In den letzten Jahren gab es bedeutende gesetzliche Neuerungen im Bereich der Infrastruktureinrichtungen. Besonders im Fokus stehen der Schutz kritischer Infrastrukturen (KRITIS), die Umsetzung neuer EU-Vorgaben zur Cybersicherheit sowie Haftungs- und Vertragsfragen bei Infrastrukturprojekten.
1. Gesetzliche Neuerungen
a) KRITIS-Dachgesetz (Entwurf 2024)
Das Bundeskabinett hat im November 2024 den Entwurf eines KRITIS-Dachgesetzes beschlossen. Es soll die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie, Richtlinie (EU) 2022/2557) umsetzen und erstmals bundesweit einheitliche Mindeststandards für den physischen Schutz kritischer Infrastrukturen schaffen.
Kerninhalte des Entwurfs:
- Festlegung der Sektoren kritischer Infrastruktur, darunter Energie, Wasser, Transport und Verkehr, Gesundheit, Informationstechnik und Telekommunikation sowie öffentliche Verwaltung.
- Verpflichtung für Betreiber kritischer Anlagen, Risikoanalysen durchzuführen und Resilienzpläne zu erstellen.
- Einführung einer Meldepflicht für erhebliche Störungen.
- Bußgelder bei Nichteinhaltung der Schutzmaßnahmen.
Mit diesem Gesetz soll der Schutz kritischer Infrastrukturen vor physischen Gefahren wie Naturkatastrophen, Sabotage und Terroranschlägen verstärkt werden. Die Cybersicherheit ist dagegen Gegenstand der NIS2-Umsetzung.
b) Umsetzung der NIS2-Richtlinie
Die EU-Richtlinie NIS2 (Richtlinie (EU) 2022/2555 zur Verbesserung der Cybersicherheit) hätte bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden müssen. Deutschland hat diese Frist nicht eingehalten; das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) befand sich bei Veröffentlichung dieses Beitrags noch im Gesetzgebungsverfahren. Die neuen Vorschriften erweitern den Anwendungsbereich auf zusätzliche Sektoren wie Abfallwirtschaft, Raumfahrt und öffentliche Verwaltung.
Änderungen:
- Strengere Anforderungen an Cybersicherheitsmaßnahmen und Risikomanagement.
- Berücksichtigung der Sicherheit der Lieferkette, einschließlich der Beziehungen zu Lieferanten und Dienstleistern.
- Erweiterte Meldepflichten für Sicherheitsvorfälle und Sanktionen bei Verstößen.
Diese Änderungen betreffen insbesondere Betreiber von Strom-, Wasser- und Verkehrsnetzen sowie IT- und Telekommunikationsunternehmen.
2. Haftungs- und Vertragsfragen bei Infrastrukturprojekten
a) Haftung für Planungs- und Ausführungsfehler
Auftragnehmer von Infrastrukturprojekten haften nach Werkvertragsrecht (§§ 633 ff. BGB) für Mängel ihrer Leistung, insbesondere für Planungs- und Berechnungsfehler. Verzögert sich etwa die Inbetriebnahme einer Brücke wegen fehlerhafter statischer Berechnungen, kommen Ansprüche auf Nacherfüllung und Schadensersatz für Mehrkosten in Betracht. Öffentliche Auftraggeber achten deshalb bei Ausschreibungen verstärkt auf die technische Eignung und Qualifikation der Bieter.
b) Nachrangabreden bei Investitionen in Energieprojekte
Viele Wind- und Solarprojekte werden über Anleihen oder Nachrangdarlehen finanziert. Enthalten die Vertragsbedingungen eine qualifizierte Nachrangabrede, kann der Emittent die Rückzahlung verweigern, solange diese eine Insolvenz auslösen würde. Solche Klauseln unterliegen jedoch als Allgemeine Geschäftsbedingungen der Inhaltskontrolle und müssen insbesondere dem Transparenzgebot (§ 307 Abs. 1 Satz 2 BGB) genügen; unklare Nachrangklauseln können unwirksam sein. Für Investoren und Projektgesellschaften ist eine transparente Vertragsgestaltung daher von zentraler Bedeutung.
3. Herausforderungen und Ausblick
Die steigende Bedeutung von Infrastruktureinrichtungen in Verbindung mit neuen Risiken, insbesondere im Bereich der Cybersicherheit, erfordert eine fortlaufende Anpassung der rechtlichen Rahmenbedingungen.
Herausforderungen
- Steigende Sicherheitsanforderungen: Betreiber müssen verstärkte Schutzmaßnahmen für kritische Infrastrukturen ergreifen.
- Haftungsrisiken bei Infrastrukturprojekten: Unternehmen haften für Planungs- und Berechnungsfehler.
- Neue Meldepflichten und Sanktionen: Verstöße gegen Sicherheitsanforderungen können zu hohen Bußgeldern führen.
Empfehlungen für Betreiber und Investoren
- Compliance stärken: Sicherheitsmaßnahmen regelmäßig auf Übereinstimmung mit den neuen Vorschriften prüfen.
- Vertragsgestaltung anpassen: Klare Vereinbarungen über Haftung und Investitionsrisiken treffen.
- Transparenz im Wettbewerb sicherstellen: Öffentliche Auftraggeber sollten bei Vergaben verstärkt auf nachhaltige und rechtssichere Konzepte achten.
Aktualisierung (November 2026): Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten; betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Das KRITIS-Dachgesetz wurde nach einem erneuten Kabinettsbeschluss 2025 im März 2026 verkündet (BGBl. 2026 I Nr. 66). Betreiber kritischer Anlagen müssen sich frühestens ab dem 17. Juli 2026 registrieren und anschließend gestaffelt Risikoanalysen, Resilienzpläne und Störungsmeldungen umsetzen.
Sie haben Fragen zum Recht der Infrastruktureinrichtungen? Unsere Anwältinnen und Anwälte beraten und vertreten Sie bundesweit. Beratungstermin anfordern