KRITIS-Dachgesetz – Was hat sich im Wesentlichen mit dem neuen Referentenentwurf geändert?

Auch der Pflichtenkatalog des Gesetzes wurde überarbeitet. Insoweit kam es zu bestimmten Erleichterungen, gleichzeitig aber wurde der Pflichtenkatalog auch erweitert und verschärft.

 

Die Registrierung hat nun erst innerhalb von drei Monaten nach erstmaliger oder erneuter Geltung als Betreiber kritischer Anlagen zu erfolgen, nicht wie zuvor bereits am Werktag nach Erreichung des Schwellenwertes. Wenn das BBK davon ausgeht, dass ein Betreiber der Registrierungspflicht nicht nachgekommen ist, kann die Behörde die für die Bewertung erforderlichen Unterlagen und Auskünfte verlangen.

 

Die Anforderungen bzgl. der Resilienzmaßnahmen und Risikoanalysen bleiben im Wesentlichen bestehen, wurden aber konkretisiert. Dem Zweck des Gesetzes entsprechend sind Betreiber kritischer Anlagen wie bereits zuvor zu umfassenden Resilienzmaßnahmen verpflichtet. So sind mindestens alle vier Jahre Risikoanalysen und Risikobewertungen auf Grundlage der von den Behörden zu erstellenden nationalen Analysen durchzuführen. Die Betreiber der kritischen Anlagen sind verpflichtet, geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zur Gewährleistung ihrer Resilienz zu treffen. Neu ist hier die Auflistung detaillierterer Beispielmaßnahmen, die getroffen werden können. Genannt werden u.a. Maßnahmen zur Anpassung an den Klimawandel, Maßnahmen des Objektschutzes, darunter das Aufstellen von Zäunen und Sperren, der Einsatz von Detektionsgeräten, Zugangskontrollen, Risiko- und Krisenmanagementmaßnahmen und -protokolle, die Ermittlung alternativer Lieferketten, um die Erbringung wesentlicher Dienste im Ernstfall wieder aufnehmen zu können sowie Schulungen und die Bereitstellung von Informationsmaterial. Die getroffenen Maßnahmen müssen zudem in einem Resilienzplan festgehalten werden. Aus diesem Plan müssen die den Maßnahmen zugrunde liegenden Erwägungen einschließlich der Risikoanalysen und Risikobewertungen hervorgehen.

 

Eine obligatorische regelmäßige Nachweispflicht besteht nach dem neuen Entwurf nun nicht mehr. Schrieb der vorangegangene Entwurf noch einen Nachweis über die Implementierung der Resilienzmaßnahmen alle zwei Jahre vor, muss ein Nachweis nun nur noch auf Anforderung durch die zuständigen Behörden erfolgen. Da hier aber in der Regel nur kurze Zeiträume zwischen Anforderung und Frist zur Einreichung vorliegen, empfehlen wir einen Nachweis dennoch alle zwei Jahre durchzuführen, selbst wenn er nicht einzureichen ist.

 

Im Zusammenhang mit der Meldepflicht sind Vorfälle, welche die Erbringung kritischer Dienstleistungen erheblich stören oder erheblich stören könnten, nun unverzüglich an eine vom BBK und BSI eingerichtete gemeinsame zentrale Meldestelle zu melden.

 

Zusätzlich eingefügt wurde eine Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleiter, wie sie zuletzt auch im NIS2 Umsetzungsgesetzesentwurf gefordert ist. Auf Anfrage der zuständigen Aufsichtsbehörde ist darüber Nachweis zu führen. Besonders bemerkenswert hier die Haftungspflicht des Geschäftsleiters bei Verletzung der Billigungs- und Überwachungspflicht. Ein Verzicht des Betreibers auf Ersatzansprüche gegenüber dem Geschäftsleiter oder ein Vergleich sind  – mit Ausnahme im Fall der Zahlungsunfähigkeit und der durch Verzicht oder Vergleich bezweckten Abwendung der Insolvenz – ausdrücklich untersagt.

 

Der Geltungsbeginn bestimmter Pflichten ist nun zentral geregelt. Die Risikoanalysen sind erstmalig 9 Monate nach Registrierung durchzuführen. Die Resilienzmaßnahmen sind mit Ablauf von 10 Monaten nach Registrierung umzusetzen. Die Pflicht auf Anforderung Nachweise über die Implementierung der Resilienzmaßnahmen zu erbringen sowie Vorfälle zu melden tritt ebenfalls mit Ablauf von 10 Monaten nach Registrierung in Kraft.

 

Interessant zu wissen ist, dass das BBK im Einvernehmen mit dem BSI nun einen Katalog mit den sektorenübergreifenden Mindestanforderungen erstellen und veröffentlichen soll sowie den Einrichtungen Mustervorlagen für die Resilienzpläne vorlegen kann.