NIS2 vs. KRITIS-Dachgesetz:
Was gilt für wen?

NIS2 regelt die Cybersicherheit: Betreiber wesentlicher und wichtiger Einrichtungen müssen Risikomanagement, Meldepflichten und technische Schutzmaßnahmen umsetzen. Das KRITIS-Dachgesetz regelt die physische Resilienz kritischer Anlagen – also den Schutz vor Naturgefahren, Sabotage, Ausfällen und anderen physischen Bedrohungen. Vereinfacht: NIS2 schützt die digitale Ebene, das KRITIS-Dachgesetz die physische Ebene. Beide ergänzen sich und können dasselbe Unternehmen gleichzeitig treffen.

Ja. Betreiber kritischer Anlagen nach dem KRITIS-Dachgesetz gelten in der Regel zugleich als besonders wichtige Einrichtungen unter NIS2. In diesem Fall müssen beide Regelwerke erfüllt werden – mit zwei getrennten Registrierungen: die NIS2-Registrierung beim BSI und die KRITIS-Registrierung über die BBK/BSI-Plattform. Es handelt sich um zwei separate Verfahren mit eigenen Fristen und Nachweispflichten.

Für NIS2 ist in Deutschland das BSI (Bundesamt für Sicherheit in der Informationstechnik) die zuständige Aufsichts- und Registrierungsbehörde. Für das KRITIS-Dachgesetz liegt die Zuständigkeit für die physische Resilienz beim BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe); die Cyber-Anteile kritischer Anlagen betreut weiterhin das BSI. Betreiber, die unter beide Gesetze fallen, haben es daher mit zwei Behörden zu tun.

NIS2 erfasst 18 Sektoren und betrifft in Deutschland rund 29.500 Unternehmen – darunter viele Produktions- und Industriebetriebe ab bestimmten Größenschwellen (ab 50 Mitarbeitenden bzw. 10 Mio. € Umsatz). Das KRITIS-Dachgesetz erfasst 11 Sektoren kritischer Infrastrukturen und richtet sich an Betreiber kritischer Anlagen mit nationaler oder überregionaler Versorgungsrelevanz. Der Kreis der KRITIS-Betreiber ist mit schätzungsweise rund 1.800 Anlagenbetreibern deutlich kleiner als der der NIS2-Einrichtungen – KRITIS-Betreiber bilden also eine Teilmenge, kein Gegenstück zu den NIS2-Betroffenen.

Unter NIS2 drohen besonders wichtigen Einrichtungen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Mio. € oder 1,4 %. Eine fehlende Registrierung ist ein eigenständiger Bußgeldtatbestand von bis zu 500.000 €. Das KRITIS-Dachgesetz sieht Bußgelder von bis zu 20 Mio. € vor. In beiden Fällen gilt jeweils der höhere Betrag, und die Höhe richtet sich nach Art und Schwere des Verstoßes.

Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten; die BSI-Nachfristen zur Registrierung endeten am 31. Juli und zuletzt am 30. September 2026 und sind damit bereits verstrichen – die Registrierungspflicht besteht aber unverändert fort. Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten; die Registrierung kritischer Anlagen über die BBK/BSI-Plattform ist dagegen noch nicht gestartet: Laut BBK besteht zurzeit keine Registrierungspflicht, weil die Rechtsverordnung zur Bestimmung kritischer Anlagen noch aussteht (danach: spätestens drei Monate nach Identifikation als kritische Anlage). Beide Pflichten sollten weiterhin im Blick behalten werden.