Lebensmittel, Strom, Heizen: Faeser will 1400 Firmen in Deutschland schützen

Der Fortbestand der Bundesregierung hängt am seidenen Faden, da will Bundesinnenministerin Nancy Faeser noch schnell Wichtiges durchs Kabinett bringen. Es geht um das Gesetz zur Stärkung der Resilienz kritischer Anlagen, mit dem eine Richtlinie vonseiten der Europäischen Union in nationales Recht aufgenommen werden soll. Konkret geht es darum, Firmen, deren Arbeit überlebenswichtig für die Bevölkerung in Deutschland ist, widerstandsfähiger zu machen.

Spätestens nach dem Sabotageakt auf die Stromversorgung in Grünheide ist das Thema dringlich geworden. Im März 2024 war nicht nur die Produktion im Tesla-Werk unterbrochen, sondern zahlreiche Supermärkte wurden nicht mehr beliefert, weil die Kühlung im Logistikzentrum eines großen Lebensmittelhändlers ausgefallen war. Solche sicherheitsrelevanten Vorfälle müssen jetzt innerhalb von 24 Stunden gemeldet werden.

Insgesamt 1400 Unternehmen aus Bereichen wie Gesundheitswesen, Abfallentsorgung, Energie, Verkehr und Ernährung sollen verpflichtet werden, sich gegen Ausfälle aufgrund von Naturkatastrophen beziehungsweise Sabotage- oder Terrorangriffe zu schützen. Ausschlaggebend ist, ob mehr als 500.000 Bürger von einem Ausfall des Betriebs betroffen wären.

Bundesregierung traut sich keine Kostenschätzung zu

Der Gesetzentwurf liegt dem Tagesspiegel vor. Darin sind bei Verstößen Bußgelder zwischen 50.000 und 500.000 Euro vorgesehen. Gleichzeitig traut sich die Bundesregierung trotz – wie es aus Ministeriumskreisen heißt – „sehr intensiven Diskussionen“ nicht zu, seriös abzuschätzen, wie viel Geld die Wirtschaft für diese Schutzmaßnahmen ausgeben muss.

Einmalig rechnet das Innenministerium (BMI) mit Kosten in Höhe von etwa 1,7 Milliarden Euro, jährliche könnten dafür Ausgaben in Höhe von 500 Millionen Euro anfallen. Wie teuer die Sicherungsmaßnahmen genau werden, hänge von der Branche und der geografischen Lage des Unternehmens ab.

Aus der Wirtschaft und Zivilgesellschaft kamen bisher gemischte Reaktionen auf den Gesetzentwurf. Jens Müller, Vizepräsident des Bundesverbandes der Sicherheitswirtschaft, sagte dem Tagesspiegel, der vorliegende Entwurf verzichte auf konkrete Sicherheitsanforderungen für das eingesetzte Personal.

„Sowohl für festangestelltes als auch externes Personal sind verbindliche Qualifikations- und Zuverlässigkeitsstandards entscheidend. Dieser Aspekt muss im parlamentarischen Verfahren Einzug in das Gesetz finden“, so der BDSW-Vize weiter.

Schwachpunkt beim Personal in Kritis-Unternehmen

Hier setzt auch die Kritik aus der Opposition im Bundestag an. Seit Monaten forderten Experten laut Marc Henrichmann (CDU) den Aufbau einer gemeinsamen Lagebildstelle zur Risikoabschätzung. Damit Unternehmensmitarbeiter in besonders kritischen Positionen daran mitwirken dürfen, also entsprechend geheime Daten erhalten, benötigen sie eine Sicherheitsüberprüfung.

„Die Reform des Sicherheitsüberprüfungsgesetzes wird jedoch weiterhin von Seiten des Wirtschaftsministeriums und des Innenministeriums blockiert. Die Verantwortung gibt man damit alleine an die Unternehmen ab“, sagt der Sicherheitspolitiker der Unionsfraktion.

Die zahlreichen Ausnahmen und Auslagerungen bemängelt Manuel Atug, Gründer und Sprecher der Arbeitsgemeinschaft Kritis, welche die Versorgungssicherheit der Bevölkerung verbessern will. 

„Das Gesetz wurde offensichtlich mit heißer Nadel gestrickt, was man daran sieht, dass der Erfüllungsaufwand nicht vollständig beziffert wurde. Zudem ist ein erheblicher Teil der Bundesverwaltung vom Gesetz ausgenommen und damit weiterhin den physischen Risiken ausgesetzt“, sagte der AG-Kritis-Sprecher.

Am Mittwoch soll das Kabinett dem Entwurf aus dem BMI zustimmen, anschließend sind Bundestag und Bundesrat gefragt. Mitte kommenden Jahres soll das Gesetz in Kraft treten, die EU-Kommission hatte ursprünglich den 17. Oktober dieses Jahres vorgesehen.

Betroffene Unternehmen und Einrichtungen müssen sich bis zum 17. Juli 2026 registrieren. Dazu soll ein gemeinsames Online-Portal des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe und des Bundesamtes für Sicherheit in der Informationstechnik genutzt werden.

Bisher mussten sich über diese Seite Firmen anmelden, die von den Cybersicherheitsregeln betroffen sind. Alle gut 1400 Betreiber kritischer Anlagen sind dann verpflichtet, sogenannte Resilienzpläne aufzustellen, in denen Schutzaktionen wie Notstromversorgung und Überwachung genannt werden. Diese müssen bis spätestens Mai 2027 umgesetzt sein.