Das BMI hat am 22. Dezember 2023 einen überarbeiteten Referentenentwurf zum Kritis-DachG in die Verbändebeteiligung gegeben. Der BDEW hat hierzu eine Stellungnahme erarbeitet und am 24. Januar 2024 fristgerecht eingereicht.
Der aktuelle Referentenentwurf des KRITIS-DachG ist ein wichtiger Zwischenstand. Er zeigt eine deutliche Weiterentwicklung im Vergleich zum Entwurf aus dem Sommer. So wurde beispielsweise der Paragraf zu kritischen Komponenten ersatzlos gestrichen und der bundeseinheitliche Vollzug für den Sektor Energie geregelt. Beides wird zur besseren Umsetzbarkeit des Gesetzes beitragen.
Durch uneinheitliche Zuständigkeiten und Anforderungen auf Bundes- und Landesebene droht Überforderung der Betreiber
Der vorliegende Entwurf hat aber nach wie vor wesentliche Schwachstellen. Insbesondere, dass es in der Wasserwirtschaft keinen bundeseinheitlichen Vollzug geben wird, macht uns Sorgen. Die gleichzeitige Berücksichtigung von Anforderungen und Zuständigkeiten sowohl auf Bundes- als auch auf Landesebene ist insbesondere für die vielen kleineren Stadtwerke, die mehrere Sparten wie Strom, Gas, Wärme und Wasser bedienen, eine enorme Belastung und erschwert den analogen Schutz unnötig. Hier muss dringend nachgebessert werden. Auch vor dem Hintergrund einer konsequenten CER-Richtlinien-Umsetzung sollte eine Abweichung von der bundeseinheitlichen Regelung vermieden werden: Das Gesetz braucht die angestrebte enge Verzahnung mit dem neuen Cybersicherheitsrecht, das sich aus der nationalen Umsetzung der NIS2-Richrlinie ergeben wird, und sollte dem wichtigen Ziel gerecht werden, auf eine Harmonisierung des analogen Schutzes im Unionsgebiet hinzuwirken. Stattdessen droht nun Zersplitterung und Kleinstaaterei in Fragen der nationalen Sicherheit.
KRITIS-DachG muss Bund und Länder bei der Unterstützung der Betreiber in die Pflicht nehmen
Das KRITIS-DachG muss vor allem auch der neuen sicherheitspolitischen Lage Rechnung tragen – und dies muss über eine konsequent bundeseinheitliche Regelung in allen Sektoren hinausgehen. Sabotageakte wie z.B. auf NordStream haben gezeigt, dass die geopolitische Zeitenwende nicht nur im deutschen und europäischen Cyberraum zu spüren ist, sondern sich auch zunehmend in der analogen Welt manifestiert. Die kritischen Infrastrukturen in Deutschland und Europa stehen im Fadenkreuz hybrider Strategien von Drittstaaten. Deshalb muss der Anwendungsbereich des KRITIS-DachG so erweitert werden, dass neben den Betreibern kritischer Anlagen auch Bund und Länder beim Schutz Kritischer Infrastrukturen in die Pflicht genommen werden. Die Betreiber kritischer Anlage können weder terroristischen noch militärischen Bedrohungen begegnen. Allein die Gefahrenabwehrbehörden auf Bundes- oder Landesebene können und dürfen die letzte Meile gehen. Ohne eine entsprechende Erweiterung des Anwendungsbereichs und gegebenenfalls eine Neuregelung der Gefahrenabwehr insbesondere bei den Energienetzen, die sich über das ganze Bundesgebiet erstrecken, droht allein schon durch eine ungenügende Abschreckung eine offene Flanke gegenüber terroristischen oder hybriden Bedrohungen.
Wie geht es weiter?
Das KRITIS-DachG soll Mitte März dem Kabinett vorgelegt werden, damit das Gesetz fristgerecht zum 18. Oktober 2024 in Kraft treten kann. Eine abschließende Anhörung der Verbände ist nach Aussagen des BMI noch vorgesehen. Dem BDEW liegen über den Zeitpunkt dieser Verbändeanhörung aber bisher keine Informationen vor.
Zum Hintergrund KRITIS-DachG
Nach CER-Richtlinie muss das KRITIS-DachG bis zum 18. Oktober 2024 in Kraft treten werden. Pflichten für die Betreiber von kritischen Anlagen sollen ab dem 1. Januar 2026 gelten. Die geplanten Bußgeldvorschriften soll ab dem 1. Januar 2027 in Kraft treten.
Der BDEW geht davon aus, dass das Gesetz rund 2.000 Unternehmen betrifft, die derzeit von der IT-Sicherheitsgesetzgebung betroffen sind, und bietet seine Unterstützung an, um gemeinsam steuerbare Risiken zu identifizieren. Der BDEW bedauert weiterhin, dass der Kommentierungs-Entwurf zum NIS2UmsuCG immer noch aussteht, was eine klare Einschätzung bezüglich der Wechselwirkungen und möglichen Doppelregulierungen mit dem KRITIS-DachG erschwert.
Hinsichtlich der Bußgeldhöhen gibt es keine konkreten Angaben, was eine detaillierte Bewertung durch den BDEW erschwert. Die Einführung von Bußgeldern zu einem späteren Zeitpunkt wird grundsätzlich nachvollzogen, bietet jedoch Raum für Verbesserungen. Um die sektorübergreifende physische Sicherheit effektiv und kosteneffizient zu erhöhen, benennt der BDEW verschiedene Verbesserungsmöglichkeiten und hofft auf eine praxistaugliche nationale Umsetzung unter Einbeziehung der Wirtschaft.