Artikel 2 - Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen (KRITISDachGEG k.a.Abk.)

G. v. 11.03.2026 BGBl. 2026 I Nr. 66; Geltung ab 17.03.2026, abweichend siehe Artikel 11

Artikel 2 Änderung des Energiewirtschaftsgesetzes

Das Energiewirtschaftsgesetz vom 7. Juli 2005 (BGBl. I S. 1970, 3621), das zuletzt durch Artikel 2 des Gesetzes vom 22. Dezember 2025 (BGBl. 2025 I Nr. 351) geändert worden ist, wird wie folgt geändert:

1. Die Inhaltsübersicht wird wie folgt geändert:

a) Nach der Angabe zu § 5e wird die folgende Angabe eingefügt:

„§ 5f Nachweise und behördliche Anordnungen zu Resilienzpflichten nach dem KRITIS-Dachgesetz; Festlegungskompetenz".

b) Die Angabe zu § 12g wird durch die folgende Angabe ersetzt:

„§ 12g (weggefallen)".

2. Nach § 5e wird der folgende § 5f eingefügt:

„§ 5f Nachweise und behördliche Anordnungen zu Resilienzpflichten nach dem KRITIS-Dachgesetz; Festlegungskompetenz

(1) Ein Betreiber kritischer Anlagen nach § 2 Nummer 1 des KRITIS-Dachgesetzes vom 11. März 2026 (BGBl. 2026 I Nr. 66), der für die Erbringung einer kritischen Dienstleistung nach § 2 Nummer 4 des KRITIS-Dachgesetzes in einem der in § 3 Absatz 2 Nummer 2 Buchstabe a bis c des KRITIS-Dachgesetzes bestimmten Bereiche erheblich ist, hat die Einhaltung der Verpflichtungen nach § 13 Absatz 1 des KRITIS-Dachgesetzes zum Zwecke des Nachweises zu dokumentieren. Die Bundesnetzagentur kann verlangen, dass der Nachweis zur Einhaltung der Verpflichtung nach § 13 Absatz 1 des KRITIS-Dachgesetzes durch ein Zertifikat auf der Grundlage eines Audits nach Absatz 2 erbracht wird. Der Betreiber nach Satz 1 hat die Einhaltung der Verpflichtung nach § 13 Absatz 1 des KRITIS-Dachgesetzes der Bundesnetzagentur nach Maßgabe des Absatzes 3 Satz 1 und 2 nachzuweisen.

(2) Die Bundesnetzagentur kann zum Zwecke der Überprüfung, ob die Verpflichtungen nach § 13 Absatz 1 des KRITIS-Dachgesetzes durch den in Absatz 1 genannten Betreiber eingehalten werden, im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe durch Festlegung nach § 29 Absatz 1 in einem Sicherheitskatalog für die physische Resilienz Bestimmungen treffen:

1. zur Durchführung der Zertifizierung einschließlich des Audits,

2. zu fachlichen und organisatorischen Anforderungen an die zertifizierende Stelle,

3. zu Format, Inhalt und Gestaltung von Nachweisen,

4. zur Behebung von Mängeln bei der Einhaltung der Verpflichtungen nach § 13 Absatz 1 des KRITIS-Dachgesetzes,

5. zum Schutz von Handels- und Geschäftsgeheimnissen und

6. zur Überprüfung der Einhaltung der Verpflichtungen nach § 13 Absatz 1 des KRITIS-Dachgesetzes.

Soweit maritime Infrastrukturen in der ausschließlichen Wirtschaftszone nach § 2 Nummer 12 des KRITIS-Dachgesetzes in einem der in § 3 Absatz 2 Nummer 2 Buchstabe a bis c des KRITIS-Dachgesetzes bestimmten Bereiche betroffen sind, stellt die Bundesnetzagentur auch das Benehmen mit dem Bundesamt für Seeschifffahrt und Hydrographie her.

(3) Auf Verlangen der Bundesnetzagentur hat der Betreiber nach Absatz 1 die Dokumentation nach Absatz 1 Satz 1 und das Zertifikat nach Absatz 1 Satz 2 zu übermitteln. Die Bundesnetzagentur kann dabei auch die Vorlage der nach § 13 Absatz 1 des KRITIS-Dachgesetzes durchgeführten Risikoanalysen und Risikobewertungen sowie des Resilienzplans verlangen. § 8 Absatz 2 Satz 2 des KRITIS-Dachgesetzes ist entsprechend anzuwenden. Bei der Auswahl, von welchem Betreiber kritischer Anlagen Nachweise nach den Sätzen 1 und 2 angefordert werden, verfolgt die Bundesnetzagentur einen risikobasierten Ansatz. Sie wählt hierfür die Betreiber kritischer Anlagen anhand des Ausmaßes der Risikoexposition, der Größe des Betreibers kritischer Anlagen und der Eintrittswahrscheinlichkeit und Schwere von möglichen Vorfällen sowie deren möglichen gesellschaftlichen und wirtschaftlichen Auswirkungen aus. Soweit maritime Infrastrukturen in der ausschließlichen Wirtschaftszone nach § 2 Nummer 12 des KRITIS-Dachgesetzes in einem der in § 3 Absatz 2 Nummer 2 Buchstabe a bis c des KRITIS-Dachgesetzes bestimmten Bereiche betroffen sind, trifft die Bundesnetzagentur eine Anordnung nach den Sätzen 1 und 2 im Benehmen mit dem Bundesamt für Seeschifffahrt und Hydrographie.

(4) Die Bundesnetzagentur kann die Einhaltung der in § 13 Absatz 1 des KRITIS-Dachgesetzes geregelten Pflichten jederzeit überprüfen. Absatz 3 Satz 4 und 5 ist dabei entsprechend anzuwenden. Bei der Durchführung der Überprüfung kann die Bundesnetzagentur sich eines qualifizierten unabhängigen Dritten bedienen.

(5) Der Betreiber nach Absatz 1 hat der Bundesnetzagentur und den in ihrem Auftrag handelnden Personen zum Zweck der Überprüfung nach Absatz 4 das Betreten der Geschäfts- und Betriebsräume sowie Zugang zu Informationen, Systemen und Anlagen im Zusammenhang mit der Erbringung ihrer kritischen Dienstleistung während der üblichen Betriebszeiten zu gestatten und auf Verlangen die in Betracht kommenden Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen, Auskunft zu erteilen und die erforderliche Unterstützung zu gewähren. § 8 Absatz 2 Satz 2 des KRITIS-Dachgesetzes ist entsprechend anzuwenden.

(6) Die Bundesnetzagentur kann bei der Verletzung einer in § 13 des KRITIS-Dachgesetzes geregelten Pflicht von dem in Absatz 1 genannten Betreiber die Vorlage eines geeigneten Plans zur Beseitigung der Pflichtverletzung und die Durchführung von Maßnahmen zur Herstellung eines pflichtgemäßen Verhaltens innerhalb einer angemessenen Frist anordnen. Sie kann von dem in Absatz 1 genannten Betreiber auch die Vorlage eines geeigneten Nachweises der Beseitigung der Pflichtverletzung verlangen. Absatz 1 Satz 2, Absatz 4 Satz 1 und 3 und Absatz 5 sind entsprechend anzuwenden.

(7) Die Bundesnetzagentur beteiligt die betroffenen Betreiber nach Absatz 1 und die betroffenen Branchenverbände vor Festlegung des Sicherheitskatalogs für die physische Resilienz. Die Bundesnetzagentur überprüft den Sicherheitskatalog für die physische Resilienz alle zwei Jahre und aktualisiert ihn bei Bedarf."

3. In § 12f Absatz 2 Satz 1 wird die Angabe „§ 12g Absatz 4 in Verbindung mit" gestrichen.

4. § 12g wird gestrichen.

5. Nach § 59 Absatz 1 Satz 1 Nummer 1a wird die folgende Nummer 1b eingefügt:

„1b. die Erstellung und Überprüfung des Sicherheitskatalogs für die physische Resilienz nach § 5f Absatz 2,".

6. § 91 Absatz 1 Satz 1 wird wie folgt geändert:

a) In Nummer 4 wird die Angabe „auf Grund der §§ 5c Absatz 3 bis 5, der §§ 7c," durch die Angabe „auf Grund des § 5c Absatz 3 bis 5, des § 5f Absatz 2, der §§ 7c," ersetzt.

b) In Nummer 6 wird die Angabe „§ 12g Absatz 3 und" gestrichen.

7. § 95 wird wie folgt geändert:

a) Absatz 1 wird wie folgt geändert:

aa) Die Nummern 3f bis 3h werden durch die folgende Nummer 3f ersetzt:

„3f. entgegen § 5f Absatz 5 Satz 1 das Betreten eines Geschäfts- oder Betriebsraums oder einen dort genannten Zugang nicht gestattet, eine Aufzeichnung, ein Schriftstück oder eine Unterlage nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorlegt oder eine Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt,".

bb) Die Nummern 3i bis 3l werden zu den Nummern 3g bis 3j.

b) Absatz 2 wird wie folgt geändert:

aa) In Nummer 2 wird die Angabe „3i bis 3l" durch die Angabe „3g bis 3j" ersetzt.

bb) In Nummer 5 wird die Angabe „3f bis 3h," gestrichen.

cc) In Nummer 6 wird die Angabe „Nummer 2" durch die Angabe „Nummer 2, 3f" ersetzt.