Am 26. Januar 2026 hat der Bundestag mit den Stimmen der Regierungskoalition das Kritis-Dachgesetz beschlossen. Ziel des Gesetzes ist die Umsetzung der EU-Richtlinie 2022/2557 („CER-Richtlinie“) in deutsches Recht und die Stärkung der Resilienz kritischer Infrastrukturen in Deutschland. Das Gesetz schafft erstmals bundeseinheitliche Mindeststandards für physische Sicherheit, Risikoanalysen, Resilienzpläne, Krisenmanagementsysteme sowie Meldepflichten bei Störungen oder Vorfällen. Adressiert werden elf Sektoren, darunter Energie-, Wasser- und Telekommunikationsversorgung sowie Abwasser- und Abfallentsorgung. Konkrete Maßnahmen werden erst später über Bundesverordnungen, Fachgesetze oder branchenspezifische Standards festgelegt.

Für Städte, Gemeinden und Verbandsgemeinden bedeutet dies, dass kommunale Einrichtungen wie Energie-, Wasser- und Abwasserversorgung sowie Telekommunikation künftig systematisch geschützt und in Krisenpläne eingebunden werden müssen. Das Gesetz gibt den Kommunen rechtliche und organisatorische Orientierung, erfordert ihre aktive Mitwirkung und macht eine enge Abstimmung mit Bund und Ländern für die Aufrechterhaltung der öffentlichen Daseinsvorsorge unverzichtbar.

Wichtige Inhalte des Gesetzes sind:

• die Definition kritischer Infrastrukturen,
• die Erstellung von Risiko- und Resilienzanalysen durch Betreiber kritischer Infrastrukturen,
• Meldepflichten gegenüber BSI und BBK,
• Einführung von Krisenmanagementsystemen
• sowie die Festlegung von Mindestanforderungen an Sicherheitsmaßnahmen.

Betreiber sollen systematisch unterstützt werden, etwa durch das BBK, das bei Meldungen Hilfestellungen leisten und ein Lagebild erstellen soll. Transparenzpflichten in Einzelgesetzen werden angepasst, um Sicherheitsrisiken zu reduzieren.

In den Anwendungsbereich des Gesetzes fallen Anlagen und Einrichtungen, die für das Funktionieren des Staates oder die Versorgung der Bevölkerung besonders wichtig sind. Dazu zählen unter anderem Energie‑, Wasser‑, Abwasser‑ und Abfallversorgung, Telekommunikation, Gesundheits- und Pflegeeinrichtungen sowie Verwaltungseinrichtungen.

Einrichtungen, die mehr als 500.000 Menschen versorgen, fallen automatisch in den Anwendungsbereich des Kritis-Dachgesetzes. Kleinere Anlagen darunter können aber ebenfalls berücksichtigt werden, wenn sie für die Daseinsvorsorge oder die Aufrechterhaltung staatlicher Funktionen besonders wichtig sind, z. B. lokale Wasserwerke, Leitstellen oder Pflegeeinrichtungen.

Für Städte und Gemeinden bedeutet das: nicht nur große, überregionale Einrichtungen sind relevant, auch lokale Infrastrukturen können als kritisch eingestuft und entsprechend in Risikoanalysen, Meldepflichten und Schutzmaßnahmen einbezogen werden. Dies kann auf Initiative der Länder hin passieren, die aufgrund ihrer Kenntnis der regionalen Versorgungsstrukturen feststellen, dass eine Anlage trotz geringerer Größe systemrelevant ist (z. B. einziges Wasserwerk, zentrale Leitstelle, Krankenhaus mit regionaler Schlüsselrolle).

Die Einbeziehung kleinerer Anlagen erfolgt aber nicht pauschal, sondern gezielt und risikobasiert, unter maßgeblicher Beteiligung der Länder. Kommunale Besonderheiten und regionale Abhängigkeiten sollen dabei ausdrücklich berücksichtigt werden.

Anmerkung:

Die Verabschiedung des Kritis-Dachgesetzes wird begrüßt. Die gesetzliche Verankerung bundeseinheitlicher Mindeststandards für den Schutz kritischer Infrastrukturen, die Verpflichtung zu Risikoanalysen, Krisenmanagementsystemen und Meldepflichten stellen wichtige Schritte zur Stärkung der Resilienz auch auf kommunaler Ebene dar. Das Gesetz bietet den Städten und Gemeinden und ihren Unternehmen damit rechtliche Orientierung und fördert die systematische Einbindung kommunaler Einrichtungen in die gesamtstaatliche Krisenbewältigung. Dabei ist auch die Möglichkeit gegeben kleinere Anlagen als KRITIS-Anlagen zu identifizieren.

Zur praktikablen Umsetzung der Vorgaben müssen noch wesentliche Punkte berücksichtigt werden:

• Fristverlängerung für Risikoanalysen und Umsetzung: Der Bund muss sicherstellen, dass für Risikoanalysen und Umsetzungspflichten realistische Zeitrahmen von bis zu 24 Monaten gelten, um die personelle und administrative Leistungsfähigkeit der Kommunen zu berücksichtigen.
• Finanzielle Ausstattung: Bund und Länder müssen verbindlich für eine angemessene Finanzierung sorgen, damit Kommunen die Vorgaben erfüllen können. Gesetzliche Mindestanforderungen dürfen nicht ohne flankierende Finanzierungszusagen eingeführt werden.
• Berücksichtigung vulnerabler Einrichtungen: Besonders schutzbedürftige Einrichtungen wie Krankenhäuser, Pflegeheime und soziale Versorgungsstrukturen müssen gesondert unterstützt werden, da sie für den Bevölkerungsschutz zentral sind.
• Kommunale Einbindung und Praktikabilität: Kommunale Vertreter müssen verbindlich in die Ausgestaltung von Risikoanalysen, Mindeststandards, Meldeprozessen und Rechtsverordnungen eingebunden werden, um die praktische Umsetzbarkeit vor Ort sicherzustellen.