Stellungnahmen 2026

Stellungnahme zum Referentenentwurf - Verordnung zur Bestimmung kritischer Anlagen nach dem KRITIS-Dachgesetz (Kritisverordnung - KritisV)

15.06.2026

Kontakt:
RA Karsten U. Bartels, LL.M.
HK2 Rechtsanwälte
Bundesverband IT-Sicherheit e.V. (TeleTrusT)
Stellvertretender Vorstandsvorsitzender
Leiter TeleTrusT-AG "IT-Sicherheitsrecht"
bartels@hk2.eu

 

1. Einleitung

TeleTrusT bedankt sich für die Gelegenheit zur Stellungnahme zum Referentenentwurf des Bundesministeriums des Innern für eine Verordnung zur Bestimmung kritischer Anlagen nach dem KRITIS-Dachgesetz (KritisV) vom 26.05.2026.

Die KritisV bestimmt durch die Festlegung von Sektoren, Branchen, kritischen Dienstleistungen, Anlagenkategorien und Schwellenwerten, welche Anlagen als kritisch einzustufen sind. Sie löst damit die bisherige BSI-Kritisverordnung auch für Zwecke der IT-Sicherheit nach dem BSIG ab und fungiert künftig als gemeinsame Rechtsverordnung für physische Resilienz und IT-Sicherheit. TeleTrusT begrüßt diesen Ansatz, kritische Anlagen für Zwecke der IT-Sicherheit und der physischen Resilienz einheitlich zu identifizieren und dadurch für mehr Rechtssicherheit und Verständlichkeit der Regelungen zu sorgen. Gleichwohl weist der Entwurf nicht nur redaktionelle, sondern auch semantische und methodische Schwächen auf.

Unverständlich bleibt, warum die Verordnung sich noch im vorgelegten, nicht abgestimmten Entwurfsstadium befindet. Die viel zu späte Umsetzung der CER-Richtline bot hier eine ungewöhnlich lange Vorbereitungszeit. Die betroffenen Unternehmen werden ohne Übergangsfrist materiell verpflichtet sein.

2. Anmerkungen zu ausgewählten Regelungen

§ 1 KritisV: Anlagenbegriff und Definitionslücke
§ 1 Abs. 1 Nr. 1 KritisV verwendet den Begriff "Anlage" als zentralen Anknüpfungspunkt, ohne diesen zu definieren. Möglicherweise ist der Begriff "Anlage" oder "kritische Anlage" im Sinne von § 2 Nr. 2 bzw. Nr. 3 KRITISDachG gemeint. Da sich in der Begründung allerdings Ausführungen zur Interpretation des Anlagenbegriffs finden und zudem Erläuterungen zu insgesamt drei Nummern in dieser Vorschrift gegeben werden, könnte auch beabsichtigt sein, eine Anlagendefinition in § 1 Abs. 1 Nr. 1 KritisV einzufügen.

Hier ist Klarheit zu schaffen. TeleTrusT regt im Sinne der Rechtssicherheit und Bestimmtheit an, in § 1 Abs. 1 Nr. 1 KritisV auf die Definition kritischer Anlagen in § 2 Nr. 3 KRITISDachG zu verweisen, um eine einheitliche Begriffsbestimmung über die Regelwerke hinweg sicherzustellen.

§ 7 KritisV: Unklarer Begriff "weitere Anlagen der Kreditinstitute"
§ 7 Abs. 1 Nr. 5 KritisV benennt "weitere Anlagen der Kreditinstitute" als kritische Dienstleistung. Dabei bleibt zunächst unklar, ob "Anlage" hier im technischen Sinne des § 1 KritisV bzw. § 2 Nr. 2 KRITISDachG oder im Sinne von Kapitalanlage zu verstehen ist. Erst Absatz 6 gibt Aufschluss: Die gemeinte Dienstleistung ist die Entgegennahme von Einlagen sowie die Kreditvergabe. Der Begriff "Anlage" in Nr. 5 ist damit als Kapitalanlage zu verstehen und nicht als technische Anlage im Sinne des Gesetzes.

TeleTrusT empfiehlt, § 7 Abs. 1 Nr. 5 KritisV durch die Formulierung "die Entgegennahme von Einlagen sowie die Kreditvergabe" zu ersetzen, um den tatsächlichen Regelungsinhalt unmissverständlich zu bezeichnen. Es ist kein Grund erkennbar, diesen zunächst durch den missverständlichen Begriff "Anlage" zu umschreiben.

3. Anmerkungen zu den Anlagen

Die Anlagen der KritisV weisen noch eine Vielzahl von redaktionellen und inhaltlichen Fehlern auf. Nachfolgend soll auf einige dieser Fehler aufmerksam gemacht werden.

3.1 Redaktionelle Fehler
Im vorliegenden Referentenentwurf finden sich einige fehlerhafte Norm- und Querverweise. Sämtliche Anlagen sind mit der Überschrift "zu § 1 Absatz 1 Nummer 2 und 3" versehen, obwohl es in § 1 Absatz 1 aktuell nur zwei Nummern gibt.

In den Anlagen finden sich fehlerhafte Verweise und Nummerierungsfehler. Beispielsweise wird in Anlage 1, Teil 2, Nr. 17 auf einen "Teil 4" verwiesen, obwohl die Anlagen lediglich bis zu drei Teile haben. In Anlage 1, Teil 1 ist die Nummer 2.1.1 doppelt vergeben ist, die Aufzählung springt sodann von Ziff. 2.12 direkt auf 2.16.

3.2 Unbestimmte oder missverständliche Begriffe
Der Entwurf verwendet an mehreren Stellen Begriffe, die weder im Verordnungstext, noch in den Anlagen hinreichend bestimmt werden. Auf folgende Unklarheiten wird hingewiesen:

In Anlage 1 wird die Anlagenkategorie "System eines Elektrizitätsmarktes" in Teil 1 Nr. 2.7 aufgegriffen, ohne dass der Begriff des "Systems" näher definiert wird. Der Verweis auf die Richtlinie (EU) 2019/944 klärt lediglich, was ein Elektrizitätsmarkt ist, nicht aber, wann es sich um ein System eines solchen Marktes handelt.

In Anlage 4, Teil 1, Ziff. 2.8 wird "Rechenzentrum" definiert. Die Definition ist dabei anders gehalten als die Definition in § 2 Nr. 35 BSIG n. F. Es wäre wünschenswert, die Definitionen anzugleichen.

In Anlage 6 werden Anlagenkategorien im Sektor Finanzwesen konkretisiert. Die KritisV verwendet dabei zentrale Begriffe wie "Wertpapier" und "Derivat", definiert sie aber nicht und verweist auch nicht klar auf bestehende Kapitalmarktdefinitionen. Es bleibt insbesondere offen, ob sämtliche Investmentfondsanteile (einschließlich offener Publikumsfonds) als "Wertpapiere" im Sinne der KRITIS Regelungen gelten sollen.

Die Verordnung verwendet in Anlage 6 außerdem den Begriff "Handelsplatz" an verschiedenen Stellen, ohne einheitlich und eindeutig auf die MiFID II Terminologie Bezug zu nehmen. Unklar ist insbesondere, ob mittelbare Anbindungen (z. B. über systematische Internalisierer oder sonstige Intermediäre) als "Weiterleitung an einen Handelsplatz" gewertet werden müssen oder nur direkte Verbindungen zu geregeltem Markt, MTF oder OTF erfasst sind. Insbesondere werden "Anlagen eines Handelsplatzes" dann als kritisch eingestuft, wenn sie einen "medienwirksamen Handelsplatz" betreiben Anlage 6, Teil 3, Ziff. 4.5.2. Mangels eindeutiger Definition bleibt dadurch für viele Betreiber eines Handelsplatzes unklar, ob sie eine kritische Anlage betreiben oder nicht.
Die Schwellenwerte im Sektor Finanzwesen (Anlage 6, Teil 3) knüpfen zudem weit überwiegend an Transaktionszahlen an, jedoch bleibt unklar, welche Transaktionen jeweils zu berücksichtigen sind (z. B. außerbörsliche Fondsorders zum Nettoinventarwert, Orders über Intermediäre, interne Buchungsvorgänge).

In Anlage 7, Teil 3, Nr. 1.2.4 wird eine Einordnung von "Serviceeinrichtungen" als kritische Anlage an ihre Zweckbestimmung geknüpft. Um eine kritische Anlage handelt es sich demnach, wenn die Serviceeinrichtung für den Fernverkehr "relevant" ist. Wann dies der Fall ist, bleibt offen. Die Einordnung als kritische Anlage darf nicht von einem derart unbestimmten Begriff abhängen. Die Tatbestandsvoraussetzungen sollten eindeutig konfiguriert sein. 

3.3 Widersprüche und Inkonsistenzen

An einigen Stellen wurden Widersprüche zwischen Normtext, Begründung und Schwellenwertberechnung sowie uneinheitliche Begriffsverwendungen identifiziert:

In Anlage 1, Teil 2, Nr. 13 findet sich die Schwellenwertberechnung für Erdöl für einige Anlagenkategorien des Sektors Energie. Dabei werden die beiden Begriffe "Erdöl" und "Rohöl" verwendet. In der Tabelle in Teil 3 der Anlage werden ebenfalls beide Begriffe verwendet (insbesondere bei den Schwellenwerten der Ziffern 3.1.1, 3.1.3, 3.2.1, 3.2.2, 3.2.3, 3.2.4 und 3.4.1). Unter "Erdöl" wird regelmäßig die unmittelbar aus der Erde geförderte Flüssigkeit, unter "Rohöl" das von groben Verunreinigungen befreite Erdöl bezeichnet. Wir regen an, die Begriffsverwendungen einer Überprüfung zu unterziehen, um Ungenauigkeiten zu meiden.

In Anlage 5, Teil 2 Nr. 7 findet sich die Berechnung für den Schwellenwert von Produktionsstätten für besonders wichtige Medizinprodukte. Dieser Berechnung liegen offenbar die durchschnittlichen Ausgaben für Medizinprodukte, die Verbrauchsgüter sind, insgesamt zugrunde. Dadurch besteht das Risiko, dass der Schwellenwert methodisch zu hoch angesetzt ist. Wenn von der Anlagenkategorie nur Produktionsstätten besonders wichtiger Medizinprodukte erfasst sind, sollte auch die Berechnungsgrundlage auf den Bedarf an diesen besonders wichtigen Medizinprodukten bezogen werden.

Bei der Forschungs- und Entwicklungseinrichtung in Anlage 5, Teil 3 Nr. 4.1 ist im Normtext (vgl. Klammerzusatz im Entwurfstext) offengelassen, ob neben der Entwicklung auch die Herstellung erfasst sein soll. Die Überschrift zu Teil 3 Nr. 4 und auch die Begründung scheinen die Herstellung demgegenüber einzubeziehen. Normtext und Begründung sind insoweit nicht deckungsgleich.
Für Computerreservierungsdienste und Global Distribution Systeme nennt Anlage 7, Teil 3 Nr. 1.1.6 einen Schwellenwert von 20.000.000 Flugbuchungen pro Jahr. In der Begründung wird demgegenüber von einer Gesamtmenge von 200.000 Flugbuchungen pro Jahr ausgegangen. An einer Stelle handelt es sich wohl um einen Fehler.

4. Kritik an der Berechnungsgrundlage der Schwellenwerte

Der in § 5 Abs. 2 KRITISDachG verankerte Regelschwellenwert von 500.000 versorgten Personen geht auf das erste IT-Sicherheitsgesetz von 2015 zurück und wurde seitdem unverändert übernommen. Der Wert beruht ausweislich der Verordnungsbegründung auf der Annahme, dass die deutschen Notfallkapazitäten des THW, der Bundeswehr sowie der lokalen Feuerwehren maximal 500.000 Menschen bei einem Ausfall der Stromversorgung mit Notstrom versorgen können. Diese Annahme wird auf einen Stromausfall im Münsterland im November 2005 sowie eine Notfallplanung einer großen kreisfreien Stadt gestützt. Hinsichtlich der Wasserversorgung stützt sich derselbe Wert von 500.000 Personen darauf, dass etwa 400.000 Menschen durch mobile Aufbereitungskapazitäten des THW versorgt werden könnten und weitere 100.000 Menschen durch "nicht planbare" Kapazitäten der Bundeswehr sowie "geringe Kapazitäten" lokaler Hilfsorganisationen. Es ist unklar, wie aus "nicht planbaren" und "geringen" Kapazitäten eine zusätzliche Versorgungskapazität von 100.000 Personen hergeleitet wird. Dieser Ansatz ist methodisch in mehrfacher Hinsicht höchst problematisch. Der TeleTrusT wies in den vergangenen Jahren wiederholt darauf hin.

Schon die Berechnung des Werts von 500.000 Personen aus den zitierten Umständen erscheint fraglich. Der Stromausfall im Münsterland ist über 20 Jahre her. Dennoch finden sich keine ausreichenden Ausführungen dazu, wie sich Stromverbrauch, Abhängigkeit von elektrischer Versorgung und Notfallkapazitäten bei THW, Bundeswehr und Feuerwehren seitdem verändert haben.

Der Stromausfall in Berlin-Köpenick im Jahr 2019 sowie im Berliner Südwesten im Frühjahr 2026 haben gezeigt, dass bereits Störungen deutlich unterhalb einer Größenordnung von 500.000 betroffenen Personen erhebliche organisatorische und praktische Herausforderungen verursachen.

Für die acht weiteren Sektoren wird im Wesentlichen davon ausgegangen, dass Notfallkapazitäten in ähnlicher Größenordnung vorhanden seien, sodass der Ausgangswert von 500.000 Personen für alle Sektoren gelte. Warum dies im Hinblick auf thematisch äußerst unterschiedliche Sektoren wie Weltraum, Informationstechnik und Telekommunikation, Ernährung oder Gesundheit gleichermaßen gelten soll, bleibt unklar.

Hinzu kommt, dass der Ansatz nur eingeschränkt erkennen lässt, wie die Kriterien des Art. 7 CER-Richtlinie in die Schwellenwertsystematik eingeflossen sind. Art. 7 Abs. 1 CER-Richtlinie stellt für die Bestimmung des Ausmaßes einer Störung nicht allein auf die Zahl der Nutzer ab, die den wesentlichen Dienst in Anspruch nehmen. Zu berücksichtigen sind vielmehr auch das Ausmaß der Abhängigkeit anderer Sektoren und Teilsektoren von dem betreffenden wesentlichen Dienst, die möglichen Auswirkungen von Sicherheitsvorfällen nach Ausmaß und Dauer auf wirtschaftliche und gesellschaftliche Tätigkeiten, Umwelt, öffentliche Ordnung und Sicherheit oder die Gesundheit der Bevölkerung, der Marktanteil der Einrichtung, das geografische Gebiet einschließlich etwaiger grenzüberschreitender Auswirkungen sowie die Bedeutung der Einrichtung für die Aufrechterhaltung des wesentlichen Dienstes unter Berücksichtigung alternativer Mittel. Zwar erlaubt Art. 7 Abs. 2 lit. c CER-Richtlinie den Mitgliedstaaten ausdrücklich, Schwellenwerte zur Spezifizierung eines oder mehrerer dieser Kriterien zu verwenden. Die Schwellenwerte dürfen jedoch nicht dazu führen, dass die übrigen in Art. 7 Abs. 1 CER-Richtlinie genannten Kriterien gänzlich in den Hintergrund treten.

Der Entwurf knüpft in seiner Regelmethode stark an den Versorgungsgrad und damit vor allem an die Zahl der versorgten Personen an. Andere Kriterien, insbesondere sektorübergreifende Abhängigkeiten, regionale Auswirkungen, Dauer und Ausmaß möglicher Störungen sowie die Verfügbarkeit alternativer Versorgungsmöglichkeiten, werden demgegenüber nicht angemessen berücksichtigt.

Des Weiteren bleiben Kaskadeneffekte nach wie vor unberücksichtigt. Der Ausfall einer Anlage kann den Ausfall weiterer Anlagen bedingen. Beispielsweise können Anlagen der Wasserversorgung ausfallen, wenn die Stromversorgung unterbrochen wird. Notfallkapazitäten der Hilfsdienste würden dann mehrfach belastet.

Gerade solche sektorübergreifenden Abhängigkeiten werden von Art. 7 Abs. 1 lit. b CER-Richtlinie ausdrücklich angesprochen und sollten daher stärker in die Methode einbezogen werden.

Angriffe auf kritische Infrastrukturen der Bundesrepublik Deutschland können ebenfalls zu diversen Ausfällen gleichzeitig führen. Auch vor diesem Hintergrund ist es problematisch, die Schwellenwerte für einzelne Anlagen allein an maximal verfügbaren Notfallkapazitäten auszurichten. Vielmehr sollte berücksichtigt werden, dass Notfallkapazitäten im Krisenfall mehrfach gebunden sein werden.

Der Wert von 500.000 beinhaltet zudem keine hinreichende Unterscheidung zwischen ländlichen Regionen und Ballungsräumen. Ausfälle kritischer Anlagen können hier zu sehr unterschiedlichen Folgen führen. Während in Ballungsräumen typischerweise eine größere Zahl von Personen betroffen sein kann, können in ländlichen Räumen alternative Versorgungsstrukturen fehlen oder nur schwer erreichbar sein. Art. 7 Abs. 1 lit. e CER-Richtlinie nennt das geografische Gebiet und besondere Schwachstellen bestimmter geografischer Gebiete ausdrücklich als zu berücksichtigendes Kriterium. Auch der Bundesrat hat den Schwellenwert von 500.000 kritisiert und eine Absenkung auf 150.000 zu versorgende Personen angeregt. 

Gerade im Bereich kritischer Infrastruktur ist eine belastbare und nachvollziehbare Herleitung der Schwellenwerte erforderlich. Es sollte nicht bei pauschalen Annahmen und über viele Jahre fortgeschriebenen Erfahrungswerten bleiben. Vielmehr sollte die Schwellenwertsystematik stärker an den in Art. 7 CER-Richtlinie genannten Kriterien ausgerichtet und durch qualitative Kriterien ergänzt werden, insbesondere im Hinblick auf sektorübergreifende Abhängigkeiten, regionale Auswirkungen, Substituierbarkeit sowie Dauer und Ausmaß möglicher Störungen. Die bisher angewandte Schwellenwertlogik ist selbst ein Risiko.

5. Evaluierung

Der Entwurf sieht eine Evaluierung zwei Jahre nach Inkrafttreten des KRITISDachG und anschließend alle fünf Jahre vor. Für viele physische Anlagen mag ein solcher Turnus vertretbar sein. Für digitale Infrastrukturen erscheint ein Fünfjahresrhythmus als alleiniger Mechanismus jedoch zu inflexibel. Gerade im Sektor Informationstechnik und Telekommunikation können sich technische Abhängigkeiten, Cloud- und Plattformarchitekturen u. v. a. sowie die Bedrohungslage deutlich schneller verändern.

Dies betrifft auch die Aussagekraft der gewählten Anlagenkategorien und Schwellenwerte. Bei Rechenzentren kann eine bestimmte elektrische Leistung je nach technischer Ausstattung und Auslastung sehr unterschiedliche digitale Kapazitäten abbilden. Bei Content Delivery Networks sagt das ausgelieferte Datenvolumen zwar etwas über die transportierte Datenmenge aus, erfasst aber nicht die Bedeutung der darüber bereitgestellten Dienste und Inhalte.

TeleTrusT regt daher an, die regelmäßige Evaluierung durch anlassbezogene Überprüfungen zu ergänzen. Eine frühzeitige Anpassung der Anlagenkategorien und Schwellenwerte sollte insbesondere bei wesentlichen Veränderungen der Bedrohungslage, neuen digitalen Abhängigkeiten, neuen unionsrechtlichen Vorgaben oder erheblichen Vorfällen möglich sein.

6. Fazit

Der Referentenentwurf der KritisV greift die europäischen Vorgaben der CER-Richtlinie zwar im Grundsatz auf und schafft eine begrüßenswerte Kohärenz zwischen physischer Resilienz und IT-Sicherheit. In seiner derzeitigen Fassung bleibt der Entwurf jedoch noch hinter den Anforderungen an eine rechtssichere, praktisch handhabbare und methodisch überzeugende Regulierung zurück.

Insbesondere fehlt es an einer hinreichend nachvollziehbaren Auseinandersetzung mit den angelegten Schwellenwerten. Die Zahl von 500.000 versorgten Personen wird zwar als Regelschwellenwert herangezogen, ihre Herleitung und Übertragung auf unterschiedliche Sektoren überzeugt jedoch keinesfalls. Hinzu kommt, dass eine Auseinandersetzung mit weiteren in Art. 7 CER-Richtlinie ausdrücklich genannten Kriterien, etwa sektorübergreifenden Abhängigkeiten, geografischen Auswirkungen, Substituierbarkeit sowie Dauer und Ausmaß möglicher Störungen, zur Geltung kommen muss.

Stellungnahme zum BMI-Referentenentwurf des Durchführungsgesetzes zur Cyberresilienz-Verordnung

01.04.2026

Kontakt:
RA Karsten U. Bartels, LL.M.
HK2 RAe
Bundesverband IT-Sicherheit e.V. (TeleTrusT)
Stellvertretender Vorstandsvorsitzender
Leiter TeleTrusT-AG "IT-Sicherheitsrecht"
bartels@hk2.eu


1. Einleitung

Der Cyber Resilience Act (CRA) etabliert erstmals einen unionsweit einheitlichen Rechtsrahmen für die Cyber-sicherheit von Produkten mit digitalen Elementen. Der CRA ist als EU-Verordnung unmittelbar in den Mitgliedstaaten anwendbar, ohne dass es eines nationalen Umsetzungsgesetzes bedarf. Der CRA verpflichtet die Mitgliedstaaten jedoch, flankierende Durchsetzungsmaßnahmen zu erlassen, insbesondere um die notwendige nationale Vollzugsarchitektur zu schaffen.

Die Mitgliedstaaten sind insbesondere verpflichtet, eine Marktüberwachungsbehörde und eine notifizierende Behörde zu benennen, Unterstützungsmaßnahmen für KMU zu ergreifen sowie den Sanktions- und Bußgeldrahmen festzulegen. Der Referentenentwurf enthält die rechtlich erforderlichen Regelungen hierzu, bleibt aber in zentralen Punkten zu inkonkret und recht praxisfern.

Besonders die unzureichende Ausstattung des BSI, die Ausgestaltung der Regelungen zur notifizierenden Behörde sowie die Unbestimmtheit der Unterstützungsleistungen des BSI sind Kritikpunkte, die einen erheblichen Nachbesserungsbedarf aufzeigen.

Die ersten Regelungen des CRA werden ab dem 11.06.2026 wirksam. Um ein Vertragsverletzungsverfahren zu vermeiden, einen sicheren Marktzugang für Unternehmen in Deutschland zu garantieren und Rechtssicherheit zu gewährleisten, muss das Durchführungsgesetz ebenfalls zum 11.06.2026 in Kraft treten. Der Referentenentwurf ist nun ein erster Schritt, um nationale Vorschriften nicht - wie bei der NIS-2- und CER-Richtlinie - erneut zu spät zu erlassen.

2. Hauptteil

a) Aufgabenbündelung beim BSI
Die Bündelung zentraler CRA-Aufgaben beim BSI (CSIRT, Marktüberwachung, Beschwerde- und Notifizierungsstelle) ist im Ansatz sinnvoll. Sie nutzt vorhandene Cybersicherheitskompetenz und verhindert eine zersplitterte Vollzugspraxis. Ihr Mehrwert besteht jedoch nur, wenn das BSI personell, technisch und organisatorisch in der Lage ist, diese Aufgaben tatsächlich im erforderlichen Umfang wahrzunehmen.

§ 65 BSIG-E: Marktüberwachung
Die Übertragung der Marktüberwachung auf das BSI ist grundsätzlich nachvollziehbar. Zwar fehlt bislang originäre Marktüberwachungserfahrung, jedoch bestehen einschlägige Vorerfahrungen im Bereich der IT-Sicherheitskennzeichen.

Der Entwurf beziffert den Vollzugsaufwand zwar konkret, bleibt jedoch bei dessen Absicherung unzureichend.

Angesichts der komplexen Aufgaben nach Art. 52-60 CRA ist es nicht ausreichend, den Mehrbedarf an Personal und Sachmitteln lediglich künftigen Haushaltsverfahren zu überlassen. Ohne verbindliche und langfristige Finanzierung droht die effektive Wahrnehmung der Marktüberwachung zu scheitern.

§ 66 BSIG-E: Notifizierung und Akkreditierung
Die Bestimmung des BSI als notifizierende Behörde ist im Grundsatz sachgerecht. Problematisch ist jedoch § 66 Abs. 3 BSIG-E, der eine Notifizierung von Konformitätsbewertungsstellen ohne Akkreditierung im "öffentlichen Interesse" zulässt. In der vorliegenden Fassung ist diese Ausnahme zu weit. Wird bereits der bloße Mangel an notifizierten Stellen als öffentliches Interesse angesehen, droht die Regelung zu einem Instrument bloßer Kapazitäts- und Marktzugangssicherung zu werden. Dann rückt nicht mehr die belastbare Prüfung der fachlichen Eignung der Stellen in den Vordergrund, sondern die schnelle Beseitigung von Engpässen.

Damit wird die Qualität der Konformitätsbewertung insgesamt gefährdet. Werden unzureichend geprüfte Konformitätsbewertungsstellen notifiziert, steigt das Risiko, dass auch die vorgelagerte Prüfung von Produkten vor dem Marktzugang nicht das erforderliche Sicherheitsniveau erreicht. Die Ausnahme von der akkreditierungsbasierten Notifizierung ist daher strikt zu begrenzen. Erforderlich sind enge tatbestandliche Voraussetzungen, klare Bewertungsmaßstäbe und eine belastbare personelle wie organisatorische Ausstattung des BSI.

Vorrangig muss jedoch sichergestellt werden, dass eine solche Ausweichregelung gar nicht erst benötigt wird. Dafür ist die DAkkS rechtzeitig so auszustatten, dass bis zum maßgeblichen Zeitpunkt des Art. 35 Abs. 2 CRA am 11.12.2026 eine ausreichende Zahl von Konformitätsbewertungsstellen akkreditiert werden kann.

Die Auffangregelung darf kein regulatorisches Ventil für vorhersehbare Kapazitätsdefizite werden. Wer Engpässe bei der Akkreditierung durch erleichterte Notifizierung kompensiert, schwächt am Ende die Qualitätssicherung des CRA selbst.

b) § 67 Nr. 1 BSIG-E - Unterstützung der Wirtschaftsakteure 
§ 67 BSIG-E bleibt massiv hinter dem tatsächlichen Unterstützungsbedarf der Unternehmen zurück. Zwar übernimmt der Entwurf formal die in Art. 33 CRA vorgesehenen Unterstützungsmaßnahmen, ihre konkrete Ausgestaltung bleibt jedoch weitgehend offen. Weder ist hinreichend klar, in welcher Form, mit welcher inhaltlichen Tiefe noch mit welchem praktischen Nutzen die vorgesehenen Schulungs- und Sensibilisierungsmaßnahmen erbracht werden sollen. Der Eindruck liegt nahe, dass hier vor allem unionsrechtliche Mindestvorgaben formal abgearbeitet werden, ohne ein belastbares und praxistaugliches Unterstützungskonzept zu schaffen.

Das wiegt umso schwerer, als der CRA für Hersteller und andere Wirtschaftsakteure erhebliche organisatorische, personelle und technische Umstellungen auslösen wird. Vor diesem Hintergrund ist der vorgesehene finanzielle Rahmen von 1,281 Mio. Euro ersichtlich zu knapp bemessen, insbesondere mit Blick auf den Unterstützungsbedarf kleiner und mittlerer Unternehmen. Ein Vergleich mit den Zahlen, die in der Begründung des Regierungsentwurfs zum NIS-2-Umsetzungsgesetz stehen, verdeutlicht die signifikant zu gering bemesse-ne Finanzierung der Unterstützungsmaßnahmen: Während hierfür lediglich 1,281 Mio. Euro jährlich vorgesehen sind, werden für regelmäßige Schulungen in der Bundesverwaltung im NIS-2-Kontext rund 5,044 Mio. Euro jährlich veranschlagt. Für Schulungen in den betroffenen Unternehmen wird ein Erfüllungsaufwand der Wirtschaft von rund 165,24 Mio. Euro jährlich veranschlagt. Wenngleich die Zahlen nicht direkt auf den CRA-Kontext übertragbar sind, so ist dennoch festzustellen, dass mit dem geplanten Finanzierungsrahmen nur sehr begrenzte Schulungs- und Sensibilisierungsmaßnahmen möglich sind.

Darüber hinaus werden zwei in Art. 33 Abs. 1 CRA genannte Unterstützungstätigkeiten - die Einrichtung eines speziellen Kommunikationskanals für Kleinst- und Kleinunternehmen sowie die Unterstützung bei Prüf- und Konformitätsbewertungstätigkeiten - nicht explizit in § 67 BSIG-E aufgeführt. Damit ist unklar, ob und wie weit diese Tätigkeiten vom BSI übernommen werden. TeleTrusT fordert, diese Tätigkeiten in § 67 BSIG-E ebenfalls aufzunehmen und ausreichend Ressourcen hierfür zur Verfügung zu stellen. 

Alternativ schlägt TeleTrusT vor, dass die Unterstützungsmaßnahmen nicht durch das BSI selbst vorgenommen werden, sondern durch externe, unabhängige Stellen. Das BSI ist als Marktüberwachungsbehörde die Stelle, die Sanktionen bei Verstößen gegen den CRA verhängt. Die Bündelung von Unterstützungsfunktion und Marktüberwachung beim BSI begründet die Sorge, dass Rollenklarheit, Akzeptanz und Wirksamkeit beider Aufgabenbereiche leiden könnten.

§ 67 BSIG-E bedarf daher einer deutlichen Schärfung: Erforderlich sind ein substanziell erweiterter finanzieller Rahmen sowie inhaltlich konkrete, niedrigschwellige und praxisnahe Unterstützungsangebote. Andernfalls ist die Vorschrift nicht tauglich, den betroffenen Unternehmen nennenswerten Mehrwert zu bieten.

c) § 67 Nr. 2 BSIG-E - Reallabor für Cyberresilienz
TeleTrusT begrüßt grundsätzlich die Einrichtung eines Reallabors für Cyberresilienz. Gerade für betroffene Wirtschaftsakteure, insbesondere kleine und mittlere Unternehmen, kann eine kontrollierte Prüfumgebung einen wertvollen Beitrag dazu leisten, regulatorische Anforderungen frühzeitig zu erfassen und praktische Umsetzungsfragen vor dem Inverkehrbringen eines Produkts zu klären.

In seiner derzeitigen Ausgestaltung besteht allerdings die Gefahr, dass das Reallabor zwar als innovations-freundliches Unterstützungsinstrument angekündigt wird, sein tatsächlicher Mehrwert für die betroffenen Unternehmen jedoch marginal bleibt.

Der Entwurf lässt im Normtext wie auch der Begründung die konkrete Ausgestaltung dieses Instruments weit-gehend offen. Insbesondere bleibt unklar, unter welchen Voraussetzungen die Nutzung "im öffentlichen Interesse" liegen soll und nach welchen Kriterien Unternehmen Zugang zum Reallabor erhalten. Nach Art. 33 Abs. 2 CRA hat der Zugang zu den Reallaboren offen, fair und transparent zu erfolgen. In der Fassung des Referentenentwurfs finden sich keine Anhaltspunkte, dass dies auch so erfolgen wird. Hier bedarf es einer für KMU transparenten Nachschärfung.

Auch der konkrete praktische Mehrwert der Reallabors ist mehr als unklar. Der Leistungsumfang des Reallabors wird nicht beschrieben. Es ist nicht ersichtlich, ob dort lediglich allgemeine Testmöglichkeiten eröffnet werden oder ob Unternehmen tatsächlich verwertbare Unterstützung bei der Einhaltung der CRA-Anforderungen erhalten sollen.

In der Fassung des Referentenentwurfs droht das Reallabor mehr Symbolcharakter als wirksame Unterstützung zu sein.

d) § 69 BSIG-E - Sanktions- und Vollzugsrahmen 
Ein einheitlicher und wirksamer Vollzug der Cyberresilienz-Verordnung ist aus Sicht von TeleTrusT grundsätzlich zu begrüßen. Die praktische Wirksamkeit der Verordnung wird maßgeblich davon abhängen, dass die Einhaltung ihrer Anforderungen konsequent überwacht und auf festgestellte Verstöße angemessen reagiert werden kann. Nur so lässt sich sicherstellen, dass Produkte mit digitalen Elementen tatsächlich den vorgesehenen Cybersicherheitsstandards genügen und das Vertrauen in den europäischen Binnenmarkt für sichere digitale Produkte gestärkt wird.

Hierbei gilt es jedoch zu beachten, dass aus Unternehmenssicht ein Bedarf an berechenbarem, verhältnismäßigem und fachlich konsistentem Vollzug besteht. Gerade in der Anfangsphase eines neuen und technisch anspruchsvollen Regulierungsregimes ist zu berücksichtigen, dass auf Seiten der betroffenen Unternehmen erhebliche Auslegungs- und Umsetzungsunsicherheiten bestehen werden.

Aus Sicht von TeleTrusT sollte der Fokus daher zunächst auf klarer Kommunikation, vorhersehbarer Aufsicht und nachvollziehbaren Maßstäben liegen. Sanktionen dürfen nicht an die Stelle einer praxistauglichen Orientierung treten.

Fazit: 
Der Referentenentwurf greift die durch den CRA erforderlichen nationalen Regelungen zwar im Grundsatz auf, bleibt in seiner derzeitigen Fassung jedoch in zentralen Punkten hinter den praktischen und rechtlichen Anforderungen zurück. Die vorgesehene Aufgabenbündelung beim BSI ist nur dann tragfähig, wenn dessen personelle, technische und organisatorische Ausstattung verlässlich und dauerhaft abgesichert wird. Daran fehlt es bislang.

Besonders kritisch sind die zu weit gefasste Ausnahmeregelung für die Notifizierung von Konformitätsbewertungsstellen ohne Akkreditierung, die unzureichend konkretisierten Unterstützungsleistungen für Wirtschaftsakteure sowie die unklare Ausgestaltung des Reallabors für Cyberresilienz. In allen drei Bereichen besteht die Gefahr, dass der Entwurf formale Strukturen schafft, ohne deren praktische Wirksamkeit belastbar sicherzustellen.

TeleTrusT hält daher eine deutliche Nachschärfung des Entwurfs für erforderlich. Notwendig sind insbesondere eine verlässliche Finanzierung und Ausstattung des BSI und der DAkkS, enge und klare Voraussetzungen für Ausnahmen von der akkreditierungsbasierten Notifizierung, ein substanziell ausgebautes und praxisnahes Unterstützungskonzept für Unternehmen sowie transparente und nachvollziehbare Regelungen zum Reallabor.

Stellungnahme zum BMI-Referentenentwurf eines Gesetzes zur Stärkung der Cyber-Sicherheit

16.03.2026

Kontakt:
RA Karsten U. Bartels, LL.M.
HK2 RAe
Bundesverband IT-Sicherheit e.V. (TeleTrusT)
Stellvertretender Vorstandsvorsitzender
Leiter TeleTrusT-AG "IT-Sicherheitsrecht"
bartels@hk2.eu

 

I. Einleitung

TeleTrusT begrüßt das Ziel des Referentenentwurfs, die Cyber-Sicherheit in Deutschland wirksam zu stärken und die staatliche Handlungsfähigkeit gegenüber schwerwiegenden Cyber-Gefahren zu verbessern. Angesichts der anhaltend hohen Bedrohungslage ist es richtig, die bestehenden Strukturen zur Detektion, Bewertung und Abwehr von Cyber-Gefahren fortzuentwickeln.

Cyber-Sicherheit ist nicht nur Aufgabe der potentiell betroffenen Einrichtungen. Entsprechende Eingriffsbefugnisse für den Staat als Akteur für Cyber-Sicherheit zu schaffen, kann sich als zeitgemäße und effektive Bereicherung eines holistisch verstandenen Cyber-Sicherheitsrechts erweisen. Dazu sind die Eingriffsbefugnisse jedenfalls punktuell, streng cyber-sicherheitsbezogen und technisch sinnvoll umsetzbar auszugestalten. Cyber-Sicherheitsrecht muss den Schutz von Staat, Gesellschaft und Wirtschaft erhöhen; es darf nicht durch unklare Befugnisse, unbestimmte Rechtsbegriffe oder zu geringe verfahrensrechtliche Begrenzungen das Potential missbräuchlicher staatlicher Eingriffe bergen.

Vor diesem Hintergrund erscheint der Referentenentwurf eines Gesetzes zur Stärkung der Cyber-Sicherheit ambivalent: Er enthält einerseits dringend benötigte Eingriffsbefugnisse für Bundespolizei sowie BKA und sieht punktuell sinnvolle Befugniserweiterungen für das BSI vor. Andererseits ermöglicht der Entwurf tiefgreifende Eingriffe in die Netzinfrastruktur selbst, die langfristig das Vertrauen von Unternehmen, Bürgerinnen und Bürgern in integre IT-Systeme signifikant schwächen können. Je tiefer staatliche Maßnahmen in IT-Systeme eingreifen können, desto höher sind die Anforderungen an Normenklarheit, technische Begrenzungen und Verfahrensvorschriften. Eingriffsbefugnisse stellen keinen Sicherheitsgewinn dar, wenn sie ihrerseits neue Angriffsflächen schaffen.

II. BSIG

TeleTrusT unterstützt grundsätzlich das Anliegen, dem BSI in einzelnen Bereichen frühzeitigere und operativ wirksamere Reaktionen auf Cyber-Gefahren zu ermöglichen. So ist der Vorschlag für die Änderungen des § 11 Abs. 1, 3 BSIG-E positiv hervorzuheben, wonach das BSI Maßnahmen nicht erst nach Eintritt einer Beeinträchtigung, sondern bereits bei Anhaltspunkten für deren Eintritt ergreifen und dementsprechend auch Daten verarbeiten kann. Auch die nach § 15 Abs. 6 BSIG-E geplante Pflicht für Anbieter öffentlich zugänglicher Telekommunikationsdienste und Anbieter von digitalen Diensten, dem BSI auf Anforderung Informationen mitzuteilen, die Rückschlüsse auf Cyber-Risiken erlauben, stellt in dem Zusammenhang eine punktuelle Verbesserung dar.

Die Auskunftspflicht ist in Hinblick auf ihre technische Durchführbarkeit und wirtschaftliche Zumutbarkeit begrenzt. Wenngleich eine derartige Begrenzung in Anbetracht der ansonsten ausufernden Auskunftspflicht richtig ist, muss die Ausnahme dringend konkretisiert werden, damit betroffene Unternehmen sie auch nutzbar machen können. Ansonsten droht die Informationspflicht für IKT-Diensteanbieter auszuufern.

Ein Schwerpunkt des Gesetzesvorhabens ist die Bekämpfung maliziöser Domains. In §§ 16 Abs. 6, 16a BSIG-E werden DNS-Diensteanbieter, TLD Name Registries und Domain-Name-Registry-Dienstleistern besondere Pflichten auferlegt. Mittelgroße DNS-Diensteanbieter müssen nach § 16 Abs. 6 BSIG-E ihren Kunden einen besonderen DNS-basierten Schutz vor Angriffen in Verbindung mit risikobehafteten Domains bieten. Offen bleibt hier, wie sich diese gesonderte Pflicht zu den allgemeinen Risikomanagementpflichten verhält. Diesen unterliegen DNS-Diensteanbieter sogar größenunabhängig als besonders wichtige Einrichtung i. S. d. § 28 Abs. 1 S. 1 Nr. 2 Var. 3 BSIG. Damit könnte im Umkehrschluss gefolgert werden, dass DNS-basierte Schutzmaßnahmen gegenwärtig pauschal nicht unter § 30 Abs. 1 BSIG fallen würden, obwohl der Wortlaut des § 30 Abs. 1 BSIG dies als technische Maßnahme eindeutig zulassen - und wohl auch erfordern - würde.

§ 16a BSIG-E sieht die Befugnis des BSI vor, gegenüber TLD Name Registries und Domain-Name-Registry-Dienstleistern anzuordnen, dass diese Nameserver-Einträge einer Domain ändern oder neue Einträge hinzufügen müssen. Die Befugnis steht unter der Voraussetzung einer erheblichen Gefahr für Schutzgüter des § 16 Abs. 3 BSIG. Ferner steht die Pflicht erneut unter der Bedingung technischer Durchführbarkeit und wirtschaftlicher Zumutbarkeit. Insbesondere vor dem Hintergrund der Rechtsschutzverkürzung für betroffene Unternehmen (Widerspruch und Anfechtungsklage sollen hier keine aufschiebende Wirkung entfalten können) und dem intensiven Eingriff in die Netzinfrastruktur durch das BSI ist auch hier eine Konkretisierung dieser Ausnahmeregelung unerlässlich. Die Pflicht des BSI, den oder die BfDI jährlich über die Gesamtzahl angeordneter Nameserverumleitungen zu unterrichten, ist grundsätzlich richtig, stellt aber ohne damit verbundene Evaluationspflichten keine ausreichende Kontrollmaßnahme dar.

TeleTrusT lehnt demgegenüber die in § 31 BSIG-E vorgesehene verpflichtende Anbindung von Systemen zur Angriffserkennung von Betreibern kritischer Anlagen an das BSI in der vorgeschlagenen Form ab. Bereits der behauptete Mehrwert der zusätzlichen Anbindung bleibt im Entwurf unklar. Es ist nicht hinreichend dargelegt, weshalb die bestehenden Melde-, Unterstützungs- und Kooperationsmechanismen nicht ausreichen sollen. Demgegenüber schafft jede weitere Schnittstelle in hochsensiblen IT- und OT-Umgebungen eine neue Angriffsfläche. Gerade bei KRITIS-Betreibern beruht das Schutzkonzept auch darauf, externe Anbindungen auf das zwingend erforderliche Maß zu reduzieren. Besonders problematisch ist in dieser Hinsicht, dass der Entwurf keinerlei tragfähiges Schutzkonzept für diese staatlich veranlasste Anbindung erkennen lässt. Es fehlt an hinreichend klaren gesetzlichen Vorgaben zur sicheren technischen Ausgestaltung und zum sicheren Betrieb der Verbindung. Der bloße Hinweis darauf, dass das BSI die Anforderungen an Anbindung und Ausleitung eigenständig festlegt und veröffentlicht, genügt insoweit nicht.

Hinzu kommt, dass die Kosten- und Haftungsfolgen im Entwurf unzureichend geklärt sind. Wenn durch die verpflichtende Anbindung Sicherheitslücken entstehen, Cyber-Angriffe erleichtert oder Betriebsstörungen verursacht werden, sind Schäden bei KRITIS-Betreibern nicht auszuschließen. Es darf nicht zulasten der Betreiber gehen, wenn eine staatlich angeordnete zusätzliche Anbindung selbst zum Risiko wird. Mindestens müssen die Implementierungs- und Betriebskosten vollständig vom Staat getragen und spezialgesetzliche Haftungsregelungen einschließlich einer Beweislastumkehr zugunsten betroffener Betreiber vorgesehen werden. Andernfalls droht, dass Schäden wirtschaftlich bei den KRITIS-Betreibern verbleiben, obwohl diese die risikobegründende Maßnahme nicht freiwillig geschaffen haben. Dies gilt umso mehr, als allgemeine Staatshaftungsansprüche in der Praxis häufig keine hinreichend effektive und rechtssichere Kompensation gewährleisten.

Im Ergebnis ist § 31 BSIG-E in seiner Konzeption nach diesem Referentenentwurf abzulehnen.

III. TDDDG

Als sinnvoll erachtet TeleTrusT die neuen Nutzerinformationspflichten in § 19 Abs. 5, 6 TDDDG-E. Hiermit kann die Reaktionsfähigkeit und damit die Resilienz auf Endnutzerseite gestärkt und das Schadensausmaß von Cyber-Vorfällen deutlich eingeschränkt werden. Einzig zu kritisieren ist auch hier die fehlende Konkretisierung der technischen Durchführbarkeit und wirtschaftlichen Zumutbarkeit.

IV. BPolG und BKAG

Der Großteil des Referentenentwurfs befasst sich mit einer Anpassung des BPolG und BKAG in Hinblick auf die neue Cyber-Gefahrenlage. TeleTrusT betrachtet diese Vorschriften nicht aus einer polizei- und ordnungsrechtlichen, sondern aus einer Cyber-Sicherheitsrechtlichen Perspektive. TeleTrusT steht dem Schaffen neuer Eingriffsbefugnisse für Bundespolizei und BKA im Cyber-Raum nur insoweit offen gegenüber, als diese strikt defensiv, technisch beherrschbar und rechtsstaatlich klar begrenzt ausgestaltet sind. Der vorliegende Entwurf geht darüber deutlich hinaus. Die Rechtsgrundlagen sehen mitunter drastische Möglichkeiten vor, in informationstechnische Systeme und Datenströme einzugreifen.

Vor diesem Hintergrund sind insbesondere § 41a BPolG-E und § 62e BKAG-E aus Sicht von TeleTrusT in ihrer Grundkonzeption verfehlt. Die dort angelegten Eingriffsmöglichkeiten einer aktiven Cyber-Abwehr beinhalten die Möglichkeit, Maßnahmen durchzuführen, die nicht nur gegen Angreifer-Infrastrukturen, sondern faktisch auch gegen kompromittierte Drittsysteme wirken können. Gerade im Cyber-Raum werden Angriffe regelmäßig über fremde, selbst angegriffene oder missbrauchte Systeme durchgeführt. Damit können Bundespolizei und BKA solche Behörden, Unternehmen oder sonstigen Einrichtungen adressieren, die selbst Opfer eines Cyber-Angriffs geworden sind.

Die Vorstellung, "aktive Cyber-Abwehr" könne in komplexen realen Angriffsszenarien trennscharf und ohne gravierende Nebenfolgen erfolgen, überzeugt nicht. Werden Maßnahmen ohne Wissen der Betreiber angegriffener oder manipulierter Systeme durchgeführt, können die tatsächlichen Systemzustände und die Folgen des Eingriffs regelmäßig nicht hinreichend verlässlich beurteilt werden. Gerade das für eine sichere Durchführung erforderliche betriebs- und systemspezifische Wissen über Abhängigkeiten, Redundanzen und mögliche Kaskadeneffekte liegt typischerweise nur bei den betroffenen Betreibern selbst vor. Das ist insbesondere bei kritischen oder hochverfügbaren Infrastrukturen risikobehaftet. Schon geringfügige Fehlannahmen können erhebliche Betriebsstörungen, Datenverluste oder sogar flächendeckende Versorgungsausfälle verursachen. Die in § 41a BPolG-E und § 62e BKAG vorgesehenen Befugnisse schaffen damit neue Angriffsflächen, neue Missbrauchsmöglichkeiten und das Risiko unschätzbarer Kollateralschäden.

Dass die Normen die Rückgängigmachung von Datenveränderungen vorsehen und eingesetzte Mittel nach dem Stand der Technik gegen unbefugte Nutzung geschützt werden müssen, beseitigt diese Grundprobleme nicht. Die entscheidende Schwäche liegt nicht nur in der technischen Absicherung der eingesetzten Mittel, sondern bereits in der Unbeherrschbarkeit des Eingriffs in fremde, vernetzte und häufig nicht eindeutig zuordnungsfähige Systemumgebungen. Aus Sicht von TeleTrusT sollten diese Befugnisse in ihrer derzeitigen Konzeption nicht weiterverfolgt werden.

Die cyber-sicherheitsbezogenen Rechtsgrundlagen der §§ 62b - 62g BKAG-E sind eng verknüpft mit der Aufgabenzuweisungsnorm des § 3a BKAG-E. Hiernach nimmt das BKA die Aufgabe der Gefahrenabwehr gegen Angriffe auf die IT-Sicherheit wahr bei schwerwiegenden Fällen mit internationaler Abhängigkeit sowie Fällen mit außen- und sicherheitspolitischer Bedeutung. Während Gefahren durch Angriffe auf die IT-Sicherheit in § 3a Abs. 2 BKAG-E und schwerwiegende Fälle in § 3a Abs. 3 BKAG-E definiert werden, fehlt es in Bezug auf "Fälle mit außen- und sicherheitspolitischer Bedeutung" an einer ausreichenden Konkretisierung. Die Möglichkeit der Auswirkung auf die "Stellung der Bundesrepublik Deutschland in der Staatengemeinschaft" ist ebenfalls sehr weit gefasst und als Konturierung der Eingriffsvoraussetzung daher ungeeignet. Damit droht eine uferlose Ausweitung der Ermächtigungsgrundlagen. Gerade vor dem Hintergrund gegenwärtiger hybrider Kriegsführung sind wirksame Maßnahmen zur Abwehr von cyber-sicherheitsbezogenen Angriffen auf die Stellung der Bundesrepublik Deutschland wichtig - sie dürfen jedoch nicht zu einem Blankocheck für intensive Eingriffe in die Netz- und IT-Infrastruktur werden.

Hinsichtlich der Aufgabenzuweisungsvorschrift des § 3a BKAG-E und den damit zusammenhängenden Eingriffsbefugnissen der §§ 62b - 62g BKAG-E sowie auch hinsichtlich des § 41a BPolG treten erhebliche verfassungsrechtliche Bedenken hinzu. Diese Normen verschieben operative Zuständigkeiten im Bereich der Cyber-Gefahrenabwehr in substanziellem Umfang auf Bundesbehörden. Ob und inwieweit diese Kompetenzverlagerung mit der verfassungsrechtlichen Kompetenzordnung vereinbar ist, wird im Entwurf nicht hinreichend klar beantwortet. Gerade bei tiefgreifenden Eingriffsbefugnissen gegenüber informationstechnischen Systemen muss der Gesetzgeber die verfassungsrechtliche Zulässigkeit ausdrücklich und klar darlegen.

V. Fazit

Im Ergebnis unterstützt TeleTrusT das Anliegen des Referentenentwurfs, die Cyber-Sicherheit in Deutschland wirksamer zu schützen und die Reaktionsfähigkeit staatlicher Stellen gegenüber Cyber-Gefahren und -angriffen zu verbessern.

Aus Sicht von TeleTrusT geht der Entwurf in zentralen Punkten jedoch in die falsche Richtung. Insbesondere die vorgesehene Neugestaltung des § 31 BSIG-E überzeugt nicht. Eine staatlich veranlasste zusätzliche Anbindung kritischer Systeme an das BSI ohne klar begrenzten Mehrwert, ohne hinreichendes Schutzkonzept und ohne tragfähige Kosten- und Haftungsregelungen stärkt die Cyber-Sicherheit nicht, sondern schafft neue Risiken für KRITIS-Betreiber.

Ebenso sind die in § 41a BPolG-E und § 62e BKAG-E angelegten Möglichkeiten einer "aktiven Cyber-Abwehr" abzulehnen. Sie eröffnen die Gefahr, dass Bundesbehörden über kompromittierte Drittsysteme gerade solche Stellen in Anspruch nehmen oder beeinträchtigen, die selbst Opfer eines Cyber-Angriffs sind. Dadurch entstehen neue Angriffsflächen, neue Missbrauchsmöglichkeiten und potentiell erhebliche Kollateralschäden.

Schließlich wirft der Entwurf verfassungsrechtliche Fragen auf, insbesondere hinsichtlich der Kompetenzordnung und der Verlagerung operativer Cyber-Befugnisse auf Bundesebene. Diese Fragen müssen im weiteren Gesetzgebungsverfahren eindeutig beantwortet werden.

Im Ergebnis muss das Cyber-Sicherheitsniveau bundesweit gestärkt werden. Dieses Ziel wird aber nicht schon dadurch erreicht, dass zusätzliche Eingriffsbefugnisse geschaffen werden. Entscheidend ist vielmehr, dass staatliche Maßnahmen selbst keine neuen Unsicherheiten erzeugen und das Vertrauen in die Integrität informationstechnischer Systeme nicht schwächen.

Positionspapier zum "Deutschland-Stack" Kommentierung im Rahmen der 2. Konsultation des Bundesministeriums für Digitalisierung und Staatsmodernisierung (BMDS)

16.02.2026

Der Deutschland-Stack ist aus Sicht des Bundesverbandes IT-Sicherheit e.V. (TeleTrusT) eine strategisch richtige und notwendige Initiative, um die digitale Handlungsfähigkeit des Staates langfristig zu sichern. Auch das gewählte Vorgehensmodell eines Konsultationsverfahrens wird ausdrücklich begrüßt. Gleichzeitig zeigt die TeleTrusT-Analyse: In der aktuellen Ausprägung ist der Deutschland-Stack noch zu stark als technische Bausteinliste gedacht. Für belastbare Wirkung im öffentlichen Sektor ist ein klar geführtes Gesamtbetriebsmodell aus Architektur, Governance, Sicherheit und Verantwortung erforderlich.

Aus Sicht von TeleTrusT stellt der Deutschland-Stack eine wesentliche Initiative dar, um die digitale Infrastruktur insbesondere im Public Sector resilient, skalierbar und zukunftsfähig aufzustellen. Insofern begrüßt TeleTrusT sowohl das Vorhaben selbst als auch den gewählten Weg der Konsultation mit einer breiten Einbeziehung aller relevanten Stakeholder ausdrücklich. In einem aktuellen TeleTrusT-Positionspapier wird neben zahlreichen inhaltlichen Kommentierungen, Ergänzungen und Anmerkungen dargestellt, dass der Deutschland-Stack mehr sein muss als eine reine "Ansammlung" technischer Standards, Module und Services.

TeleTrusT ist überzeugt, dass die gewünschten Anforderungen an den Deutschland-Stack nur dann erfüllt werden können, wenn neben den erforderlichen technischen Festlegungen auch ein Betriebs-, Governance- und Infrastrukturmodell entwickelt wird, das die unterschiedlichen technischen Elemente verbindet. Dies gilt insbesondere für den Bereich der Informations- und Cyber-Sicherheit, genauso aber auch für notwendige Elemente wie Skalierbarkeit, Verfügbarkeit und Resilienz. All dies sind Eigenschaften, die sich nicht allein durch das Zusammenfügen geeigneter Technologien und Standards ergeben, sondern sie erfordern ein geeignetes Zusammenspiel und Zusammenwirken von Technologie, Infrastruktur und Governance. Dies kann nur erreicht werden, wenn all das bereits von Anfang an konsequent in den Architekturzielen und -prinzipien mitgedacht wird. Eine konsequente Ende-zu-Ende-Betrachtung unterstützt dies.

Die Ausrichtung von Standards und Technologien passt grundsätzlich zu den strategischen Zielen (Souveränität, Sicherheit, Interoperabilität, Zukunftsfähigkeit, Resilienz), wenn sie nicht als reine Tool-/Bausteinliste verstanden wird, sondern als verbindlich gesteuertes Gesamtmodell.

Es gibt jedoch Lücken in der aktuellen Konzeption:

  1. Zu starke Technologiekatalog-Logik
    Es fehlt ein verbindliches Target Operating Model aus Architektur, Governance, Betrieb und Verantwortung.
  2. Sicherheitsrahmen nicht durchgängig genug
    Einzelstandards (z.B. AES/RSA, OAuth/OIDC/JWT) reichen nicht; nötig ist ein lifecycle-basiertes Sicherheitsmanagement mit Risiko-, Audit- und Verbesserungszyklus.
  3. Teilweise unklare/inkonsistente Standardreferenzen
    Insbesondere bei Kryptografie wird auf bessere Anbindung an aktuelle BSI-Vorgaben (TR-02102) hingewiesen.
  4. Komplexitätsrisiko
    Ohne ganzheitliche Infrastruktur droht ein "Flickenteppich", der Sicherheit, Betrieb und Skalierung verschlechtert.
  5. Cloud/Managed Services missverstanden
    TeleTrusT betont: Das sind Betriebsmodelle, keine Sicherheitsgarantie. Sicherheit entsteht durch Architektur und technische Kontrollpunkte.

Die priorisierten Technologiefelder sind in Teilen mit relevanten Technologien und Standards unterlegt (vor allem Infrastruktur, Betriebsmodelle, Sicherheitsprinzipien), aber noch nicht vollständig. Es fehlen zentrale Security- und Betriebsbausteine, eine konsolidierte Standardreferenz (insbesondere Kryptografie nach BSI) und eine durchgängige, verbindliche Methodik statt punktueller Nennungen.

TeleTrusT empfiehlt eine Klärung der Umsetzungsverbindlichkeit der Vorgaben des Deutschland-Stack für die verschiedenen Stakeholder (insbesondere Bund, Länder und Kommunen). Dabei ist aus Sicht des TeleTrusT die Verbindlichkeit der Vorgaben des Deutschland-Stack zur Informations- und Cyber-Sicherheit von besonderer Relevanz und Bedeutung. 

Für das weitere Verfahren bietet TeleTrusT dem BMDS aktive Unterstützung und Mitwirkung an.