichend von der eisenbahnrechtlichen Aufgabenzuweisung an die sektorspezifische Aufsichtsbehörde für die der Aufsicht des EBA unterstehenden Eisenbahnen mit den Aufgaben nach dem KRITISDachG-E betrauen, entstünde eine nicht zu rechtfertigende Sonderzuständigkeit, die die sachgerechte Wahrnehmung der Aufgaben nach dem KRITISDachG-E und damit die korrekte Umsetzung der Richtlinie (EU) 2022/2557 zur Stärkung der Resilienz kritischer Anlagen gefährdet. 11. Zu Artikel 1 (§ 3 Absatz 2 Satz 1 Nummer 11 und § 11 Absatz 1 Satz 1 KRITISDachG) a) Der Bundesrat stellt fest, dass (nach § 3 Absatz 2 Satz 1 Nummer 11 und § 11 Absatz 1 Satz 1 KRITISDachG-E) die Zuständigkeit zur Durchführung von Risikoanalysen und Risikobewertungen als Grundlage für nationale Risikoanalysen und Risikobewertungen für die kritische Dienstleistung „Leistungen der Sozialversicherung“ an die Fach- oder Rechtsaufsicht über die jeweiligen Träger gekoppelt ist. Hieraus ergibt sich eine Aufspaltung der Zuständigkeiten auf die jeweils zuständigen Bundes- und Landesministerien. b) Der Bundesrat spricht sich dafür aus, die Zuständigkeit zur Durchführung von Risikoanalysen und Risikobewertungen als Grundlage für nationale Risikoanalysen und Risikobewertungen für die kritische Dienstleistung „Leistungen der Sozialversicherung“ zentral in der alleinigen Zuständigkeit des Bundes zusammenzuführen. Begründung: Eine Übertragung der Zuständigkeit auf die für den Bereich der Sozialversicherung zuständigen Landesministerien als Rechtsaufsichtsbehörden der landesunmittelbaren Träger der gesetzlichen Renten- Unfall- und Krankenversiche- G ... rung sowie der sozialen Pflegeversicherung erscheint nicht zielführend. Die Deutsche Rentenversicherung Bund als Bundesträger ist unter anderem trägerübergreifend für die Festlegung von Grundsätzen zur Aufbau- und Ablauforganisation sowie die Koordinierung der Datenverarbeitung und Servicefunktionen bei allen Bundes- und Regionalträgern der Deutschen Rentenversicherung zuständig (§ 138 Absatz 1 Satz 2 Nummer 6 und Nummer 9 SGB VI). Auch bei den Unfallversicherungsträgern wird die Datenverarbeitung bundesweit und trägerübergreifend über den Spitzenverband DGUV koordiniert, ebenso die Entscheidung aller grundsätzlichen Fach- und Rechtsfragen. Beide Spitzenverbände stehen unter der Rechtsaufsicht des BAS. Auch im Bereich der gesetzlichen Kranken- und der sozialen Pflegeversicherung steht die Mehrzahl der Körperschaften bereits unter der Aufsicht des BAS. Kassenübergreifende Steuerungs- und Koordinierungsfunktionen nimmt hier der GKV- Spitzenverband unter der Rechtsaufsicht des BMG wahr. Sektorenspezifisches Fachwissen, um die Träger der gesetzlichen Renten- und Unfallversicherung sowie die Kranken- und Pflegekassen bei der Vornahme von Resilienzmaßnahmen zu unterstützen oder Bedarfe an Schutzmaßnahmen herauszuarbeiten, ist daher primär auf Bundesebene vorhanden. Daher sollte die Zuständigkeit für die Durchführung von Risikoanalysen und Risikobewertungen als Grundlage für nationale Risikoanalysen und Risikobewertungen im Bereich der Sozialversicherung bundesweit und trägerübergreifend beim Bund bzw. beim BAS liegen. 12. Zu Artikel 1 (§ 3 Absatz 3 Satz [1 und] 2, § 4 Absatz 3, § 5 Absatz 1, § 11 Absatz 8 Satz 1, § 12 Absatz 3 Satz 1, § 14 Absatz 1 Satz 1, Absatz 3 Satz 1, § 17 Absatz 3 Satz 1 KRITISDachG), Artikel 5 Absatz 2 (Inkrafttreten) a) In Artikel 1 § 3 Absatz 3 Satz [1 und] 2, § 4 Absatz 3, § 5 Absatz 1, § 11 Absatz 8 Satz 1, § 12 Absatz 3 Satz 1, § 14 Absatz 1 Satz 1, Absatz 3 Satz 1, § 17 Absatz 3 Satz 1 ist jeweils die Angabe „nicht“ zu streichen. {b) In Artikel 5 Absatz 2 ist die Angabe „1. Januar 2030“ durch die Angabe „1. Juli 2028“ zu ersetzen.} Begründung: [Je nach Definition der kritischen Anlagen und Dienstleistungen in der Verordnung können für die Länder neue Pflichten mit einem erheblichen Ressourceneinsatz (Personal/Haushaltsmittel) und zusätzliche Bürokratielasten entstehen. Daher muss das bestehende Zustimmungserfordernis des Bundesrates gemäß Artikel 80 Absatz 2 des Grundgesetzes gewährleistet bleiben.] (Der Gesetzentwurf ist an vielen Stellen allgemein gehalten und verlagert konkrete Vorgaben in Rechtsverordnungen, die derzeit noch nicht vorliegen. Ohne gegenwärtig diese Verordnungen bzw. Entwürfe der Normtexte zu kennen, können die Auswirkungen des Gesetzesentwurfs insbesondere die Wirkung auf die Versorgungssicherheit, die Vollzugsaufwände und finanziellen Belastungen in den Ländern nicht abschließend bewertet werden. Gemäß Gesetzentwurf werden zukünftig die Länder – neben ihren weiterhin fortzuführenden Tätig- In U bei Annahme entfallen Ziffern 13, 14, 15 {nur In} [nur U] (nur In) ... keiten der partnerschaftlichen Zusammenarbeit – neue Aufgaben der Aufsicht bzw. Kontrolle übernehmen, insbesondere zur Überprüfung der Resilienzpflichten der KRITIS-Betreiber. Zur Gewährleistung eines hohen Sicherheitsniveaus, aber auch zur Abschätzung der Aufwände im landesseitigen Verwaltungsvollzug ist es unabdingbar, dass den Ländern angemessene Mitwirkungsrechte bei den konkreten Regelungen eingeräumt werden. Dies ist nur gewahrt, wenn die Gesetzesbestimmungen rund um die Verordnungsermächtigungen eine verbindlichere Mitentscheidung durch die Länder vorsehen, was durch die Zustimmungsbedürftigkeit des Bundesrates erwirkt wird. Gemäß Artikel 80 Absatz 2 des Grundgesetzes bedürfen neben dem Gesetz selbst auch die im KRITISDachG-E vorgesehenen Gesetzeskonkretisierungen durch Rechtsverordnungen der Zustimmung des Bundesrates. Nun will der Bund hingegen jedoch den Weg beschreiten, die im KRITISDachG-E vorgesehenen Rechtsverordnungen nicht zustimmungsbedürftig zu gestalten und nur das Gesetz selbst als zustimmungsbedürftig zu behandeln. Dabei sieht der Bund in den meisten Fällen noch nicht einmal eine Mitwirkung der Länder vor. Ferner ist auch die gesetzliche Regelung einer vorrangigen Beteiligung der Länder notwendig (vor Beteiligung der Wirtschaft). Dies dient sowohl der Wahrung der Länderinteressen als auch dem Interesse des Staates an einer effektiven Konsensherbeiführung. Bei Nichtregelung käme es zur Anwendbarkeit der Gemeinsamen Geschäftsordnung und damit zu einer gleichzeitigen Beteiligung von Ländern sowie den Wirtschaftsverbänden und Wissenschaftsorganisationen. Nach dem vorliegenden Gesetzentwurf würde die Festlegung der kritischen Dienstleistungen und damit der Anwendungsbereich des Gesetzes im Einvernehmen mit nahezu allen Bundesressorts erfolgen – unabhängig davon, ob für die einzelnen kritischen Dienstleistungen Bund oder Länder zuständig sind. Die Länder wären trotz Zuständigkeit nicht beteiligt (§ 4 Absatz 4 KRITISDachG-E). Ebenfalls wären die Länder an der Festlegung von (branchenspezifischen) Resilienzstandards und sektorübergreifenden Mindestanforderungen nicht beteiligt, obwohl auch Länderbehörden die Aufgabe derer Kontrolle gegenüber den Betreibern wahrzunehmen haben. Gleiches gilt für die Vorgaben zu den Risikoanalysen der Betreiber. Diese müssten laut Gesetzentwurf durch die Länderbehörden kontrolliert werden, während der Bund alleine diese Vorgaben trifft. Beim Erlass der Rechtsverordnung zu sektorübergreifenden Mindestanforderungen wären die „zuständigen Behörden“ (und damit teilweise auch die Länder) zwar zumindest „zuvor anzuhören“ (§ 14 Absatz 1 KRITISDachG-E), jedoch ist nicht sichergestellt, dass die vorgebrachten Stellungnahmen tatsächlich Berücksichtigung finden würden. Die Verordnungskompetenz für die sektorspezifischen Mindestvorgaben gilt – je nach Zuständigkeit für die jeweilige Branche – laut Gesetzentwurf sowohl für den Bund als auch für die Landesregierungen (§ 14 Absatz 3 und 4 KRITISDachG-E). Diese Kompetenz besteht jedoch erst ab dem 1. Januar 2030. Dieser Zeitpunkt liegt nach der ersten Evaluation des Gesetzes. Es ist sinnvoller, zunächst das gesamte Instrumentarium des Gesetzes in Kraft zu setzen, bevor das Gesetz im Gesamten evaluiert wird. Daher wird der Zeitpunkt in der Änderung vorverlegt. Rechtsverordnungen sind insbesondere vorgesehen für:  die Bestimmung der kritischen Dienstleistungen, die jeweils zu den – im Gesetz abschließend genannten – KRITIS-Sektoren gehören und als kDL ... nicht im Gesetz selbst genannt sind sowie weitere kDL (§ 3 Absatz 3 und § 4 Absatz 3 KRITISDachG-E),  die Festlegung der Kategorien von Anlagen und der Schwellenwerte zum Versorgungsgrad für die Bestimmung der KRITIS-Betreiber (§ 11 Absatz 8 Satz 1, § 5 Absatz 1 KRITISDachG-E), wobei dies auf dem im Gesetz festgelegten Regelschwellenwert basiert,  methodische und inhaltliche Vorgaben für die nationalen Risikoanalysen und Risikobewertungen, die die zuständigen Bundes- und Landesministerien alle vier Jahre erstellen müssen (§ 11 Absatz 8 Satz 1 KRITISDachG-E),  inhaltliche und methodische Vorgaben einschließlich Vorlagen und Muster für die Risikoanalysen und Risikobewertungen der KRITIS-Betreiber (§ 11 Absatz 8 Satz 1 und § 12 Absatz 3 KRITISDachG-E)  zur Konkretisierung der Verpflichtungen zu Resilienzmaßnahmen in Form von sektorenübergreifenden Mindestanforderungen (§ 11 Absatz 8 Satz 1 und § 14 Absatz 1 KRITISDachG-E),  die Bestimmung von sektorspezifischen Mindestvorgaben (§ 14 Absatz 3 KRITISDachG-E), solange und soweit keine entsprechenden, durch die jeweilige Branche selbst erarbeiteten branchenspezifischen Resilienzstandards als geeignet festgestellt wurden (§ 11 Absatz 8 Satz 1 und § 14 Absatz 5 KRITISDachG-E) sowie  die Festlegung, dass bestimmte Verpflichtungen auf Grund sonstiger öffentlich-rechtlicher Vorschriften, die auch für Betreiber kritischer Anlagen gelten, gleichwertig mit bestimmten Verpflichtungen sind, die für Betreiber kritischer Anlagen nach diesem Gesetz gelten (§ 11 Absatz 8 Satz 1 und § 17 Absatz 3 KRITISDachG-E). Für alle diese Rechtsverordnungen ist laut Gesetzentwurf eine Zustimmung des Bundesrates explizit ausgeschlossen, obwohl sich hieraus erhebliche Implikationen für behördliche Aufgaben, Verwaltungsabläufe und Finanzen der Länder ergeben. Der Bundesrat besteht daher auf der Statuierung des Zustimmungserfordernisses bei Gebrauchmachen der Verordnungsermächtigungen für die gegenständlichen Rechtsverordnungen.) 13. Zu Artikel 1 (§ 3 Absatz 3 Satz 1 KRITISDachG) In Artikel 1 § 3 Absatz 3 Satz 1 ist die Angabe „nicht“ zu streichen. Begründung: Diese Änderung dient der Klarstellung, dass eine Beteiligung des Bundesrates unerlässlich ist. Diese zwingende Beteiligung des Bundesrates ergibt sich bereits aus der unmittelbaren Betroffenheit der Länder durch die Regelungen des KRITISDachG-E selbst. G ... 14. Zu Artikel 1 (§ 4 Absatz 3, § 5 Absatz 1 Satz 1, § 11 Absatz 8 Satz 1, § 12 Absatz 3 Satz 1, § 14 Absatz 1 Satz 1, Absatz 3 Satz 1, § 17 Absatz 3 Satz 1 KRITISDachG) In Artikel 1 § 4 Absatz 3, § 5 Absatz 1 Satz 1, § 11 Absatz 8 Satz 1, § 12 Absatz 3 Satz 1, § 14 Absatz 1 Satz 1, Absatz 3 Satz 1, § 17 Absatz 3 Satz 1 ist jeweils die Angabe „nicht“ zu streichen. Begründung: {Die Landesbehörden werden verpflichtet, Aufgaben nach dem KRITISDachG-E wahrzunehmen. Eine Mitwirkung und Zustimmung der Länder an der konkretisierenden Rechtsverordnung, die sich unmittelbar auf die Länderaufgaben auswirkt, ist daher zwingend erforderlich.} [Die betroffenen Regelungen ermöglichen es dem BMI, – durch Rechtsverordnung die kritischen Dienstleistungen den jeweiligen Sektoren zuzuordnen oder – durch Rechtsverordnung die Kategorien von kritischen Anlagen zu bilden und Schwellenwerte festzulegen, die bestimmen, welche Unternehmen ggf. in den Anwendungsbereich des KRITISDachG-E fallen, oder – durch Rechtsverordnung die methodischen und inhaltlichen Vorgaben für Risikoanalysen und Risikobewertungen der jeweils zuständigen Stellen zu bestimmen oder – durch Rechtsverordnung die methodischen und inhaltlichen Vorgaben sowie Vorlagen und Muster für die Risikoanalysen und Risikobewertungen der Betreiber kritischer Anlagen zu bestimmen oder – zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 KRITISDachG-E sektorenübergreifende Mindestanforderungen zu bestimmen, oder – festzulegen, dass bestimmte Verpflichtungen auf Grund anderer Vorschriften, die auch für Betreiber kritischer Anlagen gelten, mit bestimmten Verpflichtungen dieser Betreiber kritischer Anlagen nach diesem Gesetz gleichwertig sind. Die Regelung des § 14 Absatz 3 Nummer 4 KRITISDachG-E ermöglicht es dem Bundesministerium für Verkehr, für die Arten von kritischen Dienstleistungen in den in § 3 Absatz 2 Nummer 2 bis 12 KRITISDachG-E bestimmten Bereichen, für die sie jeweils zuständig sind, zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 KRITISDachG-E sektorspezifische Mindestvorgaben zu bestimmen. Somit wird ggf. in den Aufgabenbereich von Landesbehörden eingegriffen, die für die jeweils betroffenen Anlagen oder Dienstleistungen zuständig sind. Eine Beteiligung des Bundesrates bei der durch eine Rechtsverordnung des Bundes geregelten Ausgestaltung der durch das KRITISDachG-E zugewiesenen Aufgaben ist daher unerlässlich, sodass abweichend von der bisherigen Fassung eine Beteiligung des Bundesrates beim Erlass der betreffenden Rechtsverord- G VK Wi bei Annahme entfällt Ziffer 15 {nur G} [nur VK, Wi] ... nungen vorzusehen ist.] 15. Zu Artikel 1 (§ 4 Absatz 3, § 5 Absatz 1 KRITISDachG) In Artikel 1 § 4 Absatz 3 und § 5 Absatz 1 ist jeweils die Angabe „nicht“ zu streichen. Begründung: Nach § 4 Absatz 3 KRITISDachG-E ist es vorgesehen, dass BMI durch Rechtsverordnung zwar im Einvernehmen mit dem jeweiligen Fachressort auf Bundesebene, geregelt im Absatz 4, aber ohne Zustimmung des Bundesrates die kritischen Dienstleistungen bestimmt, welche zu den jeweiligen Sektoren gehören. Nach der Gesetzesbegründung bedürfen die diesbezüglichen Regelungen zwingend der näheren Ausgestaltung. Das BMI erhält hierzu die Ermächtigungsgrundlage zum Erlass von Rechtsverordnungen, die im Ergebnis die Grundlage für den sachgerechten Vollzug des KRITISDachG-E durch die Länder sind. Es ist daher unabdingbar, dass die Länder bereits bei der grundlegenden Festlegung der Voraussetzungen für die nach dem KRITISDachG-E zu ergreifenden Resilienzmaßnahmen über den Bundesrat beteiligt werden. Weiter soll nach § 5 Absatz 1 KRITISDachG-E das BMI durch Rechtsverordnung ohne Beteiligung des Bundesrates insbesondere allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte zum Versorgungsgrad bestimmen können, bei deren Erreichen eine Anlage einer bestimmten Kategorie als erheblich für die Erbringung einer kritischen Dienstleistung gilt beziehungsweise bei deren Unterschreiten sie nicht mehr als solche gilt. Um das KRITISDachG-E zu einem effektiven Mittel der Resilienzsteigerung zu machen, ist sicherzustellen, dass die zuständigen Landesbehörden in der Verordnung in die Lage versetzt werden, die Registrierung kritischer Infrastrukturen durch das BBK erforderlichenfalls herbeiführen zu können. Hierfür ist eine Beteiligung der Länder im Verordnungsgebungsverfahren über den Bundesrat zwingend, da nur auf diese Weise die Länderbelange einfließen können. 16. Zu Artikel 1 (§ 4 Absatz 1 Nummer 3 bis 5, 11 – neu –, 12 –neu –, Absatz 2 Nummer 4, 5 –neu –, 6 –neu – KRITISDachG) Artikel 1 § 4 ist wie folgt zu ändern: a) Absatz 1 ist wie folgt zu ändern: aa) In Nummer 3 ist die Angabe „Finanzwesen“ durch die Angabe „Finanz- und Versicherungswesen“ zu ersetzen. bb) In Nummer 4 ist die Angabe „Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende“ durch die Angabe „Sozialwesen“ zu ersetzen. AV In ... cc) In Nummer 5 ist die Angabe „Gesundheitswesen“ durch die Angabe „Gesundheit“ zu ersetzen. dd) In Nummer 9 ist die Angabe „Weltraum und“ durch die Angabe „Weltraum,“ zu ersetzen. ee) In Nummer 10 ist die Angabe „Siedlungsabfallentsorgung.“ durch die Angabe „Siedlungsabfallentsorgung,“ zu ersetzen. ff) Nach Nummer 10 sind die folgenden Nummern 11 und 12 einzufügen: „11. Staat und Verwaltung sowie 12. Medien und Kultur.“ b) Absatz 2 ist wie folgt zu ändern: aa) In Nummer 3 ist die Angabe „und“ zu streichen. bb) In Nummer 4 ist die Angabe „Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende“ durch die Angabe „Sozialwesen“ und die Angabe „§ 12.“ durch die Angabe „§ 12 und“ zu ersetzen. cc) Nach Nummer 4 sind die folgenden Nummern 5 und 6 einzufügen: „5. Betreiber kritischer Anlagen im Sektor Staat und Verwaltung und 6. Betreiber kritischer Anlagen im Sektor Medien und Kultur.“ Begründung: Das KRITISDachG-E zielt auf die Schaffung eines verlässlichen und belastbaren Rechtsrahmens für den physischen Schutz der Kritischen Infrastruktur. Dies erfordert eine rechtssichere Definition der Kritischen Infrastruktur. Unterbleibt eine solche Festlegung im KRITISDachG-E, wird dieses weder seiner Bezeichnung noch der verfolgten Zielsetzung gerecht. Vor dem Hintergrund der Beibehaltung des Gesetzestitels (KRITISDachG-E) und Gesetzesentwurfs der Vorgängerregierung ist auch das Eckpunktepapier für das KRITISDachG-E (Bundestags-Drucksache 20/5491) entsprechend zu beachten, welches sowohl eine umfassende KRITIS-Identifizierung als auch die Einbeziehung des Sektors „Kultur und Medien“ [sic] zugesagt hat. Es gilt, die im Bereich der Kritischen Infrastruktur bestehende Inhomogenität aufzulösen und die bereits vorhandene Nomenklatur beizubehalten. Die Bereiche der Kritischen Infrastruktur werden – nicht zuletzt in der BSI-KritisV – in Sektoren, Branchen, kritische Dienstleistungen und (kritische) Prozesse unterteilt. Die Sektoreneinteilung ist seit vielen Jahren zwischen Bund und Ländern konsentiert, ohne bisher eine normative Verankerung erfahren zu haben, die eine bundesweit einheitliche Handhabung ermöglicht. Die bis heute gültige Sektoreneinteilung wird durch eine auf Bundesebene abgestimmte Einteilung von insgesamt 29 einzelnen Branchen weiter ausdifferenziert. Nur durch eine allgemeingültige Einteilung von KRITIS-Bereichen können die ... bestehenden Unsicherheiten bei der Rechtsanwendung künftig vermieden werden. Im Interesse der Rechtseinheit gilt es zudem, keine anderslautenden, von etablierten Begriffsbestimmungen abweichenden Definitionen festzulegen. Gerade die Abstimmung und Harmonisierung mit dem Bereich der Informationssicherheit spricht für die hier vorgeschlagene Übernahme der KRITIS- Sektoren. Die seitens der Länder bereits mehrfach artikulierte Forderung nach einer umfassenden KRITIS-Definition zur Klärung bestehender Unschärfen bei der Sektoren- und Branchenbezeichnung ist notwendig, um eine angemessene gesamtstaatliche und gesamtgesellschaftliche Resilienz gewährleisten zu können. Nur hierdurch kann Auslegungs- und Rechtsanwendungsschwierigkeiten wirksam begegnet werden. Krisenhafte Entwicklungen der letzten Jahre wie die SARS- CoV-2-Pandemie und die Diskussionen über die Energiemangellage zeigen ebenso wie die Herausforderungen zur Wiederherstellung der Abschreckungs- und Verteidigungsfähigkeit, dass verlässliche Grundlagen für die Ausgestaltung des Schutzes Kritischer Infrastruktur nötig sind. Die vorgeschlagenen Sektorenbezeichnungen sind hierfür eine wesentliche Voraussetzung. Sie knüpfen überwiegend an die Festlegungen der BSI-KritisV an. Der vorgeschlagene Sektor „Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende“ entspricht, wie § 3 Absatz 2 Nummer 11 KRITISDachG-E zeigt, eher einer kritischen Dienstleistung. Die Aufnahme dieses Bereichs sollte daher unter der passenderen Sektorenbezeichnung „Sozialwesen“ erfolgen. Die bisher unvollständige Sektoreneinteilung ist um die Sektoren „Staat und Verwaltung“ (Nummer 11) sowie „Medien und Kultur“ (Nummer 12) zu ergänzen. Vom Bund in diesem Punkt angeführte kompetenzrechtliche Bedenken dringen bei Lichte besehen nicht durch. Denn der Bund hat im gesamtstaatlichen Gefüge die Verantwortung angemessene Rahmenbedingungen für das Funktionieren gesellschaftlicher Abläufe zu schaffen. Dies gilt nicht nur unter dem Blickwinkel der Wirtschaft, wobei der Kompetenztitel in Artikel 74 Absatz 1 Nummer 11 des Grundgesetzes auch eine gefahrenabwehrrechtliche Annexkompetenz einschließt. In Anbetracht der aktuellen Herausforderungen durch die in Deutschland und Europa grundlegend veränderte Sicherheitslage besteht ein unabweisbarer Bedarf zur normativen Ausgestaltung der Rahmenbedingungen für eine funktionierende und resiliente Kritische Infrastruktur. Diese Rahmenbedingungen muss und kann der Bund nach Artikel 73 Absatz 1 Nummer 1 des Grundgesetzes (Verteidigung einschließlich des Schutzes der Zivilbevölkerung) setzen, was etwa Vorgaben zur Handlungsfähigkeit des Staates auf allen Ebenen im äußeren Notstand und die Normierung des Sektors „Staat und Verwaltung“ deckt. Der Sektor „Medien und Kultur“ wird als KRITIS-Sektor bereits in der Entwurfsbegründung angeführt (vgl. u. a. BR- Drucksache 558/25, S. 39 und 50, teilweise als Sektor „Kultur und Medien“ [sic] bezeichnet). Er hat in diesem Kontext ebenfalls essenzielle Bedeutung und bedarf einer bundesrechtlichen Normierung. In Zeiten von Fake News und gezielten Desinformationskampagnen bedarf es der Sicherung verlässlicher öffentlicher und unabhängiger Informationsquellen in einer pluralistischen Gesellschaft. Die Medien sind auch für die Warnung und Information der Bevölkerung sowohl im Vorfeld als auch ad hoc in einer Krisenlage gleich welcher Art (Katastrophe oder äußerer Notstand) unentbehrlich. Die nationale Bedeutung der Kultur wird etwa an der Notwendigkeit eines wirksamen Kulturgüter- ... schutzes deutlich (vgl. § 1 Absatz 2 Nummer 7, § 25 ZSKG), sodass jedenfalls kraft Sachzusammenhangs eine Normierung auch des Sektors „Medien und Kultur“ im Interesse einer gesamtstaatlich einheitlichen und verlässlichen KRITIS-Definition erfolgen kann. Der Geltungsbereich des Gesetzes, wie etwa verpflichtende Resilienzmaßnahmen, muss sich dabei auf die bundesrechtlich relevanten Teile beschränken und ist etwa aus kompetenzrechtlichen Erwägungen einer Regelung durch die Länder zu überlassen – so wie dies z. B. für den Sektor Siedlungsabfallwirtschaft im Gesetzentwurf bereits ausdrücklich vorgesehen ist. In Anknüpfung hieran soll in § 4 Absatz 2 Nummer 5 und 6 KRITISDachG-E für die bisher nicht erfassten Sektoren geregelt werden, dass die Vorschriften des KRITISDachG-E für die Sektoren „Staat und Verwaltung“ sowie „Medien und Kultur“ keine Anwendung finden. 17. Zu Artikel 1 (§ 4 Absatz 2 Nummer 1 KRITISDachG) Der Bundesrat bittet, im weiteren Gesetzgebungsverfahren zu prüfen, inwieweit Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach § 4 Absatz 2 Nummer 1 betreiben, selbst von den Anforderungen der §§ 12 und 18 ausgenommen werden können. Begründung: § 4 Absatz 2 Nummer 1 KRITISDachG-E löst ein Konkurrenzverhältnis für Pflichten aus der Verordnung (EU) 2022/2554 (DORA-VO) und dem KRITISDachG-E im Bereich Finanzwesen dahingehend auf, dass die Pflichten aus der DORA-VO als lex specialis eingestuft werden und betroffene Bestimmungen des KRITISDachG-E dahinter zurücktreten. Durch die besondere Begriffsbestimmung für den „Betreiber kritischer Anlagen“ im Finanzwesen ergibt sich jedoch eine Unschärfe für diese Konkurrenzregelung, die zu nicht erforderlichen Doppelpflichten führen kann. Es sollte geprüft werden, ob und inwieweit diese Doppelung durch eine Anpassung des § 4 Absatz 2 Nummer 1 KRITISDachG-E vermieden werden kann. § 2 Nummer 1 Halbsatz 2 KRITISDachG-E regelt, dass im Sinne des Gesetzes im Sektor Finanzwesen bestimmenden Einfluss auf eine kritische Anlage hat, wer die tatsächliche Sachherrschaft ausübt. Davon sind im Wesentlichen Betreiber von Rechenzentren für Finanzunternehmen erfasst. Betreiber derartiger Anlagen können Unternehmen sein, die selbst nicht den Vorgaben der DORA- VO unterliegen, so dass die Konkurrenzregelung nach § 4 Absatz 2 Nummer 1 KRITISDachG-E für sie nicht greift. Sie betreiben jedoch Anlagen für Unternehmen, die ihrerseits der DORA-VO unterliegen. Bezogen auf § 18 KRITISDachG-E bedeutet dies: Meldungen schwerwiegender IKT- oder zahlungsbezogener Vorfälle erfolgen auch in dieser Konstellation gemäß DORA-VO entweder aggregiert über das Unternehmen, das die Anlagen für eines oder mehrere Unternehmen nach § 4 Absatz 2 Nummer 1 KRITISDachG-E betreibt, oder durch die betroffenen Unternehmen nach § 4 Absatz 2 Nummer 1 KRITISDachG-E selbst. Gemeldet wird an die Bundesanstalt für Finanzdienstleistungsaufsicht, von dort gelangen die erforderlichen In- Wi ... formationen bereits an die beim BSI eingerichtete Meldestelle. Mit der zusätzlichen Meldung gemäß § 18 KRITISDachG-E an das BBK käme es insofern zu doppelten Meldepflichten. Auch die Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen nach § 12 KRITISDachG-E erfolgen im Falle eines Betriebs einer kritischen Anlage für ein anderes Unternehmen nach § 4 Absatz 2 Nummer 1 KRITISDachG-E über die DORA-VO. Auch insoweit käme es nach KRITISDachG-E zu doppelten Pflichten. 18. Zu Artikel 1 (§ 5 Absatz 2 Satz 2 KRITISDachG) Artikel 1 § 5 Absatz 2 Satz 2 ist zu streichen. Begründung: Die Einordnung von Anlagen als kritische Infrastruktur, die sich entscheidend an einem Schwellenwert von 500 000 zu versorgenden Einwohnern nach der BSI-Kritisverordnung orientiert, ist mit Blick auf die globale Zielrichtung des KRITISDachG-E nicht sachdienlich. Beispielsweise werden dadurch Krankenhäuser in ländlichen Regionen, die für die Aufrechterhaltung der medizinischen Grundversorgung essenziell sind, exkludiert. Dieser Ausschluss erfolgt trotz der unbestrittenen Bedeutung des Krankenhausbereichs als kritische Infrastruktur. 19. Zu Artikel 1 (§ 5 Absatz 2 Satz 2 KRITISDachG) In Artikel 1 § 5 Absatz 2 Satz 2 ist die Angabe „500 000“ durch die Angabe „150 000“ zu ersetzen. Begründung: Das KRITISDachG-E sieht einen sogenannten Regelschwellenwert von 500 000 versorgten Einwohnern vor, den eine KRITIS-Anlage überschreiten muss, bevor der entsprechende Betreiber überhaupt den Anforderungen des KRITISDachG-E unterliegt. Dies führt in der Praxis dazu, dass nur besonders große Unternehmen, von denen im Allgemeinen anzunehmen ist, dass diese im Risiko- und Krisenmanagement ohnehin bereits besser aufgestellt sind als ihre kleineren Pendants, entsprechende Maßnahmen gemäß dem Gesetzentwurf ergreifen müssen. Für die versorgte Bevölkerung und die von KRITIS abhängigen anderen KRITIS und sonstigen Wirtschaftsbereiche ist es jedoch unerheblich, ob sie von einem großen oder kleinen Versorger versorgt werden. Die Mehrheit der Bevölkerung in Deutschland wird von KRITIS-Betreibern versorgt, die unterhalb des Schwellenwerts liegen, sodass das KRITISDachG-E im Tatsächlichen nur eine punktuelle, jedoch keine flächendeckende Verbesserung des Schutz- und Versorgungsniveaus mit sich bringen wird. Am Schutzfeld IT-Sicherheit, für das bereits entsprechende Erfahrungen vorliegen, zeigt sich, dass seit Ersteinführung desselben Schwellenwerts im Jahr 2015 bis heute immer wieder Ergänzungen des Anwendungsbereichs notwen- G bei Annahme entfällt Ziffer In ... dig wurden (Hinzunahme weiterer Unternehmensklassen, wichtiger Einrichtungen, besonders wichtiger Einrichtungen). Der Schwellenwert von 500 000 versorgten Einwohnern basiert auf der (im Jahr 2015 vom Bund getroffenen) Annahme, dass diese Personenzahl bei einem Ausfall einer KRITIS mit Mitteln des Katastrophenschutzes (KatS) versorgt werden könne. Dies wurde jedoch nie empirisch bewiesen. Auch wurde die damalige Annahme nur auf die Strom- und Wasserversorgung bezogen und der Bund ging fehlerhaft pauschal davon aus, dass entsprechende KatS- Kapazitäten für alle KRITIS-Bereiche bestünden, obwohl für viele Bereiche, wie bspw. der Bargeldversorgung, bei Versicherungen, im Verkehrswesen und der Logistik, überhaupt keine Notversorgungsmöglichkeiten (des KatS) vorhanden sind (folglich müsste der KRITIS-Schwellenwert hier bei null liegen). Abgesehen davon, dass der Bund hier mit Mitteln des KatS der Länder, die für den KatS zuständig sind, plant, kann keinesfalls davon ausgegangen werden, dass die Folgen ausgefallener KRITIS mit KatS-Ausstattung kompensiert werden könnten. Zwar werden Notstromaggregate im KatS oder auch Trinkwasseraufbereitungsanlagen beim THW vorgehalten, jedoch kann hiermit ein regulärer KRITIS-Betrieb nicht ersetzt werden. Würde man sich dennoch zur Festlegung eines KRITIS-Schwellenwerts an der Leistungsfähigkeit des KatS orientieren, so müsste diese neu bewertet werden (seit 2015 dürfte sich die Ausstattung des KatS verändert haben). Insbesondere aus Ländersicht ist entscheidend, dass ein KRITISDachG-E den aktuellen Bedarf an die Sicherheit der Kritischen Infrastruktur aufgreift, dabei die Resilienz im Gros der in den Ländern bedeutsamen KRITIS steigert und nicht nur auf einzelne nationale „Big Player“ abzielt. Auf den Erkenntnissen der IT-Sicherheitsgesetzgebung aufbauend könnte und muss nunmehr unmittelbar von Beginn an ein hinreichender Anwendungsbereich geschaffen werden; die bloße und ungeprüfte Übernahme der bisherigen Systematik, wie sie im BSIG bzw. der bestehenden BSI-KritisV verankert ist (500 000 zu versorgenden Personen), ist nicht ausreichend, um dem tatsächlichen Schutzbedarf gerecht zu werden. So wären in den Ländern in bestimmten KRITIS- Bereichen, wie Wasserversorgung und Krankenhäuser, erfahrungsgemäß jeweils nur ein Bruchteil der für die flächendeckende Versorgung relevanten Anlagen – meist nicht mehr als fünf Anlagen pro Land – umfasst. Für den o. a. geänderten Regelschwellenwert von 150 000 zu versorgenden Personen wurde der Ansatz der Objekterfassungsrichtlinie des Bundes (Richtlinien für die Identifizierung, Einstufung und Erfassung schutzbedürftiger ziviler Objekte) (VS-nfD) zugrunde gelegt, in der auch die Identifizierung von Einrichtungen und Anlagen Kritischer Infrastruktur geregelt ist. Nähere Erläuterungen zur angewandten Methodik können aufgrund der Geheimschutz- Einstufung der Objekterfassungsrichtlinie an dieser Stelle nicht erfolgen, jedoch in der weiteren Abstimmung dargelegt werden. 20. Zu Artikel 1 (§ 5 Absatz 4 Satz 2 und Satz 3 KRITISDachG) Artikel 1 § 5 Absatz 4 ist wie folgt zu ändern: a) In Satz 2 ist die Angabe „Bundesministerium“ durch die Angabe „Bundesoder Landesministerium“ zu ersetzen. G bei Annahme entfällt Ziffer 21 ... b) Satz 3 ist zu streichen. Begründung: Aus den Regelungen des KRITISDachG-E ergibt sich eine unmittelbare Betroffenheit der Länder. Sind Angelegenheiten der Länder berührt, so sind diese einvernehmlich an zu treffenden Entscheidungen zu beteiligen. 21. Zu Artikel 1 (§ 5 Absatz 4 Satz 3, 4, 5 – neu – bis 8 – neu – KRITISDachG) Artikel 1 § 5 Absatz 4 Satz 3 und 4 ist durch die folgenden Sätze zu ersetzen: „Im Übrigen erfolgt sie im Einvernehmen mit dem Landesministerium, zu dessen Geschäftsbereich die für die betroffene Dienstleistung zuständige Behörde gehört. Die zuständigen Behörden können die Feststellung der Erheblichkeit einer Anlage für die Erbringung einer kritischen Dienstleistung durch das Bundesministerium des Innern beantragen. Das Bundesministerium des Innern hat den Antrag der Behörden zu berücksichtigen, soweit nicht übergeordnete sicherheitsrelevante Interessen diesem entgegenstehen. Im Übrigen können die Landesbehörden Vorschläge für Feststellungen nach Absatz 3 Satz 1 und 2 machen. Zum Vollzug nach Satz 4, 5 und 6 können die Behörden von dem Betreiber verlangen, Aufzeichnungen, Schriftstücke und sonstige Unterlagen vorzulegen sowie Auskünfte zu erteilen, soweit dies erforderlich ist, um festzustellen, ob die Anlage kritisch ist. Können bestimmte Unterlagen oder Auskünfte aus Gründen des Geheimschutzes, der überwiegenden Sicherheitsinteressen oder des überwiegenden Schutzes von Betriebs- und Geschäftsgeheimnissen nicht vorgelegt oder erteilt werden, stellt der Betreiber die erforderlichen Informationen auf andere Weise zu Verfügung.“ Begründung: § 5 Absatz 3 KRITISDachG-E eröffnet die Möglichkeit, Anlagen, die auf Grund der vorgesehenen Schwellenwerte nicht als kritische Anlagen erfasst sind, aber gleichwohl eine hohe Bedeutung für das Funktionieren des Gemeinwesens haben, im Einzelfall als kritische Anlagen zu identifizieren und somit dem Anwendungsbereich zu unterwerfen. Dieser Auffangtatbestand ist von zentraler Bedeutung, um infrastrukturelle, regionale und funktionale Besonderheiten sachgerecht zu berücksichtigen und wird seitens der Länder ausdrücklich begrüßt. Nicht überzeugend ist hingegen, weshalb gemäß § 5 Absatz 4 KRITISDachG-E die Feststellung einer Anlage als kritische Anlage durch das BMI im Einvernehmen mit dem zuständigen Bundesministerium zu erfolgen hat, während bei einer entsprechenden Feststellung einer kritischen Dienstleistung, welche in die Zuständigkeit einer Landesbehörde fällt, lediglich ein Benehmen mit dem betroffenen Land herzustellen ist. Diese Differenzierung führt dazu, dass die Mitwirkung auf Bundesebene verbindlich ausgestaltet ist, wäh- In ... rend die Mitwirkung der Länder auf eine bloß konsultative Funktion reduziert wird. Mit der Identifizierung einer kritischen Anlage gehen unmittelbar neue Vollzugs- und Aufsichtsaufgaben für die zuständigen Behörden einher. Die Länder sind damit direkt in ihren Finanzen, Behörden und Verwaltungsabläufen betroffen, während dem Bund die alleinige Entscheidungshoheit obliegt. Diese ist weder verfassungsrechtlich geboten noch sachlich gerechtfertigt. Vor diesem Hintergrund ist es angezeigt, gemäß dem Änderungsvorschlag das „Benehmen“ gegen ein „Einvernehmen“ zu ersetzen. Das vorgesehene Einvernehmen stellt sicher, dass die Länder bei der Identifizierung kritischer Anlagen substantiell mitwirken können und ihre Fachkompetenz verbindlich in die Entscheidungsfindung einfließt. Da die Landesbehörden über maßgebliche Kenntnisse zu regionalen Strukturen, Betreiberstrukturen, Versorgungabhängigkeiten und eine wesentlich höhere operative Nähe zu den betroffenen Infrastrukturen verfügen, reicht ein bloßes Vorschlagsrecht der Länder zur Feststellung von kritischen Anlagen gemäß § 5 Absatz 4 KRITISDachG-E nicht aus. Denn dieses verkennt die fachliche Verantwortung der Länder. Die Landesbehörden sind in den Bereichen der Gefahrenabwehr, der Daseinsvorsorge sowie des Katastrophenschutzes die originär zuständigen Behörden. Sie nehmen wesentliche Aufgaben beim Schutz der Kritischen Infrastruktur wahr und ergreifen als Gefahrenabwehrbehörden im Ereignisfall wichtige Maßnahmen der Krisenbewältigung. Das mit dem Änderungsvorschlag ausgestaltete Antragswesen wird der Bedeutung der Fachkompetenz sowie Verantwortung der Länder gerecht. Das mit dem Änderungsvorschlag ausgestaltete Vorschlagsrecht eröffnet den Landesbehörden die Möglichkeit, Anlagen, welche nicht in ihre Zuständigkeit fallen, dennoch für eine Identifizierung vorzuschlagen. Dies ist aufgrund der maßgeblichen regionalen Expertise der Länder geboten und wirkt der Gefahr einer unvollständigen oder inkonsistenten Erfassung von kritischen Anlagen entgegen. Mit der Änderung wird zudem eine Rechtsgrundlage für die Einholung von Auskünften durch Behörden geschaffen, wie sie inhaltlich auch im § 8 Absatz 2 KRITISDachG-E für ein vergleichbares Überprüfungsverfahren vorgesehen ist. Sie dient der effektiven und rechtssicheren Wahrnehmung der gesetzlichen Aufgaben und ermöglicht eine Prüfung der Kriterien nach § 5 Absatz 2 KRITISDachG-E. 22. Zu Artikel 1 (§ 8 Absatz 3 KRITISDachG) Der Bundesrat bittet, im weiteren Gesetzgebungsverfahren das Verfahren zur Registrierung kritischer Anlagen von Amts wegen (§ 8 Absatz 3 KRITISDachG-E) zu überprüfen. Begründung Nach § 8 Absatz 3 Satz 1 KRITISDachG-E kann das BBK die Registrierung einer kritischen Anlage nach Anhörung des Betreibers selbst vornehmen, wenn der Betreiber seiner Pflicht zur Registrierung nicht nachkommt. Für die Registrierung werden die in § 8 Absatz 1 KRITISDachG-E genannten Informationen benötigt. Es erscheint nicht sicher, dass dem BBK die für eine Registrierung von Amts wegen erforderlichen Informationen in jedem Fall zur Verfügung stehen werden. Zu beachten ist, dass sich die Verpflichtung zur Verfügungstel- In ... lung von Informationen potentieller Betreiber kritischer Anlagen nach § 8 Absatz 2 KRITISDachG-E lediglich auf die für die Beurteilung, ob die Anlage kritisch ist, erforderlichen Unterlagen und Auskünfte beschränkt. Aus § 8 Absatz 2 KRITISDachG-E würde sich z. B. keine Verpflichtung des potentiellen Betreibers einer kritischen Anlage ergeben, eine Kontaktstelle (§ 8 Absatz 1 Nummer 6 KRITISDachG-E) mitzuteilen. Das Verfahren, mit dem eine amtswegige Registrierung vorgenommen werden kann, sollte im Hinblick auf Anpassungs- und Ergänzungsbedarf kritisch überprüft werden. In diesem Zusammenhang sollten auch die in § 8 Absatz 3 Satz 2 KRITISDachG-E enthaltenen Einvernehmens- bzw. Benehmenserfordernisse hinterfragt werden. Schon von vornherein drängt sich nicht auf, warum es im Falle der Registrierung von Amts wegen der Abstimmung mit weiteren Behörden – BSI und der zuständigen Behörde des Bundes oder des Landes – bedarf. Für den Fall der Registrierung durch den Betreiber nach § 8 Absatz 1 KRITISDachG-E ist nach § 8 Absatz 5 Satz 2 KRITISDachG-E nur eine Information des BBK an das BSI über die Registrierung vorgesehen. 23. Zu Artikel 1 (§ 8 Absatz 3 Satz 2 KRITISDachG) Artikel 1 § 8 Absatz 3 Satz 2 ist durch den folgenden Satz zu ersetzen: „Die Vornahme der Registrierung bedarf des Einvernehmens des Bundesamtes für Sicherheit in der Informationstechnik und, falls die zu ständige Behörde eine Behörde des Bundes oder eines Landes ist, ihres Einvernehmens.“ Begründung: Aus den Regelungen des KRITISDachG-E ergibt sich eine unmittelbare Betroffenheit der Länder. Sind Angelegenheiten der Länder berührt, so sind diese einvernehmlich an zu treffenden Entscheidungen zu beteiligen. 24. Zu Artikel 1 (§ 8 Absatz 5 Satz 2, Absatz 6 Satz 2, § 18 Absatz 3 Satz 1, Absatz 7 KRITISDachG) Artikel 1 ist wie folgt zu ändern: a) In § 8 Absatz 5 Satz 2 und Absatz 6 Satz 2 ist jeweils nach der Angabe „Behörde“ die Angabe „, die Behörde nach § 3 Absatz 5 und 6 und, wenn die zuständige Behörde für die Aufgaben nach diesem Gesetz eine Bundesbehörde ist, zusätzlich die im betreffenden Land fachlich zuständige Behörde“ einzufügen. b) § 18 ist wie folgt zu ändern: aa) In Absatz 3 Satz 1 ist nach der Angabe „Informationstechnik“ die Angabe „und den Behörden nach § 3 Absatz 5“ einzufügen. bb) Absatz 7 ist durch den folgenden Absatz 7 zu ersetzen: G In ... „(7) Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe stellt den zuständigen Behörden nach § 3 Absatz 5 und 6, zusätzlich, wenn die zuständige Behörde für die Aufgaben nach diesem Gesetz eine Bundesbehörde ist, den in den Ländern fachlich zuständigen Behörden sowie den nach § 11 Absatz 1 zuständigen Stellen unverzüglich die bei ihm eingegangenen Meldungen zur Verfügung und übermittelt diesen, halbjährlich Auswertungen zu Meldungen von Vorfällen. Begründung: Für das Meldewesen ist vorgesehen, dass BSI und BBK eine gemeinsame Meldestelle einrichten, an die die Betreiber kritischer Anlagen im Sinne des Gesetzes Vorfälle zu melden haben. Während im Bereich der IT-Sicherheit durch das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung vorgesehen ist, dass das BSI wenigstens den zuständigen Aufsichtsbehörden des Bundes die bei ihm eingegangenen Meldungen unverzüglich zur Verfügung stellt, sieht das KRITISDachG-E lediglich eine Übermittlung von „Auswertungen zu Meldungen von Vorfällen“ an die zuständigen Behörden vor – und dies ohne einen konkreten Zeitraum zu nennen. In dieser Form dient das vorgesehene Meldewesen rein statistischen Zwecken und ist nicht für die Bewältigung von Vorfällen tauglich. Die Länder sind in akuten Störsituationen vom Informationsfluss abgeschnitten, obwohl hier wesentliche Aufgaben des Krisenmanagements und der Bewältigung von Vorfällen wahrgenommen werden. Die in den Ländern zuständigen Behörden können nur dann frühzeitig Folgen von Ereignissen abschätzen und zielgerichtet Bewältigungsmaßnahmen ergreifen, wenn sie zeitnah über eingetretene Ereignisse informiert werden. Es ist völlig unverständlich, warum die beim Bund vorliegenden Erkenntnisse über Vorfälle nicht sofort im Sinne des behördenübergreifenden Austauschs an die zuständigen Behörden in den Ländern weitergegeben werden sollen, zumal ein „Vorfall“ im Sinne des Gesetzes per Definition ohnehin bereits eine bestimmte Eskalationsstufe erreicht haben muss („ein Ereignis, das die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnte“). Dies entspricht nicht der in der Nationalen Sicherheitsstrategie festgelegten Zielsetzung, mit dem Dachgesetz einen gesetzlichen Rahmen zu schaffen, der „die Zusammenarbeit zwischen Bundes- und Landesebene […] verbessert“ (vgl. BR-Drucksache 558/25, S. 36). Insbesondere in der aktuellen Sicherheitslage ist es entscheidend, ein Monitoring der Funktionsfähigkeit der KRITIS und eingetretener Störungen engmaschig und stets aktuell durchzuführen. Hierbei hilft die Übermittlung generischer Auswertungen von Vorfallsmeldungen (wie sie im Gesetzentwurf lediglich vorgesehen ist) nicht weiter. Die Erfahrungen mit den Regelungen im Bereich der IT-Sicherheit (IT-SiG seit 2015) haben gezeigt, dass für die außergesetzliche Organisation eines Informationsaustauschs über Meldungen zwischen Bund und Ländern u. a. eine Rechtsgrundlage fehlt. Dieser Fehler darf sich nicht wiederholen; das KRITISDachG-E muss die Meldungsweitergabe von Anfang an verbindlich vorsehen und damit legalisieren. Zudem sollte ein Zeit- ... raum für die Auswertungen zu Meldungen von Vorfällen festgelegt werden – halbjährliche Berichte (gemäß dem Änderungsvorschlag) scheinen hier ein gutes Mittelmaß zwischen einem engen Monitoring, das auch das rechtzeitige Erkennen von Trendentwicklungen ermöglicht, und dem hierfür entstehenden administrativen Aufwand beim Bund zu bilden. Die unzureichende Berücksichtigung der Länder setzt bereits bei der Ausgestaltung des Meldeverfahrens an, welches keine verbindliche Mitwirkungsmöglichkeit für diese vorsieht. § 18 Absatz 3 KRITISDachG-E ermächtigt das BKK zur Ausgestaltung der Einzelheiten des Meldewesens, verlangt jedoch ausschließlich das Einvernehmen des BSI. Dieser Absatz soll dahingehend geändert werden, dass für die Ausgestaltung des Meldeverfahrens auch das Einvernehmen der Landesbehörde für sektorübergreifende Angelegenheiten erforderlich ist, um eine übergreifende Zusammenarbeit des Bundes und der Länder zur effektiven Umsetzung des KRITISDachG-E zu gewährleisten. Mittels einer – laut Gesetzentwurf nicht zustimmungsbedürftigen – Rechtsverordnung durch das BMI werden die KRITIS-bereichsspezifischen Schwellenwerte festgelegt (§ 5 Absätze 1 und 2 KRITISDachG-E), auf deren Basis die KRITIS-Betreiber verpflichtet sind, zu prüfen, ob ihre Anlagen den entsprechenden Schwellenwert überschreiten, und sich in diesem Falle beim BBK über eine gemeinsam vom BSI und dem BBK eingerichtete Registrierungsmöglichkeit zu registrieren. Obwohl die Länder insbesondere im Krisenmanagement und der Gefahrenabwehr die maßgeblichen Aufgaben beim KRITIS- Schutz wahrnehmen, sieht der Gesetzentwurf lediglich vor, dass das BBK nur die zuständigen Behörden über erfolgte Registrierungen informiert (Artikel 1 § 8 Absatz 5 KRITISDachG-E), was im Falle der Zuständigkeit einer Bundesbehörde die Länder außen vorlässt. Es ist jedoch unverzichtbar, dass die Länder eine Gesamtübersicht über die in ihrem Land befindlichen KRITIS-Anlagen haben – unabhängig davon, ob die Vollzugsbehörde nach KRITISDachG-E eine Bundes- oder Landesbehörde ist. Dementsprechend muss das KRITIS- DachG-E die Rechtsgrundlage zur generellen Informationsweitergabe über Registrierungen an betreffende Länder beinhalten, die durch die o. a. Änderung (in § 8 Absatz 5 und 6 KRITISDachG-E) realisiert wird. Dies würde der in der Deutschen Resilienzstrategie vielfach betonten Intensivierung „der Zusammenarbeit unterschiedlicher Ressorts auf Bundes- und Landesebene mit Blick auf die Versorgungssicherheit und die Verfügbarkeit von kritischen Dienstleistungen“ (vgl. BR-Drucksache 558/25, S. 34; ähnlich auch S. 61 ff.) gerecht werden. 25. Zu Artikel 1 (§ 10 Absatz 1 Satz 4 und Satz 5 KRITISDachG) Artikel 1 § 10 Absatz 1 ist wie folgt zu ändern: a) In Satz 4 ist die Angabe „mit dem Bundesministerium“ durch die Angabe „mit dem Bundes- oder Landesministerium“ zu ersetzen. b) Satz 5 ist zu streichen. Begründung: Aus den Regelungen des KRITISDachG-E ergibt sich eine unmittelbare Be- G ... troffenheit der Länder. Sind Angelegenheiten der Länder berührt, so sind diese einvernehmlich an zu treffenden Entscheidungen zu beteiligen. 26. Zu Artikel 1 (§ 11 Absatz 1 Satz 1 KRITISDachG) In Artikel 1 ist in § 11 Absatz 1 Satz 1 nach der Angabe „die zuständige Behörde“ die Angabe „nach § 3“ einzufügen. Begründung: Die Ergänzung dient der Rechtsklarheit im Vollzug. Obwohl der Begriff „zuständige Behörde” in § 2 Nummer 11 KRITISDachG-E als Behörde nach § 3 Absatz 2 oder 6 KRITISDachG-E legaldefiniert ist, ist dieser Verweis im konkreten Anwendungsfall des § 11 Absatz 1 KRITISDachG-E nicht unmittelbar erkennbar. Dies erschwert die Zuordnung der Verantwortlichkeiten für die ressourcenintensive Aufgabe der nationalen Risikoanalysen in der praktischen Rechtsanwendung. Der eingefügte Verweis auf § 3 KRITISDachG-E stellt klar, dass nur die dort definierten Vollzugsbehörden gemeint sind, und erleichtert somit die Rechtsanwendung in der Praxis. Die Änderung führt zu keiner materiellen Rechtsänderung, sondern dient ausschließlich der Klarstellung. 27. Zu Artikel 1 (§ 11 Absatz 1 Satz 1 KRITISDachG) Aus Sicht des Bundesrates sollte die Möglichkeit geschaffen werden, dass Bundes- und Landesministerien die Durchführung der geforderten Risikoanalysen und Risikobewertungen delegieren oder an Externe vergeben können. Begründung: Nach dem Wortlaut und der Begründung dieser Regelung sollen die fachlich zuständigen Bundes- und Landesministerien selbst Risikoanalysen und Risikobewertungen innerhalb ihrer Geschäftsbereiche durchführen. Hier sollte die Möglichkeit eröffnet werden, dass diese Aufgabe im hierarchischen Verwaltungsaufbau delegiert oder durch andere Behörden beziehungsweise an Externe vergeben werden kann. 28. Zu Artikel 1 (§ 11 Absatz 4 Satz 3 KRITISDachG) In Artikel 1 § 11 Absatz 4 Satz 3 ist die Angabe „17. Januar 2026“ durch Angabe „… [einsetzen: Datum des ersten Tages des zwölften auf die Verkündung folgenden Kalendermonats]“ zu ersetzen. Begründung Für die erstmalige Erstellung der Risikoanalyse und Risikobewertung wird ein ausreichender Zeitraum benötigt. Die Frist bis zum 17. Januar 2026 ist hierfür zu kurz. U VK AV G ... Ferner werden die Betreiber kritischer Anlagen nach § 8 Absatz 1 Satz 1 KRITISDachG-E verpflichtet, ihre kritischen Anlagen erstmals bis einschließlich 17. Juli 2026 zu registrieren. Eine Risikoanalyse und Risikobewertung ist erst zweckmäßig, nachdem festgestellt wurde, dass es sich um eine kritische Anlage handelt. 29. Zu Artikel 1 (§ 13 Absatz 1 Nummer 1 bis 4, Absatz 3 Nummer 1 bis 4, 6 - neu – KRITISDachG) Artikel 1 § 13 ist wie folgt zu ändern: a) Absatz 1 ist wie folgt zu ändern: aa) In Nummer 1 ist die Angabe „verhindern,“ durch die Angabe „verhindern, insbesondere einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen zu gewährleisten,“ zu ersetzen. bb) Nummer 2 ist durch die folgende Nummer 2 zu ersetzen: „2. sich auf Vorfälle und deren Bewältigung vorzubereiten,“ cc) In Nummer 3 ist nach der Angabe „begrenzen“ die Angabe „und die zügige Wiederherstellung der kritischen Dienstleistung zu gewährleisten“ einzufügen dd) In Nummer 4 ist die Angabe „die zügige Wiederherstellung der kritischen Dienstleistung zu gewährleisten“ durch die Angabe „diese nachzubereiten, um Maßnahmen nach den Nummern 1 bis 3 weiterzuentwickeln“ zu ersetzen. b) Absatz 3 Nummer 1 bis 4 ist durch die folgenden Nummern 1 bis 4 zu ersetzen: „1. zum Zweck der Zielerreichung nach Absatz 1 Nummer 1 zählen Maßnahmen der Vorbeugung und Prävention, insbesondere: a) Maßnahmen der baulichen und technischen Sicherung und des organisatorischen Schutzes (Objektschutz) wie Perimeterschutz (unter anderem Liegenschaftsabgrenzungen und hemmende Fassadenelemente), b) Instrumente und Verfahren der Überwachung, c) der Einsatz von Detektionsgeräten und d) Zugangskontrollen, 2. zum Zweck der Zielerreichung nach Absatz 1 Nummer 2 zählen Maßnahmen der Vorbereitung, insbesondere: In ... a) Vorhaltung von Krisenmanagementstrukturen, b) Risiko- und Krisenmanagementverfahren und -protokolle einschließlich Kommunikationsstrategie, c) ereignisbezogene Bewältigungskonzepte und Maßnahmenpläne einschließlich vorgegebener Abläufe im Alarmfall, d) Maßnahmen zur Aufrechterhaltung des Betriebs, darunter die Notstromversorgung und räumliche Ausweichmöglichkeiten, e) Ermittlung alternativer Lieferketten, um die Erbringung des wesentlichen Dienstes wiederaufzunehmen, f) Vorhaltung von Bewältigungskapazitäten und g) Erprobung der Maßnahmen nach den Buchstaben a bis e anhand angenommener Vorfälle, 3. zum Zweck der Zielerreichung nach Absatz 1 Nummer 3 zählen insbesondere: a) die Aktivierung der unter Nummer 2 genannten Notfallvorsorgemaßnahmen (z. B. Alarmierung der Krisenstäbe und Notfallteams), b) Maßnahmen zur Mitigation von Ausfallauswirkungen, c) Maßnahmen zur alternativen Erbringung der Versorgung und des wesentlichen Dienstes, 4. zum Zweck der Zielerreichung nach Absatz 1 Nummer 4 zählen Maßnahme der Verbesserung der Vorbeugung, Vorbereitung und Reaktion, insbesondere: „a) das Ziehen von Lehren aus Ereignissen, u. a. zu Schutz- und Bewältigungsmaßnahmen, b) das Schließen erkannter Vorsorge- und Bewältigungslücken und c) die Verbesserung des Wiederaufbaus,“ c) Nach Absatz 5 ist der folgende Absatz 6 einzufügen: „(6) Der Betreiber kritischer Anlagen muss auf Ersuchen Lageinformationen zu kritischen Dienstleistungen, insbesondere betreffend die Funktionsfähigkeit und Versorgungssicherheit, an mit Fragestellungen der Resilienz im Sinne dieses Gesetzes befasste Behörden im Bund und den Ländern übermitteln.“ ... Begründung: Die durch § 13 KRITISDachG-E erstmals in dieser Form KRITIS- bereichsübergreifend eingeführten Resilienzpflichten der Betreiber sind das zentrale Element des gesamten Gesetzesvorhabens, mit dem der Schutz und damit die Funktionsfähigkeit und Versorgungssicherheit der Kritischen Infrastruktur (KRITIS) in Deutschland gesteigert werden soll. Daher ist es elementar, dass diese anhand der bereits bestehenden Systematik des Risiko- und Krisenmanagements zum Schutz der KRITIS präzise die einzelnen Handlungsverpflichtungen benennen und trennscharf voneinander abgrenzen. Dies bezieht sich auf folgende vier Phasen: – Vorbeugung/Prävention – Vermeidung/Verhinderung von Störungen bzw. Ausfällen der Kritischen Infrastruktur durch risikoangepasste und schutzzielorientierte Sicherungsmaßnahmen –, – Vorbereitung – auf (unvermeidbare) Störungen bzw. Ausfälle durch Notfallkonzepte und Krisenvorhaltungen sowie Redundanzsicherungen –, – Bewältigung (Reaktion) – von Schadenslagen und KRITIS-Störungen/- Ausfällen durch Maßnahmen zur Abmilderung von Auswirkungen, störresiliente Alternativversorgung und Wiederherstellung – sowie – Nachsorge (Nachbereitung) – der akuten Bewältigungsphase nachgelagert im Sinne von Lernen aus Ereignissen und entsprechenden Verbesserungen –. In § 13 KRITISDachG-E werden vor allem Maßnahmen im Sinne der Vorbeugung/Vermeidung von Störungen genannt, aber nicht der diesbezüglichen Ziffer zugeordnet. Explizit genannte Maßnahmen der Vorbereitung auf (unvermeidbare) Ereignisse fehlen. Ebenso fehlt die Phase der Nachbereitung, während dies mit Wiederherstellung vermischt wird. Unter Wiederherstellung sind wiederum Maßnahmen zur Aufrechterhaltung des Betriebs aufgeführt. Die Milderung von Folgen eines Versorgungsausfalls, also die Mitigation von Ereignissen und die Alternativ-/Ersatzversorgung, fehlt vollständig. Die Änderung dient dazu, die gebotenen Resilienzmaßnahmen zu vervollständigen (insbesondere was die Bewältigung von KRITIS-Störungen anbelangt) und diese den damit verfolgten Zielen klar zuzuordnen, um das Maßnahmenpaket zu komplettieren und Rechtsunsicherheit sowohl auf Betreiber- als auch Behördenseite (Aufsicht, Kontrolle) abzubauen. Ansonsten bestünde die Gefahr, dass wesentliche Maßnahmen, bei denen sich in der Praxis in der Vergangenheit deutliche Lücken gezeigt haben, unbeachtet bleiben. Aus Sicht der Länder, die die Verantwortung im Krisenmanagement und Katastrophenschutz tragen, liegt im besonderen Interesse, dass KRITIS-Betreiber die Versorgung auch im Krisenfall bestmöglich sicherstellen, was die Verpflichtung der Betreiber zur Aufrechterhaltung des Betriebs- und damit der Versorgungsfähigkeit betrifft – zumal ausgefallene KRITIS fundamentale, mitunter unmittelbar lebensbedrohliche, Folgen mit sich bringen und nicht durch Mittel und Maßnahmen des Katastrophenschutzes ersetzt werden können. Daneben sind die Pflichten der KRITIS-Betreiber um das Zurverfügungstellen von Lageinformationen zu erweitern. Hierfür soll mit der o. g. Änderung (Ergänzung Absatz 6) die bislang fehlende Rechtsgrundlage (bspw. auch im Kontext DSGVO) geschaffen werden. Bund und Länder monitoren die Funktionsfähigkeit und Versorgungssicherheit in den Bereichen der Kritischen Infrastruktur permanent und legen hierzu regelmäßig ein Lagebild-KRITIS vor, um stets einen aktuellen Überblick über die Gefährdungs- und Versorgungssituati- ... on zu haben und erforderliche Maßnahmen im Idealfall einleiten zu können, bevor Störungen eintreten oder sich ausweiten. Hierzu sind die Behörden auf Lageinformationen von den KRITIS-Betreibern angewiesen, was derzeit auf freiwilliger Basis geschieht. Dabei ist insbesondere jenseits akuter Krisensituationen die Mitwirkungsbereitschaft nicht immer hinreichend. Mit Blick auf die Komplexität der Abhängigkeiten der einzelnen KRITIS untereinander, bei der sich Folgewirkungen von Störungen in einem Bereich erst versetzt auf andere Bereiche auswirken können, und insbesondere in Zeiten hybrider Bedrohungen ist es fundamental, mit dem Lagebild „vor die Lage“ zu kommen. Um den Aufwand der Betreiber im Zusammenhang mit der Berichts-/Übermittlungspflicht zu würdigen, ist die Pflicht an ein behördliches Ersuchen zu knüpfen. 30. Zu Artikel 1 (§ 14 Absatz 1 und 2 KRITISDachG) Der Bundesrat fordert die Bundesregierung auf, den Erfüllungsaufwand für die zuständigen Verwaltungsbehörden im Rahmen ihrer Aufgaben im Verwaltungsvollzug sowie den Erfüllungsaufwand der betroffenen Betreiber spätestens bis zur Beschlussfassung im Deutschen Bundestag transparent zu machen, und bei den konkretisierenden Rechtsverordnungen sicherzustellen, dass der Erfüllungsaufwand und die damit verbundenen finanziellen Belastungen der zuständigen Verwaltungsbehörden sowie der betroffenen Betreiber auf das notwendige Maß begrenzt werden. Begründung: Die Anzahl der Betreiber kritischer Anlagen im Vollzugsbereich der Länder ist bislang nicht bestimmt. Zudem ist unklar, welcher Aufwand in den Ländern künftig durch den Vollzug anfallen wird. Eine belastbare Schätzung des zu erwartenden Erfüllungsaufwand für die Länder wird erst möglich sein, wenn für die zuständigen Behörden im Rahmen ihrer Aufgaben im Verwaltungsvollzug die noch festzulegenden branchenspezifischen Resilienzstandards sowie sektorenübergreifenden Mindestanforderungen nach § 14 Absatz 1 und 2 KRITISDachG-E, die nicht der Zustimmung des Bundesrates bedürfen, konkretisiert worden sind. Es ist daher darauf hinzuwirken, dass der Bund den voraussichtlich zu erwartenden Erfüllungsaufwand für die Länder, Kommunen, betroffenen Betreiber sowie seine eigene Betroffenheit spätestens bis zur Beschlussfassung im Deutschen Bundestag quantifiziert und bei den konkretisierenden Rechtsverordnungen sicherstellt, dass der Erfüllungsaufwand und die damit verbundenen finanziellen Belastungen der zuständigen Verwaltungsbehörden sowie der betroffenen Betreiber auf das notwendige Maß begrenzt werden. U VK ... 31. Zu Artikel 1 (§ 14 Absatz 2 Satz 4 Nummer 2 und Nummer 3 KRITISDachG) Artikel 1 § 14 Absatz 2 Satz 4 ist wie folgt zu ändern: a) Nummer 2 ist wie folgt zu ändern: aa) Nach der Angabe „des Bundes“ ist die Angabe „oder eines Landes“ einzufügen. bb) Die Angabe „Einvernehmen,“ ist durch die Angabe „Einvernehmen und“ zu ersetzen. b) Nummer 3 ist zu streichen. Begründung: Aus den Regelungen des KRITISDachG-E ergibt sich eine unmittelbare Betroffenheit der Länder. Sind Angelegenheiten der Länder berührt, so sind diese einvernehmlich an zu treffenden Entscheidungen zu beteiligen. 32. Zu Artikel 1 (§ 14 Absatz 2 Satz 4 Nummer 3 KRITISDachG) In Artikel 1 § 14 Absatz 2 Satz 4 Nummer 3 ist die Angabe „Benehmen“ durch die Angabe „Einvernehmen“ zu ersetzen. Begründung: Nach § 14 Absatz 2 KRITISDachG-E kann das BBK feststellen, dass vom Betreiber einer „kritischen Anlage“ oder vom betreffenden Branchenverband vorgeschlagene Resilienzstandards geeignet sind, die Resilienz zu gewährleisten. Diese Feststellung erfolgt nach § 14 Absatz 2 Satz 4 Nummer 1 und 2 im Einvernehmen mit den zuständigen Bundesstellen. Mit den zuständigen Länderbehörden muss sich das BBK dagegen lediglich gemäß § 14 Absatz 2 Satz 4 Nummer 3 KRITISDachG-E „ins Benehmen“ setzen. Soweit den Ländern für bestimmte „kritische“ Dienstleistungen oder Anlagen originäre Aufgaben zugewiesen werden, die denen der jeweiligen Bundesbehörden entsprechen, sind auch die gleichen Beteiligungsrechte vorzusehen. 33. Zu Artikel 1 (§ 14 Absatz 5 KRITISDachG) Der Bundesrat bittet, im weiteren Gesetzgebungsverfahren klarzustellen, welche Auswirkungen die Feststellung branchenspezifischer Resilienzstandards hat, wenn Verordnungen nach § 14 Absatz 3 oder 4 KRITISDachG-E bereits bestehen. G bei Annahme entfällt Ziffer 32 Wi VK In ... Begründung Ab dem 1. Januar 2030 sind der Bund (§ 14 Absatz 3 KRITISDachG-E) und die Länder (§ 14 Absatz 4 KRITISDachG-E) befugt, sektorspezifische Mindestvorgaben durch Rechtsverordnung zu regeln. Nach § 14 Absatz 5 KRITISDachG-E soll die Befugnis zum Erlass einer solchen Verordnung aber nur bestehen, solange und soweit keine branchenspezifischen Resilienzstandards festgestellt sind. Unklar ist, welche Konsequenzen es zeitigt, wenn eine Verordnung nach § 14 Absatz 3 oder 4 KRITISDachG-E erlassen worden ist. Weder ist klar, ob in diesen Fällen branchenspezifische Resilienzstandards überhaupt noch festgestellt werden können, noch, ob im Falle einer angenommenen fortbestehenden Möglichkeit zur Feststellung, ein festgestellter Standard einer zuvor erlassenen Verordnung vorgeht. Aus Sicht des Bundesrates besteht an dieser Stelle schon aus Gründen der Rechtssicherheit Klärungs- und Klarstellungsbedarf. 34. Zu Artikel 1 (§ 16 Absatz 1, 2 KRITISDachG) Im Sinne der Entbürokratisierung und Verfahrensbeschleunigung hält der Bundesrat einen direkten Abruf der zuständigen Behörde beim Bundesamt für Sicherheit in der Informationstechnik für zielführender. Darüber hinaus sollte in Eilfällen auch ein direktes Auskunftsrecht der zuständigen Behörde beim Betreiber kritischer Anlagen ermöglicht werden. Begründung: Eine automatisierte Information über den Datenabruf an das BBK könnte dessen Einbindung sicherstellen. 35. Zu Artikel 1 (§ 16 Absatz 7a – neu –, § 24 Absatz 1 Nummer 5 – neu –, Absatz 2 KRITISDachG) Artikel 1 ist wie folgt zu ändern: a) Nach § 16 Absatz 7 ist der folgende Absatz 7a einzufügen; „(7a) Die zuständige Behörde kann verlangen, dass der Nachweis zur Einhaltung der Verpflichtung nach § 13 Absatz 1 durch ein Zertifikat auf der Grundlage eines Audits nach Absatz 3 erbracht wird. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe kann zum Zwecke der Überprüfung, ob die Verpflichtungen nach § 13 Absatz 1 durch den Betreiber einer kritischen Anlage eingehalten werden, im Benehmen mit den Ländern und dem Bundesamt für Sicherheit in der Informationstechnik Bestimmungen treffen: 1. zur Durchführung der Zertifizierung einschließlich des Audits, 2. zu fachlichen und organisatorischen Anforderungen an die zer- AV In DS ... tungen nach § 13 Absatz 1, tifizierende Stelle, 3. zu Format, Inhalt und Gestaltung von Nachweisen, 4. zur Behebung von Mängeln bei der Einhaltung der Verpflich- 5. zum Schutz von Handels- und Geschäftsgeheimnissen und 6. zur Überprüfung der Einhaltung der Verpflichtungen nach § 13 Absatz 1.“ b) § 24 ist wie folgt zu ändern: aa) Absatz 1 ist wie folgt zu ändern: aaa) In Nummer 3 ist die Angabe „übermittelt oder“ durch die Angabe „übermittelt,“ zu ersetzen. bbb) In Nummer 4 ist die Angabe „erteilt.“ durch die Angabe „erteilt oder“ zu ersetzen. ccc) Nach Nummer 4 ist die folgende Nummer 5 einzufügen: „5. entgegen § 16 Abs. 7a Satz 1 das Zertifikat nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt.“ bb) In Absatz 2 ist nach der Angabe „Nummer 3“ die Angabe „und 5“ einzufügen. Begründung: Die Länder haben mehrfach als weitere Option gefordert, das KRITISDachG-E für ein Zertifizierungssystem zu öffnen. Dies ist allerdings lediglich mit dem in Artikel 2 enthaltenen § 5f EnWG-E umgesetzt worden, bei welchem die Bundesnetzagentur zuständige Behörde im Sinne des § 3 KRITISDachG-E ist. Es ist nicht ersichtlich, warum ein Zertifizierungssystem punktuell nur für diesen Bereich eingerichtet werden soll. Auch die Regelung des bisherigen § 16 Absatz 8 KRITISDachG-E ist nicht ausreichend, um das Verfahren der Überprüfung von kritischen Anlagen für eine Zertifizierung zu öffnen. Es ist wohl Wille des Bundesgesetzgebers, diese Lücke nachträglich mit einer auf dem Absatz 8 basierenden Konkretisierung der Art und Weise der Nachweiserbingung durch das BBK zu schließen. Jedoch wurde versäumt, dass Überprüfungsverfahren für eine Zertifizierung anzupassen und die Anforderung der Zertifizierung als Maßnahme der zuständigen Behörde im Maßnahmenkatalog des § 16 KRITISDachG-E ausdrücklich aufzunehmen. Ohne eine solche Regelung verbliebe man weiterhin an der in § 16 KRITISDachG-E vorgesehenen iterativen Vorgehensweise. Besser ist es, eine durch die Zertifizierung gebündelte Überprüfung der kritischen Anlage ausdrücklich zu ermöglichen. Damit kann die Effizienz des Verwaltungsverfahrens erhöht und bundesweit ein einheitliches ... Vorgehen sichergestellt werden. Die in § 5f EnWG-E bereits enthaltene Regelungssystematik greift diese Punkte auf und sollte daher in § 16 des KRITIS- DachG-E aufgenommen werden. Zudem ist ein Bußgeldtatbestand in Bezug auf die Vorlage der von der zuständigen Behörde angeforderten Zertifizierung hinzuzufügen. Weil bei einer Zertifizierung das Zertifikat zentraler Bestandteil des Prüfverfahrens ist, ist der erhöhte Bußgeldrahmen von bis zu zweihunderttausend Euro nach § 24 Absatz 2 2. Alternative KRITISDachG-E angemessen. 36. Zu Artikel 1 (§ 18 Absatz 1 Satz 1 KRITISDachG) In Artikel 1 § 18 Absatz 1 Satz 1 ist vor der Angabe „Vorfälle “ die Angabe „wie auch den nach § 3 Absatz 2 Nummer 13 zuständigen Landesbehörden“ einzufügen. Begründung: Für die zuständigen Behörde der Länder wird eine entsprechende zeitnahe Information als essentiell erachtet, um auf Landesebene ein Lagebild erstellen und zeitnah im Rahmen der Zuständigkeit der Länder reagieren zu können. Verzögerungen entsprechender Maßnahmen durch fehlende Informationen bei den zuständigen Behörden müssen ausgeschlossen werden. 37. Zu Artikel 1 (§ 18 Absatz 7 KRITISDachG) In Artikel 1 § 18 Absatz 7 ist nach der Angabe „Stellen“ die Angabe „unverzüglich“ einzufügen. Begründung: Nachdem sich Notfallpläne auf Betreiber kritischer Anlagen beziehen können und werden, deren Ausfall gegebenenfalls zu kompensieren ist, ist eine unverzügliche Meldung sicherzustellen. 38. Zu Artikel 1 (§ 18 Absatz 8 KRITISDachG) In Artikel 1 § 18 Absatz 8 ist die Angabe „im Benehmen mit der zuständigen Behörde des Landes“ durch die Angabe „eines Landes“ zu ersetzen. Begründung: Aus den Regelungen des KRITISDachG-E ergibt sich eine unmittelbare Betroffenheit der Länder. Sind Angelegenheiten der Länder berührt, so sind diese einvernehmlich an zu treffenden Entscheidungen zu beteiligen. AV AV G ... 39. Zu Artikel 1 (§ 19 Absatz 2 Satz 3, 4 KRITISDachG) Artikel 1 § 19 Absatz 2 ist wie folgt zu ändern: a) In Satz 3 ist die Angabe „mit dem Bundesministerium“ durch die Angabe „mit dem Bundes- oder Landesministerium“ zu ersetzen. b) Satz 4 ist zu streichen. Begründung: Aus den Regelungen des KRITISDachG-E ergibt sich eine unmittelbare Betroffenheit der Länder. Sind Angelegenheiten der Länder berührt, so sind diese einvernehmlich an zu treffenden Entscheidungen zu beteiligen. 40. Zu Artikel 1 (§ 23 Absatz 1 Nummer 2, Absatz 2a – neu – KRITISDachG) Artikel 1 § 23 ist wie folgt zu ändern: a) Absatz 1 ist wie folgt zu ändern: aa) In Nummer 1 ist die Angabe „1.“ zu streichen und die Angabe „ist und“ durch die Angabe „ist.“ zu ersetzen. bb) Nummer 2 ist zu streichen. b) Nach Absatz 2 ist der folgende Absatz 2a einzufügen: „(2a) Die Erforderlichkeit der Verarbeitung personenbezogener Daten im Sinne von Absatz 1 und Absatz 2 ist insbesondere dann nicht gegeben, wenn durch eine Verarbeitung anonymisierter oder künstlich erzeugter Daten der Zweck in gleicher Weise erfüllt werden kann.“ Begründung § 23 Absatz 1 KRITISDachG-E enthält in Nummer 1 und 2 zwei kumulative Voraussetzungen, die jedoch so nicht nebeneinander stehen bleiben sollten, da die erste Voraussetzung bereits die zweite umfasst: Wenn eine Verarbeitung anonymisierter oder künstlich erzeugter Daten für die Erfüllung einer Aufgabe der zur Datenverarbeitung befugten Behörde in gleicher Weise geeignet wäre wie die Verarbeitung personenbezogener Daten, wäre die Verarbeitung personenbezogener Daten von vornherein nicht erforderlich. Demnach würde die Verneinung der Voraussetzungen von Nummer 2 automatisch auch zur Verneinung der Voraussetzungen von Nummer 1 führen müssen. Auch wenn man die Nummer 2 nur als klarstellenden Zusatz verstehen wollte, wäre dieses in dieser Form abzulehnen. Eine solche Klarstellung bei Absatz 1 würde schon bei Absatz 2 zu Unstimmigkeiten führen, da bei der Rechtsgrund- G In ... lage nach § 23 Absatz 2 KRITISDachG-E nach dem Wortlaut lediglich die Erforderlichkeit vorausgesetzt wird. Es kann aber wohl kaum gewollt sein, dass bei § 23 Absatz 2 KRITISDachG-E die Verarbeitung personenbezogener Daten auch erfolgen darf, wenn für die dort genannten Zwecke die Verarbeitung anonymisierter oder künstlich erzeugter Daten in gleicher Weise geeignet wäre. Aus diesem Grund ist § 23 Absatz 1 Nummer 2 KRITISDachG-E zu streichen und eine klarstellende Regelung, die sich sowohl auf 23 Absatz 1 KRITISDachG-E als auch auf 23 Absatz 2 KRITISDachG-E bezieht, in einen neuen Absatz 2a einzufügen. Eine ähnliche klarstellende Regelung befindet sich im Übrigen in Artikel 59 Absatz 1 Buchstabe b der KI-Verordnung. 41. Zu Artikel 1 (§ 23 Absatz 2 KRITISDachG) In Artikel 1 § 23 Absatz 2 ist die Angabe „wenn“ durch die Angabe „soweit“ zu ersetzen. Begründung Um dem datenschutzrechtlichen Prinzip der Erforderlichkeit ausreichend Rechnung zu tragen und insoweit auch einen Gleichklang mit § 23 Absatz 1 KRITISDachG-E zu erzielen, ist das Wort „wenn“ vor der Aufzählung durch das Wort „soweit“ zu ersetzen. 42. Zu Artikel 1 (§ 23 Absatz 2 KRITISDachG) Der Bundesrat bittet, im weiteren Gesetzgebungsverfahren zu prüfen, ob die Ausgestaltung des § 23 Absatz 2 KRITISDachG-E als Zweckänderungsregelung für die zwei dort benannten Zwecke die Intention des Gesetzgebers vollumfänglich erfüllt. Begründung § 23 Absatz 2 KRITISDachG-E regelt nach seinem Wortlaut die Voraussetzungen für eine zweckändernde (Weiter-)Verarbeitung personenbezogener Daten. In der Entwurfsbegründung ist dargelegt, dass die Behörden neben der Erfüllung ihrer gesetzlichen Aufgaben nach Absatz 1 eine datenschutzrechtliche Rechtsgrundlage benötigen, um personenbezogene Daten zum Zwecke der Sammlung, Auswertung und Untersuchung von Vorfällen nach § 18 KRITISDachG-E und zur Unterstützung, Beratung und Warnung in Fragen zur Gewährleistung der Resilienz durch Betreiber kritischer Anlagen zu verarbeiten. Daraus könnte der Schluss gezogen werden, dass es sich bei den beiden in § 23 Absatz 2 Nummer 1 und 2 KRITISDachG-E genannten Tätigkeiten nicht um gesetzliche Aufgaben handelt. Andererseits scheint die Nennung der Zwecke in § 23 Absatz 2 KRITISDachG-E doch wieder auf gesetzliche Aufgaben, eventuell sekundärer Natur, hinzuweisen. Es sollte überprüft werden, ob es insoweit tunlich ist, eine Aufgabe der Behörde ausschließlich in einer Zweckänderungsvorschrift zu benennen. Auch könnte es dann an einer Rechtsgrundlage fehlen, wenn man unmittelbar für die beiden in § 23 Absatz 2 KRITISDachG-E In In ... benannten Zwecke Daten erheben wollte. Eine solche Datenerhebung könnte wohl – auch ausweislich der Entwurfsbegründung – nicht auf § 23 Absatz 1 KRITISDachG-E gestützt werden. Dabei stellt der Bundesrat nicht in Abrede, dass Datenverarbeitungen zu den in § 23 Absatz 2 KRITISDachG-E genannten Zwecken zulässig sein sollen. Ebenso kann grundsätzlich nachvollzogen werden, dass, wie in der Entwurfsbegründung dargelegt, hier alle den Behörden aus öffentlichen, privaten, staatlichen, bekannten oder anonymen Quellen erlangten und zur Verfügung gestellten Daten ausgewertet werden müssen. Der Bundesrat sieht es aber als erforderlich an, die Ausgestaltung der Vorschrift als Zweckänderungsvorschrift im Kontext mit den Aufgaben der Behörden zu überprüfen. 43. Zu Artikel 1 (§ 23 Absatz 2 Nummer 2 KRITISDachG) Der Bundesrat bittet, im weiteren Gesetzgebungsverfahren zu prüfen, ob die in § 23 Absatz 2 Nummer 2 KRITISDachG-E enthaltende Voraussetzung „und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Personen an dem Ausschluss der Verarbeitung überwiegt“ sich tatsächlich nur auf den in Nummer 2 genannten Zweck beziehen soll. Begründung: Nach der derzeitigen Konstruktion des § 23 Absatz 2 KRITISDachG-E ist eine Abwägung mit den Interessen der betroffenen Person nur bei § 23 Absatz 2 Nummer 2 KRITISDachG-E vorgesehen, d. h. wenn der Zweck der Verarbeitung die Unterstützung oder Beratung von Betreibern kritischer Anlagen bei der Gewährleistung ihrer Resilienz ist. Aus der Entwurfsbegründung ist aber nicht erkennbar, dass sich die Interessen-abwägung nur auf die Fallkonstellation nach § 23 Absatz 2 Nummer 2 KRITISDachG-E beziehen soll. Warum eine Interessenabwägung in den Fällen des § 23 Absatz 2 Nummer 1 KRITISDachG-E nicht erforderlich sein sollte, ist auch nicht ersichtlich. Der Bundesrat sieht es daher als erforderlich an, den Wortlaut nochmals zu überprüfen. 44. Zu Artikel 1 (§ 24 Absatz 3 KRITISDachG) In Artikel 1 § 24 Absatz 3 ist die Angabe „Behörde.“ durch die Angabe „Behörde, soweit es sich um eine Bundesbehörde handelt.“ zu ersetzen. Begründung § 24 Absatz 3 KRITISDachG-E regelt, welche Behörden für die in § 24 Absatz 1 KRITISDachG-E geregelten Ordnungswidrigkeiten die zuständige Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 OWiG ist. Für die in § 24 Absatz 1 Nummer 2 Buchstabe b, Nummer 3 und 4 KRITISDachG-E („in den übrigen Fällen“) genannten Ordnungswidrigkeiten ist nach § 24 Absatz 3 KRITISDachG-E Verwaltungsbehörde im Sinne von § 36 Absatz 1 Nummer 1 OWiG die jeweils nach § 3 Absatz 2 Satz 1 KRITISDachG-E zuständige Be- In In ... hörde. Da § 3 Absatz 1 Nummer 13 KRITISDachG-E auch die Landesbehörden nach § 3 Absatz 6 KRITISDachG-E zur „zuständigen Behörde“ nach dem KRITISDachG-E erfasst, werden ebendiese auch zur Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 OWiG bestimmt. Dass der Bund an dieser Stelle eine Bestimmung auch für den Bereich der Länder trifft und so den Weg für eine eigenständige Regelung der Länder nach § 36 Absatz 2 OWiG sperrt, ist weder erforderlich noch angezeigt. Aus diesem Grunde soll § 24 Absatz 3 KRITISDachG-E so ergänzt werden, dass dieser nur noch eine Regelung für den Bereich der Bundesbehörden trifft. 45. Zu Artikel 1 allgemein a) Mit Blick insbesondere auf die gesundheitliche Versorgung sowie aufgrund der veränderten sicherheitspolitischen Lage wird der vorliegende Gesetzentwurf für ein KRITIS-Dachgesetz grundsätzlich begrüßt. b) Die alleinige Einstufung kritischer Infrastrukturen anhand rein quantitativer Gesichtspunkte und nicht unter Berücksichtigung eines prozessorientieren Ansatzes wird abgelehnt. c) Darüber hinaus enthält der Gesetzentwurf keine Regelungen zur Refinanzierung der einhergehenden Steigerung von Schutzstandards durch regelmäßige Risiko-Analysen und zu beübende Resilienzpläne. Der Bund sollte für die notwendigen Investitionen entsprechende Mittel zur Verfügung stellen. d) Der Bundesrat bittet, im weiteren Gesetzgebungsverfahren zu prüfen, ob die Einstufung kritischer Infrastrukturen hauptsächlich anhand von prozessorientierten Kriterien vorzunehmen ist sowie entsprechende Mittel zur Finanzierung der entstehenden Kosten zur Verfügung zu stellen sind. Begründung: Der Gesetzentwurf wird grundsätzlich begrüßt. Eine rein an quantitativen Gesichtspunkten orientierte Bestimmung der kritischen Infrastruktur wird abgelehnt. Darüber hinaus wird auch die Frage der Refinanzierung im vorliegenden Entwurf nicht eindeutig geklärt. Zum Erfüllungsaufwand für die Wirtschaft verweist der vorliegende Gesetzentwurf lediglich darauf, dass sich der Erfüllungsaufwand derzeit nicht abschätzen ließe. Da der Bund hier im Wege der konkurrierenden Gesetzgebung von seinem Gesetzgebungsrecht zur Herstellung einheitlicher Lebensverhältnisse Gebrauch macht, sollte der Bund für die erforderlichen Investitionskosten entsprechende Mittel zur Verfügung stellen. Dies sind insbesondere solche Investitionen für bauliche, technische sowie organisatorische Sicherung. Damit einhergehend ist auch ein etwaiger erhöhter Personalbedarf zu berücksichtigen. G 46. Zum Gesetzentwurf allgemein Mit dem KRITISDachG-E kommen auf das BBK völlig neue Aufgaben und eine entscheidende Rolle bei der Stärkung der physischen Resilienz kritischer Anlagen zu. Der Bundesrat bittet, im weiteren Gesetzgebungsverfahren zu prüfen, ob im Hinblick auf die gewandelte Rolle des BBK eine ergänzende Änderung des BBKG angezeigt ist. Begründung Nach § 2 Absatz 1 BBKG nimmt das Bundesamt Aufgaben des Bundes auf den Gebieten des Bevölkerungsschutzes und der Katastrophenhilfe wahr, die ihm durch das Zivilschutz- und Katastrophenhilfegesetz oder andere Bundesgesetze oder auf Grund dieser Gesetze übertragen werden oder mit deren Durchführung es vom BMI oder mit dessen Zustimmung von anderen fachlich zuständigen obersten Bundesbehörden beauftragt wird, soweit keine andere Zuständigkeit durch Gesetz oder auf Grund eines Gesetzes festgelegt ist. Ob es sich bei den Aufgaben des BBK, die ihm nach dem KRITISDachG-E obliegen werden, um „Aufgaben des Bundes auf den Gebieten des Bevölkerungsschutzes und der Katastrophenhilfe“ handelt, könnte bereits fraglich erscheinen. Die Bundesregierung macht in der Begründung des Gesetzentwurfs jedenfalls nicht geltend, dass sie sich auf Kompetenzen des Bundes zum Zivilschutz (Artikel 73 Absatz 1 Nummer 1 des Grundgesetzes) oder im Bereich der Katastrophenhilfe (Artikel 35 Absatz 2 und 3 des Grundgesetzes) stützt. Es besteht insofern ein Missverhältnis zwischen der Aufgabenzuweisung an das BBK in dem seine Errichtung regelnden Gesetz und der Rolle und Bedeutung, die ihm im Rahmen des KRITISDachG-E zugewiesen werden. Aus Sicht des Bundesrates ist daher eine Prüfung angezeigt, ob und inwiefern parallel im Gesetz über die Errichtung des BBK das KRITISDachG-E zu ergänzen ist. In]