Wer als KRITIS-Betreiber gilt, entscheidet eine fehlende Verordnung

Das Wichtigste in Kürze

• Das KRITIS-Dachgesetz gilt seit dem 17. März 2026, die Verordnung zu seinem Anwendungsbereich fehlt bis heute.
• Als Regelwert für die Schwellenwerte nennt § 5 des Gesetzes 500.000 von einer Anlage zu versorgende Einwohner.
• Der Referentenentwurf vom 26. Mai 2026 bestimmt nach eigenem Wortlaut auch den Adressatenkreis des BSI-Gesetzes.
• Bis zum Inkrafttreten dieser Verordnung gelten im BSI-Gesetz die Begriffe von vor dem 17. März 2026.
• Das BSI zählte zum 30. Juni 2026 auf dieser alten Grundlage 1.231 Betreiber kritischer Anlagen.

Ein Stadtwerk, das eine Kleinstadt mit Trinkwasser versorgt, muss wissen, ob es zu den kritischen Infrastrukturen gehört. An dieser Einstufung hängen eine Registrierung, Meldepflichten und Nachweise gegenüber zwei Bundesämtern. Seit dem 17. März 2026 gilt dafür das KRITIS-Dachgesetz, das Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen. Wer darunter fällt, steht nicht darin.

Die Ausgabe vom 6. September hat den Stand dieser Pflichten geprüft und festgehalten, dass das KRITIS-Dachgesetz von den Betreibern zurzeit nichts verlangt¹. Die beiden Kalendertermine, an denen die Registrierung hing, sind aus dem Gesetzestext gestrichen; das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe schreibt in seinen Fragen und Antworten, es bestehe „zurzeit noch keine Registrierungspflicht auf der Grundlage des KRITISDachG“.

Der Grund liegt eine Stufe tiefer im Verfahren. Der Bundestag hat die Pflichten beschlossen, den Kreis der Verpflichteten setzt eine Rechtsverordnung des Bundesinnenministeriums, und die liegt seit dem 26. Mai 2026 als Referentenentwurf vor. Über die Reichweite eines geltenden Gesetzes entscheidet damit nicht das Parlament, sondern das Ministerium, und ein Datum für das Inkrafttreten nennt der Entwurf nicht.

Der Regelwert für die Schwellenwerte steht seit März im Gesetz#

Welchen Maßstab die Verordnung anlegen wird, ist keine offene Frage. § 5 Absatz 2 des KRITIS-Dachgesetzes gesetze-im-internet.de ↗ schließt mit dem Satz: „Der Regelwert für Schwellenwerte nach Absatz 1 Satz 1 Nummer 2 beträgt grundsätzlich 500 000 von einer Anlage zu versorgende Einwohner.“ Allein trägt der Regelwert nicht: Welche Anlagenkategorien es gibt und ab welchem Stichtag er greift, überlässt Absatz 1 derselben Verordnung.

Neu ist der Maßstab ohnehin nicht. Die BSI-Kritisverordnung von 2016 rechnet in Anhang 2 für den Sektor Wasser mit der Formel „22 Millionen m3/Jahr = 44 m3/Jahr x 500 000“, also 44 Kubikmeter Jahresverbrauch je Einwohner, hochgerechnet auf eben jene halbe Million. Was im März 2026 als Regelwert ins Gesetz gerückt ist, war zehn Jahre lang der Rechenweg der Verordnung, die abgelöst werden soll.

Eine gemeinsame Verordnung bestimmt den Adressatenkreis beider Gesetze#

Der Referentenentwurf des Bundesinnenministeriums intrapol.org ↗ mit Bearbeitungsstand vom 26. Mai 2026 beschreibt seine Reichweite selbst: „[…] wird diese Rechtsverordnung auch den Adressatenkreis für Verpflichtungen für Betreiber kritischer Anlagen nach dem BSIG bestimmen. Es handelt sich in den Rechtsfolgen somit um eine gemeinsame Rechtsverordnung.“ In derselben Begründung kündigt er an, die BSI-Kritisverordnung werde mit seinem Inkrafttreten außer Kraft treten. Er trägt den Regelschwellenwert von 500.000 zu versorgenden Einwohnern fort und führt den Sektor Weltraum neu ein.

Das eine Regime ist die physische Resilienz nach dem Dachgesetz, das andere die Cybersicherheit nach dem BSI-Gesetz. § 33 Absatz 2 des BSI-Gesetzes verbindet beide in einem Satz: „Die Registrierung von kritischen Anlagen erfolgt gemäß § 8 des KRITIS-Dachgesetzes.“ Wer keine kritische Anlage betreibt, weil niemand bestimmt hat, was eine ist, registriert sich auch dort nicht.

Vier Vorschriften des BSI-Gesetzes bleiben auf dem Stand vor dem 17. März#

Das BSI-Gesetz ist an dieser Stelle eingefroren. § 66 des BSI-Gesetzes gesetze-im-internet.de ↗ ordnet an: „§ 2 Nummer 22 und 24 sowie § 33 Absatz 2 und 5 sind erst anzuwenden, wenn eine Rechtsverordnung auf der Grundlage des § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes in Kraft getreten ist.“ Bis dahin gelten die Begriffe „kritische Anlage“ und „Betreiber kritischer Anlagen“ in der Fassung bis einschließlich 16. März 2026, gefüllt von der Verordnung aus dem Jahr 2016.

Auf dieser alten Grundlage wird weiter gezählt. Das BSI weist zum Stichtag 30. Juni 2026 1.231 Betreiber kritischer Anlagen mit 2.180 kritischen Anlagen² aus, im Sektor Wasser 83 Betreiber mit 182 Anlagen. Die Begründung zum KRITIS-Dachgesetz erwartet rund 1.700 kritische Anlagen. Diese Erwartung und der Bestand des BSI folgen verschiedenen Sektorenzuschnitten und gehören nicht in dieselbe Rechnung; den Erfüllungsaufwand für die Wirtschaft beziffert der Verordnungsentwurf ausdrücklich nicht.

Handlungsunfähig ist das Ministerium ohne seine Verordnung nicht. Nach § 5 Absatz 3 des Dachgesetzes stellt es im Einzelfall fest, dass eine Anlage für eine kritische Dienstleistung erheblich ist, auch wenn sie die Voraussetzungen der Rechtsverordnung nicht erfüllt. Ein solcher Bescheid erfasst eine Anlage. Den Kreis beschreibt er nicht.

Die kommunale Ausnahme endet am Schwellenwert von 22 Millionen Kubikmetern#

Für die kommunale Ebene entscheidet derselbe Schwellenwert. Die Ausgabe vom 1. September hat gezeigt, dass Bund und Länder die NIS-2-Option für die kommunale Ebene nicht gezogen haben³ und Kreisverwaltungen deshalb außerhalb der bundesrechtlichen Pflichten stehen. Das KRITIS-Dachgesetz kennt kommunale Betreiber dagegen ausdrücklich: Nach § 2 Nummer 1 ist Betreiber kritischer Anlagen auch „eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft“.

Erfasst wird eine solche Einheit über ihre Anlage, nicht über ihre Rechtsform. Ein kommunaler Wasserversorger fällt unter das Gesetz, sobald seine Anlage den Schwellenwert erreicht, im Sektor Wasser bislang 22 Millionen Kubikmeter im Jahr. Ob es bei diesen 22 Millionen Kubikmetern bleibt, welche Anlagen darunter herausfallen und welche Kategorien auch ohne Schwellenwert gelten, steht in der Verordnung, die es bisher nur als Entwurf gibt.

Die CER-Richtlinie setzte für die Identifizierung den 17. Juli 2026#

Der Termin, an dem diese Arbeit fällig war, ist ein europäischer. Nach der Darstellung der Europäischen Kommission⁴ trat die CER-Richtlinie am 16. Januar 2023 in Kraft, war bis zum 17. Oktober 2024 umzusetzen, und die Mitgliedstaaten hatten ihre kritischen Einrichtungen bis zum 17. Juli 2026 zu bestimmen. Am 28. November 2024 verschickte die Kommission Aufforderungsschreiben an 24 Mitgliedstaaten zur CER-Richtlinie und an 23 zur NIS-2-Richtlinie, Deutschland jeweils darunter; zur NIS-2-Umsetzung folgte am 7. Mai 2025 eine mit Gründen versehene Stellungnahme.

Beide deutschen Umsetzungsgesetze sind inzwischen in Kraft, und beide hängen an derselben ausstehenden Verordnung. Deren Schlussartikel lautet im Entwurf: „Diese Verordnung tritt [am Tag/3 Wochen] nach der Verkündung in Kraft.“ Erst von diesem Tag an laufen die Fristen des Dachgesetzes, drei Monate für die Registrierung einer Anlage und acht Monate bis zum ersten Nachweis. Wer heute wissen will, ob sein Wasserwerk dazugehört, wartet auf ein Datum, das noch in eckigen Klammern steht.

Anlass war die Ausgabe „Keine Frist, sondern eine Verordnung startet die KRITIS-Registrierung“, Am Rand gelesen, 06.09.2026 (christopher-helm.com). Ebenfalls herangezogen: „Bund und Länder haben die NIS-2-Option für Kommunen liegen lassen“ (01.09.2026, christopher-helm.com). Die zitierten Vorschriften stammen aus den konsolidierten Fassungen auf gesetze-im-internet.de, abgerufen am 07.09.2026: KRITIS-Dachgesetz § 2 und § 5, BSI-Gesetz 2025 § 33 und § 66, BSI-Kritisverordnung Anhang 2. Der Referentenentwurf einer KRITIS-Verordnung des Bundesinnenministeriums, Bearbeitungsstand 26.05.2026, ist bei intrapol.org dokumentiert. Die Bestandszahlen zum Stichtag 30.06.2026 nennt „KRITIS in Zahlen“ des Bundesamts für Sicherheit in der Informationstechnik (bsi.bund.de), die Erwartung von rund 1.700 kritischen Anlagen die Gesetzesbegründung in Bundestagsdrucksache 21/2510. Zur fehlenden Registrierungspflicht äußert sich das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe in seinen Fragen und Antworten zum KRITISDachG. Die Fristen der CER-Richtlinie und die Vertragsverletzungsverfahren vom 28.11.2024 und 07.05.2025 nach Darstellung der Europäischen Kommission (home-affairs.ec.europa.eu).