Am 17.03.2026 ist das Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen (KRITIS-Dachgesetz – KRITISDachG) in Kraft getreten. Es setzt die europäische CER-Richtlinie (Richtlinie (EU) 2022/2557) über die Resilienz kritischer Einrichtungen um und ergänzt den bislang vor allem auf IT- und Cybersicherheit ausgerichteten Schutz Kritischer Infrastrukturen nach dem BSI-Gesetz (BSIG) und der NIS-2-Richtlinie (NIS-2). Neben IT- und Cybersicherheit wird damit auch der physische Schutz von Anlagen, Standorten, Personal, Lieferketten und Betriebsabläufen zu einer verbindlichen Betreiberpflicht.
Für betroffene Unternehmen ist das mehr als ein weiteres Sicherheitsgesetz. Das KRITIS-Dachgesetz ist auch eine Frage ordnungsgemäßer Unternehmensorganisation: Es macht physische Resilienz zur Aufgabe der Betreiberorganisation und nimmt ausdrücklich auch die Geschäftsleitung in die Pflicht. Der All-Gefahren-Ansatz des Gesetzes trägt einer veränderten Sicherheitslage Rechnung, in der auch physische Angriffe, Sabotageakte und hybride Bedrohungen die Funktionsfähigkeit zentraler Versorgungsstrukturen beeinträchtigen können.
Unmittelbare Adressaten des KRITIS-Dachgesetzes sind Betreiber kritischer Anlagen in zentralen Sektoren wie Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Ob eine konkrete Anlage tatsächlich als kritische Anlage gilt, hängt jedoch nicht allein vom Sektor ab. Entscheidend ist, ob sie für die Erbringung einer kritischen Dienstleistung erheblich ist. Die konkrete Bestimmung der kritischen Dienstleistungen, Anlagenkategorien und Schwellenwerte bleibt einer Rechtsverordnung des Bundesministeriums des Innern vorbehalten. Hierzu liegt seit dem 26.05.2026 ein Referentenentwurf für eine KRITIS-Verordnung vor; das Verordnungsverfahren ist noch nicht abgeschlossen. Der im Gesetz genannte Wert von grundsätzlich 500.000 zu versorgenden Einwohnern ist dabei nur ein Regelwert für die Festlegung der Schwellenwerte, kein unmittelbar anwendbarer Schwellenwert.
Unternehmen, die bereits heute als KRITIS-Betreiber eingeordnet sind oder in kritischen Sektoren tätig sind, sollten ihre mögliche Betroffenheit frühzeitig prüfen. Zusätzliche Komplexität kann sich künftig daraus ergeben, dass das Gesetz eine weitere Verordnungsermächtigung vorsieht: Danach können Kriterien und Verfahren festgelegt werden, nach denen die Länder auch Anlagen unterhalb der allgemeinen Schwellenwerte als kritisch feststellen können, sofern für die betroffene Dienstleistung eine Landesbehörde zuständig ist.
Mittelbar betroffen sein können zudem Unternehmen, die für Betreiber kritischer Anlagen wesentliche Leistungen erbringen oder in deren Betriebs-, Sicherheits- oder Notfallorganisation eingebunden sind, etwa IT- und Rechenzentrumsdienstleister, Facility-Management-Unternehmen, Sicherheitsdienstleister, Wartungs- und Instandhaltungsunternehmen, Bauunternehmen, Betreiber technischer Anlagen oder sonstige kritische Zulieferer. Sie werden regelmäßig nicht selbst unmittelbare Adressaten des KRITIS-Dachgesetzes sein, können aber über vertragliche Bestimmungen, Audit-Rechte, Informationspflichten und Meldeprozesse in die Resilienzorganisation des Betreibers einbezogen werden.
Das KRITIS-Dachgesetz sieht mehrere zeitlich gestaffelte Pflichten vor. Betreiber kritischer Anlagen müssen sich spätestens drei Monate, nachdem eine Anlage als kritisch eingestuft ist, beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren. Die Registrierungspflicht kann frühestens mit Ablauf des 17.07.2026 relevant werden und setzt voraus, dass die Anlage nach der erst noch zu erlassenden KRITIS-Verordnung als kritisch einzuordnen ist. Die Registrierung erfolgt dann über eine gemeinsame Registrierungsmöglichkeit des BBK und des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Die Pflicht zur Risikoanalyse und Risikobewertung greift erstmals neun Monate nach Registrierung. Danach müssen Betreiber mindestens alle vier Jahre sowie im Bedarfsfall prüfen, welchen natürlichen, technischen, menschlich verursachten oder hybriden Risiken ihre kritischen Dienstleistungen ausgesetzt sind.
Zehn Monate nach Registrierung greifen die Pflichten zu Resilienzmaßnahmen, Meldewesen und Geschäftsleitungsorganisation. Betreiber müssen verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen treffen, um Vorfälle zu verhindern, physischen Schutz zu gewährleisten, auf Vorfälle zu reagieren und die kritische Dienstleistung nach Vorfällen zügig wiederherzustellen. Die Maßnahmen sind in einem Resilienzplan darzustellen. In Betracht kommen insbesondere Notfallvorsorge, baulicher und organisatorischer Objektschutz, Zugangskontrollen, Überwachung, Alarm- und Krisenmanagement, Notstromversorgung, alternative Lieferketten sowie Schulungen und Übungen.
Vorfälle sind unverzüglich, spätestens 24 Stunden nach Kenntnis, über die gemeinsame Meldestelle von BBK und BSI zu melden. Spätestens einen Monat nach Kenntnis ist ein ausführlicher Bericht zu übermitteln. Unternehmen benötigen daher klare Eskalationswege, Zuständigkeiten und Entscheidungskriterien.
Besonders relevant ist § 20 KRITISDachG. Danach ist die Geschäftsleitung verpflichtet, die Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen. Physische Resilienz wird damit aus der operativen Sicherheitsorganisation auf die Ebene der Unternehmensleitung gehoben.
Das Bußgeldregime des KRITIS-Dachgesetzes setzt allerdings nicht bei allen Pflichten gleichermaßen an. § 24 KRITISDachG sanktioniert vor allem Verstöße gegen Verfahrens- und Mitwirkungspflichten, etwa gegen Registrierungs-, Nachweis-, Audit- oder Auskunftspflichten. Nicht unmittelbar als Ordnungswidrigkeit ausgestaltet sind dagegen Verstöße gegen die Risikoanalysepflichten, die materiellen Resilienzpflichten, die Meldepflichten oder die Geschäftsleitungspflichten.
Die praktische Steuerungswirkung des Gesetzes läuft deshalb nicht allein über Bußgelder. Wesentlich sind vielmehr behördliche Anordnungen, Nachweise, Audits, Mängelbeseitigungspläne, das parallele BSI-Regime für die digitale Seite und die gesellschaftsrechtliche Organisations- und Innenhaftung der Geschäftsleitung.
Das KRITIS-Dachgesetz kann auch bei M&A-Transaktionen, Infrastrukturprojekten und immobiliennahen Geschäftsmodellen relevant werden. In der Legal Due Diligence wird künftig verstärkt zu prüfen sein, ob eine Zielgesellschaft oder eine ihrer Anlagen in den KRITIS-Anwendungsbereich fällt, ob Risikoanalyse, Resilienzplan oder Meldeprozesse bestehen und ob offene behördliche Anforderungen oder relevante Vorfälle vorliegen. Auch Kosten für Nachrüstung, bauliche Sicherung, Notstromversorgung, Zutrittskontrollen, Überwachung oder organisatorische Maßnahmen können bewertungs- und transaktionsrelevant werden. Je nach Befund können Garantien, Freistellungen, Closing Conditions oder Covenants im Kaufvertrag erforderlich sein.
Relevanz besteht zudem für Betreiber-, Miet-, Facility-Management-, Bau-, Wartungs-, Sicherheits- und IT-Dienstleistungsverträge. Wer für einen Betreiber kritischer Anlagen etwa Zutrittskontrollen, Objektschutz, Wartung sicherheitsrelevanter Anlagen, IT- oder Rechenzentrumsleistungen oder Notfallprozesse übernimmt, wird faktisch Teil des Resilienzkonzepts – auch ohne selbst Adressat des Gesetzes zu sein. Die Einbindung erfolgt in diesen Fällen vor allem über vertragliche Resilienz-, Audit-, Informations- und Mitwirkungspflichten. Hinzu kommt, dass Betreiber ihre eigenen Nachweis-, Audit- und Meldepflichten nur erfüllen können, wenn auch Dienstleister über abgestimmte Eskalations- und Informationsprozesse verfügen. Bestandsverträge können daher nachverhandelt werden; Neuverträge werden voraussichtlich häufiger entsprechende Regelungen enthalten.
Betroffene und potenziell betroffene Unternehmen sollten kurzfristig insbesondere
Das KRITIS-Dachgesetz markiert den Schritt von einer primär IT-zentrierten KRITIS-Regulierung hin zu einem umfassenderen Schutz kritischer Anlagen. Es macht physische Resilienz zur gesetzlichen Betreiberpflicht – und zugleich zur Governance-Aufgabe. Betroffene und potenziell betroffene Unternehmen sollten deshalb zeitnah prüfen, ob Anlagen, Dienstleister, Verträge, Meldewege, interne Prozesse und Governance-Strukturen auf die neuen Anforderungen vorbereitet sind. KRITIS-Compliance sollte dabei nicht isoliert betrachtet werden: Physische Sicherheit, Cybersicherheit nach BSIG/NIS-2 und die Verantwortung der Geschäftsleitung müssen sinnvoll ineinandergreifen.
Physische Resilienz ist künftig kein Randthema der Sicherheitsabteilung mehr. Sie wird Bestandteil ordnungsgemäßer Unternehmensorganisation.
2026
Wer ein Geschäft finanziert, Mietverträge unterschreibt oder Betriebsmittel stellt, ist noch lange nicht Inhaber des Firmennamens: Das Oberlandesgericht Stuttgart (Az. 2 U 32/25) hat in einem Grundsatzbeschluss bekräftigt, dass das Recht am Unternehmenskennzeichen originär allein in der Person entsteht, die im Außenverhältnis – etwa im Impressum und auf Werbematerialien – als Betreiber auftritt.
Darf der Name einer weltberühmten Persönlichkeit als Marke monopolisiert werden? Die Große Beschwerdekammer des Amts der EU für Geistiges Eigentum (EUIPO) hat in einer Grundsatzentscheidung zur Marke „GEORGE ORWELL“ (Az. R 2248/2019-G) eine Unterscheidung getroffen, die auch für andere Marken wichtig sein kann: Maßgeblich für die Beantwortung der Frage ist, ob die beanspruchte Ware überhaupt einen geistigen Inhalt haben kann. Während Medien, Bücher und Bildungsangebote am Schutzhindernis des beschreibenden Inhalts scheitern, bleibt der Weg für klassische Konsumgüter grundsätzlich offen.
Der Europäische Gerichtshof (EuGH; Az. C-657/24 – Kyberg Pharma) hat zur Lebensmittel- und Nahrungsergänzungsmittel-Werbung klargestellt: Wer mit gesundheitsbezogenen Angaben (Health Claims) wirbt, muss die gesetzlichen Pflichtinformationen nach Art. 10 Abs. 2 der Health-Claims-Verordnung nicht zwingend in jeder schriftlichen Werbeanzeige wiederholen – vorausgesetzt, die Produktverpackung selbst ist ordnungsgemäß gekennzeichnet.
2026
Ein Unfallverursacher bzw. dessen Haftpflichtversicherer muss dem Geschädigten auch solche Kosten ersetzen, die dadurch entstehen, dass eine Fachwerkstatt das Fahrzeug unsachgemäß, zu umfangreich oder zu teuer repariert. Insoweit trägt der Schädiger das sogenannte Werkstattrisiko. Der Geschädigte muss allerdings im Gegenzug etwaige Ansprüche gegen die Werkstatt an den Versicherer abtreten.
Das Oberlandesgericht Düsseldorf hat in einem Beschluss vom 14.10.2026 klargestellt, dass nach wirksamer Zuschlagserteilung grundsätzlich kein vergaberechtlicher Primärrechtsschutz mehr zur Verfügung steht. Im entschiedenen Fall hatte ein öffentlicher Auftraggeber Beförderungsleistungen europaweit ausgeschrieben und vergeben. Im Vertrag hatte er sich eine einseitige Verlängerungsoption um ein Jahr vorbehalten. Obwohl der Auftragnehmer wegen erheblicher Kostensteigerungen eine Verlängerung des Vertrags über die ursprünglich vereinbarte Laufzeit hinaus kurz vor deren Ablauf ablehnte, übte der Auftraggeber die Option aus.
