Praxisorientierte Einordnung zu KRITIS, NIS2 und BSI-Gesetz: Pflichten und Schnittmengen im Überblick: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für KRITIS aufbauen.
KRITIS, NIS2 und BSI-Gesetz werden häufig wie drei nebeneinanderstehende Regelwerke genannt. Tatsächlich bezeichnet NIS2 eine europäische Richtlinie, das BSI-Gesetz ihre deutsche Umsetzung und KRITIS eine besondere Gruppe kritischer Anlagen mit zusätzlichen Anforderungen. Für Unternehmen ist deshalb nicht die Frage „Welches der drei gilt?“, sondern welche Einrichtungs- und Anlagenstatus gleichzeitig vorliegen.
Seit dem 6. Dezember 2025 gilt das neue deutsche BSI-Gesetz. Es ordnet Betreiber kritischer Anlagen automatisch als besonders wichtige Einrichtungen ein, unabhängig von den allgemeinen Größenkriterien. Daneben können viele weitere Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst sein, ohne eine kritische Anlage zu betreiben.
NIS2: Die europäische Grundlage
Die Richtlinie (EU) 2022/2555 schafft ein gemeinsames Mindestniveau für Cybersicherheits-Risikomanagement, Vorfallmeldung, Aufsicht und Durchsetzung in der Europäischen Union. Sie unterscheidet wesentliche und wichtige Einrichtungen und erweitert den sektoralen Anwendungsbereich gegenüber der ersten NIS-Richtlinie deutlich.
Als Richtlinie benötigte NIS2 eine nationale Umsetzung. Für in Deutschland niedergelassene Unternehmen sind daher die konkreten Begriffe, Fristen, Zuständigkeiten und Sanktionen des deutschen BSI-Gesetzes maßgeblich, soweit nicht unmittelbar anwendbares EU-Spezialrecht oder sektorale Regeln vorgehen.
BSI-Gesetz: Die nationale Umsetzungs- und Aufsichtsstruktur
Das BSI-Gesetz definiert besonders wichtige und wichtige Einrichtungen, legt Risikomanagementmaßnahmen fest und regelt Registrierung, Vorfallmeldung, Geschäftsleitung, Aufsicht und Bußgelder. Das BSI ist zentrale Aufsichts- und Meldestelle, wobei sektorale Zuständigkeiten und Ausnahmen zu berücksichtigen sind.
Die deutschen Bezeichnungen entsprechen funktional der NIS2-Systematik, sind aber im konkreten Gesetzeswortlaut zu prüfen. Unternehmen sollten Entscheidungen nicht allein aus allgemeinen NIS2-Übersichten ableiten, sondern Einrichtungsart, Größenmerkmale und nationale Sonderfälle dokumentieren.
KRITIS: Kritische Anlagen innerhalb des Systems
Eine kritische Anlage erbringt eine kritische Dienstleistung und erfüllt die durch Verordnung bestimmten Kriterien. Die BSI-Kritisverordnung enthält gegenwärtig sektorale Anlagenkategorien und Schwellenwerte; sie soll durch die Identifizierungsverordnung nach KRITIS-Dachgesetz abgelöst werden.
Betreiberstatus folgt dem tatsächlichen bestimmenden Einfluss auf die Anlage. Mitarbeiterzahl oder Umsatz sind für die Anlagenklassifizierung nicht das Hauptkriterium. Erreicht die Anlage den Schwellenwert, ist ihr Betreiber nach § 28 Absatz 1 Nummer 1 BSIG automatisch besonders wichtige Einrichtung.
Die zentrale Unterscheidung: Einrichtung und Anlage
NIS2 beziehungsweise § 28 BSIG betrachtet eine natürliche oder juristische Person und ihre angebotenen Waren oder Dienstleistungen. Die KRITIS-Systematik betrachtet eine konkrete Anlage und ihre Bedeutung für eine kritische Dienstleistung. Ein Rechtsträger kann mehrere Einrichtungsarten und mehrere kritische Anlagen betreiben.
Der Scope der Pflichten variiert entsprechend. Allgemeine BSIG-Risikomanagementpflichten betreffen die Systeme, Komponenten und Prozesse, die für die Dienste der Einrichtung genutzt werden. Zusätzliche KRITIS-Anforderungen konzentrieren sich auf die für die Funktionsfähigkeit der kritischen Anlage maßgeblichen Systeme und Prozesse.
Wer als besonders wichtige Einrichtung gilt
§ 28 Absatz 1 nennt Betreiber kritischer Anlagen sowie weitere Kategorien wie bestimmte Vertrauensdienste-, DNS-, TLD- und Telekommunikationsanbieter. Außerdem werden große Einrichtungen bestimmter Arten aus Anlage 1 erfasst, wenn die gesetzlichen Mitarbeiter- oder Finanzmerkmale vorliegen.
Die Einstufung hat Bedeutung für Aufsicht und Sanktionen. Betreiber kritischer Anlagen bleiben unabhängig von den allgemeinen Unternehmensgrößen besonders wichtig. Eine kleine Betreiberorganisation kann daher strengeren Pflichten unterliegen, wenn ihre Anlage die sektorale Kritikalitätsschwelle erreicht.
Wer als wichtige Einrichtung gilt
§ 28 Absatz 2 erfasst unter anderem bestimmte kleinere Telekommunikations- und Vertrauensdiensteanbieter sowie mittelgroße Einrichtungen aus den in den Anlagen genannten Sektoren. Größenberechnung und Einrichtungsart müssen gemeinsam geprüft werden.
Wichtige Einrichtungen setzen grundsätzlich dieselben Risikomanagement- und Meldepflichten um. Unterschiede bestehen insbesondere in Art und Intensität der Aufsicht. Das rechtfertigt kein niedrigeres internes Sicherheitsziel, sondern eine andere regulatorische Kontrolllogik.
Gemeinsame Risikomanagementpflichten aus § 30
Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische sowie organisatorische Maßnahmen ergreifen. Sie schützen Verfügbarkeit, Integrität und Vertraulichkeit der für Dienste verwendeten Systeme und begrenzen Auswirkungen von Sicherheitsvorfällen.
Der gesetzliche Katalog umfasst Risikoanalyse, Vorfallbewältigung, Kontinuität, Lieferkette, sichere Beschaffung und Entwicklung, Schwachstellen, Wirksamkeitsprüfung, Cyberhygiene, Kryptografie, Personalsicherheit, Zugriffskontrolle und starke Authentisierung. Umsetzung und Angemessenheit sind zu dokumentieren.
Zusätzliche Pflichten für Betreiber kritischer Anlagen
§ 31 erkennt an, dass für maßgebliche Systeme kritischer Anlagen ein Schutzniveau oberhalb allgemeiner Anforderungen verhältnismäßig sein kann. Maßstab sind die Folgen eines Ausfalls oder einer Beeinträchtigung der Anlage. Versorgungsauswirkungen erhalten damit besonderes Gewicht.
Betreiber müssen außerdem Systeme zur Angriffserkennung einsetzen, die geeignete Betriebsparameter kontinuierlich und automatisiert erfassen sowie auswerten. Diese Systeme sollen Bedrohungen fortwährend identifizieren und die Beseitigung eingetretener Störungen unterstützen.
Registrierung: Status und Daten aktuell halten
Besonders wichtige und wichtige Einrichtungen registrieren sich nach § 33 grundsätzlich spätestens drei Monate, nachdem sie erstmals oder erneut unter die Definition fallen. Das BSI stellt hierfür das BSI-Portal bereit. Angaben umfassen Identität, Kontaktdaten, Einrichtungsart und öffentliche IP-Adressbereiche.
Betreiber kritischer Anlagen nutzen nach aktuellen BSI-Hinweisen in der Übergangsphase prioritär etablierte MIP-Prozesse. Zusätzlich entsteht mit dem KRITIS-Dachgesetz ein an die künftige Identifizierungsverordnung geknüpfter Registrierungsweg. Verantwortliche müssen Portale und Rechtsgrundlagen unterscheiden.
Vorfallmeldung: Gemeinsamer Grundprozess
§ 32 verlangt für erhebliche Sicherheitsvorfälle grundsätzlich eine frühe Erstmeldung innerhalb von 24 Stunden, eine qualifizierte Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Dauert der Vorfall an, wird zunächst eine Fortschrittsmeldung abgegeben.
Betreiber kritischer Anlagen ergänzen Art der Anlage, kritische Dienstleistung und mögliche Auswirkungen auf diese Dienstleistung. Ein internes Triageverfahren muss sowohl den allgemeinen erheblichen Sicherheitsvorfall als auch die spezifische Versorgungswirkung bewerten.
Geschäftsleitungsverantwortung gilt breit
§ 38 verpflichtet Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, Risikomanagementmaßnahmen umzusetzen und zu überwachen. Sie müssen regelmäßig Schulungen besuchen, um Risiken und die Wirkung der Maßnahmen auf die erbrachten Dienste beurteilen zu können.
Für KRITIS ist dies besonders relevant, weil Entscheidungen über Redundanz, Altanlagen, Lieferanten und Notbetrieb oft hohe Investitionen erfordern. Die Leitung benötigt dienstbezogene Risikoberichte, nicht nur technische Kennzahlen. Beschlüsse und Überwachung werden dokumentiert.
Nachweise unterscheiden sich deutlich
Betreiber kritischer Anlagen haben nach § 39 die Umsetzung der Maßnahmen für kritische Anlagen durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen. Der Zeitpunkt wird vom BSI festgelegt; das Gesetz sieht frühestens beziehungsweise spätestens drei Jahre nach dem relevanten Status und anschließend einen Dreijahresrhythmus vor. Übergangsregeln berücksichtigen alte §-8a-Nachweise.
Für andere besonders wichtige Einrichtungen kann das BSI im Rahmen seiner Aufsicht Nachweise verlangen, aber nicht automatisch nach demselben festen KRITIS-Verfahren. Wichtige Einrichtungen unterliegen grundsätzlich reaktiver Aufsicht. Prüfstrategie und Evidenzmanagement sollten diese Unterschiede abbilden.
Aufsicht und Durchsetzung
NIS2 verlangt wirksame Aufsicht und Sanktionen. Das deutsche BSI-Gesetz konkretisiert Befugnisse für Auskunft, Prüfung, Anordnung und Bußgeld. Besonders wichtige Einrichtungen können stärker proaktiv beaufsichtigt werden; bei wichtigen Einrichtungen steht typischerweise die reaktive Aufsicht nach Hinweisen im Vordergrund.
Betreiber kritischer Anlagen haben zusätzlich die regelmäßige Nachweispflicht und können bei Sicherheitsmängeln zu Plan, Beseitigung und Nachweis der Behebung aufgefordert werden. Ein dauerhaftes Mängelmanagement ist daher Teil der Compliance.
Sektorales Spezialrecht kann vorgehen
NIS2 Artikel 4 sieht vor, dass gleichwertige sektorale EU-Rechtsakte für Risikomanagement oder Meldung Vorrang haben können. Das deutsche BSI-Gesetz enthält entsprechende Abgrenzungen, etwa für bestimmte Telekommunikations-, Energie- und DORA-regulierte Tätigkeiten.
Diese Ausnahmen sind häufig sachlich und bereichsbezogen. Ein Unternehmen mit mehreren Leistungen kann für eine Tätigkeit spezialgesetzlich und für eine andere weiterhin nach BSIG reguliert sein. Ein Kontrollmapping muss daher Rechtsgrundlage und Unternehmensbereich getrennt ausweisen.
KRITIS-Dachgesetz ist eine zusätzliche Achse
Das KRITIS-Dachgesetz setzt nicht NIS2, sondern die CER-Richtlinie zur physischen Resilienz um. Es verlangt nach Inkrafttreten der konkretisierenden Verordnung unter anderem Registrierung, betreiberseitige Risikoanalyse, Resilienzmaßnahmen, Resilienzplan und Vorfallmeldung.
Cyber- und physische Pflichten ergänzen sich. Sie können gemeinsame Governance, Anlagenmodelle und Übungen verwenden. Fristen, Meldetatbestände, zuständige Behörden und Nachweise bleiben jedoch eigenständig.
Ein Vergleich auf Prozessebene
- Betroffenheit: NIS2/BSIG bewertet Einrichtungen; KRITIS bewertet Anlagen und Schwellenwerte.
- Maßnahmen: § 30 gilt für besonders wichtige und wichtige Einrichtungen; § 31 verschärft den Anlagenbezug.
- Meldung: Alle regulierten Einrichtungen nutzen den BSIG-Grundprozess; KRITIS ergänzt Dienstwirkungsangaben.
- Nachweis: Betreiber kritischer Anlagen haben das besondere wiederkehrende Verfahren nach § 39.
- Physische Resilienz: Das KRITIS-Dachgesetz ergänzt das Cyberregime mit eigenen Folgeverpflichtungen.
Beispiel: Mittelgroßer Cloudanbieter
Ein Cloudanbieter mit ausreichender Beschäftigten- und Finanzgröße kann als besonders wichtige Einrichtung nach Anlage 1 und § 28 gelten. Er setzt § 30, Registrierung, Meldung und Geschäftsleitungspflichten um. Betreibt er keine Anlage, die eine KRITIS-Kategorie samt Schwellenwert erfüllt, folgt daraus nicht automatisch die besondere Nachweispflicht für kritische Anlagen.
Erbringt dieselbe Gesellschaft zusätzlich einen Rechenzentrumsdienst, dessen konkrete Anlage den geltenden Leistungsschwellenwert erreicht, kommt der KRITIS-Status hinzu. Dann sind anlagenbezogen § 31 und § 39 zu berücksichtigen.
Beispiel: Kleiner Betreiber einer kritischen Wasseranlage
Eine kommunale Betreibergesellschaft kann personell klein sein, aber eine Wasseranlage oberhalb des Schwellenwerts betreiben. Sie ist dadurch Betreiber einer kritischen Anlage und automatisch besonders wichtige Einrichtung. Die allgemeinen KMU-Schwellen verdrängen den Betreiberstatus nicht.
Das Sicherheitsprogramm konzentriert sich auf die Wasserbereitstellung, Leittechnik, IT, Energie, Kommunikation und Lieferketten. Angemessenheit richtet sich an den möglichen Versorgungsfolgen aus, nicht an einer niedrigen Beschäftigtenzahl allein.
Ein integrierter Umsetzungspfad
- Rechtsträger, Einrichtungsarten, Größenkriterien und kritische Anlagen getrennt bestimmen.
- Dienste und anlagenbezogene Systeme mit ihren Abhängigkeiten modellieren.
- §-30-Kontrollprogramm aufbauen und KRITIS-spezifische §-31-Maßnahmen ergänzen.
- Registrierung, Meldung, Geschäftsleitungsberichte und sektorale Ausnahmen klären.
- Für kritische Anlagen Nachweisplan nach § 39 und Übergangsfristen festlegen.
- Physische Resilienz nach KRITIS-Dachgesetz vorbereitet integrieren.
Typische Fehlinterpretationen
„NIS2-betroffen“ bedeutet nicht automatisch „KRITIS-Betreiber“. Umgekehrt kann ein Betreiber kritischer Anlagen unabhängig von seiner Unternehmensgröße besonders wichtige Einrichtung sein. Das BSI-Gesetz ist nicht ein viertes konkurrierendes Regelwerk, sondern der zentrale deutsche Umsetzungsrahmen.
Ebenso falsch ist die Annahme, eine sektorale Ausnahme befreie das gesamte Unternehmen. Ausnahmen können sich auf einzelne Tätigkeiten oder Anlagen beziehen. Mehrfach regulierte Unternehmen benötigen eine präzise Scope-Matrix.
Fazit: Status vor Maßnahmen bestimmen
Die richtige Reihenfolge lautet: Einrichtungsstatus, Anlagenstatus, Scope, sektorale Abgrenzung und erst danach Maßnahmen sowie Nachweise. NIS2 setzt das europäische Ziel, das BSI-Gesetz konkretisiert die deutschen Pflichten und KRITIS fügt für kritische Anlagen ein höheres Schutz- und Nachweisniveau hinzu.
BlackMount unterstützt bei der KRITIS- und NIS2-Einordnung, bei Scope-Matrizen und integrierten Kontrollprogrammen. So werden gemeinsame Prozesse genutzt, ohne Unterschiede bei Rechtsgrundlage, Anlage, Meldung und Nachweis zu übersehen.
