Das KRITIS-Dachgesetz verpflichtet Unternehmen in zehn strategisch wichtigen Sektoren, wie Energie, Ernährung, Wasser, Gesundheit, Transport und Verkehr zu einem besseren physischen Schutz ihrer Anlagen. Es legt fest, welche Infrastruktureinrichtungen für die Versorgung der Bevölkerung und zur Aufrechterhaltung der Wirtschaft unentbehrlich sind. Mit einer Rechtsverordnung soll das Bundesinnenministerium die konkreten Kriterien festschreiben. Grundsätzlich zählen Einrichtungen dazu, die mehr als 500.000 Personen versorgen.
Das Gesetz legt Mindestanforderungen für alle Sektoren fest, zu denen Maßnahmen für Notfälle und Ausfallsicherheit sowie ein stärkerer Objektschutz gehören. Es schreibt Betreibern kritischer Anlagen aber keine konkreten Regelungen vor, sondern verpflichtet sie lediglich dazu, geeignete und verhältnismäßige Maßnahmen zu ergreifen. Welche das sind, könne sich von Sektor zu Sektor und von Unternehmen zu Unternehmen unterscheiden.
Der Bundesrat hatte den Gesetzentwurf in seiner ausführlichen Stellungnahme im ersten Durchgang im November 2025 kritisiert. Die gebotene Erhöhung der Resilienz bliebe deutlich hinter den Erwartungen der Länder zurück und liefe Gefahr, nicht bundeseinheitlich erreicht zu werden. Der Bundesrat kritisierte auch, dass Rechtsverordnungen zur Regelung von Detailfragen ohne Zustimmung des Bundesrates erlassen werden könnten, obwohl den Ländern erhebliche Aufwände und Kosten entstehen würden. Bis gestern war daher nicht klar, ob der Vermittlungsausschuss angerufen würde – wie es der federführende Ausschuss für Innere Angelegenheiten vorgeschlagen hatte, oder dem Gesetz zugestimmt würde. Nach einer Einigung und entsprechenden Protokollerklärung, ist heute dem Gesetz doch zugestimmt worden. Allerdings üben die Länder trotz Zustimmung üben die Länder in einer begleitenden Entschließung an einigen Regelungen des Gesetzes Kritik. So bemängeln sie, dass der Schwellenwert für kritische Infrastruktur nicht wie von ihnen vorgeschlagen auf 150.000 versorgte Einwohner abgesenkt wird. Unklarheiten mit Blick auf die praktische Umsetzung bestünden auch bei der Öffnungsklausel, die es den Ländern individuell ermöglicht, weitere kritische Anlagen zu identifizieren. Weitere Kritikpunkte betrafen die Resilienzprüfung bei Eisenbahnen, die nicht dem Bund gehören.
Das Gesetz kann nun ausgefertigt und verkündet werden. Es tritt zum überwiegenden Teil am Tag nach der Verkündung in Kraft.
