NIS2 versus KRITIS-Anforderungen: zwei Regelwerke, unterschiedliche Reichweite
NIS2 versus KRITIS-Anforderungen: zwei Regelwerke, unterschiedliche Reichweite
KRITIS bezeichnet kritische Infrastrukturen, deren Ausfall oder Beeinträchtigung erhebliche Folgen für das Gemeinwesen haben kann. In Deutschland konkretisieren das BSI-Gesetz und die BSI-Kritisverordnung, welche Einrichtungen und Schwellenwerte erfasst sind. Im Mittelpunkt stehen Betreiber kritischer Anlagen, etwa aus Energie, Wasser, Ernährung, Gesundheit, Transport oder Informationstechnik.
NIS2 erweitert den Blick deutlich. Die europäische Richtlinie und ihre Umsetzung in deutsches Recht richten sich an eine wesentlich größere Zahl mittlerer und großer Einrichtungen in zahlreichen Sektoren. Dazu gehören neben klassischen KRITIS-Bereichen beispielsweise Teile der Abfallwirtschaft, Post- und Kurierdienste, digitale Dienste, bestimmte produzierende Unternehmen sowie öffentliche Verwaltungseinheiten. Maßgeblich sind grundsätzlich Sektor, Unternehmensgröße und die Art der erbrachten Leistung.
Damit gilt: Nicht jeder NIS2-pflichtige Betrieb ist ein KRITIS-Betreiber. Viele KRITIS-Betreiber fallen jedoch zugleich in den Anwendungsbereich von NIS2. Für diese Organisationen entsteht kein Wahlrecht zwischen zwei Pflichtenprogrammen. Sie müssen die jeweils einschlägigen Anforderungen zusammenführen und nachvollziehbar umsetzen.
Die Abgrenzung beginnt bei der Betroffenheitsprüfung
Bei KRITIS ist die Prüfung oft an konkreten Anlagen und an deren Versorgungsleistung ausgerichtet. Erreicht eine Anlage die in der BSI-Kritisverordnung definierte Schwelle, kann eine Betreiberpflicht entstehen. Diese Betrachtung ist technisch und branchenspezifisch: Entscheidend ist nicht allein die Unternehmensgröße, sondern die Bedeutung der Anlage für die Versorgung.
NIS2 arbeitet breiter mit Kategorien wie besonders wichtigen und wichtigen Einrichtungen. Relevant sind unter anderem die Zahl der Beschäftigten, Umsatz- oder Bilanzgrößen sowie die Zugehörigkeit zu einem erfassten Sektor. Es gibt Ausnahmen und Sonderfälle. Unternehmen mit mehreren Gesellschaften, gemischten Tätigkeiten oder komplexen Lieferketten sollten die Einordnung daher nicht anhand einer einzelnen Kennzahl vornehmen.
Besondere Aufmerksamkeit verdienen Betreiber, die bisher bewusst unterhalb einer KRITIS-Schwelle lagen. Sie konnten bislang von förmlichen KRITIS-Pflichten ausgenommen sein und dennoch unter NIS2 fallen. Umgekehrt kann ein kleinerer Betreiber wegen seiner Rolle für die Versorgung oder aufgrund besonderer gesetzlicher Einordnung erheblich relevant sein.
Warum eine formale Selbsteinschätzung nicht ausreicht
Die Betroffenheitsprüfung sollte dokumentiert, regelmäßig überprüft und mit der tatsächlichen Betriebsrealität abgeglichen werden. Neue Standorte, Fusionen, Outsourcing, zusätzliche Fernzugänge oder eine Ausweitung digitaler Dienstleistungen können die Risikolage und die regulatorische Einordnung verändern.
Sinnvoll ist eine strukturierte Bestandsaufnahme: Welche Dienste sind geschäfts- oder versorgungskritisch? Welche Anlagen, Netze, Gebäude, Daten und externen Dienstleister werden dafür benötigt? Wer trägt intern die Verantwortung? Erst auf dieser Grundlage lässt sich entscheiden, ob Anforderungen aus NIS2, KRITIS oder beiden Regelungsbereichen umzusetzen sind.
Inhaltlich verschiebt NIS2 den Schwerpunkt zur Unternehmensführung
Die etablierten KRITIS-Vorgaben verlangen insbesondere angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik. Betreiber müssen deren Wirksamkeit regelmäßig nachweisen, typischerweise durch Sicherheitsprüfungen, Audits oder Zertifizierungen. Zusätzlich bestehen Pflichten zur Meldung erheblicher IT-Störungen.
NIS2 formuliert Risikomanagementpflichten umfassender und hebt die Verantwortung der Leitungsorgane stärker hervor. Geschäftsführung oder Vorstand müssen die Maßnahmen billigen, deren Umsetzung überwachen und sich selbst mit Cybersicherheitsrisiken befassen. Sicherheitsorganisation ist damit keine ausschließliche Aufgabe von IT-Abteilung oder Informationssicherheitsbeauftragten.
Zu den erwarteten Handlungsfeldern zählen Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Notfall- und Wiederanlaufplanung, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Schwachstellenmanagement, Zugangskontrollen, Verschlüsselung sowie Schulungen. Welche Tiefe erforderlich ist, hängt von Gefährdung, Größe, Abhängigkeiten und möglichem Schadensausmaß ab. Ein pauschales Maßnahmenpaket wird diesem Anspruch nicht gerecht.
Für KRITIS-Betreiber bedeutet das häufig: Bestehende Informationssicherheitsmanagementsysteme bieten eine wichtige Grundlage, decken aber nicht automatisch alle erweiterten Governance-, Lieferketten- und Schulungsanforderungen ab. Eine Gap-Analyse schafft Klarheit darüber, was bereits wirksam geregelt ist und wo Prozesse oder Verantwortlichkeiten fehlen.
Meldewege: Geschwindigkeit braucht vorbereitete Entscheidungen
Bei erheblichen Sicherheitsvorfällen setzt NIS2 kurze Fristen. Vorgesehen sind eine frühe Warnung innerhalb von 24 Stunden, eine weitergehende Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Die konkrete Ausgestaltung richtet sich nach dem geltenden deutschen Umsetzungsrecht und den Vorgaben der zuständigen Behörden.
KRITIS-Betreiber kennen Meldepflichten bereits. Dennoch sollte niemand davon ausgehen, dass ein vorhandener Meldeweg ohne Anpassung genügt. Entscheidend ist, ob Vorfälle zuverlässig erkannt, bewertet, eskaliert und fristgerecht gemeldet werden können. Das betrifft nicht nur klassische Cyberangriffe. Auch der Ausfall zentraler Kommunikationswege, kompromittierte Fernwartung, Manipulation von Gebäudetechnik oder der Verlust von Steuerungsdaten können meldepflichtige Auswirkungen haben.
Ein belastbarer Prozess braucht vorab definierte Rollen. Wer bewertet die technische Lage? Wer prüft Auswirkungen auf Betrieb und Versorgung? Wer darf eine Behördenmeldung freigeben? Und wie werden die Informationen so dokumentiert, dass sie später fachlich und rechtlich nachvollziehbar bleiben? Diese Fragen lassen sich nicht erst unter Zeitdruck während eines Vorfalls klären.
Physische Sicherheit ist Teil der Risikobehandlung
NIS2 ist kein Gesetz für Videoüberwachung. Kameras, Wärmebildtechnik oder Drohnendetektion erfüllen keine Compliance-Pflicht allein dadurch, dass sie installiert sind. Sie können jedoch ein sinnvoller Bestandteil einer risikobasierten Sicherheitsarchitektur sein, wenn physische Angriffe, unbefugter Zutritt, Sabotage oder Ausspähung realistische Szenarien darstellen.
Gerade bei kritischen Standorten beginnt ein Cybervorfall häufig nicht ausschließlich im Netzwerk. Unbefugte Personen können Netzwerkschränke, Serverräume, Leitwarten, Energieverteilungen oder Außenanlagen angreifen. Drohnen können Gelände aufklären, Betriebsabläufe beobachten oder Sicherheitsmaßnahmen umgehen helfen. In solchen Fällen verbindet eine professionell geplante Videoüberwachung die Lageerkennung mit dokumentierbaren Ereignissen und klaren Interventionswegen.
Die technische Auslegung muss zum Schutzobjekt passen. Für weitläufige Außenbereiche können Wärmebildkameras bei Dunkelheit oder schwierigen Sichtverhältnissen Vorteile bieten. Für Zufahrten kann Nummernschilderkennung die geregelte Zufahrt unterstützen. In besonders sensiblen Umgebungen sind Redundanz, manipulationsgeschützte Montage, getrennte Netzsegmente, sichere Benutzerverwaltung und definierte Speicherfristen wichtiger als eine möglichst hohe Kamerazahl.
Dabei bleiben Datenschutz und Mitbestimmungsrechte eigenständige Anforderungen. Zweckbindung, Berechtigungskonzepte, Löschfristen, Hinweispflichten und eine Datenschutz-Folgenabschätzung können erforderlich sein. Sicherheitsverantwortliche sollten deshalb Fachplanung, IT-Sicherheit, Datenschutz und Betrieb früh zusammenbringen.
So entsteht aus Regelwerken ein umsetzbarer Maßnahmenplan
Der praktikable Weg führt nicht über ein isoliertes NIS2-Projekt und auch nicht über eine reine Dokumentensammlung. Zuerst sollte die Geschäftsleitung den Geltungsbereich, die Schutzprioritäten und die Verantwortungsstruktur verbindlich festlegen. Danach folgt eine Risikoanalyse, die digitale Systeme, technische Anlagen, Gebäude, Personal und Dienstleister gemeinsam betrachtet.
Aus den Ergebnissen werden Maßnahmen mit klarer Priorisierung abgeleitet. Kritische Fernzugänge, fehlende Protokollierung, unklare Notfallkontakte oder ungesicherte Technikräume haben häufig Vorrang vor langfristigen Optimierungen. Für jede Maßnahme sollten Verantwortliche, Budget, Termin, Prüfkriterium und Abhängigkeiten dokumentiert sein.
Ebenso entscheidend ist der Wirksamkeitsnachweis. Sicherheitskonzepte bleiben nur belastbar, wenn Tests, Übungen, Wartungen, Schwachstellenbehebungen und Schulungen tatsächlich stattfinden und nachvollziehbar protokolliert werden. Bei sicherheitskritischen Video- und Detektionssystemen gehören dazu auch Verfügbarkeitsprüfungen, Bildqualitätskontrollen, sichere Softwarestände und ein geregelter Umgang mit Störungen.
IBC Raif unterstützt Organisationen dort, wo regulatorische Anforderungen auf konkrete Schutzobjekte treffen: bei der Bewertung von Sicherheitsrisiken und bei der Planung professioneller Überwachungs- und Detektionslösungen, die in den Betrieb integrierbar bleiben.
Wer NIS2 und KRITIS nicht als parallele Checklisten, sondern als Anlass für eine abgestimmte Sicherheitsarchitektur versteht, schafft eine bessere Entscheidungsgrundlage für den Ernstfall. Der nächste sinnvolle Schritt ist daher nicht die Beschaffung einzelner Technik, sondern eine belastbare Bewertung der Risiken, die den eigenen Betrieb tatsächlich unterbrechen könnten.