Was ändert sich bei KRITIS unter NIS2?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Die KRITIS-Welt vor NIS2

Die deutsche KRITIS-Regulierung basierte vor NIS2 auf zwei Säulen:

• BSIG a. F. (§§ 8a-8f), IT-Sicherheits-Anforderungen für Betreiber Kritischer Infrastrukturen.
• BSI-Kritisverordnung, definierte sektor-spezifische Anlagen und Schwellen, ab denen ein Betrieb als KRITIS gilt.

KRITIS-Sektoren (acht in der finalen Fassung): Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung.

Pflichten:

• IT-Sicherheits-Maßnahmen nach „Stand der Technik" (§ 8a Abs. 1 BSIG).
• Nachweis alle zwei Jahre durch Audit (§ 8a Abs. 3).
• Meldung erheblicher IT-Störungen ans BSI (§ 8b Abs. 4).
• Benennung einer Kontaktstelle (§ 8b Abs. 3).

Schwellenwerte richteten sich nach Versorgungsgrad, z.B. Strom-Versorgung von mindestens 500.000 Menschen, Wasser-Versorgung ab definierten Volumen, etc.

Was sich mit NIS2 strukturell ändert

Änderung 1: Anwendungsbereich verbreitert sich

NIS2 unterscheidet wesentliche und wichtige Einrichtungen (im BSIG: besonders wichtige und wichtige Einrichtungen) und erfasst mit Anhang I und II deutlich mehr Sektoren als die KRITIS-Verordnung:

Nach Angaben des BSI fallen rund 29.500 Einrichtungen in Deutschland unter die neuen Pflichten; bisher beaufsichtigte das BSI rund 4.500 Einrichtungen.

Änderung 2: Pflicht-Set wird detaillierter

Art. 21 Abs. 2 NIS2 listet zehn Mindestmaßnahmen (lit. a bis j), in Deutschland umgesetzt in § 30 Abs. 2 Nr. 1 bis 10 BSIG, mehr und spezifischer als die generische „Stand der Technik"-Formel des § 8a BSIG a. F. Insbesondere neu konkretisiert:

• Lieferketten-Sicherheit (Art. 21 Abs. 2 lit. d).
• Kryptografie und Verschlüsselung (Art. 21 Abs. 2 lit. h) sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation (lit. j).
• Cybersicherheits-Hygiene (Art. 21 Abs. 2 lit. g).
• Wirksamkeits-Bewertung der Maßnahmen (Art. 21 Abs. 2 lit. f).

Änderung 3: Meldekette wird dreistufig

Statt einer „unverzüglichen" Meldung wie unter § 8b BSIG schreibt Art. 23 NIS2 drei Stufen vor: 24h Frühwarnung, 72h Vorfallmeldung, 1 Monat Abschlussbericht. Details im Artikel „Welche Fristen gelten bei NIS2-Incident-Meldungen?".

Änderung 4: Geschäftsleitungs-Pflichten neu

Art. 20 NIS2 verpflichtet die Leitungsorgane zur Billigung der Maßnahmen, zur Überwachung ihrer Umsetzung und zur Teilnahme an Schulungen. In Deutschland regelt das § 38 BSIG: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Das gab es im BSIG a. F. so nicht.

Änderung 5: Sanktionen verschärfen sich

Nach § 65 BSIG drohen besonders wichtigen Einrichtungen Bußgelder bis 10 Mio. Euro, bei mehr als 500 Mio. Euro Gesamtumsatz bis 2 % des Gesamtumsatzes; wichtigen Einrichtungen bis 7 Mio. Euro bzw. 1,4 %. Das ist deutlich mehr als unter dem BSIG a. F. (dort: gestaffelt bis 2 Mio. Euro, gegen juristische Personen über § 30 OWiG bis 20 Mio. Euro). NIS2 sieht zudem persönliche Maßnahmen wie die vorübergehende Tätigkeitsuntersagung vor (Art. 32 Abs. 5 lit. b NIS2).

Was unverändert bleibt

Drei Bereiche bleiben in ihrer Substanz erhalten:

• KRITIS-Begriff und Sektoren-Logik: Die Idee „Kritische Infrastrukturen versorgen Bevölkerung und Wirtschaft mit essenziellen Leistungen" trägt weiter.
• BSI als zentrale Behörde: Der Single Point of Contact gegenüber den geregelten Einrichtungen bleibt das BSI. Sektor-Aufsichten ergänzen, wie schon zu KRITIS-Zeiten.
• Nachweispflicht: Betreiber kritischer Anlagen müssen die Umsetzung weiterhin durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen, der Rhythmus verlängert sich aber von zwei auf drei Jahre (§ 39 Abs. 1 BSIG; Übergangsregel für bisherige KRITIS-Betreiber in § 39 Abs. 3).

Übergangs-Praxis: KRITIS → NIS2

Wer bereits KRITIS-konform nach altem § 8a BSIG war, hat eine belastbare Grundlage. Drei Delta-Bereiche müssen typischerweise ergänzt werden:

Delta 1, Geschäftsleitungs-Compliance: Dokumentation, dass die Geschäftsleitung die Maßnahmen nach § 30 BSIG umsetzt und überwacht (§ 38 Abs. 1 BSIG), sowie Nachweise über die regelmäßige Schulungsteilnahme (§ 38 Abs. 3 BSIG). Eine jährliche Neugenehmigung schreibt das Gesetz nicht vor, sie kann aber eine sinnvolle interne Regel sein.

Delta 2, Meldekette-Detaillierung: Spezifische 24h/72h/1-Monats-Mustertexte, BSI-Portal-Zugangs-Tests, Tabletop-Übung für die Meldekette. Der bisherige „unverzügliche Meldung"-Prozess muss in drei Stufen zerlegt werden.

Delta 3, Lieferketten-Vertiefung: Die KRITIS-Lieferanten-Klauseln waren oft generisch. NIS2 erwartet eine systematische Lieferanten-Risiko-Bewertung mit dokumentierten Schutz-Anforderungen pro Lieferanten-Klasse.

Erweiterung der KRITIS-Liste

Für die physische Resilienz gilt seit dem 17. März 2026 das KRITIS-Dachgesetz (BGBl. 2026 I Nr. 66). Es erfasst nach § 4 Abs. 1 KRITISDachG Betreiber kritischer Anlagen in zehn Sektoren:

• Energie
• Transport und Verkehr
• Finanzwesen
• Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende
• Gesundheitswesen
• Wasser
• Ernährung
• Informationstechnik und Telekommunikation
• Weltraum
• Siedlungsabfallentsorgung

Gegenüber den acht Sektoren der BSI-Kritisverordnung kommen damit Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende und Weltraum hinzu. Abwasser ist kein eigener Sektor des KRITIS-Dachgesetzes: Die Abwasserbeseitigung ist eine kritische Dienstleistung im Sektor Wasser (§ 3 Abs. 1 Nr. 2 BSI-KritisV) und steht auch in Anlage 1 BSIG als Branche 5.2 des Sektors Wasser; nur Anhang I der NIS2-Richtlinie führt Abwasser als eigenen Sektor. Die kritischen Dienstleistungen je Sektor bestimmt das Bundesministerium des Innern durch Rechtsverordnung (§ 4 Abs. 3 KRITISDachG).

Was sich für ehemalige „freiwillige KRITIS-Mitarbeiter" ändert

Viele Unternehmen waren bisher unter den KRITIS-Schwellen, haben sich aber freiwillig an den BSI-Branchen-Standards (B3S) orientiert, etwa Mittelstand-Energieversorger unter Schwellen-Werten oder kleinere Krankenhäuser. Unter NIS2 ändert sich für sie regulatorisch:

• Besonders wichtige oder wichtige Einrichtung: Wichtige Einrichtung ist nach § 28 Abs. 2 BSIG bereits, wer in einem Sektor der Anlagen 1 oder 2 mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweist. Diese Schwellen sind niedriger als die alten KRITIS-Anlagenschwellen. Viele bislang freiwillige Akteure werden direkt pflichtig.
• Berichts-Pflicht auch für vorher freiwillig konforme Einrichtungen.
• Pflicht zur Selbst-Registrierung beim BSI nach Beginn des Geltungs-Bereichs.

Wer sich bereits an einem B3S orientiert hat, startet nicht bei null: Die dort beschriebenen Maßnahmen lassen sich gegen die Anforderungen des § 30 BSIG abgleichen. Welche Lücken bleiben, zeigt die Gap-Analyse im Einzelfall.

Aufsichts-Architektur unter NIS2

Während unter dem alten BSIG die KRITIS-Aufsicht in der Praxis durch das BSI selbst und durch sektor-spezifische Aufsichten erfolgte, präzisiert NIS2 die Aufsichts-Mittel und Befugnisse:

• Vor-Ort-Inspektionen auch ohne konkreten Vorfall (Art. 32 Abs. 2 NIS2).
• Sicherheitsscans auf Grundlage objektiver, nichtdiskriminierender, fairer und transparenter Risikobewertungskriterien, erforderlichenfalls unter Mitwirkung der Einrichtung (Art. 32 Abs. 2 lit. d NIS2).
• Anforderung von Informationen, Daten, Dokumenten mit konkreten Fristen.
• Anordnung verbindlicher Maßnahmen zur Beseitigung von Mängeln.
• Bußgelder (§ 65 BSIG) und, bei besonders wichtigen Einrichtungen, als letztes Mittel die vorübergehende Untersagung der Tätigkeit unzuverlässiger Geschäftsleitungen, wenn Anordnungen trotz Fristsetzung nicht befolgt werden (Art. 32 Abs. 5 lit. b NIS2, § 61 Abs. 9 BSIG).

Diese Befugnisse gelten gegenüber besonders wichtigen Einrichtungen, zu denen alle Betreiber kritischer Anlagen gehören (Art. 32 NIS2, § 61 BSIG). Wichtige Einrichtungen, darunter die meisten neu hinzukommenden Anlage-2-Unternehmen, beaufsichtigt das BSI nur nachträglich: Es prüft, wenn Tatsachen die Annahme rechtfertigen, dass sie ihre Pflichten nicht oder nicht richtig umsetzen (Art. 33 NIS2, § 62 BSIG).

FAQ

Werden bestehende KRITIS-Betreiber durch NIS2 automatisch „wesentliche Einrichtungen"?

Im deutschen Recht ja, unter anderem Namen: Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG als besonders wichtige Einrichtungen, unabhängig von Mitarbeiterzahl und Umsatz. Was eine kritische Anlage ist, bestimmt § 2 Nr. 22 BSIG. Bis die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG in Kraft ist, gilt dafür die bis 16. März 2026 geltende Fassung mit den Schwellenwerten der BSI-Kritisverordnung; erst danach verweist die Definition auf das KRITIS-Dachgesetz (§ 66 BSIG). Das bestehende ISMS bleibt nutzbar, die Pflichten nach §§ 30 ff. BSIG sind aber umfangreicher.

Gibt es eine Übergangs-Frist nach Inkrafttreten des NIS2UmsuCG?

Kaum. Die Pflichten des BSIG gelten seit dem Inkrafttreten am 6. Dezember 2025. Für die Registrierung gilt eine Frist von drei Monaten, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt (§ 33 Abs. 1 BSIG). Für kritische Anlagen gilt eine Übergangsregel: Bis die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG in Kraft ist, übermitteln Betreiber die zusätzlichen Anlagenangaben nach § 33 Abs. 2 BSIG in der bis 16. März 2026 geltenden Fassung an das BSI (§ 66 BSIG). Danach werden kritische Anlagen gesondert registriert, spätestens drei Monate, nachdem die Anlage als kritische Anlage gilt, beim BBK über die gemeinsame Registrierungsmöglichkeit von BSI und BBK (§ 33 Abs. 2 BSIG, § 8 Abs. 1 KRITISDachG). Eine eigene Übergangsregel gibt es für die Nachweise bisheriger KRITIS-Betreiber (§ 39 Abs. 3 BSIG); für Lieferketten-Maßnahmen sieht das Gesetz keine Übergangsfrist vor.

Was passiert mit alten KRITIS-Audit-Zertifikaten?

Für bisherige KRITIS-Betreiber enthält § 39 Abs. 3 BSIG eine Übergangsregel: Das BSI legt den Zeitpunkt des ersten Nachweises nach neuem Recht auf frühestens drei Jahre nach dem letzten Nachweis nach § 8a Abs. 3 BSIG a. F. fest. Wessen Nachweisfrist nach altem Recht innerhalb von zwölf Monaten nach Inkrafttreten abgelaufen wäre, kann in diesem Zeitraum noch einen Nachweis nach den bisherigen Vorgaben erbringen. Danach gilt der Drei-Jahres-Rhythmus nach § 39 Abs. 1 BSIG mit dem Prüfumfang des neuen Rechts.

Müssen KRITIS-Betreiber jetzt zwei Meldungen abgeben: eine alte BSIG und eine neue NIS2?

Nein. Mit Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 ist die Meldepflicht nach § 8b BSIG a. F. in die dreistufige Meldepflicht nach § 32 BSIG übergegangen. Eine parallele Meldung nach altem Recht gibt es nicht.

Verschwinden sektor-spezifische Sonderregelungen unter NIS2?

Nein. Für Finanzunternehmen im Anwendungsbereich von DORA gelten die Kernpflichten des BSIG (u. a. §§ 30, 32, 38, 39) nicht, dort geht DORA vor (§ 28 Abs. 6 BSIG). Für Betreiber von Energieversorgungsnetzen und Energieanlagen, die den §§ 5c bis 5e EnWG unterliegen, sowie für öffentliche Telekommunikationsnetze und -dienste gelten diese BSIG-Pflichten ebenfalls nicht (§ 28 Abs. 5 BSIG), soweit sie keine weiteren kritischen Anlagen betreiben. In der Praxis erfordert das eine Compliance-Architektur, die das jeweils einschlägige Regelwerk sauber zuordnet.