Was ändert sich bei KRITIS unter NIS2?

Stand: 2026-05-16 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Die KRITIS-Welt vor NIS2

Die deutsche KRITIS-Regulierung basierte vor NIS2 auf zwei Säulen:

• BSIG (§§ 8a-8f), IT-Sicherheits-Anforderungen für Betreiber Kritischer Infrastrukturen.
• BSI-Kritisverordnung, definierte sektor-spezifische Anlagen und Schwellen, ab denen ein Betrieb als KRITIS gilt.

KRITIS-Sektoren (acht in der finalen Fassung): Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung.

Pflichten:

• IT-Sicherheits-Maßnahmen nach „Stand der Technik" (§ 8a Abs. 1 BSIG).
• Nachweis alle zwei Jahre durch Audit (§ 8a Abs. 3).
• Meldung erheblicher IT-Störungen ans BSI (§ 8b Abs. 4).
• Benennung einer Kontaktstelle (§ 8b Abs. 3).

Schwellenwerte richteten sich nach Versorgungsgrad, z.B. Strom-Versorgung von mindestens 500.000 Menschen, Wasser-Versorgung ab definierten Volumen, etc.

Was sich mit NIS2 strukturell ändert

Änderung 1: Anwendungsbereich verbreitert sich

NIS2 unterscheidet wesentliche und wichtige Einrichtungen und erfasst mit Anhang I und II deutlich mehr Sektoren als die KRITIS-Verordnung:

Insgesamt sind nach BMI-Schätzungen rund 30.000 Einrichtungen in Deutschland NIS2-pflichtig (KRITIS hatte rund 1.700).

Änderung 2: Pflicht-Set wird detaillierter

Art. 21 NIS2 listet 11 Mindestmaßnahmen, mehr und spezifischer als die generische „Stand der Technik"-Formel des § 8a BSIG. Insbesondere neu konkretisiert:

• Lieferketten-Sicherheit (Art. 21 Abs. 2 lit. d).
• Verschlüsselung und sichere Kommunikation (Art. 21 Abs. 2 lit. h, j, k).
• Cybersicherheits-Hygiene (Art. 21 Abs. 2 lit. g).
• Wirksamkeits-Bewertung der Maßnahmen (Art. 21 Abs. 2 lit. f).

Änderung 3: Meldekette wird dreistufig

Statt einer „unverzüglichen" Meldung wie unter § 8b BSIG schreibt Art. 23 NIS2 drei Stufen vor: 24h Frühwarnung, 72h Vorfallmeldung, 1 Monat Abschlussbericht. Details im Artikel „Welche Fristen gelten bei NIS2-Incident-Meldungen?".

Änderung 4: Geschäftsleitungs-Pflichten neu

Art. 20 NIS2 verpflichtet die Leitungsorgane persönlich zur Genehmigung der Maßnahmen, Aufsicht ihrer Umsetzung und Schulungs-Teilnahme. Das gab es im BSIG so nicht.

Änderung 5: Sanktionen verschärfen sich

Bußgelder bis 10 Mio. Euro oder 2 % Umsatz (wesentliche Einrichtungen) sind im neuen Rahmen deutlich höher als unter BSIG (dort: gestaffelt bis 2 Mio. Euro, gegen juristische Personen über § 30 OWiG bis 20 Mio. Euro). Plus persönliche Sanktionen wie Tätigkeitsuntersagung (Art. 32 Abs. 5).

Was unverändert bleibt

Drei Bereiche bleiben in ihrer Substanz erhalten:

• KRITIS-Begriff und Sektoren-Logik: Die Idee „Kritische Infrastrukturen versorgen Bevölkerung und Wirtschaft mit essenziellen Leistungen" trägt weiter.
• BSI als zentrale Behörde: Der Single Point of Contact gegenüber den geregelten Einrichtungen bleibt das BSI. Sektor-Aufsichten ergänzen, wie schon zu KRITIS-Zeiten.
• Audit-Rhythmus: Die etablierte zwei-jährige Nachweis-Pflicht für KRITIS bleibt grundsätzlich erhalten, jetzt mit erweiterten Inhalten.

Übergangs-Praxis: KRITIS → NIS2

Wer bereits KRITIS-konform nach altem § 8a BSIG war, hat in der Praxis 70-90 % der NIS2-Anforderungen abgedeckt. Drei Delta-Bereiche müssen typischerweise ergänzt werden:

Delta 1, Geschäftsleitungs-Compliance: Beschluss-Dokumentation der Mindestmaßnahmen-Genehmigung, jährliche Re-Genehmigung, Schulungs-Nachweise auf Leitungs-Ebene. In KRITIS-ISMS oft nur informell vorhanden.

Delta 2, Meldekette-Detaillierung: Spezifische 24h/72h/1-Monats-Mustertexte, BSI-Portal-Zugangs-Tests, Tabletop-Übung für die Meldekette. Der bisherige „unverzügliche Meldung"-Prozess muss in drei Stufen zerlegt werden.

Delta 3, Lieferketten-Vertiefung: Die KRITIS-Lieferanten-Klauseln waren oft generisch. NIS2 erwartet eine systematische Lieferanten-Risiko-Bewertung mit dokumentierten Schutz-Anforderungen pro Lieferanten-Klasse. Mehr im Artikel „Was müssen NIS2-konforme Lieferantenverträge enthalten?".

Erweiterung der KRITIS-Liste

Mit dem KRITIS-Dachgesetz und der NIS2-Umsetzung erweitert sich der KRITIS-Begriff selbst. Hinzu kommen:

• Abwasser als eigenständiger Sektor (vorher Teil von Wasser).
• Verwaltung als KRITIS-Bereich (begrenzt auf zentrale Verwaltungs-Aufgaben).
• Weltraum mit kritischen Satelliten-Diensten.
• Erweiterung der bestehenden Sektoren um zusätzliche Anlagen-Typen.

Die genauen Schwellen-Werte sind in der überarbeiteten BSI-Kritisverordnung enthalten und werden regelmäßig fortgeschrieben.

Was sich für ehemalige „freiwillige KRITIS-Mitarbeiter" ändert

Viele Unternehmen waren bisher unter den KRITIS-Schwellen, haben sich aber freiwillig an den BSI-Branchen-Standards (B3S) orientiert, etwa Mittelstand-Energieversorger unter Schwellen-Werten oder kleinere Krankenhäuser. Unter NIS2 ändert sich für sie regulatorisch:

• Wesentliche oder wichtige Einrichtung: Schwellen-Werte für „wichtige Einrichtung" (50+ Mitarbeitende, 10+ Mio. Umsatz in Anhang-II-Sektoren) sind niedriger als die alten KRITIS-Anlagenschwellen. Viele bislang freiwillige Akteure werden direkt pflichtig.
• Berichts-Pflicht auch für vorher freiwillig konforme Einrichtungen.
• Pflicht zur Selbst-Registrierung beim BSI nach Beginn des Geltungs-Bereichs.

Die freiwillige B3S-Orientierung ist in der Audit-Praxis dann nicht mehr „nice to have", sondern Voraussetzung der Pflicht-Konformität, der Aufwand-Sprung ist meist geringer als der Schritt von „gar keinem ISMS" zu „NIS2-Compliance".

Aufsichts-Architektur unter NIS2

Während unter dem alten BSIG die KRITIS-Aufsicht in der Praxis durch das BSI selbst und durch sektor-spezifische Aufsichten erfolgte, präzisiert NIS2 die Aufsichts-Mittel und Befugnisse:

• Vor-Ort-Inspektionen auch ohne konkreten Vorfall (Art. 32 Abs. 2 NIS2).
• Sicherheits-Scans durch oder im Auftrag der Aufsichtsbehörde, etwa Penetrations-Tests in vereinbartem Rahmen.
• Anforderung von Informationen, Daten, Dokumenten mit konkreten Fristen.
• Anordnung verbindlicher Maßnahmen zur Beseitigung von Mängeln.
• Bußgelder + Tätigkeitsuntersagung für Leitungs-Personen bei wiederholten Verstößen.

Diese Mittel-Schärfung trifft sowohl klassische KRITIS-Akteure als auch die vielen neuen unter Anhang II hinzukommenden Einrichtungen.

FAQ

Werden bestehende KRITIS-Betreiber durch NIS2 automatisch „wesentliche Einrichtungen"?

In der Regel ja. Die bisherigen KRITIS-Betreiber fallen unter den NIS2-Anwendungsbereich der wesentlichen Einrichtungen (Anhang I), die NIS2-Pflichten sind im Vergleich umfangreicher, aber das ISMS bleibt nutzbar. Im Einzelfall sollte aber pro Anlage geprüft werden, ob die NIS2-Schwellen erreicht werden.

Gibt es eine Übergangs-Frist nach Inkrafttreten des NIS2UmsuCG?

Das NIS2UmsuCG sieht abgestufte Fristen vor, wesentliche Einrichtungen müssen die Pflichten ab Inkrafttreten erfüllen, mit definierten Übergangs-Räumen für bestimmte Anforderungen wie Lieferanten-Management. Konkrete Fristen ergeben sich aus dem Gesetz und der zugehörigen BSI-Kommunikation.

Was passiert mit alten KRITIS-Audit-Zertifikaten?

Bestehende Audit-Nachweise nach § 8a BSIG bleiben in ihrer Laufzeit gültig, sind aber NIS2-mäßig nicht vollständig abdeckend. Beim nächsten Audit-Zyklus muss der Audit-Umfang auf NIS2-Anforderungen erweitert werden. Wirtschaftsprüfer und akkreditierte Audit-Dienstleister haben in der Regel angepasste Audit-Programme entwickelt.

Müssen KRITIS-Betreiber jetzt zwei Meldungen abgeben: eine alte BSIG und eine neue NIS2?

Nein. Mit Wirksamwerden des NIS2UmsuCG geht die Meldepflicht aus dem alten BSIG in die neue dreistufige NIS2-Meldekette über. Das BSI-Meldeportal wird entsprechend aktualisiert. Doppel-Meldungen sind nicht vorgesehen.

Verschwinden sektor-spezifische Sonderregelungen unter NIS2?

Nein. Sektor-Aufsichts-Behörden wie BNetzA (Energie, TK), BaFin (Finanz) und BfArM (Medizinprodukte) behalten ihre Rollen. NIS2 ergänzt deren Anforderungen, ersetzt sie aber nicht. In der Praxis erfordert das eine integrierte Compliance-Architektur, die sowohl sektor-spezifische als auch NIS2-Anforderungen abbildet.