Entwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen (Beschlussempfehlung und Bericht zu Drs. 21/2510)

Entwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen (Beschlussempfehlung und Bericht zu Drs. 21/2510) Deutscher Bundestag Drucksache 21/3906 21. Wahlperiode 28.01.2026 Beschlussempfehlung und Bericht des Innenausschusses (4. Ausschuss) zu dem Gesetzentwurf der Bundesregierung – Drucksache 21/2510 – Entwurf eines Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen A. Problem Auf Grund einer zunehmend verflochtenen Wirtschaft in der EU kommt den kritischen Einrichtungen eine unverzichtbare Rolle bei der Aufrechterhaltung gesellschaftlicher und wirtschaftlicher Funktionen zu. Mit der Richtlinie (EU) 2022/2557 wurde ein einheitlicher europäischer Rechtsrahmen für die Stärkung der Resilienz kritischer Einrichtungen in mindestens zehn Sektoren gegen Gefahren auch außerhalb des Schutzes der IT-Sicherheit im Binnenmarkt geschaffen. Ziel der Richtlinie ist es, einheitliche Mindestverpflichtungen für kritische Einrichtungen festzulegen und deren Umsetzung durch kohärente, gezielte Unterstützungs- und Aufsichtsmaßnahmen zu garantieren. Um die Resilienz dieser kritischen Einrichtungen, die für das reibungslose Funktionieren des Binnenmarktes von entscheidender Bedeutung sind, zu stärken, schafft die Richtlinie (EU) 2022/2557 einen übergreifenden Rahmen („Dach“), der im Sinne des All- Gefahren-Ansatzes Naturgefahren oder vom Menschen verursachte, unbeabsichtigte oder vorsätzliche Gefährdungen berücksichtigt. Die Richtlinie (EU) 2022/2557 war gemäß ihrem Artikel 26 Absatz 1 bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Diese europarechtlichen Vorgaben der Richtlinie (EU) 2022/2557 sowie die Notwendigkeiten einer nationalen gesetzlichen Regelung für funktionierende und resiliente Infrastrukturen und Dienstleistungen sollen im KRITIS-Dachgesetz (KRITISDachG) vereint werden. B. Lösung Der Innenausschuss empfiehlt mit dieser Beschlussempfehlung, den Gesetzentwurf im Wesentlichen um folgende Maßnahmen abzuändern und zu ergänzen: – Berücksichtigung von Transparenzpflichten für kritische Infrastrukturen in der KRITIS-Resilienzstrategie (Artikel 1 § 1 KRITISDachG-E); – Ergänzung einer Ermächtigung zum Erlass einer Rechtsverordnung, um mit Zustimmung des Bundesrates weitere kritischer Anlagen zu identifizieren (Artikel 1 § 5 Absatz 7 KRITISDachG-E); – Konkretisierungen beim Meldewesen, u. a. Rechtsverordnungsermächtigung zur Ausgestaltung der Weiterleitung der Meldungen an die Länder und Erstellung von regelmäßigen und anlassbezogenen Lagebildern durch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK; Artikel 1 § 18 Absatz 6 bis 8 KRITISDachG-E); – datenschutzrechtliche Änderungen (Artikel 1 § 23 KRITISDachG-E); – Erhöhung der Bußgelder (Artikel 1 § 24 KRITISDachG-E); – Konkretisierung der Evaluierungsfrist des KRITISDachG (Artikel 1 § 25 KRITISDachG-E); – Ergänzung von Zustimmungserfordernissen des Bundesrates bei mehreren Rechtsverordnungen (Artikel 1 § 5 Absatz 7, § 11 Absatz 8, § 12 Absatz 3, § 14 Absatz 1, § 17 Absatz 3, § 18 Absatz 7 KRITISDachG-E); – Änderungen im KRITIS-Dachgesetz und im BSI-Gesetz zum europarechtlich vorgesehenen Übergang der Identifizierung von kritischen Anlagen nach dem KRITISDachG und der zu erlassenden KRITIS-Verordnung nach Inkrafttreten der KRITIS-Verordnung sowie zum Übergang der Zuständigkeit für die Registrierung kritischer Anlagen vom BSI auf das BBK (Artikel 1 § 26 KRITISDachG-E, Artikel 2 und 4 des geänderten Gesetzentwurfs); – Aufhebung der BSI-Kritisverordnung nach Inkrafttreten der KRITIS- Verordnung (Artikel 9 des geänderten Gesetzentwurfs); – rechtstechnische Folgeänderungen in der Außenwirtschaftsverordnung, im Telekommunikationsgesetz, im Energiesicherungsgesetz, und im Wärmeplanungsgesetz (Artikel 5 bis 8 des geänderten Gesetzentwurfs). Annahme des Gesetzentwurfs in geänderter Fassung mit den Stimmen der Fraktionen der CDU/CSU, AfD und SPD gegen die Stimmen der Fraktionen BÜNDNIS 90/DIE GRÜNEN und Die Linke. Annahme einer Entschließung mit den Stimmen der Fraktionen der CDU/CSU, AfD und SPD gegen die Stimmen der Fraktion Die Linke bei Stimmenthaltung der Fraktion BÜNDNIS 90/DIE GRÜNEN. C. Alternativen Keine. D. Haushaltsausgaben ohne Erfüllungsaufwand Für den Bundeshaushalt entstehen durch das Gesetz jährliche finanzielle Mehraufwände sowie einmalige finanzielle Mehraufwände, die in der Gesamtheit noch nicht beziffert werden können. Eine belastbare Schätzung wird erst dann möglich sein, wenn festzulegende branchenspezifische Resilienzstandards sowie sektorenübergreifende Mindestanforderungen nach § 14 Absatz 1 und 2 KRITISDachG konkretisiert werden. Aufwände der Ressorts sollen in den jeweiligen Einzelplänen ausgeglichen werden, wobei im Einzelfall zu prüfen ist, ob eine Inanspruchnahme der Regelungen des Artikels 115 des Grundgesetzes (GG) möglich ist. Zusätzliche Haushaltsausgaben ohne Erfüllungsaufwand infolge des Gesetzes sind für Länder und Gemeinden sowie für die Sozialversicherungsträger zu erwarten. E. Erfüllungsaufwand E.1 Erfüllungsaufwand für Bürgerinnen und Bürger Es entsteht kein Erfüllungsaufwand für die Bürgerinnen und Bürger. E.2 Erfüllungsaufwand für die Wirtschaft Für die Wirtschaft entsteht Erfüllungsaufwand, der in seiner Gesamtheit zum jetzigen Zeitpunkt noch nicht geschätzt werden kann. Denn bislang ist der Umfang der Resilienzverpflichtungen der Betreiber kritischer Anlagen nicht festgelegt: Die konkretisierende Rechtsverordnung zu kritischen Dienstleistungen und Anlagen sowie die nationalen und betreiberseitigen Risikoanalysen, auf die sich die zu treffenden Resilienzmaßnahmen stützen sollen, stehen noch aus. Zudem fehlt eine Übersicht über die bereits auf Grund anderer Fachgesetze ergriffenen Maßnahmen, die zur Resilienzsteigerung der Betreiber kritischen Anlagen getätigt wurden. Der Erfüllungsaufwand wird nachvollziehbar und methodengerecht bei der Ausarbeitung der konkretisierenden Rechtsverordnungen geschätzt werden. Davon Bürokratiekosten aus Informationspflichten Keine. E.3 Erfüllungsaufwand der Verwaltung Der Verwaltung entsteht Erfüllungsaufwand, der jedoch in seiner Gesamtheit noch nicht beziffert werden kann. Eine belastbare Schätzung wird insbesondere erst dann möglich sein, wenn für die zuständigen Behörden im Rahmen ihrer Aufgaben im Verwaltungsvollzug noch festzulegende branchenspezifische Resilienzstandards sowie sektorenübergreifende Mindestanforderungen nach § 14 Absatz 1 und 2 KRITISDachG sowie Mindestanforderungen zur Konkretisierung der Verpflichtungen der Einrichtungen der Bundesverwaltung nach § 7 Absatz 2 KRITISDachG konkretisiert werden. Zusätzlicher Erfüllungsaufwand infolge des Gesetzes ist auch für Gemeinden sowie für die Sozialversicherungsträger zu erwarten. Der Erfüllungsaufwand wird nachvollziehbar und methodengerecht bei der Ausarbeitung der konkretisierenden Rechtsverordnungen geschätzt werden. F. Weitere Kosten Auswirkungen auf Einzelpreise, das allgemeine Preisniveau und das Verbraucherpreisniveau sind nicht zu erwarten. Beschlussempfehlung Der Bundestag wolle beschließen, a) den Gesetzentwurf auf Drucksache 21/2510 mit folgenden Maßgaben, im Übrigen unverändert anzunehmen: 1. Artikel 1 wird wie folgt geändert: a) § 1 wird durch den folgenden § 1 ersetzt: „§ 1 Nationale KRITIS-Resilienzstrategie Die Bundesregierung soll eine Strategie zur Verbesserung der Resilienz kritischer Infrastrukturen verabschieden. Die Strategie beinhaltet Erwägungen zu Transparenzpflichten für kritische Infrastrukturen.“ b) § 5 wird wie folgt geändert: aa) Die Überschrift wird durch die folgende Überschrift ersetzt: „§ 5 Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen“. bb) Absatz 3 wird durch den folgenden Absatz 3 ersetzt: (3) „ Ist eine Anlage für die Erbringung einer kritischen Dienstleistung erheblich, ohne die Voraussetzungen der Rechtsverordnung des Absatzes 1 Satz 1 zu erfüllen, so stellt das Bundesministerium des Innern dies im Einzelfall fest, falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist. Ist eine Anlage für die Erbringung einer kritischen Dienstleistung nicht erheblich, obwohl sie die Voraussetzungen der Rechtsverordnung des Absatzes 1 Satz 1 erfüllt, so stellt das Bundesministerium des Innern dies im Einzelfall fest, falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist. Für die Beurteilung der Erheblichkeit einer Anlage für die Erbringung einer kritischen Dienstleistung gilt Absatz 2 entsprechend.“ cc) Nach Absatz 6 wird der folgende Absatz 7 eingefügt: (7) „ Das Bundesministerium des Innern wird ermächtigt, in einer Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, Kriterien und Verfahren festzulegen, mit denen die Länder feststellen können, ob eine Anlage für die Erbringung einer kritischen Dienstleistung erheblich ist, ohne die Voraussetzungen der Rechtsverordnung des Absatzes 1 Satz 1 zu erfüllen. Die Länder können dies für Anlagen feststellen, bei denen für die betroffene Dienstleistung eine Landesbehörde die zuständige Behörde ist. Bei der Festlegung der Kriterien werden die Kriterien nach Absatz 2 berücksichtigt. § 4 Absatz 4 und 5 gilt entsprechend.“ c) § 8 Absatz 1 wird wie folgt geändert: aa) In Nummer 5 wird die Angabe „sowie“ gestrichen. bb) Nummer 6 wird durch die folgenden Nummern 6 und 7 ersetzt: „6. eine Kontaktstelle, über die der Betreiber kritischer Anlagen erreichbar ist; in Bezug auf Maßnahmen nach dem BSI-Gesetz ist die jederzeitige Erreichbarkeit zu gewährleisten, sowie 7. die bei ihm zum Einsatz kommenden Typen von kritischen Komponenten gemäß § 2 Nummer 23 des BSI- Gesetzes.“ cc) Nach Absatz 5 Satz 2 wird der folgende Satz eingefügt: „Die Übermittlung der Information gemäß Absatz 1 Nummer 7 erfolgt ausschließlich an das Bundesamt für Sicherheit in der Informationstechnik.“ d) § 11 wird wie folgt geändert: aa) In Absatz 4 Satz 2 wird die Angabe „, und erstmalig bis einschließlich 17. Januar 2026“ gestrichen. bb) Absatz 8 Satz 1 wird durch den folgenden Satz ersetzt: „Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, methodische und inhaltliche Vorgaben für die Risikoanalysen und Risikobewertungen der nach Absatz 1 Satz 1 und 2 zuständigen Stellen zu bestimmen.“ e) § 12 Absatz 3 Satz 1 wird durch den folgenden Satz ersetzt: „Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, inhaltliche und methodische Vorgaben einschließlich Vorlagen und Muster für die Risikoanalysen und Risikobewertungen der Betreiber kritischer Anlagen zu bestimmen.“ f) § 14 Absatz 1 wird wie folgt geändert: aa) Satz 1 wird durch den folgenden Satz ersetzt: „Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtung nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen.“ bb) Satz 2 wird gestrichen. g) § 16 Absatz 1 wird durch den folgenden Absatz 1 ersetzt: (1) „ Um die Einhaltung der Verpflichtungen nach § 13 Absatz 1 zu überprüfen, kann die zuständige Behörde über das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe das Bundesamt für Sicherheit in der Informationstechnik um die Übersendung derjenigen Bestandteile der nach § 39 des BSI-Gesetzes vorgelegten Nachweise ersuchen, die für die Überprüfung der Einhaltung der Maßnahmen nach § 13 Absatz 1 erforderlich sind.“ h) § 17 Absatz 3 Satz 1 wird durch den folgenden Satz ersetzt: „Das Bundesministerium des Innern kann durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, allgemein feststellen, dass bestimmte Verpflichtungen auf Grund sonstiger öffentlich-rechtlicher Vorschriften, die auch für Betreiber kritischer Anlagen gelten, gleichwertig mit bestimmten Verpflichtungen sind, die für Betreiber kritischer Anlagen nach diesem Gesetz gelten.“ i) § 18 wird wie folgt geändert: aa) Die Überschrift wird durch die folgende Überschrift ersetzt: „§ 18 Meldewesen für Vorfälle; Verordnungsermächtigung“. bb) In Absatz 3 Satz 1 wird nach der Angabe „Behörden“ die Angabe „und der Behörden nach § 3 Absatz 5“ eingefügt. cc) Die Absätze 6 bis 8 werden durch die folgenden Absätze 6 bis 8 ersetzt: (6) „ Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übermittelt dem von dem Vorfall betroffenen Betreiber kritischer Anlagen unverzüglich eine Bestätigung über den Eingang der Meldung nach Absatz 1 und unverzüglich nach seiner Meldung sachdienliche Folgeinformationen, unter anderem Informationen, die die wirksame Reaktion dieses Betreibers auf den betreffenden Vorfall unterstützen könnten. Dabei kann es sich um passende Leitlinien zu Reaktionsverfahren und zur Resilienzstärkung handeln. (7) Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übermittelt den zuständigen Behörden, den nach § 3 Absatz 5 benannten Landesbehörden sowie den nach § 11 Absatz 1 zuständigen Stellen Auswertungen zu Meldungen von Vorfällen im Rahmen vorab zwischen dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe und den Empfängern abgestimmter Prozesse zur Weitergabe und Wahrung der notwendigen Vertraulichkeit. Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, die Prozesse zur Weitergabe der Meldungen an die Länder zu regeln. Die Rechtsverordnung beschreibt die Rahmenbedingungen, insbesondere die technischen und personellen Voraussetzungen, Kriterien für eine Weiterleitung von Meldungen und die Prozessbeschreibung für den Informationsaustausch. § 4 Absatz 4 und 5 gilt entsprechend. (8) Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe erstellt auf der Grundlage der eingegangenen Meldungen nach Absatz 1 sowie weiterer Informationen regelmäßige und anlassbezogene Lagebilder zur Situation der kritischen Anlagen und stellt diese den zuständigen Behörden, den nach § 3 Absatz 5 benannten Landesbehörden, den nach § 11 Absatz 1 zuständigen Stellen, den Betreibern und weiteren betroffenen Adressaten zur Verfügung.“ j) § 23 wird wie folgt geändert: aa) Absatz 1 wird durch den folgenden Absatz 1 ersetzt: „(1) Die Verarbeitung personenbezogener Daten durch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, das Bundesamt für Sicherheit in der Informationstechnik, die Bundesnetzagentur, die Bundesanstalt für Finanzdienstleistungsaufsicht, die zuständigen Behörden und die nach Vorschriften dieses Gesetzes zuständigen Bundesministerien und Landesministerien ist zulässig, soweit dies zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben erforderlich ist.“ bb) In Absatz 2 in der Angabe vor Nummer 1 wird die Angabe „wenn“ durch die Angabe „soweit“ ersetzt. cc) Nach Absatz 2 wird der folgende Absatz 2a eingefügt: „(2a) Die Erforderlichkeit der Verarbeitung personenbezogener Daten im Sinne der Absätze 1 und 2 ist insbesondere dann nicht gegeben, wenn durch eine Verarbeitung anonymisierter oder künstlich erzeugter Daten der Zweck in gleicher Weise erfüllt werden kann.“ k) § 24 wird wie folgt geändert: aa) Absatz 1 Nummer 1 Buchstabe a wird durch den folgenden Buchstaben a ersetzt: „a) Nummer 1 bis 3, 5 oder 6 oder“. bb) Absatz 2 wird durch den folgenden Absatz 2 ersetzt: (2) „ Die Ordnungswidrigkeit kann in den Fällen des Absatzes 1 Nummer 2 Buchstabe a mit einer Geldbuße bis zu einer Million Euro, in den Fällen des Absatzes 1 Nummer 3 mit einer Geldbuße bis zu fünfhunderttausend Euro, in den Fällen des Absatzes 1 Nummer 2 Buchstabe b mit einer Geldbuße bis zu zweihunderttausend Euro und in den übrigen Fällen mit einer Geldbuße bis zu hunderttausend Euro geahndet werden.“ l) § 25 wird durch die folgenden §§ 25 und 26 ersetzt: § 25„ Evaluierung Das Bundesministerium des Innern wird dieses Gesetz regelmäßig alle fünf Jahre und erstmalig zwei Jahre nach Inkrafttreten im Benehmen mit den zuständigen Behörden der Länder auf wissenschaftlich fundierter Grundlage evaluieren, insbesondere im Hinblick auf die Identifizierung der Betreiber kritischer Anlagen und auf die gegebenenfalls abgestufte Ausgestaltung des Regelschwellenwertes gemäß § 5 Absatz 2 sowie die Höhe der Bußgelder gemäß § 24 und die Frage der Notwendigkeit eines Zertifizierungssystems für Nachweise gemäß § 16. § 26 Anwendungsbestimmung und Übergangsregelung § 8 Absatz 1 Nummer 2 und 6 ist erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 8 Absatz 1 Nummer 2 und 6 in der bis einschließlich … [ einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ 2. Nach Artikel 3 werden die folgenden Artikel 4 bis 9 eingefügt: Artikel 4‚ Änderung des BSI-Gesetzes Das BSI-Gesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2) wird wie folgt geändert: 1. In der Inhaltsübersicht wird nach der Angabe zu § 65 die folgende Angabe eingefügt: „Teil 9 Anwendungsbestimmungen; Übergangsregelungen § 66 Anwendungsbestimmungen und Übergangsregelungen“. 2. § 2 wird wie folgt geändert: a) Nummer 22 wird durch die folgende Nummer 22 ersetzt: „22. „kritische Anlage“ eine Anlage im Sinne des § 2 Nummer 3 des KRITIS-Dachgesetzes;“. b) Nummer 24 wird durch die folgende Nummer 24 ersetzt: „24. „kritische Dienstleistung“ eine Dienstleistung im Sinne des § 2 Nummer 4 des KRITIS-Dachgesetzes;“. 3. Nach § 11 Absatz 4 Satz 2 wird der folgende Satz eingefügt: „Hiervon sind erforderliche Informationsaustausche zwischen dem Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe nach § 3 Absatz 7 des KRITIS- Dachgesetzes ausgenommen.“ 4. § 28 wird wie folgt geändert: a) Absatz 8 wird gestrichen. b) Absatz 9 wird zu Absatz 8. 5. § 33 Absatz 2 wird durch den folgenden Absatz 2 ersetzt: „(2) Die Registrierung von Betreibern kritischer Anlagen erfolgt gemäß § 8 des KRITIS-Dachgesetzes.“ 6. Nach § 39 Absatz 3 wird der folgende Absatz 4 eingefügt: „(4) Die Verpflichtung nach Absatz 1 Satz 1 gilt nicht für Betreiber kritischer Anlagen, die auf Grundlage von § 5 Absatz 7 des KRITIS-Dachgesetzes als solche bestimmt wurden.“ 7. § 56 wird wie folgt geändert: a) Absatz 4 wird gestrichen. b) Die Absätze 5 bis 8 werden zu den Absätzen 4 bis 7. 8. § 65 Absatz 2 Nummer 1 Buchstabe a wird durch den folgenden Buchstaben a ersetzt: „a) § 11 Absatz 6, § 16 Absatz 1 Satz 1, auch in Verbindung mit Absatz 4, § 17 Satz 1 oder § 39 Absatz 1 Satz 5,“. 9. Nach § 65 wird der folgende Teil 9 eingefügt: „Teil 9 Anwendungsbestimmungen; Übergangsregelungen § 66 Anwendungsbestimmungen und Übergangsregelungen § 2 Nummer 22 und 24 und § 33 Absatz 2 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 2 Nummer 22 und 24 in der bis einschließlich … [einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ Artikel 5 Änderung der Außenwirtschaftsverordnung Die Außenwirtschaftsverordnung vom 2. August 2013 (BGBl. I S. 2865), die zuletzt durch Artikel 27 des Gesetzes vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) geändert worden ist, wird wie folgt geändert: 1. 55a Absatz 1 wird wie folgt geändert: a) In den Nummern 1 und 2 wird jeweils die Angabe „im Sinne des BSI-Gesetzes“ durch die Angabe „im Sinne des § 2 Nummer 3 des KRITIS-Dachgesetzes“ ersetzt. b) Nummer 4 wird durch die folgende Nummer 4 ersetzt: „4. Cloud-Computing-Dienste erbringt und die hierfür genutzten Anlagen die im Anhang der Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 des KRITIS- Dachgesetzes genannten Schwellenwerte in Bezug auf den jeweiligen Cloud-Computing-Dienst erreichen oder überschreiten,“. 2. § 82a wird durch den folgenden § 82a ersetzt: „§ 82a Übergangsbestimmungen (1) Die §§ 55 bis 62a in der ab dem 1. Mai 2021 geltenden Fassung sind erstmals auf schuldrechtliche Rechtsgeschäfte über den Erwerb eines inländischen Unternehmens anzuwenden, die ab dem 1. Mai 2021 abgeschlossen werden. Im Fall eines Angebots im Sinne des Wertpapiererwerbs- und Übernahmegesetzes ist der Zeitpunkt der Veröffentlichung der Entscheidung zur Abgabe des Angebots maßgeblich. (2) § 55a Absatz 1 Nummer 1, 2 und 4 ist erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 55a Absatz 1 Nummer 1, 2 und 4 in der bis einschließlich … [einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ Artikel 6 Änderung des Telekommunikationsgesetzes Das Telekommunikationsgesetz vom 23. Juni 2021 (BGBl. I S. 1858), das zuletzt durch Artikel 12 des Gesetzes vom 9. Januar 2026 (BGBl. 2026 I Nr. 7) geändert worden ist, wird wie folgt geändert: 1. In § 174 Absatz 3 Nummer 8 und Absatz 5 Nummer 8 wird jeweils die Angabe „§ 2 Nummer 24 des BSI-Gesetzes“ durch die Angabe „§ 2 Nummer 4 des KRITIS-Dachgesetzes“ ersetzt. 2. In § 214 Absatz 3 wird die Angabe „§ 2 Nummer 22 des BSI- Gesetzes“ durch die Angabe „§ 2 Nummer 4 des KRITIS- Dachgesetzes“ ersetzt. 3. Nach § 230 Absatz 15 wird der folgende Absatz 16 eingefügt: (16) „ § 174 Absatz 3 Nummer 8 und Absatz 5 Nummer 8 sowie § 214 Absatz 3 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS- Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung sind § 174 Absatz 3 Nummer 8 und Absatz 5 Nummer 8 sowie § 214 Absatz 3 in der bis einschließlich … [ einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ Artikel 7 Änderung des Energiesicherungsgesetzes Das Energiesicherungsgesetz vom 20. Dezember 1974 (BGBl. I S. 3681), das zuletzt durch Artikel 21 des Gesetzes vom 18. Dezember 2025 (BGBl. 2025 I Nr. 347) geändert worden ist, wird wie folgt geändert: 1. In der Inhaltsübersicht wird nach der Angabe zu § 31 die folgende Angabe eingefügt: „§ 31a Übergangsbestimmung“. 2. In § 17 Absatz 1, § 18 Absatz 2 Satz 1 Nummer 1 und § 29 Absatz 1 Satz 1 wird jeweils die Angabe „§ 2 Nummer 22 des BSI- Gesetzes“ durch die Angabe „§ 2 Nummer 3 des KRITIS- Dachgesetzes“ ersetzt. 3. Nach § 31 wird der folgende § 31a eingefügt: „§ 31a Übergangsbestimmung § 17 Absatz 1, § 18 Absatz 2 Satz 1 Nummer 1 und § 29 Absatz 1 Satz 1 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung sind § 17 Absatz 1, § 18 Absatz 2 Satz 1 Nummer 1 und § 29 Absatz 1 Satz 1 in der bis einschließlich … [einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ Artikel 8 Änderung des Wärmeplanungsgesetzes Das Wärmeplanungsgesetz vom 20. Dezember 2023 (BGBl. 2023 I Nr. 394), das zuletzt durch Artikel 9 des Gesetzes vom 22. Dezember 2025 (BGBl. 2025 I Nr. 348) geändert worden ist, wird wie folgt geändert: 1. In der Inhaltsübersicht wird nach der Angabe zu § 34 die folgende Angabe eingefügt: „§ 34a Übergangsbestimmung“. 2. In § 11 Absatz 4 Satz 1 wird die Angabe „§ 2 Nummer 22 des BSI-Gesetzes vom 2. Dezember 2025 (BGBl. I 2025 Nr. 301, S. 2)“ durch die Angabe „§ 2 Nummer 3 des KRITIS- Dachgesetzes“ ersetzt. 3. Nach § 34 wird der folgende § 34a eingefügt: „§ 34a Übergangsbestimmung § 11 Absatz 4 Satz 1 ist erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS- Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 11 Absatz 4 Satz 1 in der bis einschließlich … [einsetzen: Datum des Tages vor dem Inkrafttreten nach Artikel 11 Absatz 1 dieses Gesetzes] geltenden Fassung weiter anzuwenden.“ Artikel 9 Änderung der BSI-Kritisverordnung Die BSI-Kritisverordnung vom 22. April 2016 (BGBl. I S. 958), die zuletzt durch Artikel 2 des Gesetzes vom 18. Dezember 2025 (BGBl. 2025 I Nr. 347) geändert worden ist, wird wie folgt geändert: Nach § 11 wird der folgende § 12 eingefügt: § 12„ Außerkrafttreten Die BSI-Kritisverordnung vom 22. April 2016 (BGBl. I S. 958), die zuletzt durch Artikel 2 des Gesetzes vom 18. Dezember 2025 (BGBl. 2025 I Nr. 347) geändert worden ist, tritt mit Inkrafttreten der Rechtsverordnung nach § 4 Absatz 4 und § 5 Absatz 1 des KRITIS- Dachgesetzes außer Kraft. Das Bundesministerium des Innern gibt das Inkrafttreten im Bundesgesetzblatt bekannt.“ ‘ 3. Der bisherige Artikel 4 wird zu Artikel 10. 4. Der bisherige Artikel 5 wird zu Artikel 11; b) folgende Entschließung anzunehmen: „I. Der Deutsche Bundestag stellt fest: Der verheerende Anschlag auf die Strominfrastruktur in Berlin Anfang Januar 2026 und seine gravierenden Folgen für die Bevölkerung haben noch einmal die Bedeutung und Notwendigkeit eines umfassenden und gezielten Schutzes unserer kritischen Infrastrukturen deutlich gemacht. Diese Infrastrukturen sind für das tägliche Leben und das Funktionieren unserer Gesellschaft sowie unserer Wirtschaft essenziell. Angesichts der massiv gestiegenen und dynamischen Bedrohungslage braucht unsere Infrastruktur eine wesentlich stärkere Resilienz – in digitaler und physischer Hinsicht. Mit dem KRITIS-Dachgesetz wollen wir ein konsequentes und zugleich individuelles Schutzsystem schaffen. Zu diesem Schutz gehört auch ein zeitgemäßer Umgang mit bestehenden Transparenz- und Informationspflichten. Während es früher ein wichtiges Anliegen war, eine möglichst große Transparenz für die Bevölkerung, Betriebe und Institutionen herzustellen, muss heute angesichts der ernsten Bedrohungslage der potenzielle Missbrauch transparenter Informationen zur Vorbereitung von Angriffen auf unsere kritischen Infrastrukturen mitgedacht werden. Vor diesem Hintergrund sind die Transparenz- und Informationspflichten für kritische Infrastrukturen notwendigerweise zu überprüfen, anzupassen und zu beschränken. Diese Pflichten sind in einer Vielzahl verschiedener Rechtsakte, etwa im Planungs- oder Umweltrecht, formuliert und vorgegeben. Diese verfolgen für sich genommen zunächst nachvollziehbare und berechtigte Ziele. So soll etwa bei Bauvorhaben durch diese Informationen verhindert werden, dass Leitungen beschädigt werden. Betroffen sind neben der nationalen Ebene auch europäische Rechtsetzungsakte und deren Umsetzung. So schafft zum Beispiel die INSPIRE-Richtlinie der EU (INSPIRE: Infrastructure for Spatial Information in the European Community) eine gemeinsame Geodateninfrastruktur für Europa. Die Umweltinformationsrichtlinie von 2003 wiederum legt den freien Zugang aller Personen zu Umweltinformationen bei Behörden fest. Auch diese Rechtsakte verfolgen grundsätzlich berechtigte Ziele in Form von Transparenz und Beteiligung. Jedoch stehen diese nationalen und europäischen Transparenzregelungen zugleich in einem Zielkonflikt mit dem Schutz unserer kritischen Infrastrukturen. Mit der Veröffentlichung von sensiblen Informationen können Ausspähungsversuche, Sabotageakte oder Anschläge erleichtert und ermöglicht werden. Der Schutz sicherheitsrelevanter Daten kritischer Infrastrukturen ist somit ein wesentlicher Baustein des KRITIS-Schutzes. In vielen Bereichen existieren bereits unter dem Gesichtspunkt der öffentlichen Sicherheit Ausnahmen von Informations-, Transparenz- und Veröffentlichungspflichten für KRITIS-Betreiber. Diese müssen jedoch auch von den jeweiligen KRITIS-Betreibern und Behörden gekannt und genutzt werden. Insoweit müssen die Betreiber auch entsprechend sensibilisiert werden. Zudem muss dringend ressortübergreifend durch die Bundesregierung sowie die Länder geprüft werden, an welchen Stellen gesetzliche Anpassungsbedarfe bestehen. Bereits veröffentlichte und weiterhin öffentlich zugängliche Infrastrukturinformationen müssen überprüft und ggf. bestmöglich gelöscht werden. Informationen, die Aufklärung über die Lage und Auslegung kritischer Infrastrukturen geben, dürfen potenziellen Angreifern nicht zugänglich sein. Der Sicherheit der kritischen Infrastrukturen ist zum Schutz der Bürgerinnen und Bürger gegenüber anderen Informationsinteressen der Vorrang einzuräumen. II. Der Deutsche Bundestag fordert die Bundesregierung der 21. Wahlperiode auf, 1. bestehende Informations-, Transparenz- und Veröffentlichungspflichten für KRITIS-Betreiber zu überprüfen und anzupassen; 2. auf die konsequente Anwendung bereits bestehender Ausnahmen von Informations-, Transparenz- und Veröffentlichungspflichten für KRI- TIS-Betreiber hinzuwirken und KRITIS-Betreiber und Behörden für diese intensiv zu sensibilisieren; 3. bereits veröffentlichte, öffentlich zugängliche Infrastrukturinformationen zu überprüfen und, wo möglich, konsequent aus den öffentlich zugänglichen Bereichen zu entfernen; 4. auf eine länderseitige Überprüfung und Anpassung der Informations-, Transparenz- und Veröffentlichungspflichten für KRITIS-Betreiber hinzuwirken; 5. auf europäischer Ebene auf eine Überprüfung und Reduktion von europäischen Informations-, Transparenz- und Veröffentlichungspflichten für KRITIS-Betreiber hinzuwirken.“ Berlin, den 28. Januar 2026 Der Innenausschuss Josef Oster Amtierender Vorsitzender Sebastian Schmidt Berichterstatter Steffen Janich Berichterstatter Rasha Nasr Berichterstatterin Dr. Konstantin von Notz Berichterstatter Jan Köstering Berichterstatter Bericht der Abgeordneten Sebastian Schmidt, Steffen Janich, Rasha Nasr, Dr. Konstantin von Notz und Jan Köstering I. Überweisung Der Gesetzentwurf auf Drucksache 21/2510 wurde in der 37. Sitzung des Deutschen Bundestages am 6. November 2025 an den Innenausschuss federführend sowie an den Ausschuss für Wirtschaft und Energie, den Verteidigungsausschuss, den Verkehrsausschuss und den Ausschuss für Digitales und Staatsmodernisierung zur Mitberatung überwiesen. Der Parlamentarische Beirat für nachhaltige Entwicklung und Zukunftsfragen beteiligte sich gutachtlich (Ausschussdrucksache 21(26)15-15). II. Stellungnahmen der mitberatenden Ausschüsse Der Ausschuss für Wirtschaft und Energie hat in seiner 23. Sitzung am 28. Januar 2026 mit den Stimmen der Fraktionen der CDU/CSU, AfD und SPD gegen die Stimmen der Fraktionen BÜNDNIS 90/DIE GRÜNEN und Die Linke die Annahme des Gesetzentwurfs auf Drucksache 21/2510 in geänderter Fassung empfohlen. Der Verteidigungsausschuss hat in seiner 19. Sitzung am 28. Januar 2026 mit den Stimmen der Fraktionen der CDU/CSU, AfD und SPD gegen die Stimmen der Fraktion Die Linke bei Stimmenthaltung der Fraktion BÜND- NIS 90/DIE GRÜNEN die Annahme des Gesetzentwurfs auf Drucksache 21/2510 in geänderter Fassung empfohlen. Der Verkehrsausschuss hat in seiner 19. Sitzung am 28. Januar 2026 mit den Stimmen der Fraktionen der CDU/CSU, AfD und SPD gegen die Stimmen der Fraktionen BÜNDNIS 90/DIE GRÜNEN und Die Linke die Annahme des Gesetzentwurfs auf Drucksache 21/2510 in geänderter Fassung empfohlen. Der Ausschuss für Digitales und Staatsmodernisierung hat in seiner 17. Sitzung am 28. Januar 2026 mit den Stimmen der Fraktionen der CDU/CSU, AfD und SPD gegen die Stimmen der Fraktionen BÜNDNIS 90/DIE GRÜNEN und Die Linke die Annahme des Gesetzentwurfs auf Drucksache 21/2510 in geänderter Fassung empfohlen. III. Beratungsverlauf und Beratungsergebnisse im federführenden Ausschuss Der Innenausschuss hat in seiner 16. Sitzung am 12. November 2025 einvernehmlich beschlossen, zum Gesetzentwurf auf Drucksache 21/2510 eine öffentliche Anhörung durchzuführen. Die öffentliche Anhörung, an der sich neun Sachverständige beteiligt haben, hat der Innenausschuss in seiner 18. Sitzung am 1. Dezember 2025 durchgeführt. Den kommunalen Spitzenverbänden wurde Gelegenheit zur Stellungnahme gegeben. Die schriftlichen Stellungnahmen der kommunalen Spitzenverbände lagen dem Innenausschuss bei seiner abschließenden Beratung auf den Ausschussdrucksachen 21(4)102 F und 21(4)102 G – neu – vor. Gegenstand der Anhörung war auch der Antrag der Fraktion BÜNDNIS 90/DIE GRÜNEN auf Drucksache 21/2725. Hinsichtlich des Ergebnisses der Anhörung wird auf das Protokoll der 18. Sitzung (Protokoll 21/18) verwiesen. Der Innenausschuss hat den Gesetzentwurf auf Drucksache 21/2510 in seiner 24. Sitzung am 28. Januar 2026 abschließend beraten und empfiehlt die Annahme des Gesetzentwurfs in der aus der Beschlussempfehlung ersichtlichen Fassung mit den Stimmen der Fraktionen der CDU/CSU, AfD und SPD gegen die Stimmen der Fraktionen BÜNDNIS 90/DIE GRÜNEN und Die Linke. Die Änderungen entsprechen dem Änderungsantrag der Fraktionen der CDU/CSU und SPD auf Ausschussdrucksache 21(4)127, der zuvor mit den Stimmen der Fraktionen der CDU/CSU, AfD und SPD bei Stimmenthaltung der Fraktionen BÜNDNIS 90/DIE GRÜNEN und Die Linke angenommen wurde. Zudem hat der Innenausschuss die Entschließung der Fraktionen der CDU/CSU und SPD auf Ausschussdrucksache 21(4)128 mit den Stimmen der Fraktionen der CDU/CSU, AfD und SPD gegen die Stimmen der Fraktion Die Linke bei Stimmenthaltung der Fraktion BÜNDNIS 90/DIE GRÜNEN angenommen. IV. Begründung 1. Begründung zum Änderungsantrag Zur Begründung allgemein wird auf Drucksache 21/2510 verwiesen. Die vom Innenausschuss auf Grundlage des Änderungsantrags der Fraktionen der CDU/CSU und SPD auf Ausschussdrucksache 21(4)127 vorgenommenen Änderungen begründen sich wie folgt: Zu Nummer 1 (Artikel 1) Zu Buchstabe a Da sich die Frist für die Verabschiedung einer Strategie zur Verbesserung der Resilienz kritischer Infrastruktur direkt aus Artikel 4 Absatz 1 der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen ergibt, ist eine Datierung im Gesetzentwurf nicht erforderlich. Ein weiteres Thema, das in der Strategie behandelt werden wird, sind Transparenzpflichten für kritische Infrastrukturen. In verschiedenen Rechtsakten, etwa im Planungs- oder Umweltrecht, sind Informations-, Transparenz- und Veröffentlichungspflichten für Infrastrukturinformationen formuliert. Allerdings kann die Veröffentlichung von sensiblen Informationen Ausspähungsversuche oder Sabotageakte erleichtern. Daher muss gelten, dass bei Gesetzesvorhaben mit Transparenzpflichten im Abwägungsprozess immer die Sicherheit den Vorrang haben muss vor anderen Belangen. Ausnahmen von den Informations-, Transparenz- und Veröffentlichungspflichten für kritische Infrastrukturen sind in den Rechtsakten unter dem Gesichtspunkt der öffentlichen Sicherheit regelmäßig vorgesehen. Diese müssen jedoch auch von den KRITIS-Betreibern und den Behörden gekannt und genutzt werden. Es existieren verschiedene Handreichungen zur Sensibilisierung der KRITIS-Betreiber zur Nutzung dieser Ausnahmen (s. z. B. Veröffentlichung der UP KRITIS „Sicherheitsaspekte und Hinweise für die Betreiber Kritischer Infrastrukturen im Kontext zu gesetzlichen Transparenzpflichten“, „Bereitstellung von Metadaten zu IN- SPIRE-relevanten Geodatensätzen durch Ver- und Entsorgungsunternehmen – Handlungsempfehlung). Vor dem Hintergrund der Folgen des Anschlags auf die Strominfrastruktur in Berlin Anfang Januar 2026 werden KRITIS-Betreiber und Behörden erneut für diese Thematik und die Nutzung der Ausnahmen sensibilisiert. Es wird ferner durch die Bundesregierung und die Länder geprüft, ob gesetzliche Anpassungsbedarfe bestehen. Zu Buchstabe b Die Änderung des § 5 Absatz 3 sowie die Ergänzung des Absatzes 7 gibt den Ländern die Möglichkeit zur Identifizierung weiterer kritischer Anlagen für kritische Dienstleistungen, die alleine in ihrer Zuständigkeit liegen. Für die Festlegung der zugrunde zu legenden Kriterien und Verfahren wird das Bundesministerium des Innern zur Verabschiedung einer Rechtsverordnung ermächtigt, die der Zustimmung des Bundesrates bedarf. Die Bundesregierung wird gemeinsam mit den Ländern die Rechtsverordnung unverzüglich erarbeiten. Die Rechtsverordnung regelt insbesondere zuständige Behörden, die Verfahren zur Feststellung der Erheblichkeit, die Bescheidung gegenüber den Betreibern und die Weitergabe der Registrierungsinformation. Zu Buchstabe c Da ab dem Zeitpunkt des Inkrafttretens der gemeinsamen Rechtsverordnung zur Identifizierung kritischer Anlagen nach § 4 Absatz 3, § 5 Absatz 1 die Identifizierung und die Registrierung für Betreiber kritischer Anlagen gemäß § 8 Absatz 1 KRITISDachG-E erfolgt, müssen die Regelungen gemäß § 33 Absatz 2 BSIG in Bezug auf die Voraussetzung des BSIG in Nummer 6 und Nummer 7 die Nennung der jederzeitigen Erreichbarkeit der Betreiber kritischer Anlagen sowie der Angabe der Übermittlung der zum Einsatz kommenden Typen von kritischen Komponenten nach § 2 Nummer 23 BSI-G in § 8 Absatz 1 des KRITIS-Dachgesetzes übernommen werden. Der Begriff „Typen von kritischen Komponenten“ meint ein bestimmtes Produkt unter Angabe der entsprechenden Versionsnummer. Da diese Information auf fachbehördlicher Ebene nur Verpflichtungen nach BSIG begründet, soll diese Information ausschließlich an das Bundesamt für Sicherheit in der Informationstechnik übermittelt werden. Dies wird in § 8 Absatz 5 Satz 3 klargestellt. Zu Buchstabe d Da sich die Fristen direkt aus Artikel 5 Absatz 1 der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen ergibt, ist eine Datierung im Gesetzentwurf nicht erforderlich. In Absatz 8 Satz 1 wird bei der Rechtsverordnung für die methodischen und inhaltlichen Vorgaben der Nationalen Risikoanalysen und Risikobewertungen die Zustimmung des Bundesrates ergänzt. Die Bundesregierung wird gemeinsam mit den Ländern die Rechtsverordnung unverzüglich erarbeiten. Zu Buchstabe e In § 12 Absatz 3 Satz 1 wird bei der Rechtsverordnung für die methodischen und inhaltlichen Vorgaben der betreiberseitigen Risikoanalysen und Risikobewertungen die Zustimmung des Bundesrates ergänzt. Die Bundesregierung wird gemeinsam mit den Ländern die Rechtsverordnung unverzüglich erarbeiten. Zu Buchstabe f In § 14 Absatz 1 Satz 1 wird bei der Rechtsverordnung für die sektorenübergreifenden Mindestanforderungen die Zustimmung des Bundesrates ergänzt. Die Bundesregierung wird gemeinsam mit den Ländern die Rechtsverordnung unverzüglich erarbeiten. Zu Buchstabe g Die Nachweispflicht nach § 30 BSIG umfasst teilweise Maßnahmen, die die physische Resilienz betreffen. Die Änderung von § 16 Absatz 1 soll dazu führen, dass die zuständigen Behörden lediglich die Elemente der nach BSIG vorgelegten Nachweise, die physische Resilienzmaßnahmen betreffen, über das BBK von Betreibern verlangen können. Zu Buchstabe h In § 17 Absatz 3 Satz 1 wird bei der Rechtsverordnung für die Feststellung der Anerkennung von Verpflichtungen auf Grund sonstiger öffentlich-rechtlicher Vorschriften die Zustimmung des Bundesrates ergänzt. Die Bundesregierung wird gemeinsam mit den Ländern die Rechtsverordnung unverzüglich erarbeiten. Zu Buchstabe i § 18, der die Meldepflicht und das Verfahren zur Meldung von Vorfällen regelt, wird so geändert, dass in Absatz 3 die koordinierenden Landesbehörden nach § 3 Absatz 5 als Beteiligte bei der Ausgestaltung des konkreten Verfahrens für das Meldewesen aufgeführt werden und ebenfalls angehört werden müssen. In Absatz 6 wird die unverzügliche Bestätigung des Eingangs der Vorfallsmeldung durch den Betreiber ergänzt sowie eine unverzügliche Rückmeldung des BBK mit Informationen, die bei der Reaktion auf den betreffenden Vorfall den Betreiber unterstützen soll. Damit sollen die Vorgaben der CER-Richtlinie und die Konkretisierung des Meldeverfahrens stärker berücksichtigt werden. Die Ergänzung in Absatz 7 Satz 1 am Ende entspricht einer Formulierung in § 40 Absatz 3 Nummer 4d BSIG, d. h., dass die genauen technischen Verfahren und Rahmenbedingungen mit den Empfängern abgestimmt werden. Insbesondere mit Blick auf eine Weitergabe der tatsächlichen Meldungen an die Länder sind nähere Konkretisierungen erforderlich. Daher sollen die Rahmenbedingungen für eine Weiterleitung von Vorfällen, bei denen es sich zumeist um sensible Informationen handeln dürfte, mit den Ländern vereinbart werden. Daher wird der Regelungstext um eine Verordnungsermächtigung zur Festlegung der Rahmenbedingungen ergänzt. Da die Länder hierbei das Gesetz in eigener Angelegenheit ausführen, erfordert die Verordnung die Zustimmung des Bundesrats. In Absatz 8 wird die Bereitstellung von Lagebildern ergänzt. Vonseiten der Betreiber, Länder und aus dem politischen Raum wurde der Wunsch nach Erstellung und Versendung von Lagebildern geäußert. Das BBK soll in regelmäßigen Zeitabständen Lagebilder zur Situation kritischer Anlagen erstellen. Zusätzlich soll es bei besonderen Anlässen weitere Lageberichte erstellen. Ein solcher Anlass kann beispielsweise vorliegen, wenn mehrere ähnliche Meldungen von Betreibern kritischer Anlagen eingehen, die auf ein bestimmtes Muster hindeuten, oder wenn es andere Hinweise auf eine konkrete Bedrohungslage mit nachteiligen Auswirkungen auf die Versorgungslage in den KRITIS-Sektoren gibt. Bereits bestehende Lagebilder können hier einbezogen werden, bzw. sollen aufeinander abgestimmt werden. Die Gesetzgebungskompetenz des Bundes ergibt sich für die Erstellung des Lagebilds durch das BBK aus Artikel 73 Absatz 1 Nummer 1 Grundgesetz (Schutz der Zivilbevölkerung). Zu Buchstabe j § 23 Absatz 1 Nummer 2 KRITISDachG-E wird gestrichen und eine klarstellende Regelung, die sich sowohl auf 23 Absatz 1 KRITISDachG-E als auch auf 23 Absatz 2 KRITISDachG-E bezieht, in einen neuen Absatz 2a eingefügt. Eine ähnliche klarstellende Regelung befindet sich in Artikel 59 Absatz 1 Buchstabe b der KI-Verordnung. § 23 Absatz 1 KRITISDachG-E enthält in den Nummern 1 und 2 zwei kumulative Voraussetzungen, die jedoch so nicht nebeneinander stehen bleiben sollten, da die erste Voraussetzung bereits die zweite umfasst: Wenn eine Verarbeitung anonymisierter oder künstlich erzeugter Daten für die Erfüllung einer Aufgabe der zur Datenverarbeitung befugten Behörde in gleicher Weise geeignet wäre wie die Verarbeitung personenbezogener Daten, wäre die Verarbeitung personenbezogener Daten von vornherein nicht erforderlich. Demnach würde die Verneinung der Voraussetzungen von Nummer 2 automatisch auch zur Verneinung der Voraussetzungen von Nummer 1 führen müssen. Um dem datenschutzrechtlichen Prinzip der Erforderlichkeit ausreichend Rechnung zu tragen und insoweit auch einen Gleichklang mit § 23 Absatz 1 KRITISDachG-E zu erzielen, wird das Wort „wenn“ vor der Aufzählung durch das Wort „soweit“ ersetzt. Zu Buchstabe k Die Änderung sieht eine Erhöhung der Bußgelder für Betreiber kritischer Anlagen vor. Zu Buchstabe l Durch die Ergänzung und der kürzeren Frist von zwei Jahren für die Evaluierung wird vorgesehen, dass die Bundesregierung gemeinsam mit den Ländern zeitnah nach Inkrafttreten des KRITIS-Dachgesetzes insbesondere eine mögliche Erweiterung des Anwendungsbereichs des KRITIS-Dachgesetzes durch eine Veränderung des Regelschwellenwertes – etwa durch eine zeitlich abgestufte Ausgestaltung – eine Erhöhung der Bußgelder sowie die Frage der Notwendigkeit eines Zertifizierungssystems für Nachweise nach § 16 prüft. Die Übergangsregelung dient dazu, dass die Regelungen in Nummer 1 b erst mit Inkrafttreten der Rechtsverordnung nach § 4 Absatz 4, § 5 Absatz 1 angewendet werden sollen. Zu Nummer 2 (Artikel 4 bis 9) Zu Nummer 1 Das Inhaltsverzeichnis ändert sich auf Grund der Hinzufügung des § 66 im BSI-G. Zu Nummer 2 Auf Grund der europarechtlichen Vorgaben der Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2-Richtlinie; vgl. Artikel 2 Absatz 3, Artikel 3 Absatz 1 Buchstabe f) werden Betreiber kritischer Anlagen nur noch über das die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen umzusetzende KRITIS-Dachgesetz identifiziert. Diese gelten automatisch als besonders wichtige Einrichtungen nach BSIG. Auf Grund dessen soll für die Begriffsdefinitionen im BSIG, nämlich „kritische Anlage“ sowie „kritische Dienstleistung“ auf das KRITIS-Dachgesetz verwiesen werden. Da die Identifizierung nach KRITIS-Dachgesetz allerdings erst mit Inkrafttreten der Rechtsverordnung zur Identifizierung von Betreibern kritischer Anlagen gemäß § 4 Absatz 3, § 5 Absatz 1 KRITISDachG-E erfolgen kann, ist auch das Inkrafttreten der § 2 Nummer 22 und Nummer 24 BSIG an das Inkrafttreten der Rechtsverordnung geknüpft, welche in dem neuen § 66 BSIG (siehe Nummer 8) als Anwendungsbestimmung und Übergangsregelung geschaffen wird. Für KRITIS-Betreiber, die auf Grund des neu eingeführten § 5 Absatz 6 KRITIS-Dachgesetz ausschließlich auf Länderebene identifiziert wurden, ist die Nachweiserbringung nach BSIG entbehrlich, diese wird daher durch die Ergänzung des neuen § 39 Absatz 4 BSIG aufgehoben. Die europarechtlich vorgeprägte Einstufung dieser Betreiber als besonders wichtige Einrichtungen bleibt davon unberührt, ebenso die weitergehenden Anforderungen an die umzusetzenden Cybersicherheitsmaßnahmen aus § 31 BSIG. Zu Nummer 4 Die Definition von Betreibern kritischer Anlagen erfolgt ab Inkrafttreten der Rechtsverordnung nach § 4 Absatz 3, § 5 Absatz 1 KRITISDachG-E. Der Absatz 8 in § 28 BSIG muss daher gestrichen werden. Auch diese Änderung unterliegt der Übergangsregelung in § 66 BSIG. Zu Nummer 5 Ab Inkrafttreten der Rechtsverordnung nach § 4 Absatz 3, § 5 Absatz 1 KRITISDachG-E erfolgt die Registrierung von Betreibern kritischer Anlagen nach § 8 KRITISDachG durch das BBK. Zu Nummer 6 Die Rechtsverordnung zur Identifizierung von Betreibern kritischer Anlagen erfolgt ab Inkrafttreten der Rechtsverordnung nach § 4 Absatz 3, § 5 Absatz 1 KRITISDachG-E nach dem KRITISDachG. Die Rechtsverordnungsermächtigung in Absatz 4 muss daher gestrichen werden. Zu Nummer 7 Es handelt sich dabei um eine redaktionelle Korrektur eines Verweisfehlers: es muss auf Absatz 4 verwiesen werden. Zu Nummer 9 Die Übergangsregelung dient dazu, dass die Regelungen in Nummer 2 (Nummern 1 bis 6 und 8) erst mit Inkrafttreten der Rechtsverordnung nach § 4 Absatz 4, § 5 Absatz 1 gelten. Zu den Nummern 3 und 4 Es handelt sich dabei um Folgeänderungen für die bisherigen Artikel 4 und 5. 2. Begründung der Fraktionen im Ausschuss Die Fraktion der CDU/CSU erinnert an die Kritik der Oppositionsfraktionen, dass die Koalitionsfraktionen bislang keinen Gesetzentwurf zum KRITIS-Dachgesetz vorgelegt hätten. Mit dem nun vorgelegten Gesetzentwurf bestätige die Koalition nun, dass man ihr vertrauen könne. Der Ampelkoalition sei es hingegen nicht gelungen, einen entsprechenden Gesetzentwurf zu verabschieden und nun befinde man sich in einem Vertragsverletzungsverfahren. Es sei daher umso wichtiger, das Vorhaben noch in dieser Woche abzuschließen. Auch der linksterroristische Anschlag auf das Stromnetz in Berlin Anfang des Jahres habe die eigene Verwundbarkeit und die Relevanz dieses Gesetzes verdeutlicht. Im KRITIS-Dachgesetz würden Betreiber kritischer Infrastruktur erstmals dazu verpflichtet, Risikobewertungen und Risikoanalysen durchzuführen, aber auch entsprechende Maßnahmen zu ergreifen, um die kritische Infrastruktur bestmöglich zu schützen. Die Verpflichtungen seien dabei wirtschaftsschonend und maßvoll. Wenn Schwachstellen erkannt würden, müssten diese aufgedeckt und lückenlos geschlossen werden. Man stärke unterschiedliche Sektoren der kritischen Infrastruktur, wie den Verkehr, die Energieversorgung oder Krankenhäuser. Das führe zu einer deutlichen Weiterentwicklung und der Stärkung der Sicherheit in Deutschland. Man habe sich sehr bemüht, die Überlegungen und Bedenken der Bundesländer einzubeziehen, weil der Gesetzentwurf auch Zuständigkeitsbereiche für die Bundesländer eröffne. Bei den Transparenzpflichten werde nachgebessert und die Offenlegungspflichten von Informationen würden modifiziert. Der Verlauf von Leitungen und sensible Daten dürften nicht von jedermann im Internet einsehbar sein. Viele Informationen seien zu leicht erreichbar und ein Risiko für die öffentliche Sicherheit. Diese Schwachstellen dürften den Gegnern der Demokratie nicht öffentlich präsentiert werden. Deswegen habe in der Abwägung von Transparenz und Sicherheit die Sicherheit eindeutig Vorrang. Außerdem existierten unterschiedliche Regelungen auf Ebene der Länder, des Bundes als auch auf EU-Ebene. So sei es richtig, mit einem Entschließungsantrag die Bundesregierung aufzufordern, die Transparenzpflichten kritisch zu überprüfen und, wenn nötig, auch zu löschen. Man danke der SPD- Fraktion für die sehr partnerschaftliche und sehr zuverlässige Zusammenarbeit und begrüße, dass das KRITIS- Dachgesetz noch in dieser Woche im Deutschen Bundestag verabschiedet werde. Die Fraktion der AfD weist darauf hin, lange auf den Gesetzentwurf gewartet zu haben. Schon im Oktober des Jahres 2024 sei die Frist zur Umsetzung der CER-Richtlinie in nationales Recht abgelaufen. Nun sei es endlich so weit und der Bundestag könne über das KRITIS-Dachgesetz abstimmen. Auch wenn die Verzögerung ein Vertragsverletzungsverfahren mit sich gebracht habe, müsse man als Fraktion der AfD anerkennen, dass das, was in der Innenpolitik der Ampelkoalition jahrelang nicht geschafft worden sei, nun real geworden sei. Dies begrüße man. Die öffentliche Anhörung zu dem Thema sei kontrovers gewesen.Nicht jede Regelung in dem Gesetz sei auch gelungen. So dürften Behörden von Kommunen und Ländern nicht grundsätzlich als Teil der KRITIS ausgeklammert werden. Die Kosten für die KRITIS-Betreiber dürften nicht automatisch zu Steuerentlastungen führen. Auch sei der Regelschwellenwert von 500 000 versorgten Personen, um unter das KRITIS-Dachgesetz zu fallen, zu hoch. Dies alles seien Dinge, die das Parlament noch in Zukunft beschäftigen würden, insgesamt werde das Gesetz zu einer deutlichen Verbesserung der KRITIS führen. Vielleicht müssten dann aber im nächsten Winter weniger Menschen frieren, wenn Linksextremisten die KRITIS attackierten und die Energieversorgung lahmlegten. An dem Änderungsantrag der Koalition gäbe es nichts auszusetzen, auch dem Entschließungsantrag und dem Gesetz in Gänze werde man zustimmen. Die Fraktion der SPD begrüßt ebenfalls, dass das KRITIS-Dachgesetz nun zur Abstimmung stehe. Auf dem Weg dahin habe es einige Schwierigkeiten gegeben und man sei stolz, den Gesetzentwurf nun vorliegen zu haben. Dank gebühre der Unionsfraktion und dem BMI für die konstruktive Zusammenarbeit. Das Parlament sei den Ländern sehr entgegengekommen. So sei in der öffentlichen Anhörung über den Regelschwellenwert von 500 000 versorgten Personen, die eine KRITIS-Anlage überschreiten müsse, um den Regelungen des KRITIS- Dachgesetzes zu unterliegen, diskutiert worden. Deswegen habe man mit dem Änderungsantrag nun eine Länderöffnungsklausel in das Gesetz geschrieben, den Ländern ermögliche, unterhalb des Schwellenwerts von 500 000 versorgten Einwohnern kritische Infrastruktur zu identifizieren und entsprechende Maßnahmen zu ergreifen. Auch die Meldewege für Vorkommnisse zum BBK seien verbessert worden, was ebenfalls eine deutliche Forderung aus der öffentlichen Anhörung gewesen sei. Zudem verbessere man mit dem KRITIS-Dachgesetz den Rückfluss an Informationen an Betreiber und Unternehmen kritischer Infrastruktur und die Lagebilder für die Unternehmen. Beim Thema Bußgelder sei einerseits wichtig gewesen, dass die Unternehmen keinen Schaden davontrügen. Andererseits wollte man die Höhe der Bußgelder verdoppeln und an die nach dem NIS2-Umsetzungsgesetz angleichen. Der Entschließungsantrag fordere dazu auf, bestehende Informations-, Transparenz- und Veröffentlichungspflichten für die Betreiber zu überprüfen und anzupassen, die Bundesregierung auf die konsequente Anwendung von Ausnahmen hinzuweisen und eventuell Infrastrukturinformationen auch wieder zu entfernen. Man fordere die Länder auf, zu überprüfen welche Informationen tatsächlich transparent gemacht würden und dies ggf. anzupassen. Man begrüße daher, dass das KRITIS-Dachgesetz noch in dieser Woche im Parlament abgeschlossen werde. Die Fraktion BÜNDNIS 90/DIE GRÜNEN erkennt die Bemühung der Koalitionsfraktionen zu einem zeitigen Abschluss des Gesetzgebungsverfahrens und dem Versuch, den Gesetzentwurf zu verbessern an. Jedoch blieben zahlreiche Konfliktpunkte und Defizite weiter ungelöst und die Koalition verlagere die Lösung der ungeklärten Punkte in noch zu erlassene Rechtsverordnungen, statt diese durch den Gesetzgeber festzuschreiben. Dies werfe insbesondere in zeitlicher Hinsicht Probleme auf. Zum Änderungsantrag werde man sich daher enthalten. Auch im Bereich der kritischen Infrastrukturen müssten Geheimhaltungsinteressen berücksichtigt werden. Man müsse darauf hinwirken, Sabotage zu erschweren. Dies dürfe jedoch nicht zu einer Verwässerung des Rechts auf Informationsfreiheit aus dem IFG führen. Das Recht auf freien Informationszugang sei für eine freiheitliche Gesellschaft prägend, daher enthalte man sich beim Entschließungsantrag. Die Umsetzung der CER-Richtlinie sei überfällig. Der Gesetzentwurf setze diese jedoch nicht hinreichend um, da der physische und digitale Schutz von KRITIS nicht umfassend durch ein Dachgesetz geregelt werde. Dies sorge für Rechtsunsicherheit bei den Betreibern kritischer Infrastruktur, was diese öffentlich beklagten. Hier seien Doppelstrukturen und Schnittstellenprobleme zu erwarten. Der Anschlag auf die Stromversorgung in Berlin habe gezeigt, dass sofortige Lösungen nötig seien. Stattdessen wähle die Koalition den Umweg über zeitaufwändige Rechtsverordnungen. Zudem bleibe der Schwellenwert willkürlich, was insbesondere Betreiber kritischer Infrastrukturen im ländlichen Raum betreffe. Im eigenen Antrag auf Drucksache 21/2725 beschreibe die Fraktion BÜNDNIS 90/DIE GRÜNEN einen besseren Weg zum Schutz der kritischen Infrastruktur, dessen Vorschläge für den Erlass der noch ausstehenden Rechtsverordnungen herangezogen werden sollten. Die Fraktion Die Linke bemängelt, in der öffentlichen Anhörung sei deutliche Kritik am Gesetzentwurf geäußert worden, die kaum Eingang in den Änderungsantrag der Koalitionsfraktionen gefunden habe. Daher bleibe es bei weitgehenden Ausnahmen für die Bundesverwaltung – so seien etwa das Bundesministerium der Verteidigung oder das Auswärtige Amt gänzlich vom Anwendungsbereich des Gesetzes ausgenommen. Auch Landes- und Kommunalverwaltungen zählten nicht unmittelbar als kritische Infrastruktur, sondern lediglich die von ihnen betriebenen Anlagen und Dienstleistungen. Auch werde das Problem des willkürlich festgesetzten Schwellenwerts, ab dem eine Anlage als kritische Infrastruktur gelte, nicht gelöst. Diese Schwelle sei angesichts der Dezentralisierung der Energieproduktion mit vielen kleinen Stromproduzenten zu statisch, was zu strukturellen Defiziten führe. Ein Wechsel von einer Anlagenzentrierung zu einer Fokussierung auf Dienstleistungen und Aufgaben wäre hierbei sinnvoller. Der von den Koalitionsfraktionen gewählte Weg, wesentliche Inhalte in noch zu erlassenden Rechtsverordnungen regeln zu wollen, sei auf Grund der erforderlichen Abstimmung mit dem Bundesrat zeitaufwändig und daher auf Grund der Dringlichkeit des Schutzes der kritischen Infrastruktur verfehlt. Berlin, den 28. Januar 2026 Sebastian Schmidt Berichterstatter Steffen Janich Berichterstatter Rasha Nasr Berichterstatterin Dr. Konstantin von Notz Berichterstatter Jan Köstering Berichterstatter Gesamtherstellung: H. Heenemann GmbH & Co. KG, Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.bundesanzeiger-verlag.de ISSN 0722-8333