Stellungnahme zum Referentenentwurf des Bundesministeriums des Innern für eine Verordnung zur Bestimmung kritischer Anlagen nach dem KRITIS-Dachgesetz (KRITIS-VO

1. Vorbemerkung

Das Deutsche Verkehrsforum (DVF) bedankt sich für die Möglichkeit der Stellungnahme zu dem am 05.02.2026 veröffentlichten Vorschlag für einen Entwurf für eine Verordnung zur Bestimmung kritischer Anlagen nach dem KRITIS-Dachgesetz (KRITIS-VO). Wir bitten um Berücksichtigung der nachfolgenden Punkte.

2. Definitionen

2.1. Allgemein

Das DVF begrüßt das Vorhaben des BMI, auch weiterhin über Schwellenwerte die Betreiber zu identifizieren, die für das Gemeinwohl versorgungsrelevant sind. Der Ansatz, dass die Versorgung von 500.000 Einwohnern mit kritischen Dienstleistungen sicher zu stellen ist, ist hier weiterhin eine adäquate Vorgehensweise. Somit müssen ausschließlich tatsächlich versorgungsrelevante Unternehmen/Betreiber die expliziten „KRITIS“-Regelungen aus dem NIS2-Umsetzungsgesetz und den Regelungen des neuen KRITIS-Dachgesetzes (KRITISDachG) umsetzen, was auch aus wirtschaftlichen Aspekten sinnvoll erscheint. Unter anderem sehen wir hierdurch auch weiterhin die Innovationsfähigkeit von branchenzugehörigen „Startups“ angemessen geschützt.

2.2. Bemessungsgrundlage Häfen

Mit Blick auf die Neuaufnahme von Häfen sehen wir Konkretisierungsbedarf. So entbehrt die im Entwurf enthaltende Definition einer Festlegung, wie mit weit auseinanderliegenden Hafenteilen in einem Stadtgebiet umzugehen ist und ob sich die Bemessungsgrundlage der umgeschlagenen Tonnage in Höhe von 50.000.000 auf die reine Importmenge bezieht und somit in Korrelation zu der Versorgung von 500.000 Personen steht. Dementsprechend ist die Berechnungsgrundlage der Tonnage in der Verordnung nicht ausreichend definiert.

Im Ergebnis wird es darauf ankommen, in den weiteren Verordnungen, die die Festlegung von Resilienzmaßnahmen definieren, die besonderen räumlichen und organisatorischen Gegebenheiten von Häfen zu berücksichtigen.

Resilienzmaßnahmen müssen dabei stets in Bezug zur Kernfunktionen eines Hafens (Umschlag von Gütern auf Schiene, Straße, Wasserstraße) stehen und dürfen sich nicht auf Hafenbereiche beziehen, in welchen sich Unternehmen angesiedelt haben, die ausschließlich Kunden der Umschlaganlagen sind und sich in jedem Güterverteilzentrum hätten ansiedeln können.

Die Verordnung muss zudem eindeutig definieren, wo die Verantwortung des Gesamtinfrastrukturbetreibers endet und wo die Pflichten des einzelnen Terminalbetreibers beginnen, um Doppelregulierung an den Schnittstellen zu vermeiden. Der Entwurf differenziert unzureichend zwischen der Gesamtinfrastruktur eines Hafens und den privaten Hafeneinrichtungen (bspw. Terminals).

2.3. Anwendungsbereich / Anlagenbestimmung

Es ist positiv hervorzuheben, dass zur Anlagenbestimmung weiterhin die "Notwendigkeit zur Erbringung der kritischen Dienstleistung“ formuliert wird. Dazu steht im Widerspruch, dass im selben Absatz eine sehr unscharfe Erweiterung vorgenommen wird (bzgl. „Mehrere Anlagen…“ siehe hier nächster Absatz). Zusätzlich hat der Verordnungsgeber in den branchenspezifischen Abschnitten explizit Einzelanlagentypen benannt, die nach unserer Einschätzung für einige Branchen keine Relevanz für die jeweiligen kritischen Dienstleistungen haben.

„Mehrere Anlagen, die durch einen betriebstechnischen Zusammenhang verbunden sind, gelten als gemeinsame Anlage, wenn sie zur Erbringung derselben kritischen Dienstleistung notwendig sind.“

Das Ziel dieser Formulierung ist für uns nicht ersichtlich. Nach unserem Verständnis darf es sich hierbei nicht um die Ausweitung der Betroffenheit durch Zusammenfassung von Anlagen, welche für sich genommen Schwellenwerte nicht überschreiten, handeln.

Die Definition muss nachgeschärft werden (insb. „betriebstechnischer Zusammenhang“), da unter der jetzigen Definition z.B. das Internet in Summe als eine Anlage anzusehen wäre, aber auch das gesamte Netzwerk eines Unternehmens bzw. Unternehmensverbundes. Hier müssen Betriebs- und Verantwortungsübergänge berücksichtigt werden. Im Unternehmensverbund gibt es teilweise mehrere „Anlagen“ bzw. “Betriebe“ die jede/r für sich im Sinne des KRITISDachG relevant sind und betriebstechnisch zusammenhängen.

Bliebe es bei dieser Definition, können Betreiber ihren Anwendungsbereich der sich rechtlich in ihrer Verantwortung befindlichen Anlagen nicht mehr selber definieren (zertifizierungsrelevant).

Vorschlag: „Mehrere Anlagen der gleichen Kategorie gelten als gemeinsame Anlage, wenn sie nicht autonom betrieben werden können und alle zur Erbringung derselben kritischen Dienstleistung erforderlich sind.

Nicht erfasst sind solche Nebenanlagen im Sinne des § 1 Absatz 4 Nummer 4 FStrG, deren Ausfall die Erbringung der kritischen Dienstleistung Personen- und Güterverkehr nicht erheblich beeinträchtigt oder kurzfristig organisatorisch kompensiert werden kann.“

So sollte bspw. die Bundesautobahn nicht pauschal als einheitlich kritische Gesamtanlage behandelt werden, sondern die physische Komponente gezielt dort erfasst werden, wo Ausfall, Zerstörung oder erhebliche Beeinträchtigung zu relevanten Auswirkungen auf überregionalen Personen- oder Güterverkehr führen können (siehe nachfolgender Punkt 1.4)

2.4. Anlagenkategorie Bundesautobahn

Der Entwurf sieht die Anlagenkategorie „Bundesautobahn“ vor. Als Bemessungskriterium wird die Art der Bundesfernstraße genannt; der Schwellenwert lautet „Bundesautobahn“. Im Unterschied zu vielen anderen Anlagenkategorien werden damit keine quantitativen oder funktionalen Schwellen wie Verkehrsaufkommen, Transportleistung, Netzklassifizierung, Einwohnerbezug oder Ausfallwirkung herangezogen.

Die bisherige KRITIS-Systematik im Autobahnbereich bezog sich dagegen vorrangig auf funktional ausfallrelevante Anlagen und Systeme. Verkehrssteuerungs- und Leitsysteme, Verkehrs-, Betriebs- und Tunnelleitzentralen, IT- und Telekommunikationskomponenten haben typischerweise eine unmittelbare Bedeutung für Verkehrsfluss, Verkehrssicherheit, Tunnelbetrieb, Störungsmanagement und Lageführung. Die physische Autobahnstruktur ist hiervon zu unterscheiden: Sie ist ein flächendeckendes, heterogenes Netz mit sehr unterschiedlichen Bestandteilen und Ausfallwirkungen.

Nicht jeder Bestandteil einer Bundesautobahn weist dieselbe Kritikalität auf. Ein Tunnel, eine große Talbrücke, ein zentraler Knotenpunkt, ein hochbelasteter Abschnitt, eine schwer ersetzbare Rheinbrücke, eine Verbindung mit TEN-V-Bezug, eine strategisch wichtige Verbindungslinie oder eine Zufahrt zu Häfen und Güterterminals hat eine andere Ausfallwirkung als ein einfacher Streckenabschnitt mit ausreichenden Umleitungsoptionen, eine dezentrale Nebenanlage, ein Lagerbereich oder ein kurzfristig ersetzbarer Verwaltungsstandort. Die Einordnung sollte daher nicht allein an die Kategorie „Bundesautobahn“ als solche anknüpfen, sondern an die Funktion im Verkehrsnetz. Maßgeblich sind insbesondere hohe Abhängigkeit bei geringer Redundanz, überregionale oder grenzüberschreitende Netzfunktion, besondere Versorgungsrelevanz, Relevanz für Landesverteidigung sowie Bevölkerungs- und Katastrophenschutzverkehre sowie mögliche Kaskadeneffekte.

So sollte im Sinne einer präziseren Anlagenkategorie statt der pauschalen Kategorie „Bundesautobahn — Art der Bundesfernstraße — Bundesautobahn“ die Verordnung auf Ausfallwirkung und Netzrelevanz abstellen.

Vorschlag: „Bundesautobahnabschnitte, Ingenieurbauwerke und Knotenpunkte, soweit deren Ausfall, Zerstörung oder erhebliche Beeinträchtigung zu einer erheblichen Einschränkung des überregionalen Personen- oder Güterverkehrs führen kann.“

2.5. Anlagenkategorie Schienenverkehr

Die Kategorie „Serviceeinrichtungen“ (§9 Abs. 3 Nr. 1 und 2 und Anlage 7, Teil 1 Nr. 1.10, Teil 3 Nr. 1.2.4.) sollte unterteilt werden in Personenbahnhof der Eisenbahn, Zugbildungsbahnhof und Güterbahnhof sowie Serviceeinrichtungen weiterer Kategorien gem. AEG. Für die ersten drei Kategorien sind bestehende Schwellenwerte aus der BSI-KritisV beizubehalten, Anlagen der vierten Kategorie sind beschränkt auf ihre tatsächliche Kritikalität zur Erbringung verkehrstragender Leistungen. Diese sollen nur betrachtet werden, wenn sie eine unmittelbare erhebliche Auswirkung auf die Erbringung der kritischen Dienstleistung Fernverkehr haben.

Die Zweckbestimmung als Schwellenwert von Serviceeinrichtungen ist so zu fassen, dass eine Einstufung als KRITIS-Anlage nur erfolgt, wenn der primäre Zweck der Anlage die Erbringung fernverkehrstragender Leistungen ist und ihr Ausfall netzweite erhebliche Auswirkungen im Fernverkehr hat.

Mit Blick auf Anlagenkategorien und Schwellenwerte (§ 9 Abs. 3 Nr. 1 und 2, Teil 1 Nr. 1.7 und Anlage 7, Teil 3 Nr. 1.2.1) ist die bisherige Definition von “Schienennetz und Stellwerken der Eisenbahn“ unter Verweis auf die Eisenbahn-Bau- und Betriebsordnung beizubehalten. Alternativ ist beim Schwellenwert eine Unterteilung erforderlich:

• Für das Schienennetz und die Stellwerke nach der EBO gilt wie bisher nach der BSI-KritisV der Schwellwert: “Deutscher Teil des Kernnetzes”
• Für die neu hinzugekommenen Betriebsanlagen und Eisenbahnanlagen nach § 2 Abs. 6, 6a AEG ist als Schwellenwert vorzusehen, dass nur solche Anlagen erfasst werden, deren Störung bzw. Ausfall die Erbringung des Personen- und Güterverkehrs in erheblichem Umfang unmittelbar beeinträchtigen würden.

Insgesamt gilt auch für die Schieneninfrastruktur, dass bestehende Redundanz-, Verbund- und Ausweichkonzepte bei der Bewertung der Kritikalität einer Anlage angemessen zu berücksichtigen sind. Eine Anlage sollte nicht als kritisch im Sinne dieser Verordnung gelten, wenn ihr Ausfall durch vorhandene zumutbare Umleitungs- oder Ausweichmöglichkeiten kompensiert werden kann, ohne dass es zu einer netzweiten erheblichen Beeinträchtigung der Versorgungssicherheit kommt.

Bei der Definition des öffentlichen Personennahverkehrs (§ 9 Abs. 3, Anlage 7, Teil 1 Nr. 1.24 und Nr. 1.25) sollte ausreichend klargestellt werden, dass mit diesem weiterhin „öffentlicher Straßenpersonenverkehr“ gemeint ist. Dies wird in der aktuellen Fassung nur aus dem Verweis auf § 4 Abs. 1 bis Abs. 3 des Personenbeförderungsgesetzes in 1.23 klar. Eine inhaltliche Änderung dieser Anlagenkategorien aus der BSI-KritisV wäre nicht sachgerecht. Regelungen zu Eisenbahnen (Leitsystem und Leitzentrale) finden sich zudem schon in 1.8 und 1.9.

3. Anerkennung von Zertifizierungen

Bereits bestehende Zertifizierungen, im Falle der Häfen bspw. Gefahrenabwehrpläne im Sinne des ISPS-Codes (International Ship and Port Facility Security Code), sollten anerkannt werden. So sind sowohl einzelne Umschlagsanlagen von den Bezirksregierungen zertifiziert als auch zusammenhängende Hafenflächen in festgelegten Hafengrenzen mit abgestimmten Sicherheitsszenarien hinterlegt.

Analog dazu sind vorhandene Zertifizierungen auch für die anderen Verkehrsträger zu berücksichtigen.

4. Vermeidung von Doppelregulierung und föderale Harmonisierung

Zur Vermeidung eines doppelten regulatorischen Aufwands sollten die physischen Schwellenwerte der KRITIS-VO exakt mit den Einstufungen des NIS2-Umsetzungsgesetzes harmonisiert werden, da andernfalls unterschiedliche Compliance- und Meldesysteme parallel bedient werden müssen. Infrastrukturbetreiber, die bereits die strengen Cyber-Sicherheitsanforderungen nach NIS2 erfüllen, müssen im Rahmen des KRITISDachG von redundanten Prüfverfahren befreit werden. Der physische Schutz muss in bestehende Sicherheitsmanagementsysteme integriert werden.

Das Harmonisierungserfordernis betrifft darüber hinaus auch föderale Strukturen: So unterliegen bspw. Häfen lokal den Landeshafenbehörden, das KRITISDachG wird jedoch vom Bund gesteuert. Es muss eine bundesweit einheitliche Auslegung und eine zentrale Anlaufstelle gewährleistet werden, um einen föderalen Flickenteppich bei den Berichtspflichten zu verhindern.

5. Übergangsfristen

Das KRITISDachG fordert:

„…

§ 8 Registrierung kritischer Anlagen; Geltungszeitpunkt

(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschließlich zum 17. Juli 2026, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit nach § 33 Absatz 1 des BSI-Gesetzes folgende Angaben zu übermitteln:

…“

Die Regelung zum Inkrafttreten der KRITIS-VO ist im Entwurf noch offen. Betreiber sollten erst dann belastbar identifiziert und registriert werden müssen, wenn Begriffe, Schwellenwerte und insbesondere Registrierungsprozesse (einheitliches Registrierungsportal „BSI Portal“) feststehen und adäquat nutzbar, auch für diesen Anwendungszweck, sind. Insbesondere Betreiber in neuen KRITIS-Kategorien (Branchen, Anlagentypen) brauchen ausreichende lange Umsetzungsfristen, um den neuen Verpflichtungen gerecht zu werden.

6. Evaluierung

Der Entwurf hinterlegte Zeitraum von 5 Jahren ist aus Sicht des DVF zu lang, um eine derartige Verordnung zu evaluieren. Wir schlagen stattdessen denselben Zyklus wie in der Nachweiserbringung nach KRITISDachG für Betreiber (3 Jahre) vor. Das hätte zum Vorteil, dass die Verordnung einmal in jeder Legislaturperiode überprüft werden könnte. Bei der Evaluierung ist eine frühzeitige Einbindung der Wirtschaft zu gewährleisten. Auch die Einschätzung zum Aufwand für die Wirtschaft hätte durch die Berücksichtigung der bereits ermittelten Aufwände ein realistischeres Bild ergeben (Siehe Punkt 6). Wir empfehlen, die Evaluierung in Zukunft verbindlich öffentlich zu machen.

7. Erfüllungsaufwand für die Wirtschaft und Endverbraucher

Zur Information der politischen Ebene wurde in der Begründung zur Verordnung der zu erwartende Aufwand für die Wirtschaft mit "nicht abschätzbar" angegeben.

Bereits die Umsetzungen der damaligen IT-Sicherheitsgesetze 1.0 und 2.0 und des NIS2-Umsetzungsgesetzes sowie der BSI-KritisV in der aktuellen Fassung haben gezeigt, dass den betroffenen Unternehmen erhebliche Mehraufwände entstanden sind.

Durch die Ausdehnung der KRITIS-VO durch Benennung neuer Anlagenkategorien und die Ausdehnung auf das Thema „Physische Sicherheit“ im Sinne des KRITISDachG erwartet die Wirtschaft weitere erhebliche Aufwände.

Somit ist ein Aufwandsausgleich für die Wirtschaft durch entsprechende Kompensationen im Sinne der „One-in-one-out-Regel“ vorzunehmen. Andernfalls stünde auch die Aussage der fehlenden Auswirkung auf Endverbraucherpreise in Frage.

Wir verweisen hier auf die Aufwandsabschätzung der UP KRITIS, die im Zuge der Erarbeitung des KRITISDachG an das BMI und BBK übermittelt wurde.

Aufgrund des vorliegenden Referentenentwurfes zur KRITIS-VO mit neuen Anlagetypen und Schwellwerten muss davon ausgegangen werden, dass zusätzlich erhebliche Kosten anfallen. Dies gilt insbesondere vor dem Hintergrund, dass von der KRITIS-VO Unternehmen betroffen sein werden, die in der Vergangenheit nicht einer derartigen Regulierung (IT-Sicherheitsgesetz/NIS2-Umsetzungsgesetz) unterlagen und entsprechend noch keine Erfahrung im Umgang und Umsetzung der notwendige Prozesse machen konnten (Aufbau eines geeigneten Sicherheits-Managementsystems, Registrierungsprozesse, Etablierung von Prozessen zur Störungsmeldung, Aufbau von internen und externen Nachweisprozessen, usw…).