Keine Frist, sondern eine Verordnung startet die KRITIS-Registrierung

Das Wichtigste in Kürze

• Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft, aber das BBK schreibt, eine Registrierungspflicht bestehe zurzeit nicht.
• Die vielzitierte Frist 17. Juli 2026 wurde elf Tage nach ihrem Ablauf aus dem Gesetz gestrichen.
• Was der Schutz die Betreiber kostet, hat die Bundesregierung im Gesetzgebungsverfahren ausdrücklich nicht beziffert.
• Die Muster für Resilienzpläne, die das Gesetz bis zum 17. Januar 2026 verlangte, sind nach Auskunft des BBK erst in Erstellung.

„Das im März für einen besseren physischen Schutz von kritischen Anlagen in Deutschland in Kraft getretene KRITIS-Dachgesetz bleibe noch hinter den Anforderungen zurück.“ So endet eine dpa-Meldung, die am 6. September 2026 unter anderem DIE ZEIT unter dem Titel „Hybride Bedrohungen: Jedes fünfte Unternehmen spürt hybride Bedrohung“ von Pia Packmohr veröffentlichte. Die Bewertung stammt aus dem IW-Kurzbericht Nr. 60/2026 iwkoeln.de ↗, für den das Institut der deutschen Wirtschaft 1.041 Unternehmen befragt hat; dort bleibt das Gesetz „hinter den Erfordernissen“ zurück. Welche Erfordernisse gemeint sind, sagt der Bericht nicht. Wer eine kritische Anlage betreibt, will genau das wissen: Bis wann muss ich sie registrieren? Die Behörde, bei der die Registrierung zu erfolgen hätte, antwortet: zurzeit gar nicht.

Zurzeit muss kein Betreiber seine kritische Anlage registrieren#

„Zurzeit besteht noch keine Registrierungspflicht auf der Grundlage des KRITISDachG, da sich die konkretisierende Rechtsverordnung zur Bestimmung kritischer Anlagen gem. § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG noch in Erarbeitung und Abstimmung befindet“, schreibt das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe in seinen FAQ zum KRITIS-Dachgesetz¹. Direkt darunter steht der Satz: „Aktuell müssen Sie als ein Betreiber einer kritischen Anlage noch nicht tätig werden.“

Diese Rechtsverordnung soll bestimmen, welche Anlage überhaupt eine kritische ist. Solange sie fehlt, gibt es keinen Adressaten, und ohne Adressaten läuft keine Frist. Wer den Inhalt einer Pflicht in eine nachgelagerte Rechtsverordnung verlagert, verlagert mit ihm den Kreis der Verpflichteten, den Termin und die Kosten.

Artikel 8 strich den 17. Juli 2026 aus dem KRITIS-Dachgesetz#

In der Verkündungsfassung stand ein Termin. Nach § 8 Absatz 1 hatten Betreiber ihre kritischen Anlagen zu registrieren, „frühestens jedoch bis einschließlich zum 17. Juli 2026“ (BGBl. 2026 I Nr. 66 recht.bund.de ↗, verkündet am 16. März 2026). Diesen Satz gibt es nicht mehr. Artikel 8 Nummer 4 des „Gesetzes zur besseren Verhinderung missbräuchlicher Anerkennungen der Vaterschaft und zur Änderung weiterer Vorschriften“ vom 21. Juli 2026 ersetzt ihn durch eine Fassung ohne Kalendertermin (BGBl. 2026 I Nr. 221 recht.bund.de ↗). Verkündet wurde diese Änderung am 28. Juli 2026, also elf Kalendertage nach dem Datum, das sie entfernt.

Suchmaschinen kennen den 17. Juli 2026 weiterhin als geltende Frist; auf der FAQ-Seite des BBK kommt er kein einziges Mal vor.

Die Bundesregierung nennt ihre eigenen Vorgaben zu abstrakt für eine Schätzung#

Der fast wortgleiche Vorgängerentwurf der 20. Wahlperiode bezifferte den Erfüllungsaufwand der Wirtschaft auf 1,7 Milliarden Euro einmalig und 500 Millionen Euro jährlich (BT-Drs. 20/13961). Der Entwurf, aus dem das geltende Gesetz wurde, nennt keinen Betrag mehr, obwohl seine Begründung an einer Stelle weiter auf einen verweist; der Nationale Normenkontrollrat hat das förmlich beanstandet. Wie viele Anlagen betroffen sind, steht in der Begründung dieses Entwurfs: rund 1.700 kritische Anlagen (BT-Drs. 21/2510). Was ihr Schutz je Anlage kosten soll, steht nirgends.

Der Bundesrat verlangte in seiner 1059. Sitzung am 21. November 2025, den Erfüllungsaufwand „spätestens bis zur Beschlussfassung im Deutschen Bundestag transparent zu machen“. Die Antwort der Bundesregierung steht in der Gegenäußerung vom 28. Januar 2026 dserver.bundestag.de ↗: „Die Bundesregierung lehnt den Antrag ab. Der Gesetzentwurf enthält keine Schätzungen von Erfüllungsaufwänden, da die Vorgaben im Gesetzentwurf selbst zu allgemein und abstrakt für Schätzungen sind.“ Eine Woche später war das Gesetz beschlossen. Dass eine amtlich ausgewiesene Aufwandszahl nicht bedeutet, was sie zu bedeuten scheint, zeigte sich schon beim Bürokratieabbau: dort fiel der gemessene Erfüllungsaufwand von 27 auf 13,2 Milliarden Euro, und den größten Einzelposten strich ein Methodenbeschluss².

Das Gesetz setzte dem BBK eine Frist, die vor seinem Inkrafttreten ablief#

Der zweite Termin der Verkündungsfassung traf die Behörde selbst. Nach § 13 Absatz 5 sollte das BBK unverbindliche Muster und Vorlagen für Resilienzpläne „bis einschließlich 17. Januar 2026“ bereitstellen. In Kraft trat das Gesetz am 17. März 2026, zwei Monate nach diesem Datum. In den FAQ beantwortet das BBK die Frage nach den Mustern, „die laut Gesetz seit dem 17.01.2026 auf der Website des BBK zu finden sein sollten“, so: „Das Gesetz ist zum 17.03.2026 in Kraft getreten. Entsprechend befinden sich die unverbindlichen Muster und Vorlagen für die Resilienzpläne zurzeit in Erstellung.“ Auch dieses Datum hat Artikel 8 inzwischen ersetzt, durch eine Frist von acht Monaten nach Inkrafttreten der Rechtsverordnung.

Dieselbe Verwechslung von Datum und Pflicht trägt die CSRD-Debatte, in der eine EU-Frist im Oktober 2026 als Startschuss für Prüfpflichten gilt, obwohl sie nur die Kommission bindet³.

Prüfbar wird das KRITIS-Dachgesetz an einem einzigen kommenden Ereignis: der Verkündung der Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 im Bundesgesetzblatt. Von diesem Tag an haben Betreiber ihre Anlagen zu registrieren, und acht Monate später müssen die Muster des BBK vorliegen. Bis dahin verlangt das Gesetz von keinem Betreiber etwas, und was der Schutz kosten wird, hat die Bundesregierung bis heute nicht beziffert.

Anlass war die dpa-Meldung „Hybride Bedrohungen: Jedes fünfte Unternehmen spürt hybride Bedrohung“ von Pia Packmohr, erschienen bei DIE ZEIT am 6. September 2026. Die Befragungszahlen stammen aus dem IW-Kurzbericht Nr. 60/2026 iwkoeln.de ↗ des Instituts der deutschen Wirtschaft vom 5. September 2026, die Gesetzesfassungen aus dem Bundesgesetzblatt 2026 I Nr. 66 recht.bund.de ↗ vom 16. März 2026 und 2026 I Nr. 221 recht.bund.de ↗ vom 28. Juli 2026, die Angaben zum Vollzugsstand aus den FAQ zum KRITIS-Dachgesetz bbk.bund.de ↗ des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe, abgerufen am 6. September 2026, die Aufwandszahlen aus den Bundestagsdrucksachen 20/13961, 21/2510 und 21/3855 dserver.bundestag.de ↗ (dserver.bundestag.de). Die Angabe von elf Kalendertagen ist eine eigene Rechnung aus den beiden Verkündungsdaten.