NIS2 oder KRITIS-Dachgesetz: welche Pflicht wofür gilt

Gegenüberstellung von IT-Sicherheit und physischem Schutz: links ein Administrator im Serverraum, rechts eine gesicherte Stahltür mit Zutrittsleser, Videokameras und Zaun, an der ein Sicherheitsmitarbeiter steht

Wichtige Erkenntnisse

NIS2 fokussiert sich auf IT-Sicherheit: Adressiert sind besonders wichtige und wichtige Einrichtungen in 18 Sektoren nach § 28 BSIG.
Das KRITIS-Dachgesetz fordert von Betreibern kritischer Anlagen explizite Maßnahmen für die physische Resilienz.
KRITIS-Betreiber gelten als doppelt betroffen und müssen der doppelten Nachweispflicht bei BSI und BBK nachkommen.
Die Meldefrist für Cybervorfälle unter dem neuen BSI-Gesetz greift bereits innerhalb von 24 Stunden (§ 32 BSIG).

Warum die beiden Regelwerke ständig verwechselt werden

Seit dem 6. Dezember 2025 und dem 17. März 2026 gelten für Betreiber kritischer Infrastrukturen zwei Gesetze, die auf den ersten Blick fast identisch erscheinen: das NIS2-Umsetzungsgesetz, das das BSI-Gesetz grundlegend neu gefasst hat, und das KRITIS-Dachgesetz, das die CER-Richtlinie (EU) 2022/2557 in deutsches Recht überführt. Beide sprechen Betreiber kritischer Infrastrukturen an, beide kennen Registrierung, Risikoanalyse, Meldepflichten und Pflichten der Geschäftsleitung. Der Gesetzgeber selbst unterscheidet die beiden Schutzrichtungen jedoch ausdrücklich: Die IT-sicherheitsrechtlichen Anforderungen sind im Rahmen der NIS2-Umsetzung durch das BSIG geregelt, während das KRITIS-Dachgesetz erstmals eigenständige, bundeseinheitliche Mindestvorgaben für den physischen Schutz kritischer Anlagen normiert.

Die Verwechslung ist verständlich, denn beide Regelwerke überschneiden sich in Struktur und Vokabular:

Beide zielen auf den Schutz kritischer Infrastrukturen und setzen eine EU-Richtlinie um: NIS2 die Richtlinie (EU) 2022/2555, das KRITIS-Dachgesetz die CER-Richtlinie (EU) 2022/2557.
Beide verlangen eine Registrierung, regelmäßige Risikoanalysen, dokumentierte Maßnahmen und Meldepflichten mit 24-Stunden-Frist.
Beide legen Verantwortung ausdrücklich auf die Geschäftsleitung, die Maßnahmen billigen und deren Umsetzung überwachen muss.

In der Praxis führt diese Ähnlichkeit zu einer konkreten Lücke: Wer das NIS2-Projekt organisatorisch abgeschlossen hat, hält die Regulatorik häufig für erledigt und übersieht, dass ein ISMS oder ein IT-Grundschutz-Zertifikat weder die Gefährdungsanalyse noch den Resilienzplan für die physische Sicherheit ersetzt. Die physischen Pflichten nach § 13 KRITIS-DachG sind gesondert zu erfüllen und gegenüber der Aufsicht gesondert nachzuweisen.^[1] Wer nur NIS2 umsetzt, hat damit die Hälfte seiner Pflichten erfüllt.

NIS2: Cybersicherheit, Adressaten, Behörde

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz grundlegend neu gefasst. Adressaten sind besonders wichtige und wichtige Einrichtungen in 18 Sektoren. Die Größenschwellen ergeben sich unmittelbar aus dem Gesetz: Besonders wichtige Einrichtungen bestehen nach § 28 Abs. 1 BSIG ab 250 Beschäftigten oder 50 Mio. EUR Jahresumsatz, wichtige Einrichtungen nach § 28 Abs. 2 BSIG ab 50 Beschäftigten oder 10 Mio. EUR Jahresumsatz.

Herzstück ist der Katalog der Risikomanagementmaßnahmen nach § 30 BSIG: zehn verbindliche Maßnahmenbereiche, von der Risikoanalyse über das Schwachstellenmanagement bis zur Kryptografie und Multifaktor-Authentifizierung.^[2] Die Maßnahmen müssen dem Stand der Technik entsprechen und gelten ohne Übergangsfristen seit Inkrafttreten des Gesetzes am 6. Dezember 2025.^[2] Erhebliche Sicherheitsvorfälle sind dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nach § 32 BSIG unverzüglich und gestuft zu melden; der Ablauf im Detail ist Gegenstand eines eigenen Artikels.

Schutzgut: Informationstechnik und Netz- und Informationssysteme, nicht die bauliche Sicherung von Liegenschaften.
Zuständige Behörde: das BSI, einschließlich Registrierung über das BSI-Portal und Nachweisführung nach § 39 BSIG im Turnus von frühestens drei Jahren.^[2]
Sanktionen: Bußgelder bis zu 10 Mio. EUR für besonders wichtige Einrichtungen; bei einem Gesamtumsatz von mehr als 500 Mio. EUR bis zu 2 Prozent des weltweiten Gesamtumsatzes, geregelt in § 65 BSIG.

Für die Abgrenzung genügt eine einfache Frage: Betrifft die Pflicht die Informationstechnik, ihre Verfügbarkeit und ihre Absicherung gegen Cyberbedrohungen? Dann regelt sie das BSIG im Zuge der NIS2-Umsetzung. Der Zaun um ein Umspannwerk, die Zutrittskontrolle in einem Wasserwerk oder die Videoüberwachung eines Hafengeländes fallen nicht in diesen Anwendungsbereich.

KRITIS-Dachgesetz: physische Resilienz, Betreiber kritischer Anlagen, BBK

Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten und schafft erstmals einen einheitlichen, bundesweiten und sektorübergreifenden Rechtsrahmen für den physischen Schutz kritischer Anlagen. Europäische Grundlage ist die CER-Richtlinie, deren Umsetzungsfrist bereits am 17. Oktober 2024 endete; die verzögerte Umsetzung führte zu einem Vertragsverletzungsverfahren gegen die Bundesrepublik Deutschland.

Adressat ist der Betreiber einer kritischen Anlage in einem von zehn Sektoren, vom Energie über Transport und Verkehr, Wasser und Gesundheit bis zur öffentlichen Verwaltung. Wesentlicher Maßstab ist der Regelschwellenwert von 500.000 versorgten Einwohnern, ergänzt um qualitative Kriterien wie Abhängigkeiten, Marktanteil und mögliche Schadensauswirkungen.^[3] Für Registrierung und Aufsicht ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) die zentrale Anlaufstelle, daneben bleiben fachlich zuständige Bundes- und Landesbehörden beteiligt.

Die Pflichten bilden eine Kette, deren erstes Glied die Registrierung ist. Die Fristen laufen ab Registrierung, nicht ab Inkrafttreten des Gesetzes:^[1]

Registrierung beim BBK über die gemeinsame Plattform von BBK und BSI, spätestens drei Monate nachdem eine Anlage als kritische Anlage gilt (§ 8 Abs. 1 KRITIS-DachG).^[4]
Risikoanalyse und Risikobewertung nach § 12 KRITIS-DachG erstmals neun Monate nach Registrierung (§ 8 Abs. 7 KRITIS-DachG).^[4]
Resilienzmaßnahmen und Resilienzplan nach § 13 KRITIS-DachG erstmals zehn Monate nach Registrierung (§ 8 Abs. 7 KRITIS-DachG).^[4]
Meldepflichten: erhebliche Störungen sind unverzüglich, in der Regel spätestens binnen 24 Stunden, über die gemeinsame Meldestelle von BBK und BSI zu melden.
Nachweise: Die Aufsicht kann Resilienzplan, Berichte und Audits risikobasiert anfordern und Vor-Ort-Kontrollen anordnen; einen festen Nachweisturnus sieht das Gesetz nicht vor.

Für den angemessenen physischen Schutz nennt § 13 Abs. 3 KRITIS-DachG die Maßnahmenarten, die dafür zählen können: bauliche und technische Sicherung wie Liegenschaftsabgrenzungen und hemmende Fassadenelemente, Überwachung der Umgebung, Detektionsgeräte sowie Zugangskontrollen. Diese Beispiele sind risikobasiert und unter dem Verhältnismäßigkeitsmaßstab herzuleiten, nicht als abzuarbeitender Katalog.^[1] Verstöße können als Ordnungswidrigkeiten geahndet werden, unter anderem mit Bußgeldern bis zu 1 Mio. EUR bei Verstößen gegen Auskunftspflichten bei der Registrierung.

Die Gegenüberstellung: Schutzgut, Adressat, Nachweis

Die beiden Regelwerke lassen sich am saubersten nebeneinander legen, wenn man nach Schutzgut, Adressat, Behörde und Nachweis fragt. Die folgende Tabelle fasst die Unterschiede zusammen:

Kriterium	NIS2 (BSIG)	KRITIS-Dachgesetz
Schutzgut	Informationssicherheit und Netz- und Informationssysteme	Physische Resilienz kritischer Anlagen
Adressat	Besonders wichtige und wichtige Einrichtungen in 18 Sektoren nach § 28 BSIG	Betreiber kritischer Anlagen in zehn Sektoren, Regelschwellenwert 500.000 versorgte Einwohner
Größenordnung	Schwellenwerte ab 50 Beschäftigten oder 10 Mio. EUR Jahresumsatz (§ 28 Abs. 2 BSIG)	Deutlich kleinerer Kreis: nur Anlagen ab dem Regelschwellenwert, konkrete Betreiberzahlen stehen erst mit der KRITIS-Verordnung fest
Zuständige Behörde	BSI^[2]	BBK als zentrale Anlaufstelle, daneben fachlich zuständige Bundes- und Landesbehörden
Risikoanalyse	Zehn Maßnahmenbereiche nach § 30 BSIG, dem Stand der Technik^[2]	Risikoanalyse nach § 12 KRITIS-DachG, erstmals neun Monate nach Registrierung (§ 8 Abs. 7 KRITIS-DachG)^[4]
Nachweis	Nach § 39 BSIG, Turnus frühestens drei Jahre^[2]	Resilienzplan nach § 13; Nachweise und Audits risikobasiert auf Verlangen der Aufsicht^[5]
Meldepflicht	Gestuft ans BSI nach § 32 BSIG	Erhebliche Störungen binnen 24 Stunden an die gemeinsame Meldestelle von BBK und BSI
Bußgelder	Bis zu 10 Mio. EUR; bei Gesamtumsatz über 500 Mio. EUR bis zu 2 Prozent des weltweiten Gesamtumsatzes (§ 65 BSIG)	Gestaffelt, bis zu 1 Mio. EUR je Pflichtverstoß

Zwei Hinweise zur Lesart: Die Betreiberzahl beim BSI erfasst die Registrierungen nach dem bisherigen BSIG-Verfahren; das KRITIS-Dachgesetz stellt die Einstufung kritischer Anlagen auf einen eigenen Rahmen und setzt die BSI-KritisV außer Kraft, sodass sich die Kreise künftig verschieben können. Und: Ein Betreiber kann mehrere kritische Anlagen betreiben, weshalb Betreiber- und Anlagenzahl auseinanderfallen.

Doppelt betroffen: was das organisatorisch bedeutet

Für die meisten Betreiber kritischer Anlagen stellt sich die Frage „NIS2 oder KRITIS-Dachgesetz“ gar nicht, weil beide Regelwerke gleichzeitig gelten: Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG grundsätzlich als besonders wichtige Einrichtungen und unterliegen damit den Pflichten des BSIG. Umgekehrt gilt das nicht, denn der Anwendungsbereich des BSIG ist deutlich weiter. Wer als KRITIS-Betreiber registriert ist, muss also die digitale und die physische Resilienz nebeneinander stärken und beides getrennt nachweisen.

Zwei Registrierungen: die Registrierung im BSI-Portal nach § 33 BSIG und die Registrierung beim BBK über die gemeinsame Plattform.
Zwei Nachweiswege: der NIS2-Nachweis nach § 39 BSIG im Turnus von frühestens drei Jahren^[6] und der Resilienzplan nach § 13 KRITIS-DachG, den die Aufsicht risikobasiert anfordert.^[5]
Zwei Meldekanäle mit unterschiedlicher Zuständigkeit, die über die gemeinsame Meldestelle von BBK und BSI technisch zusammengeführt sind.
Ein Liegenschaftsbestand, über den beide Pflichtenwelten laufen: dieselben Standorte, dieselben Anlagen, aber unterschiedliche Schutzgüter und Nachweise.

Organisatorisch entscheidend ist die Zuständigkeitszuordnung im eigenen Haus. Die IT-Leitung trägt die Pflichten nach dem BSIG; die physische Seite, von der Gefährdungsanalyse über die Schutzzonenkonzeption bis zur Planung von Perimetersicherung, Videoüberwachung und Zutrittskontrolle, liegt bei den Sicherheitsverantwortlichen und dem Facility Management. Beide Nachweiswege verlangen eine dokumentierte Herleitung: Aus dem Resilienzplan müssen die Erwägungen hinter jeder Maßnahme hervorgehen, mit Bezug zur Risikoanalyse.

Praktisch heißt das für die Zeitplanung: Wer die Risikoanalyse und den Resilienzplan erst aufsetzt, wenn die Aufsicht Unterlagen anfordert, verbraucht die Vorbereitungszeit, die das Gesetz zwischen Registrierung und den Fristen ausdrücklich einräumt.

Schnittstellen zwischen IT- und physischer Sicherheit

Die Trennung der Regelwerke bedeutet nicht, dass digitale und physische Sicherheit als Insellösungen zu planen wären. Im Gegenteil: Moderne Sicherheitstechnik ist selbst Teil der IT-Infrastruktur. Eine Zutrittskontrolle verarbeitet personenbezogene Daten und ist mitbestimmungspflichtig; IP-basierte Videoüberwachung läuft über dieselben Netzstrukturen wie die Geschäftsprozesse, die sie schützt. Eine Schwachstelle im Netz kann damit zugleich eine Schwachstelle des physischen Schutzes sein.

An der Schnittstelle mehrerer Gewerke entstehen übergeordnete Gefahrenmanagementsysteme (PSIM), die Anlagen verschiedener Hersteller über neutrale, frei verfügbare Schnittstellen wie BACnet oder OPC auf einer einheitlichen Bedienoberfläche integrieren, auch standort- und länderübergreifend. Genau solche Systeme verbinden die physische Detektion mit den Melde- und Interventionsprozessen, die beide Regelwerke erwarten.

Für die Rechtskonformität heißt das: Die physischen Maßnahmen nach § 13 KRITIS-DachG werden so geplant, dass ihre Dokumentation prüffähig bleibt und nicht mit den Cyberpflichten kollidiert.^[5]

Physische Schutzpflichten im eigenen Haus einordnen lassen

Die eigene Betroffenheit lässt sich für beide Regelwerke getrennt beurteilen: Für die Cyberpflichten ist die Einordnung nach § 28 BSIG und die Registrierung im BSI-Portal maßgeblich; für die physischen Pflichten zählt, ob eine Anlage als kritische Anlage nach dem KRITIS-Dachgesetz einzustufen ist. Da die konkrete Einstufung über die noch zu erlassende Rechtsverordnung erfolgt, empfiehlt sich eine frühzeitige Ist-Aufnahme des eigenen Liegenschaftsbestands: Welche Standorte versorgen wie viele Personen, wo bestehen Abhängigkeiten von anderen kritischen Dienstleistungen, und wie ist der Bestand an Perimetersicherung, Videoüberwachung, Zutrittskontrolle und Einbruchmeldetechnik dokumentiert?

Genau hier setzt die herstellerneutrale Fachplanung an: Betreiber kritischer Infrastrukturen, unter anderem aus der Energieversorgung, der Stadtentwässerung und der Luftfahrt, werden mit Sicherheitskonzepten und Gefährdungsanalysen begleitet, die erforderliche Sicherheitstechnik von der Perimetersicherung bis zum übergeordneten Gefahrenmanagementsystem geplant und die Umsetzung bis zur Abnahme begleitet. Die Herleitung jeder Maßnahme aus der Gefährdungsanalyse wird so dokumentiert, dass sie gegenüber dem BBK, Behörden und Sachverständigen prüffähig bleibt. Mehr dazu finden Sie unter Kritische Infrastrukturen (KRITIS).^[7]

Kontaktieren Sie uns für ein unverbindliches Erstgespräch. PLANATEL® – Unabhängige Planung und Beratung seit 1992. Tel: 040 / 23 73 02-30 | E-Mail: info@planatel.de

Häufig gestellte Fragen

Was ist der wesentliche Unterschied zwischen NIS2 und dem KRITIS-Dachgesetz?

NIS2 regelt die Cybersicherheit und den Schutz von Informationstechnik vor digitalen Bedrohungen. Das KRITIS-Dachgesetz konzentriert sich hingegen auf die physische Resilienz kritischer Infrastrukturen, um diese vor Sabotage, Naturkatastrophen oder baulichen Schäden zu schützen.

Wer fällt unter das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz gilt für Betreiber kritischer Anlagen, die essenzielle Dienstleistungen für das Gemeinwesen erbringen. Die Einstufung erfolgt über gesetzlich festgelegte Schwellenwerte, in der Regel ab 500.000 versorgten Personen.

Müssen KRITIS-Betreiber auch die Anforderungen von NIS2 umsetzen?

Ja. Betreiber kritischer Anlagen werden durch das NIS2-Umsetzungsgesetz automatisch als besonders wichtige Einrichtungen eingestuft. Sie müssen demnach sowohl die digitalen Vorgaben für Cybersicherheit als auch die physischen Schutzpflichten erfüllen.

Welche Behörden überwachen die neuen Pflichten?

Für die Überwachung der Cybersicherheit und das Meldewesen nach NIS2 ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig. Für den physischen Schutz und die Resilienzpläne nach dem KRITIS-Dachgesetz fungiert das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) als zuständige Behörde.

Wie schnell müssen Vorfälle nach NIS2 gemeldet werden?

Betroffene Unternehmen müssen erhebliche IT-Sicherheitsvorfälle unverzüglich melden. Eine erste Kurzmitteilung muss innerhalb von 24 Stunden an das BSI erfolgen, gefolgt von einer detaillierten Meldung nach 72 Stunden.