KRITIS-Dachgesetz: Die Registrierungsfrist zum 17. Juli ist ersatzlos gestrichen

Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten und setzt die EU-CER-Richtlinie um – den physischen Zwilling von NIS2. Der erste harte Termin daraus war der 17. Juli 2026: Ab diesem Tag sollte die gemeinsame Plattform von BBK und BSI öffnen, über die sich Betreiber kritischer Anlagen zu registrieren hatten. Diese Pflicht ist inzwischen ersatzlos gestrichen – ohne neuen Termin. Beschlossen wurde die Änderung noch vor der Sommerpause, zusammen mit weiteren Anpassungen am BSI-Gesetz.

Warum die Frist nicht zu halten war

Der Grund liegt eine Ebene tiefer, und er ist das eigentlich Bemerkenswerte an dem Vorgang. Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen – und überlässt es einer Rechtsverordnung des Bundesinnenministeriums, die Kriterien dafür zu bestimmen. Wir hatten schon bei der Verabschiedung im Bundesrat darauf hingewiesen, dass die konkreten Schwellen erst per Verordnung kommen.

Diese Verordnung fehlt weiterhin. Seit dem Inkrafttreten im März stehen Betreiber damit in einer ungewöhnlichen Lage: Es ist derzeit nicht rechtssicher bestimmbar, ob die eigenen Anlagen als kritische Anlagen einzustufen sind. Eine Registrierungspflicht, deren Adressatenkreis nicht feststeht, ist keine Pflicht, die sich erfüllen lässt – und offenbar auch keine, die sich sinnvoll durchsetzen lässt. Die Streichung ist insofern konsequenter, als sie auf den ersten Blick wirkt.

Was das nicht heißt

Die naheliegende Lesart – "KRITIS ist verschoben" – ist falsch, und sie ist teuer. Gestrichen wurde ein Termin, nicht ein Gesetz. Unverändert gilt:

• Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Das BMI hat erkennen lassen, dass Gesetz und damit die Umsetzung der CER-Richtlinie fortgeführt werden.
• Die materiellen Pflichten – Resilienzpläne, regelmäßige Risikoanalysen, Meldung von Vorfällen – knüpfen an die Betreibereigenschaft an, nicht an einen Registereintrag.
• Die NIS2-Pflichten nach dem BSIG laufen davon vollständig unabhängig weiter. Wer als Energie-, Wasser- oder Gesundheitsversorger beide Regime erfüllt, hat aus der Streichung genau nichts gewonnen: Registrierung, Risikomanagement und Meldewege nach BSIG bleiben, wie sie sind.

Was Betreiber jetzt sinnvollerweise tun

1. Die eigene Einordnung vorbereiten, statt sie abzuwarten. Der bekannte Schwellenwert des Gesetzes – Anlagen, die mehr als 500.000 Personen versorgen – reicht für eine belastbare Selbsteinschätzung in den klaren Fällen aus. Wer deutlich darüber oder darunter liegt, braucht die Verordnung nicht abzuwarten, um zu wissen, woran er ist.
2. Den Resilienzplan nicht an den Registereintrag hängen. Er ist die aufwendigste der CER-Pflichten und die einzige, die sich nicht kurzfristig nachholen lässt, wenn der Termin doch wiederkommt.
3. Die Verordnung beobachten. Sobald die Kriterien stehen, wird auch die Registrierungspflicht wieder terminiert werden – und dann vermutlich mit der im Gesetz angelegten Frist von drei Monaten ab Feststellung als kritische Anlage, also knapp.