Hochrisiko-KI hängt am KRITIS-Status, und die Verordnung dazu fehlt

Die zweite Bedingung liegt beim Betreiber

Ob eine KI im Netzbetrieb Hochrisiko ist, hängt nach dem Leitlinienentwurf der Kommission an zwei Bedingungen: an ihrer Funktion und am Status dessen, der sie einsetzt. Die erste Bedingung lässt sich im eigenen Haus prüfen. Die zweite nicht.

Der Weg dahin ist kurz. Anhang III Nummer 2 des AI Act erfasst KI, die "als Sicherheitsbauteile im Rahmen der Verwaltung und des Betriebs" der Wasser-, Gas-, Wärme- oder Stromversorgung verwendet werden soll. Für den Begriff der kritischen Infrastruktur verweist Artikel 3 Nummer 62 auf die CER-Richtlinie (EU) 2022/2557. Randnummer 190 des Entwurfs vom 19. Mai 2026 liest diesen Verweis so, dass ein KI-System nur dann Hochrisiko ist, wenn es "von einer Einrichtung verwendet wird, die ein Mitgliedstaat nach der CER-Richtlinie als kritische Einrichtung identifiziert hat" (eigene Übersetzung).

Für Gas wiederholt Randnummer 200 das, für Wärme Randnummer 202, für Strom Randnummer 204. Die Liste der Strom-Einrichtungen ist lang: Lieferanten, Verteil- und Übertragungsnetzbetreiber, Erzeuger, nominierte Strommarktbetreiber und Marktteilnehmer für Laststeuerung, Aggregation und Speicher.

Das ist eine enge Lesart. Sie entlastet alle, die nicht identifiziert sind, und sie macht den KRITIS-Status zur Schaltstelle.

Welche Systeme die erste Bedingung erfüllen, also wirklich Sicherheitsbauteil sind, haben wir im Beitrag welche KI im Stadtwerk nach Anhang III wirklich Hochrisiko ist mit den neun Beispielen des Entwurfs durchgegangen. Hier geht es nur um die zweite. Der Entwurf ist nicht final, die Kommission hat die Endfassung bis Ende 2026 angekündigt, und nach Randnummer 6 legt den AI Act verbindlich nur der Europäische Gerichtshof aus. Die übrigen Fragen zu KI bei Versorgern sammelt unser Themenfeld KI in der Energiewirtschaft.

Wer in Deutschland kritisch ist

Deutschland identifiziert kritische Einrichtungen nicht per Bescheid, sondern über Schwellenwerte je Anlage. Das KRITIS-Dachgesetz spricht von Betreibern kritischer Anlagen. Kritisch ist eine Anlage, deren Versorgungsgrad den Schwellenwert der Kritisverordnung erreicht.

Der zweite Satz der Definition ist für KI wichtig. Ein Leitsystem, das Pumpen, Schalter oder Netze steuert, kann selbst Teil der kritischen Anlage sein. Der Regelwert steht in § 5 Absatz 2: grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner. Aus ihm rechnet der Referentenentwurf der Kritisverordnung vom 26. Mai 2026 die Schwellen je Anlagenkategorie.

Im Sektor Energie fehlt nur für die 3.700 GWh die Rechnung. Teil 2 Nummer 10 des Entwurfs enthält an dieser Stelle noch einen Platzhalter, und auch die geltende BSI-Kritisverordnung nennt den Wert ohne Herleitung. Auf 500.000 Einwohner umgelegt sind das 7.400 kWh je Kopf und Jahr, gut das Vierfache der 1.815 kWh, mit denen der Entwurf bei Erzeugungsanlagen rechnet. Für ein Stadtwerk mittlerer Größe sind 3.700 GWh weit weg. Für die Netzgesellschaft einer Großstadt oder einen Regionalversorger mit Fernwärme nicht.

Für Wärmeversorger gibt es zwei Besonderheiten. Die Anlage zur zentralen standortübergreifenden Steuerung der Fernwärme ist eine eigene Kategorie, also genau der Ort, an dem KI zur Netzführung laufen würde. Und zuständig ist nicht die Bundesnetzagentur. Sie betreut nach § 3 Absatz 2 Nummer 2 nur Strom, Erdgas und Wasserstoff. Für Fernwärme bestimmen die Länder die Behörde, und zwar spätestens drei Monate nach Inkrafttreten der Verordnung (§ 3 Absatz 6). Wie die Fernwärme selbst mit KI umgeht, steht in unserem Beitrag zur KI-Netzoptimierung in der Fernwärme.

Zwei Ventile gibt es. Das Bundesinnenministerium kann nach § 5 Absatz 3 im Einzelfall feststellen, dass eine Anlage kritisch ist, obwohl sie unter der Schwelle liegt, oder umgekehrt. Die Länder dürfen nach Absatz 7 eigene Kriterien bekommen. Wer heute knapp unter 3.700 GWh liegt, ist also nicht sicher draußen.

Noch etwas spricht für Sorgfalt. Nach der Begründung des Entwurfs bestimmt dieselbe Verordnung auch, wer Betreiber kritischer Anlagen nach dem BSI-Gesetz ist. Eine Schwelle entscheidet dann über physischen Schutz, IT-Sicherheit und, folgt man der Kommission, über die KI-Pflichten. Wie NIS2 und KRITIS-Dachgesetz sonst ineinandergreifen, beschreibt unser Beitrag zu NIS2 und KRITIS-Dachgesetz 2026.

Die Kette der Fristen, und wo sie reißt

Der KRITIS-Status entsteht in einer Kette aus Verordnung, Stichtag, Registrierung und Folgepflichten. Das erste Glied fehlt. Nach dem KRITIS-Dachgesetz ist bis heute keine Anlage als kritisch bestimmt. Die alte BSI-Kritisverordnung gilt weiter, aber nur für die IT-Sicherheit nach dem BSI-Gesetz, und auf die verweist der Kommissionsentwurf nicht.

Die CER-Richtlinie hatte den Mitgliedstaaten für die Identifizierung den 17. Juli 2026 gesetzt (Artikel 6 Absatz 1). Der Termin ist vorbei. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe schreibt in seinen FAQ, abgerufen am 17. Oktober 2026: "Zurzeit besteht noch keine Registrierungspflicht auf der Grundlage des KRITISDachG", weil sich die Verordnung "noch in Erarbeitung und Abstimmung befindet".

Was nach dem Inkrafttreten passiert, regelt der Entwurf genau. Hat eine Anlage ihren Schwellenwert im Kalenderjahr 2025 erreicht, gilt sie ab dem Tag des Inkrafttretens als kritisch. Danach läuft eine Jahresmechanik: Den Versorgungsgrad des Vorjahres ermittelt der Betreiber bis zum 31. März, kritisch wird eine Anlage ab dem 1. April des Jahres nach dem ersten Überschreiten. Registrieren muss er sich nach § 8 Absatz 1 spätestens drei Monate, nachdem die Anlage als kritisch gilt. Die Risikoanalyse folgt neun Monate nach der Registrierung, Resilienzmaßnahmen und Meldepflicht zehn Monate danach (§ 8 Absatz 7).

Ein Rechenbeispiel zeigt, wie eng es wird. Angenommen, die Verordnung gilt ab dem 1. März 2027: Dann endet die Registrierungsfrist am 1. Juni 2027, und die Resilienzpflichten greifen etwa ab April 2028. Kommt sie erst am 1. Oktober 2027, ist die Registrierung am 1. Januar 2028 fällig. Dann liegt der 2. Dezember 2027 mitten in der Registrierungsfrist.

Ist ein Betreiber an diesem Tag schon kritisch oder noch nicht? Das Gesetz knüpft den Status an die Schwelle, nicht an die Registrierung. Ob die Kommission das Wort "identifiziert" genauso liest, sagt der Entwurf nicht.

Wenn die Einstufung am 2. Dezember 2027 offen ist

Für den Stichtag sind vier Lagen denkbar, und nur die erste ist eindeutig. Die folgende Einordnung beschreibt Rollen, nicht den Einzelfall eines Unternehmens.

Lage 1: Verordnung in Kraft, Anlage über der Schwelle

Dann ist eine KI, die dort als Sicherheitsbauteil läuft, ab dem 2. Dezember 2027 Hochrisiko. Die meisten Pflichten trägt der Anbieter nach Artikel 16, der Netzbetreiber als Betreiber die aus Artikel 26: Einsatz nach Betriebsanleitung, menschliche Aufsicht, Überwachung, Aufbewahrung der Protokolle. Den Pflichtenkatalog im Einzelnen beschreibt unser Beitrag zur Hochrisiko-KI in der Energie-Infrastruktur.

Lage 2: Verordnung noch nicht in Kraft

Nach Randnummer 190 ist dann kein deutscher Energieversorger nach der CER-Richtlinie identifiziert, und Anhang III Nummer 2 greift nicht. Das klingt bequem. Es hängt aber an einem Entwurf, der nicht bindet, und an einer Lesart, die eine Marktüberwachungsbehörde oder ein Gericht nicht teilen muss. Wir würden darauf keine Beschaffung bauen.

Lage 3: Der Status kommt später

Die Verordnung tritt 2028 in Kraft, eine Anlage überschreitet die Schwelle oder das Bundesinnenministerium stellt sie im Einzelfall fest. Für Systeme, die vor dem Anwendungsbeginn in Verkehr oder Betrieb gingen, gilt Artikel 111 Absatz 2 in der Fassung der Verordnung (EU) 2026/1744: Der AI Act erfasst sie nur, wenn sie "danach in ihrer Konzeption erheblich verändert wurden". Erwägungsgrund 39 stellt dabei auf das erste Inverkehrbringen von Art und Modell ab, nicht auf die einzelne Installation.

Offen bleibt der Fall, in dem das System nach dem 2. Dezember 2027 in Betrieb geht, der Betreiber aber erst danach kritisch wird. Wird die laufende KI dann nachträglich Hochrisiko? Weder Verordnung noch Entwurf beantworten das.

Lage 4: Anlage unter der Schwelle

Kein Hochrisiko über Nummer 2. Anhang I bleibt möglich, wenn die KI Teil eines regulierten Produkts ist, etwa einer Maschine. Und unabhängig vom Status gelten weiter das BSI-Gesetz für wichtige und besonders wichtige Einrichtungen, der IT-Sicherheitskatalog nach § 5c EnWG, die KI-Kompetenz nach Artikel 4 und die Transparenzpflichten nach Artikel 50 AI Act.

Anbieter bauen, ohne den Status zu kennen

Der Anbieter muss vor dem Inverkehrbringen entscheiden, ob sein System Hochrisiko ist. Den KRITIS-Status seiner Kunden kennt er dabei nicht. Die Kommission verlagert die Frage deshalb in die Beschaffung.

Zwei Bausteine aus dem Sommer 2026 schärfen das. Der Digital Omnibus hat den Begriff des Sicherheitsbauteils in Artikel 3 Nummer 14 neu gefasst: Ein Bauteil erfüllt eine Sicherheitsfunktion, "wenn seine Zweckbestimmung darin besteht, Risiken für die Gesundheit und Sicherheit von Personen oder Eigentum abzuwenden oder zu mindern". Die Zweckbestimmung legt nach Erwägungsgrund 7 der Anbieter fest. Und das KI-MIG verlangt in § 20 Absatz 2, dass Anbieter ein System nach Anhang III Nummer 2 vor dem Inverkehrbringen im nicht öffentlichen Register der Bundesnetzagentur als KI-Aufsicht eintragen. Betreiber registrieren sich dort nur, wenn sie öffentliche Stellen des Bundes sind.

Randnummer 191 des Entwurfs beschreibt den Ausweg. Der Status muss dem Anbieter nicht offengelegt werden. Anbieter können Systeme "unabhängig vom Status des künftigen Betreibers" nach den Hochrisiko-Anforderungen bauen, und eine kritische Einrichtung kann diese Anforderungen in Ausschreibung, Vertrag oder technischer Spezifikation verlangen, ohne zu sagen, warum (Zitate aus dem englischen Original, eigene Übersetzung). Randnummer 192 verweist auf die Vertraulichkeit, die Beschaffung bei Betreibern kritischer Infrastruktur ohnehin prägt.

Die Kommission schreibt selbst, Einrichtungen könnten solche Systeme "aus operativen, Cybersicherheits-, Governance- oder Haftungsgründen" verlangen, gleich ob sie formal identifiziert sind. Damit ist die Frage, ob ein Stadtwerk kritisch ist, für den Einkauf weniger wichtig, als sie für die Pflichten ist. Wer eine KI-Kamera für den Zaun ausschreibt, wie sie unser Beitrag zur Drohnenabwehr an Energieanlagen beschreibt, kann die Hochrisiko-Anforderungen als Option abfragen und den Preisunterschied sehen.

Gegenrede: 500.000 als Schwelle

Die Schwelle, über die das Bundesinnenministerium und die Arbeitsgruppe Kritische Infrastrukturen streiten, entscheidet nach dem Kommissionsentwurf auch über die KI-Pflichten. Sinkt sie, wächst der Kreis der Betreiber mit möglicher Hochrisiko-KI. Bleibt sie, bleibt er klein.

Das Ministerium begründet den Regelwert im Referentenentwurf vom 26. Mai 2026 mit der Notfallvorsorge: "Da in der Notfallvorsorge bislang nur punktuell konkrete Schutzziele festgelegt wurden, ist ein Schwellenwert an Erfahrungswerten festzumachen." Eine "exemplarische Analyse" von Notfallkapazitäten zeige eine Grenze "in einem Korridor um 500 000 betroffene Personen". Als Beleg dient unter anderem der Stromausfall im Münsterland 2005 mit in der Spitze 250.000 Betroffenen.

Die AG KRITIS hält am 14. Juni 2026 dagegen. Die unveränderte Fortschreibung des Regelwerts sei "der mit Abstand schwerwiegendste Konstruktionsfehler der Kritisverordnung". Die Begründung stütze sich "auf Schätzungen, Einzelfälle und anekdotische Evidenzen". Ihr Beispiel ist der Anschlag auf die Stromversorgung im Südwesten Berlins im Januar 2026: Eine baugleiche Anlage wenige Kilometer weiter in Potsdam wäre nicht kritisch. "Dieselbe Anlage, dieselbe Bauart, dieselbe Verwundbarkeit, derselbe Angriff", schreibt die Gruppe, "aber kein Status als kritische Anlage, keine Pflichten, keine Aufsicht."

Die Gruppe fordert, den Wert wissenschaftlich zu untersuchen und bis dahin "deutlich abzusenken". Das Ministerium hat eine erste Evaluierung zwei Jahre nach Inkrafttreten des Gesetzes vorgesehen, also im März 2028.

Was das Gesetz bei Versäumnis vorsieht

Für die Registrierung sieht § 24 KRITIS-Dachgesetz ein Bußgeld vor: Wer sie nicht, falsch oder verspätet übermittelt, handelt ordnungswidrig, mit bis zu 100.000 Euro, bei Verstoß gegen eine Anordnung des BBK mit bis zu 1 Million Euro. Die Resilienzpflichten selbst sind nicht bußgeldbewehrt; für Strom, Gas und Wasserstoff kann die Bundesnetzagentur nach § 5f Absatz 6 EnWG Abhilfe anordnen. Verstöße gegen die Pflichten von Anbietern und Betreibern von Hochrisiko-KI können nach Artikel 99 Absatz 4 AI Act mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden, bei KMU mit dem niedrigeren Betrag. Das beschreibt den Rahmen, nicht die Lage eines bestimmten Unternehmens.

Was Netzbetreiber und Wärmeversorger jetzt klären

Die Verordnung abzuwarten kostet bei der Einstufung wenig, bei der Beschaffung viel. Ein Leitsystem oder eine Perimeteranlage, die heute ausgeschrieben wird, läuft am 2. Dezember 2027.

Bis zum Erlass der Kritisverordnung

1. Versorgungsgrad 2025 je Anlage rechnen

   Nicht je Unternehmen, sondern je Netz, Werk und Leitsystem, gegen die Schwellen des Entwurfs. Das Ergebnis mit Datum und Rechenweg ablegen, denn nach dem Entwurf entscheidet das Jahr 2025 über den Status am ersten Tag.

2. Das KI-Inventar um eine Spalte ergänzen

   Läuft das System in oder an einer Anlage, die nach dem Entwurf kritisch wäre? Diese Spalte gehört neben die Einstufung als Sicherheitsbauteil. Wie wir ein solches Register mit Energieversorgern aufsetzen, beschreibt unser Angebot zur KI-Governance für Energieversorger.

3. Inbetriebnahme und Modellstand festhalten

   Artikel 111 Absatz 2 macht das Datum zur Rechtsfrage.

4. Hochrisiko-Anforderungen als Option ausschreiben

   Randnummer 191 erlaubt das, ohne den Status offenzulegen. Wer beide Varianten anfragt, kennt den Preis der Vorsicht, bevor er sich festlegt. Für Leitstellen-KI und Perimeterschutz lohnt es sich zuerst, weil der Entwurf genau diese Anwendungen als Hochrisiko-Beispiele nennt.

5. Wärme: die zuständige Landesbehörde beobachten

   Sie wird erst nach der Verordnung benannt. Bis dahin ist die Fernwärme-Leitstelle die Anlage, die am ehesten über der Schwelle liegt.

6. In der Geschäftsführung festlegen, wer den Status feststellt

   Und wann die Entscheidung neu fällt: jährlich, zum 31. März, wenn der Versorgungsgrad des Vorjahres feststeht.

Welche Termine dazu im Kalender stehen, zeigt der Fristenkalender Energiewende.

Dieser Beitrag ordnet Entwürfe und Gesetze für typische Rollen bei Netzbetreibern und Wärmeversorgern ein. Er ist keine Rechtsberatung und keine Prüfung Ihres Einzelfalls. Ob Ihr Unternehmen Betreiber kritischer Anlagen ist und ob ein System Ihres Hauses Hochrisiko ist, klären Sie mit Ihrer Rechtsabteilung oder Rechtsberatung. Stand: 17. Oktober 2026.

Weiterführende Informationen

Häufig gestellte Fragen