Kritische Infrastruktur

NIS-2 und KRITIS-Dachgesetz

Cyberangriffe, Sabotage, Naturgefahren und technische Störungen können erhebliche Auswirkungen auf Unternehmen, Lieferketten und die Versorgung der Bevölkerung haben. Mit NIS-2 und dem KRITIS-Dachgesetz wurden die Anforderungen an die Sicherheit und Widerstandsfähigkeit wichtiger Unternehmen und kritischer Anlagen deshalb deutlich erweitert.

NIS-2: Pflichten gelten bereits

Die Regelungen des NIS-2-Umsetzungsgesetz gelten bereits seit Anfang 2026. Rund 29.500 Unternehmen und Einrichtungen in Deutschland fallen nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik unmittelbar unter die neuen Vorgaben.
Betroffen sein können insbesondere mittlere und große Unternehmen aus gesetzlich festgelegten Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Post- und Kurierdienste, Abfallwirtschaft, Lebensmittelwirtschaft, Chemie, verarbeitendes Gewerbe und Forschung. Daneben gelten für bestimmte Einrichtungen Sonderregelungen.
Unternehmen müssen ihre Betroffenheit grundsätzlich selbst prüfen. Eine erste Orientierung bietet die NIS-2-Betroffenheitsprüfung des BSI.
Betroffene Einrichtungen müssen unter anderem:
  • angemessene Risikomanagement- und Cybersicherheitsmaßnahmen umsetzen,
  • erhebliche Sicherheitsvorfälle fristgerecht melden,
  • die Geschäftsleitung einbinden und regelmäßig schulen,
  • ihre Maßnahmen dokumentieren,
  • sich beim BSI registrieren.
Die Registrierung muss grundsätzlich spätestens drei Monate nach Eintritt der Betroffenheit erfolgen. Unternehmen, die bereits betroffen und noch nicht registriert sind, sollten dies unverzüglich über das BSI-Portal nachholen.

KRITIS-Dachgesetz: Konkretisierung steht noch aus

Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Es soll die Widerstandsfähigkeit kritischer Anlagen gegenüber unterschiedlichen Gefahren stärken. Dazu gehören neben Cyberangriffen beispielsweise Sabotage, Naturgefahren, technische Störungen und personelle Ausfälle.
Welche Anlagen konkret unter das Gesetz fallen, wird durch eine ergänzende Rechtsverordnung festgelegt. Diese sogenannte Identifizierungsverordnung soll insbesondere die kritischen Dienstleistungen, Anlagenkategorien, Berechnungsmethoden und Schwellenwerte bestimmen.
Da die Rechtsverordnung noch erarbeitet und abgestimmt wird, besteht derzeit nach Angaben des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe noch keine Registrierungspflicht nach dem KRITIS-Dachgesetz.
Unternehmen, die möglicherweise künftig als Betreiber kritischer Anlagen gelten, sollten dennoch bereits jetzt:
  • relevante Anlagen und Standorte erfassen,
  • Betreiber- und Verantwortungsverhältnisse klären,
  • kritische Prozesse und Abhängigkeiten untersuchen,
  • Risikoanalysen sowie Krisen- und Notfallpläne überprüfen,
  • die weitere Rechtsentwicklung verfolgen.

Betroffenheit getrennt prüfen

Die beiden Regelwerke verfolgen unterschiedliche Schwerpunkte: NIS-2 stärkt insbesondere die Cybersicherheit, während das KRITIS-Dachgesetz die physische und organisatorische Resilienz kritischer Anlagen in den Mittelpunkt stellt. Unternehmen können von einem oder von beiden Regelwerken betroffen sein.
Eine NIS-2-Betroffenheit bedeutet nicht automatisch, dass ein Unternehmen auch Betreiber einer kritischen Anlage nach dem KRITIS-Dachgesetz ist. Umgekehrt gelten Betreiber kritischer Anlagen regelmäßig zugleich als besonders wichtige Einrichtungen nach NIS2.
Auch wenn sich die Umsetzung einzelner Pflichten verzögert, ist die Zielrichtung eindeutig: Betreiber kritischer Infrastrukturen müssen künftig nachweisen, dass sie angemessene Maßnahmen zur Stärkung ihrer Widerstandsfähigkeit ergriffen haben. Dazu zählen insbesondere Risikoanalysen, Krisenvorsorge- und Notfallpläne sowie Vorkehrungen zum Schutz kritischer Prozesse und Systeme.

Weitere Informationen

Stand: Juli 2026