Praxisorientierte Einordnung zu KRITIS-Dachgesetz und NIS2: Was Betreiber parallel vorbereiten sollten: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für KRITIS aufbauen.
Mit dem NIS2-Umsetzungsgesetz und dem KRITIS-Dachgesetz bestehen in Deutschland zwei eng verbundene, aber unterschiedliche Resilienzregime. Das neue BSI-Gesetz adressiert vor allem Sicherheit der informationstechnischen Systeme und setzt NIS2 um. Das seit 17. März 2026 geltende KRITIS-Dachgesetz überführt die europäische CER-Richtlinie in deutsches Recht und stärkt die physische sowie organisatorische Resilienz kritischer Anlagen.
Für Betreiber ist der aktuelle Übergangsstand entscheidend: Die Cyberpflichten des BSI-Gesetzes gelten nach den gesetzlichen Voraussetzungen bereits seit Dezember 2025. Beim KRITIS-Dachgesetz hängen Betreiberregistrierung und nachfolgende Pflichten noch von einer konkretisierenden Rechtsverordnung ab. Das BBK erklärt ausdrücklich, dass Betreiber auf dieser Grundlage derzeit noch nicht registrierungspflichtig sind, empfiehlt aber eine frühzeitige Resilienzvorbereitung.
Der Rechtsstand im August 2026
Das NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Es führte im BSI-Gesetz die Kategorien besonders wichtige und wichtige Einrichtungen, Risikomanagementmaßnahmen, mehrstufige Vorfallmeldungen, Registrierung und Geschäftsleitungspflichten ein. Betreiber kritischer Anlagen gelten als besonders wichtige Einrichtungen und haben zusätzliche Anforderungen.
Das KRITIS-Dachgesetz trat am 17. März 2026 in Kraft und wurde im Juli 2026 geändert. Die Identifizierungsverordnung nach §§ 4 und 5, methodische Vorgaben, Mindestanforderungen und Nachweisverfahren befinden sich laut BBK noch in Erarbeitung. Dieser Status muss laufend gegen Bundesgesetzblatt und Behördeninformationen geprüft werden.
NIS2 schützt Netz- und Informationssysteme
§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen gegen Störungen von Verfügbarkeit, Integrität und Vertraulichkeit der Systeme, Komponenten und Prozesse, die für Dienste genutzt werden. Der Katalog umfasst Incident Management, Kontinuität, Lieferkette, sichere Entwicklung, Schwachstellen, Wirksamkeitsprüfung, Kryptografie, Personal und Zugriff.
Für kritische Anlagen verlangt § 31 ein an möglichen Versorgungsfolgen ausgerichtetes höheres Schutzniveau sowie Systeme zur Angriffserkennung. Die Perspektive umfasst Cyber- und IT-Risiken, reicht aber durch Kontinuität und Lieferkette bereits in betriebliche Resilienz hinein.
Das KRITIS-Dachgesetz betrachtet physische Resilienz
Das Dachgesetz verlangt künftig betreiberseitige Risikoanalysen, verhältnismäßige Resilienzmaßnahmen und einen angewandten Resilienzplan. Ziele sind Verhinderung von Vorfällen, angemessener physischer Schutz, Reaktion und Begrenzung negativer Auswirkungen sowie zügige Wiederherstellung der kritischen Dienstleistung.
Die Analyse berücksichtigt Naturgefahren, Unfälle, Sabotage, hybride Bedrohungen, Personal, Lieferketten und sektorübergreifende Abhängigkeiten. Cyberereignisse werden nicht isoliert, wenn sie physische oder betriebliche Folgen verursachen. Damit entsteht eine All-Gefahren-Perspektive.
Unterschiedliche Betroffenheitslogiken
NIS2 erfasst besonders wichtige und wichtige Einrichtungen anhand von Einrichtungsarten, Größenkriterien und Sondertatbeständen. Betreiber kritischer Anlagen werden zusätzlich über Anlagenkategorien und Schwellenwerte bestimmt. Die Einrichtungs- und Anlagenprüfung müssen getrennt durchgeführt werden.
Das KRITIS-Dachgesetz wird kritische Anlagen anhand der noch zu erlassenden Identifizierungsverordnung bestimmen. Bis zu deren Inkrafttreten besteht nach BBK-Angaben noch keine Registrierungspflicht auf dieser Grundlage. Unternehmen sollten ihre bisherige BSI-KritisV-Analyse bereithalten, aber nicht voraussetzen, dass jede Definition unverändert bleibt.
Registrierung zeitlich auseinanderhalten
Nach § 33 BSIG registrieren sich besonders wichtige und wichtige Einrichtungen grundsätzlich spätestens drei Monate nach erstmaliger oder erneuter Einstufung. Für NIS2 stellt das BSI ein eigenes Portal bereit; Betreiber kritischer Anlagen nutzen in der Übergangsphase priorisiert weiterhin etablierte MIP-Prozesse, soweit die Behördenhinweise dies vorsehen.
Nach § 8 KRITIS-Dachgesetz beginnt die Registrierungspflicht spätestens drei Monate, nachdem eine Anlage nach der künftigen Verordnung als kritisch gilt. Erst daran knüpfen weitere Dachgesetzfristen. Ein Fristenregister muss deshalb Rechtsgrundlage und Registrierungsereignis eindeutig unterscheiden.
Wann die Dachgesetzpflichten anlaufen
Das BBK erläutert, dass Betreiberpflichten nach Inkrafttreten der Identifizierungsverordnung und Registrierung zeitversetzt gelten. Risikoanalysen und Resilienzmaßnahmen werden erstmals neun beziehungsweise zehn Monate nach Registrierung relevant; die Vorfallmeldung greift zehn Monate nach Registrierung. Maßgeblich bleibt der genaue Gesetzeswortlaut und die zukünftige Konkretisierung.
Diese Vorlaufzeit ist keine Begründung zum Abwarten. Standortanalysen, Lieferabhängigkeiten, Notfallorganisation und Wiederherstellungsfähigkeit benötigen oft mehr als zehn Monate. Frühzeitige Bestandsaufnahme reduziert späteren Zeitdruck.
Gemeinsame Governance statt paralleler Projekte
Beide Gesetze adressieren die Geschäftsleitung. § 38 BSIG fordert Umsetzung, Überwachung und regelmäßige Schulung zur IT-Sicherheit. § 20 KRITIS-Dachgesetz verpflichtet Geschäftsleitungen, Resilienzmaßnahmen umzusetzen und organisatorisch sicherzustellen.
Ein gemeinsames Resilienz-Steuerungsgremium kann Cybersecurity, OT, Facility, BCM, Einkauf, Personal, Recht und Krisenmanagement verbinden. Entscheidungen werden nach Rechtsgrundlage getrennt dokumentiert, aber Auswirkungen und Maßnahmen gemeinsam priorisiert.
Ein gemeinsames Anlagen- und Abhängigkeitsmodell
Für BSIG-Nachweise müssen die maßgeblichen IT-Systeme, Komponenten und Prozesse der kritischen Anlage bekannt sein. Das Dachgesetz verlangt zusätzlich den Blick auf Liegenschaften, physische Ressourcen, Personal und Abhängigkeiten von kritischen Dienstleistungen anderer Betreiber.
Ein integriertes Modell ordnet jeder kritischen Dienstleistung technische Systeme, Gebäude, Energie, Telekommunikation, Wasser, Lieferanten, Schlüsselpersonal und externe Dienste zu. Es zeigt auch, welche anderen Sektoren von der eigenen Leistung abhängen. Diese gemeinsame Basis verhindert widersprüchliche Scopes.
Risikoanalysen methodisch verbinden
Die Cyberrisikoanalyse bewertet Bedrohung, Schwachstelle und Auswirkung auf Systeme und Dienst. Die Dachgesetzanalyse bewertet das Potenzial von Ausfällen oder Beeinträchtigungen als Kombination aus Ausmaß und Wahrscheinlichkeit und priorisiert Risiken anhand ihrer Wirkung auf die kritische Dienstleistung.
Ein gemeinsames Szenarioregister kann beide Perspektiven tragen. Jedes Szenario enthält Ursache, betroffene Ressourcen, Dienstwirkung, bestehende Kontrollen, Verantwortliche und Rechtsbezug. Spezifische Bewertungsmethoden bleiben erhalten, Ergebnisse werden aber vergleichbar aufbereitet.
Sektorübergreifende Abhängigkeiten sichtbar machen
§ 12 KRITIS-Dachgesetz verlangt die Berücksichtigung der Abhängigkeit von kritischen Dienstleistungen anderer Betreiber sowie der Abhängigkeiten anderer Sektoren von der eigenen Dienstleistung. Dazu gehören auch Beziehungen zu benachbarten EU-Staaten und Drittstaaten.
Betreiber sollten Energie, Telekommunikation, Rechenzentren, Transport, Wasser, Personal und wesentliche Zulieferer mit Ausfalldauer und Alternativen erfassen. Verträge allein zeigen nicht, ob ein Ersatzweg im Krisenfall verfügbar ist. Übungen und Kapazitätsnachweise machen Annahmen belastbarer.
Cyber-physische Szenarien priorisieren
Viele relevante Ereignisse überschreiten die Trennung von IT und Gebäude. Ein Angriff auf Zutrittskontrolle kann physische Bereiche öffnen. Ein Strom- oder Kühlungsausfall kann zentrale IT abschalten. Eine manipulierte OT-Steuerung kann Anlagen beschädigen und die Wiederherstellung verlängern.
Gemeinsame Szenarien prüfen Detektion, lokale Sicherheit, Krisenentscheidung, manuelle Rückfallebene und Kommunikation. Investitionen werden nach Wirkung auf die Dienstkontinuität statt nach Abteilungsbudget priorisiert.
Resilienzplan und Notfallpläne verbinden
§ 13 KRITIS-Dachgesetz verlangt einen angewandten Resilienzplan, der Maßnahmen und zugrunde liegende Erwägungen darstellt und auf die Risikoanalyse Bezug nimmt. Er wird bei Bedarf und nach neuen Analysen aktualisiert. Das BBK soll nach der Identifizierungsverordnung Vorlagen bereitstellen.
Bestehende BCM-, IT-Notfall-, Standort- und Krisenpläne können Bausteine liefern. Ein Mapping zeigt, welche gesetzlichen Ziele abgedeckt sind, wo Verantwortungen kollidieren und welche Wiederherstellungsannahmen fehlen. Der Resilienzplan sollte steuern, nicht nur auf andere Dokumente verweisen.
Lieferkette aus zwei Perspektiven prüfen
BSIG § 30 adressiert Sicherheit der Lieferkette und Aspekte der Beziehungen zwischen Einrichtung und unmittelbaren Anbietern. Das Dachgesetz betrachtet alternative Lieferketten, Wiederaufnahme der Dienstleistung und Abhängigkeiten von anderen kritischen Betreibern.
Ein integrierter Lieferantenprozess bewertet Cyberzugriff, physische Leistung, Konzentration, Standort, Unterauftragnehmer, Ersatzbarkeit und Wiederanlauf. Kritische Verträge enthalten Vorfallinformation, Kontinuität, Auditmöglichkeiten und Exit. Praktische Alternativtests ergänzen Papiernachweise.
Vorfallmeldungen sauber trennen und bündeln
Das BSI-Gesetz sieht für erhebliche Sicherheitsvorfälle ein mehrstufiges Cybermeldeverfahren vor: frühe Meldung binnen 24 Stunden, qualifizierte Meldung binnen 72 Stunden und Abschluss- beziehungsweise Fortschrittsmeldung nach einem Monat. Betreiber kritischer Anlagen ergänzen Angaben zur Anlage und Dienstwirkung.
Das Dachgesetz enthält ein eigenes Meldewesen für Vorfälle, dessen Pflicht laut BBK erst zehn Monate nach Registrierung greift. Ein zentraler Triageprozess sollte beide Auslöser erkennen, aber Adressat, Frist und Inhalt getrennt behandeln. Ein Ereignis kann beide Meldewege auslösen.
Nachweise nicht vorschnell gleichsetzen
§ 39 BSIG verlangt von Betreibern kritischer Anlagen wiederkehrende Nachweise durch Audit, Prüfung oder Zertifizierung. Das BSI kann Ergebnisse, Mängel, Dokumentation und Beseitigungsnachweise verlangen. Dafür existieren bereits etablierte Hilfen und Übergangsregeln.
Das Nachweisverfahren für Resilienzpflichten nach Dachgesetz befindet sich laut BBK noch in Abstimmung. Unternehmen sollten vorhandene Evidenz wiederverwendbar strukturieren, aber keine automatische Anerkennung annehmen. Kontrollregister kennzeichnen deshalb, welcher Beleg welche Rechtsanforderung tatsächlich erfüllt.
Was Betreiber jetzt ohne regulatorisches Risiko tun können
- Rechtsträger, Anlagen, Einrichtungsarten und aktuelle Schwellenwerte dokumentieren.
- Kritische Dienstleistungen mit IT-, OT-, physischen und personellen Abhängigkeiten modellieren.
- Cyber- und All-Gefahren-Szenarien in einem gemeinsamen Register zusammenführen.
- Bestehende ISMS-, BCM-, Krisen- und Facility-Kontrollen gegen beide Gesetze mappen.
- Kritische Lücken bei Detektion, Zutritt, Energie, Lieferkette und Wiederanlauf schließen.
- Rechtsverordnungen, BBK-Vorlagen und Meldeportale kontinuierlich überwachen.
Ein sinnvolles 90-Tage-Vorbereitungsprogramm
In den ersten 30 Tagen werden Betroffenheit, Eigentümer und Fristen geklärt. Bis Tag 60 entstehen integriertes Anlagenmodell, Szenarioregister und Kontrollmapping. Bis Tag 90 werden mindestens ein cyber-physisches Krisenszenario geübt und die wichtigsten Resilienzlücken mit Maßnahmen hinterlegt.
Das Programm vermeidet irreversible Detailentscheidungen, solange Verordnungen fehlen. Es schafft jedoch Daten, Governance und Nachweise, die in nahezu jeder späteren Konkretisierung benötigt werden. Neue Behördenvorgaben lassen sich dadurch gezielt ergänzen.
Typische Fehlreaktionen auf den Übergangsstand
Die erste Fehlreaktion ist Abwarten, bis alle Vorlagen veröffentlicht sind. Dadurch bleiben bekannte physische und cyberbezogene Risiken unbehandelt. Die zweite ist, Entwürfe oder erwartete Vorgaben bereits als geltendes Recht darzustellen und unnötig starre Prozesse aufzubauen.
Richtig ist eine versionsgebundene Umsetzung: geltende BSIG-Pflichten werden verbindlich erfüllt; Dachgesetz-Grundstruktur und sichere Resilienzpraxis werden vorbereitet; offene Details bleiben sichtbar und werden nach Veröffentlichung der Verordnungen aktualisiert.
Fazit: Gemeinsam steuern, getrennt nachweisen
NIS2 und KRITIS-Dachgesetz verfolgen komplementäre Ziele. Betreiber profitieren von gemeinsamer Governance, einem integrierten Anlagenmodell, verbundenen Risikoanalysen und kombinierten Übungen. Registrierung, Fristen, Meldekriterien und Nachweise müssen dennoch nach jeweiliger Rechtsgrundlage differenziert bleiben.
BlackMount unterstützt beim Aufbau eines integrierten KRITIS-Resilienzprogramms, das geltende Cyberpflichten erfüllt und die kommenden Dachgesetz-Konkretisierungen vorbereitet. Der Rechtsstand wird nachvollziehbar versioniert, damit Vorbereitung nicht mit einer voreiligen Compliance-Behauptung verwechselt wird.
