Kritische Anmerkungen zum Resilienz-Gesetzentwurf

Berlin: (hib/FLA) Zum Gesetzesvorhaben der Bundesregierung zur Stärkung der physischen Sicherheit kritischer Anlagen haben Experten eine Reihe von Einwänden. Das zeigte sich am Montagnachmittag bei einer Anhörung im Innenausschuss. Es ging um einen Gesetzentwurf der Bundesregierung „zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen“ (21/2510) sowie um einen Antrag der Fraktion Bündnis 90/Die Grünen mit dem Titel „Deutschland resilient machen - Für einen ganzheitlichen Schutz unserer kritischen Infrastruktur“ (21/2725).

Manuel 'HonkHase' Atug, Gründer und Sprecher der AG KRITIS, meinte, auch mit dem aktuellen Entwurf zum Kritis-Dachgesetz bleibe Deutschland weiterhin peinlich hinter dem Ziel zurück, das sich aus den EU-Vorgaben zu defensiver physischer Resilienz und Cyberresilienz ergebe. Die Verantwortlichen für die Sicherheit in Deutschland scheinen nach seiner Ansicht mit Vorsatz keine Handlungen aus den hybriden Gefährdungen der letzten Monate ableiten zu wollen. Dem Bundesinnenministerium warf er vorsätzliche Arbeitsverweigerung und damit vorsätzliche Gefährdung von Menschenleben vor.

Alexander Averhoff, Deutscher Städte- und Gemeindebund, erklärte, Resilienzstrategien, umfassende Prävention und effektiver Bevölkerungsschutz seien große Herausforderungen für die Kommunen und die Betreiber kritischer Infrastruktur. Er sehe kritisch, dass im Gesetzentwurf aber „die Kommunen komplett raus“ seien. Die vorgesehenen Umsetzungsfristen seien den Kommunen zu kurz. Sie wünschten sich eine Verlängerung auf 24 Monate. Bund und Länder müssten den Kommunen angemessene finanzielle Mittel bereitstellen.

Mathias Böswetter, BDEW Bundesverband der Energie- und Wasserwirtschaft, befand, der Gesetzentwurf schaffe erstmals einen sektorenübergreifenden Rechtsrahmen für den physischen Schutz kritischer Anlagen und ergänze damit das bestehende IT-Sicherheitsrecht für die kritischen Infrastrukturen. Dieses Ziel begrüße sein Verband ausdrücklich. Insbesondere die wirtschaftliche Umsetzung der Maßnahmen sei entscheidend für eine nachhaltige Resilienzsteigerung bei den kritischen Infrastrukturen und eine gesamtgesellschaftliche Aufgabe. Wirtschaft und Gesellschaft seien auf eine wirtschaftliche Versorgung mit Energie und Wasser sowie eine gesicherte Abwasserentsorgung angewiesen. Der Bund dürfe die Betreiber bei der akuten Drohnenbedrohung nicht allein lassen. Drohnenabwehr müsse hoheitliche Aufgabe bleiben.

Sylvia Borcherding, 50Hertz Transmission GmbH, wies darauf hin, dass der aktuelle Rechtsrahmen die Betreiber kritischer Infrastruktur in zahlreichen Verfahren zur umfassenden Offenlegung von Planungs- und Infrastrukturunterlagen verpflichte. Häufig müssten detaillierte Karten, technische Parameter, Standortinformationen, Leitungs- und Trassenverläufe sowie Infrastrukturen öffentlich zugänglich gemacht werden. Hier bestehe ein dringender gesetzgeberischer Handlungsbedarf, der durch das Kritis-Gesetzgebungsvorhaben nicht angegangen werde. Die bestehenden Transparenzpflichten seien im Lichte der aktuellen Bedrohungslage neu zu bewerten und anzupassen. Sie wünsche sich klare Regelungen für Finanzierung und Kosten, so Borcherding. Sie forderte einen bundesweit einheitlichen Rahmen zur Anerkennung und Refinanzierung von Resilienzkosten.

Professor Clemens Gause, Verband für Sicherheitstechnik, legte dar, für große Konzerne sei die Umsetzung des Kritis-Dachgesetzes ein Kraftakt, für viele kleine und mittlere Unternehmen indes nicht umsetzbar, weil es an finanziellen Mitteln mangele. Diese Unternehmen bildeten aber das Rückgrat der deutschen Wirtschaft und seien zunehmend ein Schlüssel zur Inneren Sicherheit, auch im Operationsplan Deutschland der Bundeswehr. Sein Verband fordere Bundesregierung und Abgeordnete auf, klare Maßnahmen zur Unterstützung der Industrie und des Mittelstands zu ergreifen. Dazu zählte er neben zinsgünstigen KfW-Krediten gezielte Steuerentlastungen sowie direkte Förderprogramme. Er regte an, die Sicherheitswirtschaft als Wirtschaftsfaktor in Deutschland nach vorne zu bringen.

Jürgen Harrer, Universität der Bundeswehr München, erklärte, der Gesetzentwurf sei mit den gesetzten Schwerpunkten grundsätzlich auf dem richtigen Weg. Neben den bereits vorhandenen Mindeststandards im Bereich der digitalen Sicherheit würden nun endlich auch Mindeststandards für den Bereich der physischen Sicherheit kritischer Infrastrukturen formuliert. Der Gesetzentwurf könne dazu beitragen, die Resilienz der Kritis-Betriebe und damit auch die Resilienz der Wertschöpfungs- und Lieferketten der deutschen Wirtschaft zu stärken. Harrer warf einen Blick auf die Kosten. Kleine und mittlere Betriebe dürften nicht überlastet werden. Unterstützungen etwa durch Sonderkredite oder Sonderabschreibungen hielt er für sinnvoll.

Professor Dennis-Kenji Kipker, Universität Bremen, cyberintelligence.institute, Frankfurt am Main, nannte den Entwurf des Kritis-Dachgesetzes einen wichtigen, aber bislang unvollständigen Schritt hin zu einem kohärenten Schutz kritischer Infrastruktur. So sei eine einheitliche und integrierte Kritis- und IT-Sicherheitsarchitektur vonnöten. Das nationale IT-Sicherheitsrecht sei bislang fragmentiert und vielfach nicht hinreichend aufeinander abgestimmt. Die Einbeziehung der öffentlichen Verwaltung in den Schutzbereich müsse konsequent fortgeführt werden. Die bisherige Ausklammerung weiter Teile der Bundesverwaltung sowie der Landes- und Kommunalverwaltungen führe zu systematischen Schutzlücken und einem uneinheitlichen Resilienzniveau. Er machte sich stark für ein Kritis-Dachgesetz, das digitale und physische Sicherheit bündele. Dadurch sollten Doppelstrukturen vermieden werden.

Kerstin Petretto, BDI Bundesverband der Deutschen Industrie, monierte, dass es keine Abgrenzung der Zuständigkeiten zwischen den beteiligten Aufsichtsbehörden gebe. Insbesondere die Rolle der Bundesländer bleibe unklar. Da sie auch abseits des Kritis-Dachgesetzes über Regelungskompetenzen verfügten, drohten Schnittstellenprobleme und Doppelstrukturen. Sie kritisierte, dass ein erheblicher Teil der Bundesverwaltung vom Gesetz ausgenommen und Landesverwaltungen erst gar nicht adressiert worden seien. Infrastrukturen im Kritis-Sektor Staat und Verwaltung unterlägen damit keinen Anforderungen. Sie seien jedoch wie Unternehmen physischen Risiken ausgesetzt. Petretto beanstandete, dass die neuen Bedrohungen nicht adressiert würden. Im Zusammenhang mit Drohnenüberflügen sprach sie von einer Rechtslücke.

Christian Stuffrein, Deutscher Landkreistag, der auch für den Deutschen Städtetag sprach, begrüßte, dass verbindliche nationale Regeln für Betreiber kritischer Infrastrukturen geschaffen werden sollen. Problematisch sei, dass im Gesetzentwurf der Bundesregierung der Bereich Staat und Verwaltung im Geltungsbereich fehle. Er müsse in die Auflistung der Kritis-Sektoren aufgenommen werden. Die Städte und Landkreise forderten eine angemessene kommunale Finanzausstattung und laufende Finanzierung zur Stärkung der Resilienz. Eine Finanzierung durch Anhebung der Kommunalabgaben sei nicht sachgerecht. Der Schwellenwert von 500.000 versorgten Einwohnern sei viel zu hoch. Damit würde das Gesetz keine Anwendung für Einrichtungen in der deutlichen Mehrheit der Kommunen enthalten. Denkbar sei der vom Bundesrat eingebrachte Schwellenwert von 150.000 versorgten Einwohnern.