KRITIS-Dachgesetz und NIS-2: Pflichten, Sektoren und Bußgelder

Der Schutz kritischer Infrastrukturen erlebt die tiefgreifendste regulatorische Neuausrichtung seit Einführung des BSI-Gesetzes. Durch das Zusammenspiel der europäischen NIS-2-Richtlinie und der Critical Entities Resilience Directive (CER) entsteht ein neues Doppel-Regime. Während NIS-2 die digitale Dimension adressiert, schließt das deutsche KRITIS-Dachgesetz die Lücke bei der physischen Widerstandskraft gegen Sabotage, Naturkatastrophen und Lieferkettenunterbrechungen.

Für Unternehmensleitungen verändert sich die Risikolage dramatisch. Bislang waren in Deutschland vor allem große Versorger mit Hunderttausenden versorgten Bürgern als KRITIS-Betreiber klassifiziert. Das neue Regelwerk senkt die Einstiegshürden erheblich: Bereits mittlere Betriebe ab 50 Mitarbeitern oder zehn Millionen Euro Jahresumsatz in definierten Schlüsselsektoren fallen unter die Aufsicht des Bundesamtes für Sicherheit in der Informationstechnik.

Besonders brisant ist die Verankerung persönlicher Überwachungs- und Schulungspflichten für die Geschäftsführung. Ein Delegieren der Gesamtverantwortung an den CISO oder extern beauftragte Dienstleister ist gesetzlich ausgeschlossen. Organmitglieder müssen sich regelmäßig fortbilden und die Angemessenheit der getroffenen Abwehrmaßnahmen aktiv überwachen.

Systematik der neuen KRITIS-Sektoren: Wer fällt unter die Aufsicht?

Das Anwendungsfeld erweitert sich von den klassischen Kernbereichen auf elf kritische Sektoren. Hierbei unterscheidet der Gesetzgeber zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen mit abgestuften Nachweispflichten:

• Traditionelle Sektoren (hohe Kritikalität): Energie (Strom, Gas, Fernwärme), Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit (Krankenhäuser, Pharma, Labore), Wasser und Ernährung.
• Neu hinzugekommene Sektoren: Abfallbewirtschaftung, Weltraum, öffentliche Verwaltung, Finanzwesen und Versicherungen (überlagert durch DORA) sowie digitale Anbieter (Rechenzentren, Cloud-Provider, Online-Marktplätze).
• Schwellenwerte und Größenkriterien: Unabhängig von Versorgungsgraden greifen die Pflichten ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz (wichtige Einrichtungen) bzw. ab 250 Beschäftigten oder 50 Millionen Euro Umsatz (besonders wichtige Einrichtungen).

Wie Betreiber ihre Rechenzentrumsinfrastrukturen physisch und energetisch absichern, erläutert unsere Analyse zum nachhaltigen Rechenzentrumsbetrieb. Dort werden Ausfallsicherheitskriterien nach DIN EN 50600 detailliert erörtert.

Ergänzende Architektur-Analysen und technische Entscheidungsmatrizen für Ihre IT-Planung finden Sie in unseren weiterführenden Leitartikeln zu Cyber-Resilience im Enterprise-Einsatz, zu Incident Response im Enterprise-Einsatz sowie zu Netzwerksicherheit im Enterprise-Einsatz.

Betreiberpflichten nach § 8a BSIG: Technische und organisatorische Nachweise

Die Kernanforderungen an regulierte Einrichtungen orientieren sich am Stand der Technik nach § 8a BSIG. Betreiber müssen alle zwei Jahre gegenüber dem BSI nachweisen, dass ihre Sicherheitsvorkehrungen auditfest greifen. Das Pflichtenheft umfasst fünf unabdingbare Kernbereiche:

1. Einsatz von Systemen zur Angriffserkennung (SzA): Pflicht zur kontinuierlichen Überwachung aller Datenströme mittels SIEM/SOAR und anomaliebasierten IDS/IPS-Sensoren.
2. Kryptografischer Schutz und Segmentierung: Strikte Netztrennung zwischen IT und OT sowie Ende-zu-Ende-Verschlüsselung sensibler Telemetrie- und Steuerungsdaten.
3. Business Continuity Management (BCM): Dokumentierte Notfall- und Wiederanlaufpläne für Stromausfälle, Cyber-Angriffe und physische Sabotageszenarien.
4. Lieferkettensicherheit: Audits und Zertifizierungsanforderungen für alle Drittanbieter mit logischem oder physischem Zugang zur Anlage.
5. Meldewesen und Kontaktstellen: Registrierung einer rund um die Uhr erreichbaren Kontaktstelle beim BSI zur Entgegennahme von Warnmeldungen.

„Das KRITIS-Dachgesetz und NIS-2 beenden das Zeitalter des freiwilligen Selbstaudits. Staatliche Behörden erhalten echte Eingriffsbefugnisse bis hin zur temporären Abberufung von Geschäftsführern bei vorsätzlicher Non-Compliance.“

Informationen über sichere Identitätsverwaltung und Authentisierungsverfahren finden Sie in unserem Beitrag über Phishing-resistente Mehrfaktor-Authentifizierung.

Regulierungsvergleich: BSI-KritisV vs. NIS-2 und KRITIS-Dachgesetz

Die nachfolgende Radar-Matrix stellt die historische Rechtslage den künftigen Vorgaben des europäischen Resilienz-Regimes gegenüber:

Grundlagen zu regulatorischer Datenhaltung und Datenschutzprüfungen bietet unser Leitfaden zu DSGVO im Enterprise-Einsatz.

Wirtschaftliche TCO^*– und Risiko-Kalkulation für KRITIS-Compliance

Die Implementierung eines auditfesten KRITIS- und NIS-2-Sicherheitsregimes erfordert gezielte Investitionen, die sich im Risikovergleich jedoch zwingend rechnen:

Die Wirtschaftlichkeitsanalyse beweist: Das Unterlassen adäquater Sicherheitsvorkehrungen gefährdet nicht nur den laufenden Geschäftsbetrieb, sondern setzt die Unternehmensleitung unkalkulierbaren zivil- und strafrechtlichen Haftungsrisiken aus.

Der 4-Phasen-Rollout: Auditfeste KRITIS- und NIS-2-Compliance in 14 Monaten

Für regulierte Einrichtungen und deren Kernzulieferer empfiehlt sich ein strukturierter Einführungsplan in vier Schritten:

Phase 1 (Monat 1 bis 3): Betroffenheitsprüfung und BSI-Registrierung

Juristische und technische Klärung der Einordnung nach NIS-2 und KRITIS-Dachgesetz. Benennung und offizielle Registrierung der operativen Kontaktstelle beim BSI und Durchführung einer initialen Gap-Analyse.

Phase 2 (Monat 4 bis 6): Etablierung des Angriffserkennungs-Systems (SzA)

Implementierung kontinuierlicher Netzwerk- und Log-Überwachung nach § 8a BSIG. Anbindung der Systeme an ein internes oder externes Security Operations Center (SOC) mit 24/7-Reaktionsbereitschaft.

Phase 3 (Monat 7 bis 9): Physische Resilienz und Business Continuity Pläne

Erstellung ganzheitlicher Resilienzpläne für physische Standorte gemäß KRITIS-Dachgesetz. Absicherung von USV-Anlagen, redundanten Einspeisungen und Überarbeitung der Notbetriebsvereinbarungen.

Phase 4 (Monat 10 bis 14): Vorstands-Schulung und Probe-Auditierung

Durchführung der gesetzlich geforderten Cybersicherheits-Schulung für die Geschäftsleitung. Simulation eines vollständigen BSI-Audits durch zertifizierte Prüfer und Beseitigung verbleibender Abweichungen.

Fünf Kontrollfragen für Vorstand und Geschäftsführung zu KRITIS

1. Ist unsere offizielle BSI-Kontaktstelle rund um die Uhr handlungsfähig?

Verfügt Ihr Unternehmen über eine registrierte Stelle, die Warnmeldungen des BSI innerhalb von 60 Minuten empfangen, bewerten und operative Gegenmaßnahmen einleiten kann?

2. Erfüllen unsere Systeme zur Angriffserkennung die BSI-Kriterien?

Können Ihre Sensoren verdächtige Muster im Datenverkehr in Echtzeit erkennen und sind die Protokolldaten manipulationssicher gespeichert, um forensische Untersuchungen zu ermöglichen?

3. Haben die Organmitglieder ihre gesetzliche Schulungspflicht erfüllt?

Wurde die gesetzlich vorgeschriebene Weiterbildung zu Cyber-Risiken für alle Mitglieder der Geschäftsführung dokumentiert, um im Schadensfall den Entlastungsbeweis führen zu können?

4. Sind kritische Zulieferer vertraglich auf unser Sicherheitsniveau verpflichtet?

Wurden die Verträge mit Cloud-Providern, Software-Herstellern und Dienstleistern auditiert, um sicherzustellen, dass Sicherheitsvorfälle in der Supply Chain sofort gemeldet werden?

5. Ist die physische Resilienz unserer Standorte gegen Sabotage erprobt?

Liegen für alle Betriebsstätten Gefahrenanalysen vor, die Stromausfälle, Hochwasser und unbefugten Zutritt abdecken, und existieren funktionierende Notstromaggregate?

Strategisches Fazit: Resilienz als Grundpfeiler moderner Unternehmensführung

Die gesetzlichen Vorgaben durch das KRITIS-Dachgesetz und NIS-2 markieren einen Paradigmenwechsel: Sicherheit ist keine optionale IT-Disziplin mehr, sondern eine rechtlich sanktionierte Kernpflicht ordnungsgemäßer Unternehmensführung.

Unternehmen, die die neuen Anforderungen proaktiv umsetzen, schützen sich nicht nur vor existenzbedrohenden Bußgeldern und persönlicher Vorstandshaftung. Sie sichern ihre Position als verlässlicher Partner in globalen Lieferketten und bauen eine operationelle Robustheit auf, die sie auch in Krisenzeiten voll handlungsfähig hält.

Häufig gestellte Fragen (FAQ) zu KRITIS-Dachgesetz und NIS-2