Das Gesetz wartet auf seine Verordnung. Die Angreifer nicht.

Am Dienstag, den 1. September 2026, fanden Einsatzkräfte am Umspannwerk Turnow-Preilack bei Jänschwalde in Brandenburg selbstgebaute Flugkörper, die gegen Höchstspannungsleitungen gerichtet waren. Am Abend desselben Tages kam es im rheinischen Bergheim zu einem Kurzschluss am Umspannwerk, fünf Blöcke zweier Braunkohlekraftwerke gingen vom Netz. In einem Maisfeld daneben lagen sechs Abschussvorrichtungen, mit denen sich pyrotechnische Gegenstände über Stromleitungen befördern lassen. NRW-Innenminister Herbert Reul sagte am Tag darauf: „Es spricht vieles dafür, dass es kein Zufall ist.“ Eine Woche später nahm die Polizei einen Tatverdächtigen fest; der Generalbundesanwalt ermittelt wegen verfassungsfeindlicher Sabotage und Störung öffentlicher Betriebe.

Vier Vorfälle, allein in diesem Jahr

Der Doppelvorfall vom September ist der jüngste in einer Serie von Angriffen auf kritische Infrastruktur in Deutschland, die in diesem Jahr die Versorgung getroffen oder gefährdet haben.

Im Januar 2026 legten Unbekannte mit einem Brandanschlag auf eine Kabelbrücke die Hochspannungsleitungen im Südwesten Berlins lahm. Rund 45.000 Haushalte — etwa 100.000 Menschen — und 2.200 Geschäfte und Betriebe waren tagelang ohne Strom, darunter Krankenhäuser und Pflegeheime.

Am 8. Juni 2026 brannte das Umspannwerk Reutlingen-West, zeitweise waren bis zu 40.000 Haushalte ohne Strom. Die Ermittler gehen von vorsätzlicher Brandstiftung aus.

In der Nacht auf den 5. August 2026 wurde am Flughafen Leipzig/Halle eine Drohne mit Sprengstoff und Zünder gefunden. Ein Frachtflugzeug kollidierte mutmaßlich mit einer zweiten Drohne. Sachsens Innenminister Armin Schuster sprach später von einer Bedrohung, „die man klar als Staatsterrorismus benennen“ müsse.

Am 1. September folgten Jänschwalde und Bergheim.

Die Angriffe richteten sich alle gegen die physische Anlage, nicht gegen die IT. In Brandenburg und Nordrhein-Westfalen ermittelten die Behörden zunächst auch in Richtung fremdstaatlicher Sabotage, bis sich der Verdacht auf einen Einzeltäter richtete, der sich in einem Bekennerschreiben auf den Protest gegen fossile Energie berief. Die EU-Kommission hat diese Bedrohungslage in ihren Leitlinien zur CER-Richtlinie vom Juli 2026 ausdrücklich benannt: Betreiber sollen bei ihren Schutzmaßnahmen staatliche Akteure mit Sabotage- und Spionageabsicht ebenso berücksichtigen wie Terrorismus und Innentäter (Punkt 25).

Wo das Gesetz steht

Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Es verpflichtet Betreiber kritischer Anlagen zu Risikoanalysen, physischen Schutzmaßnahmen und zur Meldung von Vorfällen binnen 24 Stunden. Was im Einzelnen darin steht, haben wir in einem eigenen Beitrag zusammengefasst: Das KRITIS-Dachgesetz erklärt.

Zugleich bleiben die Betreiber im Unklaren, weil die Verordnung fehlt, die das Gesetz konkretisiert. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) schreibt in seinen FAQ: „Zurzeit besteht noch keine Registrierungspflicht auf der Grundlage des KRITISDachG, da sich die konkretisierende Rechtsverordnung zur Bestimmung kritischer Anlagen gem. § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG noch in Erarbeitung und Abstimmung befindet.“ Eine Untergrenze für die Registrierung — frühestens der 17. Juli 2026 — stand ursprünglich im Gesetz und wurde Ende Juli 2026 gestrichen.

Knapp unter der Schwelle ist nicht draußen

Als kritisch gilt eine Anlage, die in der Regel mindestens 500.000 Einwohner versorgt. Wer darunter liegt, sollte sich nicht in Sicherheit wähnen. Die Länder haben bei der Zustimmung im Bundesrat am 6. März 2026 eine Absenkung auf 150.000 gefordert, weil sonst „zahlreiche essentielle Infrastrukturen, insbesondere in den ländlichen Räumen, weiterhin nicht erfasst“ blieben. Das Gesetz erlaubt den Ländern zudem, Anlagen unterhalb des Regelschwellenwerts als kritisch einzustufen, wenn eine Landesbehörde für die Dienstleistung zuständig ist (§ 5 Abs. 7). Und zwei Jahre nach Inkrafttreten wird das Gesetz evaluiert, der Schwellenwert ausdrücklich mit.

Das Umspannwerk in Bergheim versorgt keine Haushalte direkt, es bindet Kraftwerke ans Höchstspannungsnetz an. Ob es als kritische Anlage gelten wird, ist noch unklar. Getroffen wurde es trotzdem.

Die Verantwortung liegt schon jetzt beim Betreiber

Wie der Gesetzgeber die Pflichten im Detail ausgestaltet, ist offen. Für die Angreifer spielt das keine Rolle. Berlin im Januar, Reutlingen im Juni, Leipzig/Halle im August, Jänschwalde und Bergheim im September: Keiner dieser Angriffe hat auf eine Rechtsverordnung gewartet, und kein betroffener Betreiber konnte sich auf eine Frist berufen, die noch nicht lief.

Die Verantwortung für den Schutz einer Anlage trägt der Betreiber schon heute, gegenüber den Menschen, die er versorgt. Und sie liegt bei der eigenen Geschäftsleitung, die nach § 20 persönlich für die Umsetzung einsteht. Ein Stichtag ändert daran nichts, er macht die Pflicht nur nachprüfbar. Konzepte für Perimeterschutz, Alarmierung und Dokumentation lassen sich bereits heute entwickeln und umsetzen.

Was auf die Betreiber zukommt, lässt sich absehen. Die Leitlinien der EU-Kommission vom Juli 2026 beschreiben in 94 Absätzen, was die CER-Richtlinie unter physischem Schutz versteht: überwachte und regelmäßig getestete Perimeter-Detektion (Punkt 29), Video in Echtzeit und mit Aufzeichnung (Punkt 30), Alarmierung mit klaren Befehlsketten (Punkt 65), eine Vorfalldatenbank (Punkt 20), Drohnendetektion und -abwehr (Punkte 46 bis 50). Die Leitlinien sind nicht verbindlich, aber die deutsche Verordnung und die Mindestanforderungen nach § 14 setzen dieselbe Richtlinie um. Wer sich heute daran ausrichtet, arbeitet mit der konkretesten Vorschau, die es auf die deutschen Anforderungen gibt.

Was wir heute übernehmen können

Nichts von dem, was jetzt folgt, wartet auf die Verordnung. Mit ihr dürften diese Punkte zum nachweispflichtigen Teil Ihres Resilienzplans werden.

Perimeter-Detektion ist nur so gut wie die Reaktion, die auf sie folgt. Die Leitlinien erwarten überwachte und regelmäßig getestete Systeme. Mit der Aufschaltung laufen Ihre Meldungen bei uns zusammen und werden rund um die Uhr bewertet, auch nachts um drei.

Wer bei welchem Ereignis alarmiert wird, wer über eine Intervention entscheidet und welche Behörde wann informiert wird, legen wir mit Ihnen in einem Alarmplan fest. Genau das meinen die Leitlinien mit Alarmierungssystemen, klaren Befehlsketten und einer formalisierten Zusammenarbeit mit Polizei und Rettungsdiensten — und der Alarmplan ist ein Dokument, das Sie im Prüfungsfall vorlegen können.

Jeden Alarm dokumentieren wir mit Zeitstempel, Ursache, Maßnahme und Ergebnis. Für eine Meldung nach § 18 ist das die Grundlage: Sie rekonstruieren einen Vorfall nicht nachträglich, sondern ziehen ihn aus laufender Dokumentation.

Compliance verkaufen wir nicht — die Pflicht bleibt beim Betreiber. Wie eine Aufschaltung in der Praxis aussieht und welchen Teil der täglichen Arbeit wir übernehmen, zeigen wir Ihnen gern.