Am 6. März 2026 hat der Bundesrat dem KRITIS-Dachgesetz endgültig zugestimmt. Damit werden erstmals einheitliche Standards für den physischen Schutz kritischer Infrastrukturen erlassen. Energie-, Wasser- und Telekommunikationsversorger sowie Abwasser- und Abfallbetriebe sollen künftig Risikoanalysen erstellen, Sicherheitsmaßnahmen umsetzen und schwere Störungen melden. Ziel ist, die Versorgung besser gegen Sabotage, extreme Wetterereignisse und Terrorangriffe zu schützen. Für die Wasserwirtschaft bedeutet das: Risiken müssen systematisch analysiert, Resilienzmaßnahmen umgesetzt und sicherheitsrelevante Störungen verpflichtend gemeldet werden.

Der Verband kommunaler Unternehmen (VKU) begrüßte die Entscheidung. VKU-Hauptgeschäftsführer Ingbert Liebing sagt: „Das jahrelange Warten hat ein Ende. Die Einigung ist ein wichtiger Schritt für den Schutz kritischer Infrastrukturen. Die Unternehmen haben damit endlich Rechts- und Planungssicherheit für ihre Investitionen.“ Die Zustimmung des Bundesrats sei überfällig.

Das KRITIS-Dachgesetz ist ein Bekenntnis zur Resilienz

Hinter der politischen Einigung steht mehr als eine reine Verwaltungsvorgabe. Das Dachgesetz ist ein Bekenntnis zur Resilienz, wie sie in Zeiten zunehmender Sabotagerisiken, extremer Wetterereignisse und geopolitischer Spannungen dringlicher denn je wird. Der Verband kommunaler Unternehmen (VKU) begrüßt das Gesetz grundsätzlich, warnt jedoch vor übermäßiger Bürokratie. „Resilienz ist kein Selbstläufer“, betont der VKU. Ohne eine fundierte nationale Risikoanalyse, praktikable Meldepflichten und eine finanzielle Flankierung könne das Gesetz zu einer „halben Lösung“ werden.

Liebing verwies zudem auf die Grenzen der Betreiber. „100-prozentige Sicherheit gibt es nicht“, sagt er. „Die Abwehr von Terrorangriffen bleibt Aufgabe von Bund und Ländern. Stadtwerke, Wasserversorger und Müllabfuhren sind nicht die Polizei.“

Gleichzeitig erneuert der VKU seine Vorschläge für den besseren Schutz kritischer Infrastrukturen:

1. Schutz kritischer Infrastrukturen zum überragenden öffentlichen Interesse erklären, um Abwägungen zu beschleunigen und Sicherheitsinteressen zu priorisieren.
2. Neubewertung und Anpassung von Transparenzpflichten
3. Nationale Gesamtstrategie und Risikoanalyse vorlegen, wie es die CER‑Richtlinie bereits seit Januar verlangt.
4. Nationale Notfallreserve aufbauen, u. a. mit Großgeräten für Inselnetzversorgung binnen 24 Stunden.
5. Finanzierung sichern, u. a. über die Ausnahme von der Schuldenbremse (Art. 109 GG) und das SVIK.

Infrastrukturbetreiber müssen heute viele Daten offenlegen, zum Beispiel durch Transparenzregeln, das Informationsfreiheitsgesetz oder Open-Data-Vorgaben. Dort, wo solche Offenlegungen aber die physische und/oder IT-Sicherheit gefährden, sollten die Regeln überprüft und angepasst werden. Der VKU begrüßt, dass dieser Aspekt in der Protokollerklärung der Bundesregierung aufgegriffen wurde.

Hintergrund zum Dachgesetz

Das Kritis-Dachgesetz schafft erstmals Mindeststandards für den Schutz kritischer Infrastrukturen vor physischen Angriffen, verpflichtet zu Risiko- und Resilienzplänen und Einführung von Krisenmanagementsystemen sowie zur Meldung größerer Störungen oder Vorfälle an Behörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Das Kritis-Dachgesetz schreibt außer einer Risikoanalyse und Risikobewertung keine weiteren konkreten Maßnahmen vor. Was Unternehmen konkret machen müssen, wird erst später in entsprechenden Gesetzen und Verordnungen des Bundesministeriums des Inneren bzw. später der Fachministerien oder durch branchenspezifische Sicherheitsstandards geregelt. Insgesamt werden elf Sektoren adressiert, unter anderem Energie-, Wasser-, Abfall- und Telekommunikationswirtschaft.

Mit dem Kritis-Dachgesetz will Deutschland die EU-Richtlinie über die Resilienz kritischer Einrichtungen (sog. CER-Richtlinie) in deutsches Recht umsetzen. Das hätte eigentlich schon bis zum 17. Oktober 2024 passieren müssen. Deshalb hat die EU-Kommission bereits ein Vertragsverletzungsverfahren in Gang gesetzt. Frist zur Umsetzung der Maßnahmen ist der 17. Juli 2026. Schutz vor Cyber-Angriffen adressiert wiederum die NIS2-Richtlinie.

Statement des VKU, bevor der Bundesrat am 6.3. zugestimmt hat

KRITIS Gipfel 2026 von BDEW und VKU

Mit dem ersten KRITIS‑Gipfel 2026 am 10. März in Berlin senden der Bundesverband der Energie- und Wasserwirtschaft (BDEW) und der Verband kommunaler Unternehmen (VKU) ein Signal: Der Schutz kritischer Infrastrukturen muss in Deutschland deutlich stärker in den Fokus rücken.

Zum Auftakt gaben BDEW‑Hauptgeschäftsführerin Kerstin Andreae, VKU‑Hauptgeschäftsführer Ingbert Liebing, Hans‑Georg Engelke, Staatssekretär im Bundesinnenministerium, sowie Generalleutnant André Bodemann Impulse zu strategischer Vorsorge und aktuellen Bedrohungslagen. Anschließend diskutierten zwei Panels die Lehren aus dem jüngsten Stromausfall in Berlin sowie den aktuellen Stand der zivilen Verteidigung in Deutschland.

Zentrale Forderungen von BDEW und VKU

Anlässlich des Gipfels formulieren BDEW und VKU drei zentrale Forderungen für einen wirksamen Schutz kritischer Infrastrukturen:

Neubewertung und Anpassung von Transparenzpflichten

Energieunternehmen müssen heute viele Daten offenlegen, zum Beispiel durch Transparenzregeln, das Informationsfreiheitsgesetz oder Open-Data-Vorgaben. Dort, wo solche Offenlegungen aber die physische und/oder IT-Sicherheit gefährden, etwa weil Angreifer dadurch Schwachstellen erkennen können, sollten die Regeln überprüft und angepasst werden. Ziel ist es, Angriffsflächen so gering wie möglich zu halten.

Ausfallsichere Kommunikation

Für Krisenfälle braucht es auch dann funktionierende Kommunikationswege zwischen Betreibern und Behörden, wenn das „normale“ Netz ausfällt. Wichtig ist deshalb eine ausfallsichere Kommunikationsinfrastruktur für einen schnellen Versorgungs- und Netzwiederaufbau, die selbst im Blackout weiterläuft. Ein Beispiel dafür ist das schwarzfallfeste 450-MHz-Funknetz für die Energie- und Wasserwirtschaft.

Finanzierung erhöhter Schutz- und Resilienzmaßnahmen

Die Sicherheit kritischer Infrastrukturen braucht klare gesetzliche Vorgaben und eine (regulatorisch) gesicherte Kosten- bzw. Entgeltanerkennung. Dazu gehört auch, dass Kosten für Schutzmaßnahmen, Reparaturen nach Angriffen oder Notfallpläne (wie Krisen- und Business Continuity Management) anerkannt und übernommen werden. Die Finanzierung sollte teilweise über den Verteidigungshaushalt, der nicht unter die Schuldenbremse fällt, sowie einen noch einzurichtenden Resilienzfonds erfolgen.

BDEW-Hauptgeschäftsführerin Kerstin Andreae (Thomas Imo Photothek/BDEW)

BDEW-Hauptgeschäftsführerin Kerstin Andreae:

„Ein lückenloser Schutz kritischer Infrastruktur wird nie vollständig möglich sein. Umso entscheidender ist es, dass Betreiber schnell Klarheit und belastbare Vorgaben haben, um Risiken realistisch bewerten und wirksame Schutzmaßnahmen ergreifen zu können. Eine zentrale Lehre aus dem Anschlag auf das Berliner Stromnetz ist vor diesem Hintergrund, bestehende Transparenzpflichten neu zu bewerten. Die Verfügbarkeit von Leistungs- und Geodaten kritischer Infrastrukturen schafft Vertrauen, sollte aber so gestaltet sein, dass operative Angriffsflächen vermieden werden. Gleichzeitig müssen wir unsere Fähigkeit stärken, Störungen schnell zu bewältigen und Systeme wiederherzustellen. Dafür sind eine enge Zusammenarbeit und ein kontinuierlicher Informationsaustausch zwischen Branche und Behörden unverzichtbar. Und wir brauchen einen institutionalisierten Austausch zwischen Unternehmen kritischer Infrastrukturen, Politik und Behörden bis hin zum Nationalen Sicherheitsrat. Nur so lassen sich ein gemeinsames Lagebild und ein schneller Informationsfluss sicherstellen.“

VKU‑Hauptgeschäftsführer Ingbert Liebing:

„Der Schutz kritischer Infrastrukturen ist eine gesamtstaatliche Aufgabe. Ohne starke kommunale und regionale Strukturen bleibt jedoch jede Strategie Stückwerk. Gleichzeitig müssen wir klar über die Grenzen der Betreiber sprechen: 100‑prozentige Sicherheit gibt es nicht. Die Abwehr von Terrorangriffen bleibt Aufgabe von Bund und Ländern. Stadtwerke sind nicht die Polizei. Wir brauchen deshalb eindeutige politische Prioritäten, schnellere Verfahren und eine verlässliche Finanzierung. Resilienz ist nicht optional. Sie ist Grundlage dafür, dass unsere Gesellschaft funktionieren kann. Deshalb sollte der Bund auch eine nationale Notfallreserve aufbauen, unter anderem mit mobilen Großaggregaten zur Wiederherstellung von Inselnetzstrukturen, um die Energieversorgung idealerweise innerhalb von 24 Stunden wiederherzustellen.“

Quellen: VKU, Presse- und Informationsamt der Bundesregierung, BDEW