NIS2 & KRITIS-DachG: Das Dual-Regime

Deutschland hat in kurzer Folge zwei Gesetze verabschiedet, die Unternehmen gleichzeitig verpflichten: Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025, das KRITIS-Dachgesetz (DachG) folgte am 17. März 2026. Wer beide Regelwerke ignoriert, riskiert Bußgelder aus zwei Richtungen. Wer sie intelligent verknüpft, spart erheblich Zeit und Kosten.

Was ist das Dual-Regime?

NIS2 und das KRITIS-DachG setzen zwei unterschiedliche EU-Richtlinien in deutsches Recht um — mit verschiedenen Schutzzielen, aber erheblichen Überschneidungen:

Dimension	NIS2 / BSIG	KRITIS-DachG
EU-Grundlage	NIS2-Richtlinie (EU 2022/2555)	CER-Richtlinie (EU 2022/2557)
Nationales Gesetz	NIS2UmsuCG, BSIG §28–65	KRITIS-DachG §1–25
In Kraft seit	06.12.2025	29.01.2026
Fokus	Cybersicherheit und IT-Systeme	Physische Resilienz und Ausfallsicherheit
Aufsicht	BSI	BBK + sektorale Behörden
Registrierung	BSI, innerhalb von 3 Monaten (§33 BSIG)	BBK, innerhalb von 3 Monaten (§7 DachG)
Vorfallmeldung	24h / 72h / 1 Monat (§32 BSIG)	24h + 1 Monat an BBK (§14 DachG)
GL-Haftung	§38 : Persönliche Haftung + Schulungspflicht	§20: Resilienzverantwortung
Bußgelder	Bis 10 Mio. EUR oder 2 % Weltumsatz bei besonders wichtigen, bis 7 Mio. EUR oder 1,4 % bei wichtigen Einrichtungen (§65 BSIG)	Gemäß §24 DachG

Die Aufsichtsbehörden BSI und BBK agieren unabhängig voneinander — Unternehmen müssen beide bedienen.

Wer muss welches Gesetz erfüllen?

• Nur NIS2: Unternehmen ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz in einem der 18 NIS2-Sektoren (§28 BSIG)
• NIS2 + DachG: KRITIS-Betreiber, die mehr als 500.000 Personen versorgen (§10 KRITIS-DachG) — diese müssen beide Regime gleichzeitig erfüllen
• Sektoren mit Sonderregelungen: Finanzsektor (DORA), Energie (EnWG) und Telekommunikation (TKG) haben zusätzliche sektorspezifische Anforderungen

Nicht sicher, ob Ihr Unternehmen betroffen ist? Unser Betroffenheitscheck führt Sie Schritt für Schritt durch die Prüfung.

§17 DachG: Der Schlüsselparagraph für Effizienz

Paragraph 17 des KRITIS-Dachgesetzes

ist der wichtigste Hebel zur Kostenoptimierung: NIS2-Nachweise, ISO 27001-Zertifizierungen und EnWG-Prüfungen können als gleichwertig für DachG-Anforderungen anerkannt werden.

Das bedeutet in der Praxis:

• Kein doppeltes Audit erforderlich
• ISO 27001 deckt bereits 70–80 % der NIS2-Anforderungen ab
• Ein integrierter Prüfansatz spart erheblich Zeit und Kosten
• Physische Resilienz wird als Ergänzung dokumentiert, nicht als separates System aufgebaut

Unternehmen, die bereits ein ISMS nach ISO 27001 betreiben, sind damit klar im Vorteil — sie müssen das DachG nicht von Null aufbauen, sondern vorhandene Nachweise gezielt erweitern.

Konkrete Handlungsschritte für betroffene Unternehmen

1. Betroffenheit prüfen — sowohl für NIS2 als auch für das DachG getrennt bewerten
2. Synergien identifizieren — §17 DachG als Grundlage für einen integrierten Compliance-Ansatz nutzen
3. Dual planen — Cyber-Anforderungen (BSI) und physische Resilienz (BBK) parallel angehen
4. Fristen einhalten — die kritischen Deadlines für 2026 im Blick behalten, es gibt keine allgemeine Übergangsfrist

Checkliste für Dual-Regime-Betroffene

Wenn Ihr Unternehmen beide Gesetze erfüllen muss, hilft diese Checkliste bei der strukturierten Umsetzung:

Registrierung und Meldewesen:

• BSI-Registrierung über das MELDEX-Portal abschließen (ELSTER-Organisationszertifikat erforderlich)
• BBK-Registrierung als KRITIS-Betreiber vorbereiten (Frist: ca. Juli 2026)
• Gemeinsamen Ansprechpartner für BSI und BBK benennen — reduziert Koordinationsaufwand
• Meldeprozesse für beide Behörden etablieren: 24h-Erstmeldung an BSI (Cyber) und BBK (physisch)

Risikoanalyse und Maßnahmen:

• Integrierte Risikoanalyse durchführen, die Cyber-Risiken (§30 BSIG) und physische Bedrohungen (§12 DachG) gemeinsam bewertet
• Mindestmaßnahmen nach Art. 21 NIS2-RL als Basis implementieren
• Physische Resilienzmaßnahmen ergänzen: Zutrittskontrollen, redundante Versorgung, Perimeterschutz, Notfallpläne für Naturkatastrophen und Sabotage
• Business-Continuity-Management-System (BCMS) aufbauen, das beide Compliance-Ziele abdeckt

Nachweisführung und Synergien nach §17 DachG:

• Vorhandene ISO 27001-Zertifizierung als Grundlage für beide Nachweise nutzen
• NIS2-Auditberichte so strukturieren, dass sie für DachG-Anforderungen anrechenbar sind
• Physische Resilienzpläne als Ergänzung zum ISMS dokumentieren — nicht als separates System
• Prüfkalender anlegen: NIS2-Nachweis alle 3 Jahre (§39 BSIG), DachG-Risikoanalyse alle 4 Jahre (§12 DachG)

Geschäftsleitung:

• GL-Beschluss für beide Compliance-Pfade fassen und dokumentieren
• Persönliche Haftung nach §38 BSIG und §20 DachG im Leitungsorgan thematisieren
• Cybersicherheitsschulung (mind. 4h/Jahr) und physische Resilienz-Briefings für alle GL-Mitglieder planen

Fazit: Komplex, aber beherrschbar

Das Dual-Regime stellt Unternehmen vor neue Herausforderungen — aber es ist strukturiert lösbar. Der Schlüssel liegt in einem integrierten Ansatz, der Cybersicherheit und physische Resilienz gemeinsam denkt. Wer früh beginnt und §17 DachG konsequent nutzt, vermeidet Doppelarbeit und reduziert den Gesamtaufwand deutlich.

Häufige Fragen zum NIS2- und KRITIS-DachG-Dual-Regime beantwortet unser FAQ.

Unser Angebot: In einem kostenlosen Erstgespräch von 30–60 Minuten prüfen wir von NIS2 Service, ob und wie Ihr Unternehmen vom Dual-Regime betroffen ist — und zeigen den effizientesten Weg zur Compliance. Jetzt Termin vereinbaren

Häufige Fragen zu NIS2 und KRITIS-DachG

Muss ich mich sowohl beim BSI als auch beim BBK registrieren?

Ja, wenn Ihr Unternehmen unter das Dual-Regime fällt — also mehr als 500.000 Personen versorgt und in einem KRITIS-Sektor tätig ist. Die BSI-Registrierung war für besonders wichtige Einrichtungen bis März 2026 fällig (§33 BSIG). Die BBK-Registrierung für KRITIS-Betreiber ist bis ca. Juli 2026 fällig (§7 DachG). Beide Registrierungen sind unabhängig voneinander und bei verschiedenen Behörden vorzunehmen — inhaltlich können Ansprechpartner und Dokumente jedoch weitgehend geteilt werden, was den Aufwand spürbar reduziert.

Reicht NIS2-Konformität automatisch für das KRITIS-DachG?

Nein, aber §17 DachG erlaubt die gegenseitige Anrechnung von Nachweisen. NIS2-Audits, ISO 27001-Zertifizierungen und EnWG-Prüfungen können als gleichwertig für DachG-Anforderungen anerkannt werden — und umgekehrt. Zusätzlich verlangt das DachG eine physische Risikoanalyse nach §12 DachG, physische Resilienzpläne und Meldepflichten gegenüber dem BBK. Diese Bereiche deckt NIS2 nicht ab. Ein integrierter Ansatz — ein gemeinsames Projekt für beide Compliance-Ziele — reduziert den Doppelaufwand auf ein Minimum.

Welche physischen Schutzmaßnahmen verlangt das KRITIS-DachG zusätzlich zu NIS2?

Das KRITIS-DachG fordert physische Resilienz gegen Naturkatastrophen, Sabotage und Anschläge. Konkret umfasst dies: eine physische Risikoanalyse nach §12 DachG (alle 4 Jahre zu wiederholen), Resilienzpläne mit konkreten Wiederherstellungsmaßnahmen für kritische Anlagen, physische Sicherheitsmaßnahmen wie Zutrittskontrollen, redundante Versorgung und Perimeterschutz sowie Vorfallmeldungen an das BBK (24h Erstmeldung, 1 Monat Abschlussbericht). Diese Maßnahmen ergänzen die Cybermaßnahmen nach NIS2 und sollten in einem integrierten Business-Continuity-Management-System (BCMS) zusammengeführt werden.

---

Stand: Februar 2026. Für eine individuelle rechtliche Einordnung empfehlen wir eine Beratung durch Fachexperten.