KRITIS-Dachgesetz: Neue Resilienzpflicht für 500.000-Menschen-Versorger

Der Bundestag verabschiedete das Gesetz am 17. März 2026. Es setzt die EU-Richtlinie 2022/2557 um und betrifft elf Schlüsselsektoren: Energie, Verkehr, Finanzen, IT und Raumfahrt. Wer mindestens 500.000 Menschen versorgt, unterliegt nun einer umfassenden Resilienzpflicht nach Paragraph 13. Konkret bedeutet das: regelmäßige Risikoanalysen, formale Notfallpläne und strenge Meldefristen.

Angesichts neuer gesetzlicher Anforderungen und wachsender Cyberrisiken müssen Unternehmen ihre Sicherheitsstrategie grundlegend überdenken. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Awareness Trends kostenlos herunterladen

Der Auslöser war kein theoretischer. Im Januar 2026 erschütterte ein Terroranschlag auf das Berliner Stromnetz die Republik. Die Behörden ordneten sofortige Sicherheitsmaßnahmen an – verstärkte Sensortechnik, Videoüberwachung. Die Länder können zudem weitere Einrichtungen als kritische Infrastruktur einstufen. Eine offizielle Evaluierung des Gesetzes ist in zwei Jahren fällig.

Betriebsräte bekommen mehr Macht in Krisenfällen

Die neuen Vorschriften haben direkte Auswirkungen auf die Arbeitswelt. Denn die Mitbestimmungsrechte der Betriebsräte greifen jetzt auch in der Krisenplanung. Das betrifft die Entwicklung von Resilienzplänen, interne Kommunikationsprotokolle und Verhaltensanweisungen für Mitarbeiter im Notfall.

Das Bundesarbeitsgericht hat zudem klargestellt: Auch ausländische Konzerne können hierzulande Betriebsräte bekommen. In einem aktuellen Fall bestätigte das Gericht, dass ein Standort wie das BER-Areal mit rund 320 Beschäftigten als eigenständige Organisationseinheit gilt – selbst wenn die Personalentscheidungen im Ausland fallen. Voraussetzung: Es gibt zumindest rudimentäre Managementbefugnisse vor Ort.

Die Mitbestimmung gewinnt in Krisenzeiten an Bedeutung, doch viele Betriebe stehen bei der Organisation der Arbeitnehmervertretung vor bürokratischen Hürden. Dieser kostenlose Leitfaden erklärt den gesamten Ablauf der Betriebsratswahl verständlich und rechtssicher – von der Kandidatensuche bis zur ersten Sitzung. Schritt-für-Schritt-Anleitung für die Betriebsratswahl sichern

NIS2 und KRITIS: Zwei Gesetze, ein Ziel

Das KRITIS-DachG arbeitet eng mit dem NIS2-Umsetzungsgesetz zusammen, das seit Dezember 2025 gilt. Während KRITIS die physische und organisatorische Widerstandsfähigkeit im Blick hat, zielt NIS2 auf IT-Sicherheit und die Fähigkeit, Angriffe zu erkennen und abzuwehren.

Doch die Realität sieht anders aus. Als die Anmeldefrist beim Bundesamt für Sicherheit in der Informationstechnik (BSI) im März 2026 endete, hatten gerade einmal 38,5 Prozent der rund 29.000 betroffenen Unternehmen ihre Registrierung abgeschlossen. Nachmeldungen sind möglich – aber teuer. Für große „hochwichtige" Einrichtungen drohen Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Die Geschäftsführung haftet persönlich nach Paragraph 38 des BSI-Gesetzes.

Der Druck geht weiter. Regulierte Unternehmen geben die Sicherheitsanforderungen zunehmend an ihre Zulieferer weiter – vertraglich festgeschrieben, unabhängig von deren Größe.

Neue Regeln für Arbeitssicherheit und Zustellnachweise

Zwei weitere Änderungen betreffen die gesamte Wirtschaft:

Sicherheitsbeauftragte: Seit dem 29. Mai 2026 gilt eine Novelle des Sozialgesetzbuchs VII. Firmen mit 50 bis 249 Mitarbeitern müssen jetzt mindestens einen Sicherheitsbeauftragten benennen. Bei kleineren Betrieben mit 20 bis 49 Beschäftigten greift die Pflicht nur bei besonderen Gefährdungen.

Zustellnachweise: Das Bundesarbeitsgericht hat am 7. Mai 2026 entschieden (Az. 2 AZR 184/25): Das digitale Einwurf-Einschreiben gilt nicht mehr als Anscheinsbeweis für den Zugang eines Schreibens. Der Grund: Die Zustellung basiert auf digitalen Scans, nicht auf physischen Belegen. Arbeitgeber sollten künftig auf persönliche Übergabe mit Unterschrift oder Gerichtsvollzieher setzen.

Forschung zeigt: Viele Unternehmen sind schlecht vorbereitet

Eine Studie der FU Berlin, der Helmut-Helmut-Schmidt-Universität und des DIW Berlin hat zwischen März 2025 und Januar 2026 insgesamt 1.224 Unternehmen befragt. Das Ergebnis: 91 Prozent haben zwar irgendwelche IT-Sicherheitsmaßnahmen ergriffen. Aber nur 17 Prozent der größten Firmen planen weitere Verbesserungen. Überraschend: Unternehmen in ländlichen Regionen sind häufiger in Katastrophenschutznetzwerke eingebunden (41 Prozent) als ihre städtischen Pendants (34 Prozent).

Experten warnen: Künstliche Intelligenz verkürzt die Zeit zwischen der Entdeckung einer Sicherheitslücke und ihrer Ausnutzung drastisch. Unternehmen sollten daher ihre „Mean Time to Clean Recovery" (MTCR) messen. Für kritische Einrichtungen gilt: Die Wiederherstellungszeit sollte unter sechs Stunden liegen – nur so bleibt der Betrieb nach einem Cyberangriff minimal handlungsfähig.

de | wirtschaft | 69475212 |