NIS2 vs. KRITIS-DachG
Überblick
Das NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) und das KRITIS-DachG (KRITIS-Dachgesetz) sind zwei eigenständige deutsche Gesetze mit unterschiedlichen Schutzzielen: Das NIS2UmsuCG regelt Cybersicherheit für besonders wichtige und wichtige Einrichtungen und setzt die EU-Richtlinie 2022/2555 in nationales Recht um. Das KRITIS-DachG hingegen fokussiert auf physische Resilienz — also den Schutz kritischer Infrastrukturen vor physischen Bedrohungen wie Naturkatastrophen, Sabotage oder Versorgungsunterbrechungen. Für viele KRITIS-Betreiber in Sektoren wie Energie, Verkehr, Gesundheit oder Trinkwasser gilt eine doppelte Betroffenheit: Sie müssen beide Gesetze parallel einhalten. Diese duale Regulierung macht ein integriertes Resilienzmanagement unverzichtbar.
Direktvergleich
| Kriterium | NIS2 / NIS2UmsuCG | KRITIS-DachG |
|---|---|---|
| Schutzziel | Cybersicherheit — Schutz von IT- und OT-Systemen vor digitalen Angriffen | Physische Resilienz — Schutz vor Naturkatastrophen, Sabotage, Ausfällen |
| Geltungsbereich | Besonders wichtige und wichtige Einrichtungen in 18 Sektoren (ab 50 MA / 10 Mio. EUR Umsatz) | Betreiber kritischer Anlagen in Sektoren Energie, Verkehr, Gesundheit, Trinkwasser u. a. |
| Schwellenwerte | Mittelgroße Unternehmen: ≥ 50 MA oder ≥ 10 Mio. EUR; Großunternehmen: ≥ 250 MA | Sektorspezifische Schwellenwerte (z. B. Energieerzeugungsanlagen ≥ 500 MW) |
| Meldepflichten | Erhebliche Sicherheitsvorfälle: Erstmeldung 24 h, Berichterstattung 72 h an BSI | Sicherheitsvorfälle und physische Bedrohungen: Meldung an BBK und Sektor-Behörde |
| Aufsicht | BSI (Bundesamt für Sicherheit in der Informationstechnik) — Cyber-Aufsicht | BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe) — Physische Aufsicht |
| Registrierungspflicht | BSI-Registrierung für alle besonders wichtigen und wichtigen Einrichtungen verpflichtend | Meldung und Registrierung beim BBK als Betreiber kritischer Anlagen |
| Sanktionen | Bußgelder bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (besonders wichtige Einrichtungen) | Bußgelder nach KRITIS-DachG, sektorspezifische Maßnahmen möglich |
Analyse
Das zentrale Thema im Zusammenspiel von NIS2UmsuCG und KRITIS-DachG ist die doppelte Betroffenheit: Viele Unternehmen, die als Betreiber kritischer Anlagen klassifiziert sind, fallen gleichzeitig in den Anwendungsbereich beider Gesetze. Ein Energieversorger mit einer Kraftwerksleistung über dem KRITIS-Schwellenwert unterliegt dem KRITIS-DachG für physische Sicherheit und gleichzeitig dem NIS2UmsuCG für Cybersicherheit.
Das NIS2UmsuCG und das KRITIS-DachG sind dabei komplementär, nicht redundant. Während das NIS2UmsuCG IT- und OT-Systeme, Netzwerke und digitale Prozesse schützt, adressiert das KRITIS-DachG physische Bedrohungsszenarien: Überschwemmungen, Sabotageakte, Lieferkettenunterbrechungen oder Stromausfälle mit physischer Ursache. Beide Regelwerke verfolgen dasselbe übergeordnete Ziel — die Aufrechterhaltung kritischer Dienste für Gesellschaft und Wirtschaft — greifen aber an unterschiedlichen Punkten des Risikospektrums an.
Besonders betroffen sind Betreiber kritischer Anlagen in Sektoren, die unter beide Regelwerke fallen. Dazu zählen Energie (Strom, Gas, Öl), Verkehr (Schiene, Luftfahrt, Straßenverkehr), Gesundheit (Krankenhäuser, Labore) und Trinkwasser. In diesen Sektoren können Organisationen sowohl besonders wichtige Einrichtungen nach NIS2UmsuCG als auch Betreiber kritischer Anlagen nach KRITIS-DachG sein — mit separaten Melde- und Nachweispflichten gegenüber BSI und BBK.
Für die Praxis empfiehlt sich ein konsolidierter Ansatz: Ein einheitlicher Risikoanalyse- und Managementprozess, der beide Dimensionen — Cyber und physisch — abdeckt, vermeidet Doppelarbeit und schafft eine konsistente Dokumentationsbasis. Das NIS2UmsuCG schreibt ohnehin einen ganzheitlichen Ansatz zum Risikomanagement vor, der auch physische Sicherheitsaspekte (Zutrittskontrolle, Gebäudesicherheit) einschließt. Dieser kann nahtlos mit den Anforderungen des KRITIS-DachG verzahnt werden.
Ein weiterer Synergieeffekt: Die BSI-Registrierung nach NIS2UmsuCG liefert dem BSI wichtige Informationen über KRITIS-relevante Einrichtungen. Das BSI und das BBK kooperieren bei der Aufsicht über kritische Infrastrukturen, sodass eine saubere Einstufung und Registrierung beiden Aufsichtsbehörden zugutekommt. Unternehmen sollten daher die Selbsteinstufung nach beiden Regelwerken koordiniert durchführen und dabei die Sektorklassifikationen aufeinander abstimmen.
Unterschiede bestehen bei den Meldewegen: Sicherheitsvorfälle nach NIS2UmsuCG werden an das BSI gemeldet, während physische Vorfälle nach KRITIS-DachG an das BBK und gegebenenfalls an sektorspezifische Behörden (z. B. Bundesnetzagentur für Energie) zu melden sind. Dual betroffene Organisationen benötigen daher klare interne Prozesse, die sicherstellen, dass Vorfälle korrekt klassifiziert und an die jeweils zuständige Behörde gemeldet werden — ohne Fristen zu versäumen.
Fazit und Handlungsempfehlung
KRITIS-Betreiber stehen vor der Herausforderung, NIS2UmsuCG und KRITIS-DachG parallel zu erfüllen. Beide Gesetze sind komplementär und adressieren unterschiedliche Bedrohungsebenen — Cyber und physisch. Eine isolierte Betrachtung führt zu Doppelarbeit und erhöhtem Compliance-Aufwand.
Die Empfehlung lautet: Entwickeln Sie ein integriertes Resilienzmanagement, das Cyber- und physische Risiken in einem gemeinsamen Rahmen bewertet und steuert. Beginnen Sie mit einer koordinierten Selbsteinstufung nach beiden Regelwerken, richten Sie klare Meldeprozesse für BSI und BBK ein, und dokumentieren Sie alle Maßnahmen so, dass sie für beide Aufsichtsbehörden verwertbar sind. So reduzieren Sie den Compliance-Aufwand und erhöhen gleichzeitig die Resilienz Ihrer kritischen Infrastruktur nachhaltig.
Verwandte Inhalte
Compliance-Anforderungen klären?
Wir helfen Ihnen, NIS2 und verwandte Regelwerke in konkrete Maßnahmen umzusetzen.
Beratung anfragen