Artikel 8 - Gesetz zur besseren Verhinderung missbräuchlicher Anerkennungen der Vaterschaft und zur Änderung weiterer Vorschriften (VatAnMVG k.a.Abk.)

G. v. 21.07.2026 BGBl. 2026 I Nr. 221; Geltung ab 29.07.2026, abweichend siehe Artikel 12

Artikel 8 Änderung des KRITIS-Dachgesetzes

Das KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66) wird wie folgt geändert:

1. § 2 Nummer 2 wird durch die folgende Nummer 2 ersetzt:

„2. ist „Anlage" eine Betriebsstätte, sonstige ortsfeste Installation, Maschine, Gerät, sonstige ortsveränderliche technische Installation oder Software und IT-Dienste; für Software und IT-Dienste, die nicht unmittelbar der Steuerung, Überwachung oder Unterstützung physischer Prozesse der Erbringung kritischer Dienstleistungen dienen, gelten ausschließlich die Vorgaben des BSI-Gesetzes;".

2. § 3 wird wie folgt geändert:

a) Absatz 2 Satz 1 wird wie folgt geändert:

aa) Nummer 4 wird gestrichen.

bb) Die Nummern 5 bis 12 werden zu den Nummern 4 bis 11.

cc) Nummer 13 wird zu Nummer 12 und die Angabe „Nummern 1 bis 12" wird durch die Angabe „Nummern 1 bis 11" ersetzt.

b) In Absatz 6 Satz 1 wird die Angabe „Nummer 1 bis 12" durch die Angabe „Nummer 1 bis 11" ersetzt.

3. In § 5 Absatz 3 Satz 1 und 2 wird jeweils die Angabe „, falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist" gestrichen.

4. § 8 wird wie folgt geändert:

a) Absatz 1 wird durch den folgenden Absatz 1 ersetzt:

„(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln:

1. den Namen des Betreibers kritischer Anlagen, einschließlich der Rechtsform und, falls einschlägig, die Handelsregisternummer,

2. die Anschrift und aktuelle Kontaktdaten des Betreibers kritischer Anlagen, einschließlich der E-Mail-Adresse und der Telefonnummer,

3. den Namen oder eine referenzierbare Bezeichnung der kritischen Anlage,

4. den Sektor und, falls einschlägig, die Branche, zu dem oder zu der die kritische Anlage gehört, sowie die kritische Dienstleistung, für deren Erbringung die Anlage erheblich ist,

5. soweit einschlägig, die Kategorie der kritischen Anlage und deren Werte zum Versorgungsgrad gemäß der Rechtsverordnung nach § 5 Absatz 1 Satz 1, den Standort der kritischen Anlagen und deren Versorgungsgebiet sowie deren öffentlichen IP-Adressbereiche,

6. falls einschlägig, eine Auflistung der Mitgliedstaaten der Europäischen Union, in denen oder für die der Betreiber kritischer Anlagen wesentliche Dienste im Sinne des Artikels 2 Nummer 5 der Richtlinie (EU) 2022/2557 in der Fassung vom 14. Dezember 2022 und des Artikels 2 der Delegierten Verordnung (EU) 2023/2450 in der Fassung vom 25. Juli 2023 erbringt, unter Angabe, welche wesentlichen Dienste er in welchen oder für welche Mitgliedstaaten erbringt,

7. eine Kontaktstelle, über die der Betreiber kritischer Anlagen erreichbar ist; in Bezug auf Maßnahmen nach dem BSI-Gesetz ist die jederzeitige Erreichbarkeit zu gewährleisten, sowie

8. die bei ihm zum Einsatz kommenden Typen von kritischen Komponenten gemäß § 2 Nummer 23 des BSI-Gesetzes."

b) Absatz 5 wird durch den folgenden Absatz 5 ersetzt:

„(5) Dem Betreiber kritischer Anlagen werden der Abschluss des Registrierungsprozesses und die zuständige Behörde durch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe schriftlich oder elektronisch mitgeteilt. Die Mitteilung soll innerhalb von vier Wochen übermittelt werden. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übermittelt dem Bundesamt für Sicherheit in der Informationstechnik und der jeweils zuständigen Behörde unverzüglich nach Abschluss der Registrierung alle Registrierungsdaten. Die Übermittlung der in Absatz 1 Nummer 8 genannten Information erfolgt ausschließlich an das Bundesamt für Sicherheit in der Informationstechnik."

c) In Absatz 8 Satz 1 wird nach der Angabe „Informationstechnik" die Angabe „innerhalb von vier Wochen nach Inkrafttreten der Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1" eingefügt.

5. § 9 Absatz 3 wird durch den folgenden Absatz 3 ersetzt:

„(3) Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe leitet die Mitteilung der Europäischen Kommission, einen Betreiber kritischer Anlagen als kritische Einrichtung von besonderer Bedeutung für Europa zu betrachten, unverzüglich an jenen und an die zuständige Behörde weiter. Ab dem Eingang der Mitteilung nach Satz 1 beim Betreiber kritischer Anlagen gelten die in den §§ 12 und 13 vorgesehenen Verpflichtungen für den Betreiber kritischer Anlagen aufgrund seiner Eigenschaft als kritische Einrichtung mit besonderer Bedeutung für Europa."

6. In § 13 Absatz 5 wird die Angabe „bis einschließlich 17. Januar 2026" durch die Angabe „spätestens acht Monate nach Inkrafttreten der Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1" ersetzt.

abweichendes Inkrafttreten am 01.01.2030

7. § 14 Absatz 3 Satz 1 wird wie folgt geändert:

a) In der Angabe vor Nummer 1 wird die Angabe „§ 3 Absatz 2 Nummer 2 bis 12" durch die Angabe „§ 3 Absatz 2 Nummer 2 bis 11 sowie in den in den Rechtsverordnungen nach § 3 Absatz 3 Satz 1 und 2 bestimmten Bereichen" ersetzt.

b) Die Nummern 4 und 5 werden durch die folgenden Nummern 4 bis 7 ersetzt:

„4. das Bundesministerium für Verkehr,

5. das Bundesministerium für Digitales und Staatsmodernisierung,

6. das Bundesministerium für Forschung, Technologie und Raumfahrt und

7. das Bundesministerium für Arbeit und Soziales."

Ende abweichendes Inkrafttreten

8. § 18 wird wie folgt geändert:

a) In Absatz 1 Satz 1 wird die Angabe „nach § 32 Absatz 1 des BSI-Gesetzes" gestrichen.

b) Nach Absatz 9 wird der folgende Absatz 10 eingefügt:

„(10) Bei der Übermittlung von Meldungen über Vorfälle nach den Absätzen 4, 5 und 7 sowie bei der Erstellung von Lagebildern nach Absatz 8 sind die erforderliche Vertraulichkeit sowie die Betriebs- und Geschäftsgeheimnisse des Betreibers kritischer Anlagen zu beachten."

9. § 26 wird gestrichen.