Deutschland hat das KRITIS-Dachgesetz, einen Nationalen Sicherheitsrat, neue Regeln für Drohnenabwehr, Milliardenprogramme für Bundeswehr und Bevölkerungsschutz. Die politische Diagnose steht. Jetzt beginnt die unangenehme Prüfung: Was davon funktioniert heute? Hybride Angriffe messen keine Haushaltsansätze und keine Gesetzesvorhaben. Sie messen Reaktionszeit.
Am 17. März 2026 trat das KRITIS-Dachgesetz in Kraft. Der Name klingt technisch. Seine politische Bedeutung reicht viel weiter. Deutschland erklärt damit Energieversorgung, Wasser, Verkehr, Telekommunikation, Gesundheit und andere lebenswichtige Dienste zu einem Teil seiner Sicherheitsarchitektur. Das Gesetz verlangt Risikoanalysen, Schutzmaßnahmen, Notfallverfahren, Übungen und einen geplanten Wiederanlauf. Es berücksichtigt ausdrücklich hybride Bedrohungen und Abhängigkeiten zwischen Sektoren.
Damit steht die richtige Kategorie im Gesetz: Infrastruktur ist Sicherheitspolitik. Sechs Monate später folgt allerdings die nächste Frage. Wirkt das Gesetz bereits dort, wo ein Angriff treffen würde? Die Antwort des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe fällt eindeutig aus. Betreiber kritischer Anlagen müssen nach dem KRITIS-Dachgesetz derzeit noch nicht tätig werden. Die Rechtsverordnung, die festlegt, welche Anlagen konkret erfasst werden, befindet sich weiter in Erarbeitung und Abstimmung. Eine Registrierungspflicht besteht deshalb noch nicht. Erst nach der Registrierung laufen weitere Fristen: neun Monate bis zur erstmaligen Risikoanalyse, zehn Monate bis zu Resilienzmaßnahmen und Meldepflichten. Auch die sektorübergreifenden Mindestanforderungen sind noch in Abstimmung. Ein Gesetz ist seit März in Kraft. Sein operativer Vollzug reicht damit weit in das Jahr 2027. Die Bedrohung wartet diesen Zeitplan kaum ab.
Geliefert wie versprochen?
Die deutsche Sicherheitsdebatte braucht deshalb eine neue Maßeinheit. Wir zählen Milliarden. Wir zählen Gesetze. Wir zählen Programme, Stellen, Zentren und Beschaffungsvorhaben. Für die Bundeswehr lautet eine zentrale Zielmarke 2029. Auch der Pakt für den Bevölkerungsschutz arbeitet mit diesem Jahr: Bis 2029 sollen zehn Milliarden Euro in Zivilschutz und zivile Verteidigung fließen. Vorgesehen sind neue Ausrüstung, Warnsysteme, Ausbildung und eine bessere Verzahnung der Ebenen. 2029 ist damit zu einer Chiffre deutscher Sicherheitsplanung geworden. Für einen Angreifer ist 2029 kein Termin.
Die unbequemere Frage lautet deshalb: Was passiert, falls Deutschland morgen mit dem antreten muss, was heute einsatzbereit ist? Dann zählt kaum, welcher Betrag bis 2029 vorgesehen ist. Entscheidend wird, welche Leistung heute verfügbar ist. Welche Leitstelle erreicht eine Warnung? Welche Behörde darf entscheiden? Welche Drohnenabwehr steht innerhalb von Minuten bereit? Welches Krankenhaus kann nach einem Stromausfall weiterarbeiten? Welcher Mobilfunkmast erhält zuerst Diesel? Welche Brücke trägt militärischen Schwerlastverkehr? Wie schnell lässt sich ein ausgefallenes Netz wieder hochfahren? Aus der Budgetkurve muss eine Wirkungskurve werden.
Das Vollzugsdefizit ist inzwischen ein Sicherheitsrisiko
Deutschland kennt die Mechanik des Vollzugsdefizits seit Jahrzehnten. Der Bundestag beschließt eine Regel. Danach folgen Rechtsverordnungen, Zuständigkeitsabstimmungen, Verwaltungsvorschriften, technische Standards, Beschaffung, Ausschreibungen, Haushaltsfreigaben und Schulungen. Jeder einzelne Schritt besitzt einen Grund. Zusammengenommen erzeugen sie Zeit. Im normalen Verwaltungsvollzug ist Zeit lästig. In einer hybriden Lage wird sie zur operativen Ressource des Gegners.
Das KRITIS-Dachgesetz zeigt diese Spannung exemplarisch. Der Gesetzgeber hat bereits festgelegt, dass Betreiber Abhängigkeiten zu anderen Sektoren berücksichtigen müssen. Er hat einen Regelschwellenwert von 500.000 versorgten Einwohnern eingeführt und zugleich Ausnahmen vorgesehen, falls eine kleinere Anlage wegen ihrer Funktion kritisch ist. Er verlangt, geografische Auswirkungen, Ausfalldauer, wirtschaftliche Folgen und fehlende Alternativen einzubeziehen. Die Systemlogik steht also im Gesetz. Nun muss der Staat daraus Realität machen.
Ein kleines Unternehmen kann für eine große Lieferkette unverzichtbar sein. Eine einzelne Tankstelle mit Notstrom kann für Rettungsdienst, Feuerwehr und Telekommunikation entscheidend werden. Ein Spezialbetrieb kann ein Bauteil herstellen, ohne das eine wesentlich größere Anlage wochenlang ausfällt. Eine Brücke versorgt keine 500.000 Menschen und kann trotzdem für die Drehscheibe Deutschland entscheidend sein. Solche Abhängigkeiten stehen selten fertig in einem Register. Behörden müssen sie kennen, bevor sie ausfallen.
Der Angriff prüft Output, keine Organisationspläne
Auch die aktuelle Bedrohungslage zwingt zu dieser Sicht. Nach dem Fund einer mit Sprengstoff bestückten Drohne am Flughafen Leipzig/Halle stufte das Bundesinnenministerium die Bedrohungslage für Deutschland als hoch ein. Der Nationale Sicherheitsrat befasste sich bereits am 7. August mit dem Vorgang. Die Bundesregierung spricht inzwischen von einer neuen Dimension aus Drohnenangriffen, Cyberattacken und aggressiven Anschlägen. Derartige Lagen verlaufen quer zu den Organisationsplänen.
Ein Cyberangriff kann die Kommunikation stören. Ein physischer Treffer kann anschließend Stromversorgung oder Verkehr treffen. Gleichzeitig verbreitete Falschinformationen erhöhen den Druck auf Bevölkerung und Behörden. Ein einziges Fluggerät kann in kurzer Zeit mehrere Zuständigkeitsräume passieren. Der Gegner führt diese Elemente als eine Operation. Deutschland bearbeitet sie weiterhin häufig als mehrere Vorgänge.
Die Studie „Gesamtstaatliches Sicherheitsökosystem 2030“ (GSÖ) findet genau dort ihre zentrale Schwachstelle. Die Untersuchung beschreibt die Bruchstelle zwischen Erkennen und Handeln: Informationen sind vorhanden, Fähigkeiten ebenfalls. Bewertung, Entscheidung, Koordination und Auftrag verlieren an den Übergängen Zeit. Die politische Frage lautet damit kaum noch: Haben wir etwas? Sie lautet: Kommt es rechtzeitig zum Einsatz?
Melden ist noch kein Handeln
Das gilt besonders für Lagebilder. Deutschland baut seit Jahren Meldewege aus. Betreiber liefern Informationen an Behörden. Cybervorfälle werden erfasst. Sicherheitsbehörden führen eigene Lagebilder. Bundeswehr, Länder, Kommunen und Betreiber verfügen über Fachsysteme. Das Problem beginnt beim Rückweg.
Ein Unternehmen, das eine Auffälligkeit meldet, braucht anschließend die Information, die seine eigene Entscheidung verbessert. Ein Energieversorger muss wissen, ob seine Beobachtung Teil eines größeren Angriffsmusters ist. Ein Krankenhaus braucht Hinweise auf erwartete Strom- oder Kommunikationsausfälle. Ein Logistiker benötigt Informationen über gesperrte Korridore. Eine Kommune muss erkennen, welche Ressourcen noch verfügbar sind.
Die GSÖ-Studie beschreibt diese Einbahnstraße als Reziprozitätslücke. Daten fließen zum Staat. Der Rückkanal bleibt schwach. Das KRITIS-Dachgesetz kann hier eine neue Ordnung schaffen. Dafür muss aus der Meldearchitektur eine Handlungsarchitektur werden. Ein Lagebild erfüllt seinen Zweck erst, sobald es eine Entscheidung verbessert.
Wer führt, sobald mehrere Richtige gleichzeitig handeln?
Das Vollzugsproblem reicht tiefer als Technik. Deutschland hat Zuständigkeiten. Das ist ein Wert. Föderale Verantwortung, fachliche Kompetenz, parlamentarische Kontrolle und rechtliche Grenzen schützen vor willkürlicher Machtkonzentration. Eine komplexe Krise verlangt zusätzlich Führung über diese Zuständigkeiten hinweg.
Der Nationale Sicherheitsrat existiert. Ein Steuerungsstab für die zivile Verteidigung entsteht. Das Gemeinsame Zentrum zur Abwehr hybrider Bedrohungen arbeitet. Das KRITIS-Dachgesetz verteilt neue Aufgaben. Die Bundesregierung überprüft zugleich die Sicherstellungs- und Vorsorgegesetze aus der Zeit des Kalten Krieges und will zivile und militärische Verteidigung enger verbinden.
Damit wächst die Zahl der Bausteine. Jetzt muss die Führungslogik sichtbar werden. Wer entscheidet bei einer Lage, die Strom, Telekommunikation, Bahnverkehr, Krankenhäuser und Drohnenabwehr gleichzeitig betrifft? Wer setzt die Prioritäten? Wer bestimmt, welche Infrastruktur zuerst Strom erhält? Wer entscheidet, welche Information geteilt werden darf? Wer gibt den Auftrag, sobald mehrere Ressorts beteiligt sind? Eine Koordinierungsstelle kann Gespräche organisieren. Führung verlangt eine Entscheidung. Das ist die Grenze zwischen Struktur und Wirkung.
Aus „bereit bis 2029“ muss „einsatzfähig heute“ werden
Die militärische Debatte kennt den Begriff Readiness: die tatsächliche Einsatzbereitschaft einer Fähigkeit. Deutschland braucht den gleichen Maßstab für seine zivile Sicherheitsarchitektur. Ein Notstromaggregat zählt erst, wenn Kraftstoff nachkommt. Ein Resilienzplan zählt erst, wenn der Wiederanlauf funktioniert. Ein Lagebild zählt erst, wenn die richtigen Stellen Zugriff erhalten. Eine Drohnenabwehr zählt erst, wenn Sensorik, rechtliche Freigabe, Lagebewertung und Wirkmittel innerhalb des verfügbaren Zeitfensters zusammenkommen. Auch Beschaffung muss danach bewertet werden.
Die Bundesregierung kann für 2029 zehn Milliarden Euro Bevölkerungsschutz einplanen. Das schafft Möglichkeiten. Entscheidend bleibt, wie viel verfügbare Fähigkeit daraus entsteht: Warnung, Kommunikation, Transport, Schutz, Ersatzversorgung, Reparatur und Wiederanlauf. Vom Geld zur Wirkung sollte deshalb der Maßstab jeder Sicherheitsinvestition sein.
Für jede große Maßnahme braucht es wenige harte Fragen: Was kann sie heute? Wie lange dauert die Reaktion? Wie viele Standorte sind einsatzbereit? Wie lange hält der Betrieb? Wie schnell gelingt der Wiederanlauf? Dann wird aus Planung überprüfbare Handlungsfähigkeit.
Übungen müssen Fehler produzieren dürfen
Auch hier liegt ein Teil des Vollzugsdefizits. Deutschland übt. Doch eine Übung gewinnt erst durch die Fehler, die sie sichtbar macht. Ein perfekter Ablauf beweist wenig. Ein ausgefallener Kommunikationsweg, eine ungeklärte Zuständigkeit oder eine unrealistische Wiederanlaufzeit liefern wertvolle Informationen. Das KRITIS-Dachgesetz verlangt Übungen und Resilienzmaßnahmen. Der nächste Schritt wäre eine konsequente Messung.
Wie viele Minuten vergehen vom Signal bis zur Bewertung? Wie lange dauert die politische Entscheidung? Wann erreicht der Auftrag die operative Ebene? Welche Systeme laufen nach Stromrückkehr innerhalb einer Stunde, welche nach einem Tag, welche erst nach mehreren Tagen? Die nächste Übung muss zeigen, ob diese Zeiten sinken. So entsteht Lernen.
Ein Gesetz braucht eine Vollzugsuhr
Die Bundesregierung sollte deshalb öffentlich sichtbar machen, wie schnell aus dem KRITIS-Dachgesetz Wirkung entsteht. Die entscheidende Rechtsverordnung braucht einen Termin. Danach muss erkennbar werden, wie schnell Betreiber registriert sind, wie viele kritische Abhängigkeiten entdeckt wurden, wie viele Resilienzpläne vorliegen und wie viele davon praktisch erprobt wurden.
Das Gesetz sieht seine erste wissenschaftliche Evaluation zwei Jahre nach Inkrafttreten vor. Das führt ins Jahr 2028. Die operative Steuerung darf kaum bis dahin warten. Deutschland braucht bereits vorher einen Vollzugsmonitor: registrierte Anlagen, geübte Übergänge, Reaktionszeiten, Wiederanlaufzeiten, offene Befugnisse, kritische Ersatzteile, abgesicherte Lieferketten. Dann ließe sich die Frage endlich beantworten: Geliefert wie versprochen?
Bonn muss vom Befund zur Entscheidung führen
Am 7. und 8. Oktober 2026 kommt diese Debatte nach Bonn. Der Bonner IT-Dialog im Maritim Hotel stellt die Resilienz Deutschlands auf den Prüfstand. Streitkräfte, Politik und Verwaltung, Behörden und Zivilschutz, Betreiber kritischer Infrastrukturen, Industrie, Technologieanbieter und Zivilgesellschaft treffen dort zwei Tage lang aufeinander.
Dort wird auch die AFCEA-Studie „Gesamtstaatliches Sicherheitsökosystem 2030“ erstmals veröffentlicht. Sie verdichtet 50 ausgewertete Interviews und den internationalen Vergleich zu 30 Maßnahmen für mehr Handlungsfähigkeit. Der Bonner IT-Dialog erwartet mehr als 700 Teilnehmende aus Bundeswehr, Behörden, Ländern, Kommunen und Industrie. Die Veranstaltung kommt damit zum richtigen Zeitpunkt.
Nach Leipzig, nach dem KRITIS-Dachgesetz, nach dem Pakt für den Bevölkerungsschutz und mitten in der Umsetzung des Operationsplans Deutschland reicht die nächste Bestandsaufnahme kaum aus. Bonn sollte klären, was jetzt umgesetzt wird: welche Schnittstelle geöffnet, welche Zuständigkeit geklärt, welcher Wiederanlauf geübt und welche vorhandene Fähigkeit endlich in die Fläche gebracht wird. 2029 kann eine Zielmarke sein. Die erste Probe kann morgen kommen.
Wer über KRITIS, Gesamtverteidigung, Drohnenabwehr, zivile Verteidigung, Digitalisierung oder den Operationsplan Deutschland Verantwortung trägt, sollte diese zwei Tage deshalb im Kalender haben.
Anmeldung zum Bonner IT-Dialog am 7. und 8. Oktober 2026
Im Ernstfall zählt nicht, wie viele Regeln gelten. Es zählt, ob einer führt, ob alle wissen, was zu tun ist, und ob das System schneller ist als der Angreifer.
