Am 17.03.2026 ist das Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen (KRITIS-Dachgesetz – KRITISDachG) in Kraft getreten. Es setzt die europäische CER-Richtlinie (Richtlinie (EU) 2022/2557) über die Resilienz kritischer Einrichtungen um und ergänzt den bislang vor allem auf IT- und Cybersicherheit ausgerichteten Schutz Kritischer Infrastrukturen nach dem BSI-Gesetz (BSIG) und der NIS-2-Richtlinie (NIS-2). Neben IT- und Cybersicherheit wird damit auch der physische Schutz von Anlagen, Standorten, Personal, Lieferketten und Betriebsabläufen zu einer verbindlichen Betreiberpflicht.
Für betroffene Unternehmen ist das mehr als ein weiteres Sicherheitsgesetz. Das KRITIS-Dachgesetz ist auch eine Frage ordnungsgemäßer Unternehmensorganisation: Es macht physische Resilienz zur Aufgabe der Betreiberorganisation und nimmt ausdrücklich auch die Geschäftsleitung in die Pflicht. Der All-Gefahren-Ansatz des Gesetzes trägt einer veränderten Sicherheitslage Rechnung, in der auch physische Angriffe, Sabotageakte und hybride Bedrohungen die Funktionsfähigkeit zentraler Versorgungsstrukturen beeinträchtigen können.
Unmittelbare Adressaten des KRITIS-Dachgesetzes sind Betreiber kritischer Anlagen in zentralen Sektoren wie Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Ob eine konkrete Anlage tatsächlich als kritische Anlage gilt, hängt jedoch nicht allein vom Sektor ab. Entscheidend ist, ob sie für die Erbringung einer kritischen Dienstleistung erheblich ist. Die konkrete Bestimmung der kritischen Dienstleistungen, Anlagenkategorien und Schwellenwerte bleibt einer Rechtsverordnung des Bundesministeriums des Innern vorbehalten. Hierzu liegt seit dem 26.05.2026 ein Referentenentwurf für eine KRITIS-Verordnung vor; das Verordnungsverfahren ist noch nicht abgeschlossen. Der im Gesetz genannte Wert von grundsätzlich 500.000 zu versorgenden Einwohnern ist dabei nur ein Regelwert für die Festlegung der Schwellenwerte, kein unmittelbar anwendbarer Schwellenwert.
Unternehmen, die bereits heute als KRITIS-Betreiber eingeordnet sind oder in kritischen Sektoren tätig sind, sollten ihre mögliche Betroffenheit frühzeitig prüfen. Zusätzliche Komplexität kann sich künftig daraus ergeben, dass das Gesetz eine weitere Verordnungsermächtigung vorsieht: Danach können Kriterien und Verfahren festgelegt werden, nach denen die Länder auch Anlagen unterhalb der allgemeinen Schwellenwerte als kritisch feststellen können, sofern für die betroffene Dienstleistung eine Landesbehörde zuständig ist.
Mittelbar betroffen sein können zudem Unternehmen, die für Betreiber kritischer Anlagen wesentliche Leistungen erbringen oder in deren Betriebs-, Sicherheits- oder Notfallorganisation eingebunden sind, etwa IT- und Rechenzentrumsdienstleister, Facility-Management-Unternehmen, Sicherheitsdienstleister, Wartungs- und Instandhaltungsunternehmen, Bauunternehmen, Betreiber technischer Anlagen oder sonstige kritische Zulieferer. Sie werden regelmäßig nicht selbst unmittelbare Adressaten des KRITIS-Dachgesetzes sein, können aber über vertragliche Bestimmungen, Audit-Rechte, Informationspflichten und Meldeprozesse in die Resilienzorganisation des Betreibers einbezogen werden.
Das KRITIS-Dachgesetz sieht mehrere zeitlich gestaffelte Pflichten vor. Betreiber kritischer Anlagen müssen sich spätestens drei Monate, nachdem eine Anlage als kritisch eingestuft ist, beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren. Die Registrierungspflicht kann frühestens mit Ablauf des 17.07.2026 relevant werden und setzt voraus, dass die Anlage nach der erst noch zu erlassenden KRITIS-Verordnung als kritisch einzuordnen ist. Die Registrierung erfolgt dann über eine gemeinsame Registrierungsmöglichkeit des BBK und des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Die Pflicht zur Risikoanalyse und Risikobewertung greift erstmals neun Monate nach Registrierung. Danach müssen Betreiber mindestens alle vier Jahre sowie im Bedarfsfall prüfen, welchen natürlichen, technischen, menschlich verursachten oder hybriden Risiken ihre kritischen Dienstleistungen ausgesetzt sind.
Zehn Monate nach Registrierung greifen die Pflichten zu Resilienzmaßnahmen, Meldewesen und Geschäftsleitungsorganisation. Betreiber müssen verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen treffen, um Vorfälle zu verhindern, physischen Schutz zu gewährleisten, auf Vorfälle zu reagieren und die kritische Dienstleistung nach Vorfällen zügig wiederherzustellen. Die Maßnahmen sind in einem Resilienzplan darzustellen. In Betracht kommen insbesondere Notfallvorsorge, baulicher und organisatorischer Objektschutz, Zugangskontrollen, Überwachung, Alarm- und Krisenmanagement, Notstromversorgung, alternative Lieferketten sowie Schulungen und Übungen.
Vorfälle sind unverzüglich, spätestens 24 Stunden nach Kenntnis, über die gemeinsame Meldestelle von BBK und BSI zu melden. Spätestens einen Monat nach Kenntnis ist ein ausführlicher Bericht zu übermitteln. Unternehmen benötigen daher klare Eskalationswege, Zuständigkeiten und Entscheidungskriterien.
Besonders relevant ist § 20 KRITISDachG. Danach ist die Geschäftsleitung verpflichtet, die Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen. Physische Resilienz wird damit aus der operativen Sicherheitsorganisation auf die Ebene der Unternehmensleitung gehoben.
Das Bußgeldregime des KRITIS-Dachgesetzes setzt allerdings nicht bei allen Pflichten gleichermaßen an. § 24 KRITISDachG sanktioniert vor allem Verstöße gegen Verfahrens- und Mitwirkungspflichten, etwa gegen Registrierungs-, Nachweis-, Audit- oder Auskunftspflichten. Nicht unmittelbar als Ordnungswidrigkeit ausgestaltet sind dagegen Verstöße gegen die Risikoanalysepflichten, die materiellen Resilienzpflichten, die Meldepflichten oder die Geschäftsleitungspflichten.
Die praktische Steuerungswirkung des Gesetzes läuft deshalb nicht allein über Bußgelder. Wesentlich sind vielmehr behördliche Anordnungen, Nachweise, Audits, Mängelbeseitigungspläne, das parallele BSI-Regime für die digitale Seite und die gesellschaftsrechtliche Organisations- und Innenhaftung der Geschäftsleitung.
Das KRITIS-Dachgesetz kann auch bei M&A-Transaktionen, Infrastrukturprojekten und immobiliennahen Geschäftsmodellen relevant werden. In der Legal Due Diligence wird künftig verstärkt zu prüfen sein, ob eine Zielgesellschaft oder eine ihrer Anlagen in den KRITIS-Anwendungsbereich fällt, ob Risikoanalyse, Resilienzplan oder Meldeprozesse bestehen und ob offene behördliche Anforderungen oder relevante Vorfälle vorliegen. Auch Kosten für Nachrüstung, bauliche Sicherung, Notstromversorgung, Zutrittskontrollen, Überwachung oder organisatorische Maßnahmen können bewertungs- und transaktionsrelevant werden. Je nach Befund können Garantien, Freistellungen, Closing Conditions oder Covenants im Kaufvertrag erforderlich sein.
Relevanz besteht zudem für Betreiber-, Miet-, Facility-Management-, Bau-, Wartungs-, Sicherheits- und IT-Dienstleistungsverträge. Wer für einen Betreiber kritischer Anlagen etwa Zutrittskontrollen, Objektschutz, Wartung sicherheitsrelevanter Anlagen, IT- oder Rechenzentrumsleistungen oder Notfallprozesse übernimmt, wird faktisch Teil des Resilienzkonzepts – auch ohne selbst Adressat des Gesetzes zu sein. Die Einbindung erfolgt in diesen Fällen vor allem über vertragliche Resilienz-, Audit-, Informations- und Mitwirkungspflichten. Hinzu kommt, dass Betreiber ihre eigenen Nachweis-, Audit- und Meldepflichten nur erfüllen können, wenn auch Dienstleister über abgestimmte Eskalations- und Informationsprozesse verfügen. Bestandsverträge können daher nachverhandelt werden; Neuverträge werden voraussichtlich häufiger entsprechende Regelungen enthalten.
Betroffene und potenziell betroffene Unternehmen sollten kurzfristig insbesondere
Das KRITIS-Dachgesetz markiert den Schritt von einer primär IT-zentrierten KRITIS-Regulierung hin zu einem umfassenderen Schutz kritischer Anlagen. Es macht physische Resilienz zur gesetzlichen Betreiberpflicht – und zugleich zur Governance-Aufgabe. Betroffene und potenziell betroffene Unternehmen sollten deshalb zeitnah prüfen, ob Anlagen, Dienstleister, Verträge, Meldewege, interne Prozesse und Governance-Strukturen auf die neuen Anforderungen vorbereitet sind. KRITIS-Compliance sollte dabei nicht isoliert betrachtet werden: Physische Sicherheit, Cybersicherheit nach BSIG/NIS-2 und die Verantwortung der Geschäftsleitung müssen sinnvoll ineinandergreifen.
Physische Resilienz ist künftig kein Randthema der Sicherheitsabteilung mehr. Sie wird Bestandteil ordnungsgemäßer Unternehmensorganisation.
2026
Ein Unfallverursacher bzw. dessen Haftpflichtversicherer muss dem Geschädigten auch solche Kosten ersetzen, die dadurch entstehen, dass eine Fachwerkstatt das Fahrzeug unsachgemäß, zu umfangreich oder zu teuer repariert. Insoweit trägt der Schädiger das sogenannte Werkstattrisiko. Der Geschädigte muss allerdings im Gegenzug etwaige Ansprüche gegen die Werkstatt an den Versicherer abtreten.
Das Oberlandesgericht Düsseldorf hat in einem Beschluss vom 14.10.2026 klargestellt, dass nach wirksamer Zuschlagserteilung grundsätzlich kein vergaberechtlicher Primärrechtsschutz mehr zur Verfügung steht. Im entschiedenen Fall hatte ein öffentlicher Auftraggeber Beförderungsleistungen europaweit ausgeschrieben und vergeben. Im Vertrag hatte er sich eine einseitige Verlängerungsoption um ein Jahr vorbehalten. Obwohl der Auftragnehmer wegen erheblicher Kostensteigerungen eine Verlängerung des Vertrags über die ursprünglich vereinbarte Laufzeit hinaus kurz vor deren Ablauf ablehnte, übte der Auftraggeber die Option aus.
Ein Schulträger schrieb für mehrere Schulen 665 Tablets aus und gab dabei Apple-iPads vor. Samsung, das sich durch die produktspezifische Vorgabe an einer Bewerbung gehindert sah, beanstandete die nicht produktneutrale Ausschreibung und den damit einhergehenden Ausschluss anderer Hersteller. Die Stadt als öffentlicher Auftraggeber berief sich für die verpflichtende Vorgabe der iPads u. a. auf das vorhandene, nur mit Apple-Geräten kompatible Mobile-Device-Management-System, den Aufwand eines Systemwechsels und mögliche Schwierigkeiten bei einem Mischbetrieb.
Mit Beschluss vom 02.09.2026 gab das Oberlandesgericht Düsseldorf Samsung Recht: Eine produktspezifische Ausschreibung sei zwar ausnahmsweise möglich, etwa wenn andernfalls ein unverhältnismäßiger Mehraufwand oder eine nicht hinnehmbare Beeinträchtigung der Funktionalität drohe. Die dafür angeführten Gründe müssten jedoch konkret, nachvollziehbar und gegebenenfalls belegt sein. Pauschale Hinweise auf zusätzliche Arbeit, mögliche Kompatibilitätsprobleme und Systemrisiken genügten nicht. Auch der behauptete Umstellungsaufwand und die angesetzten Kosten für das Mobile-Device-Management-System seien vom Auftraggeber nicht plausibel belegt.
Das Oberlandesgericht Düsseldorf hob die Entscheidung der Vergabekammer auf und verpflichtete den Auftraggeber, das Verfahren bei fortbestehender Beschaffungsabsicht in den Stand vor der Bekanntmachung zurückzuversetzen. Die Vergabestelle muss die Tablets nun entweder produktneutral ausschreiben oder aber konkrete Gründe nennen, die eine produktspezifische Ausschreibung rechtfertigen. Wer als öffentlicher Auftraggeber ein bestimmtes Produkt vorgeben will, muss die Ausnahme von der Produktneutralität mit konkreten Tatsachen und belastbaren Berechnungen begründen und diese Gründe im Vergabevermerk dokumentieren. Allgemeine Hinweise auf Probleme und Schwierigkeiten, die beim Einsatz anderer Produkte entstehen können, reichen als Begründung nicht aus.
Kündigt ein Vermieter ein Wohnraummietverhältnis fristlos außerordentlich aus wichtigem Grund, hilfsweise ordentlich, ohne dazu in der Sache berechtigt zu sein und nimmt er den Mieter dennoch auf Räumung und Herausgabe der Wohnung in Anspruch, kann die Geltendmachung dieser unberechtigten Ansprüche zu einem Schadenersatzanspruch des Mieters führen. Nach der Rechtsprechung des Bundesgerichtshofes kann sich daher ein Vermieter schadenersatzpflichtig machen, wenn er schuldhaft eine in der Sache unberechtigte Kündigung ausspricht, dem Mieter dadurch die weitere Nutzung der Wohnung vorwerfbar streitig macht und dem Mieter aufgrund dessen ein Schaden entsteht. Kein Schadenersatzanspruch des Mieters entsteht allerdings, wenn die Kündigung in der Sache berechtigt ist und ihre Wirksamkeit lediglich aus formalen Gründen scheitert. Dies hat der Bundesgerichtshof in einer aktuellen Entscheidung bestätigt.
Bei Transaktionen liegt der fusionskontrollrechtliche Fokus häufig darauf, in welchen Ländern eine Anmeldepflicht besteht, ob mit einer längeren Prüfung durch die Kartellbehörden zu rechnen ist und welche Maßnahmen bis zur Freigabe getroffen werden können. Zunehmend rückt aber ein weiteres Thema in den Vordergrund: Die Frage, wie Unternehmen mit Informationen gegenüber der Kartellbehörde umgehen. Zwei aktuelle Entscheidungen zeigen, dass Kartellbehörden die Integrität von Fusionskontrollverfahren mit großer Konsequenz schützen.
