BSIG / NIS2 / KRITIS-DachG
NIS2, BSI-Gesetz (n.F.) und Kritis-DachG: Was Unternehmen jetzt prüfen sollten
Die Anforderungen an Cybersecurity und betriebliche Resilienz wurden in Deutschland grundlegend weiterentwickelt. Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz (BSIG n.F.). Es setzt wesentliche Vorgaben der europäischen NIS2-Richtlinie um.
Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten und ergänzt die Cybersicherheitsanforderungen um Vorgaben zur physischen Resilienz kritischer Anlagen.
Wichtig: Nicht jedes von NIS2 beziehungsweise dem BSIG erfasste Unternehmen ist zugleich Betreiber einer kritischen Anlage. Das BSIG unterscheidet insbesondere zwischen besonders wichtigen Einrichtungen, wichtigen Einrichtungen und Betreibern kritischer Anlagen. Welche Kategorie einschlägig ist, hängt unter anderem von der Tätigkeit, der Einrichtungsart, der Unternehmensgröße und gegebenenfalls von anlagenbezogenen Schwellenwerten ab.
Sind Sie betroffen?
Eine belastbare Betroffenheitsanalyse sollte mindestens folgende Fragen beantworten:
- Ist Ihr Unternehmen einer Einrichtungsart nach den Anlagen 1 oder 2 des BSIG zuzuordnen?
- Werden die maßgeblichen Größenkriterien erreicht oder bestehen besondere gesetzliche Erfassungstatbestände?
- Betreiben Sie Anlagen, die aufgrund ihrer Bedeutung und der geltenden Schwellenwerte als kritische Anlagen einzuordnen sind?
- Gelten vorrangige sektorspezifische Regelungen, etwa DORA für bestimmte Finanzunternehmen oder besondere Vorgaben für Energie und Telekommunikation?
Nutzen Sie hierzu auch die Online-NIS-2-Betroffenheitsprüfung des BSI.
Zentrale Pflichten nach dem BSIG
Für besonders wichtige und wichtige Einrichtungen sieht das BSIG insbesondere Anforderungen an das Risikomanagement, die Registrierung, die Meldung erheblicher Sicherheitsvorfälle sowie die Verantwortung und Schulung der Geschäftsleitung vor. Zu den Risikomanagementmaßnahmen gehören unter anderem Konzepte zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity, Sicherheit der Lieferkette, Schwachstellenmanagement, Wirksamkeitsprüfungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Erhebliche Sicherheitsvorfälle sind stufenweise zu melden: grundsätzlich eine frühe Erstmeldung innerhalb von 24 Stunden, eine weitergehende Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Maßgeblich sind die gesetzlichen Voraussetzungen und der vom BSI bereitgestellte Meldeweg.
Für Betreiber kritischer Anlagen gelten zusätzliche Anforderungen. Die Umsetzung der einschlägigen Maßnahmen ist nach § 39 BSIG grundsätzlich erstmals beziehungsweise erneut spätestens nach drei Jahren und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen. Übergangs- und Sonderregelungen sind im Einzelfall zu berücksichtigen.
Physische Resilienz nach dem KRITIS-Dachgesetz
Das KRITIS-Dachgesetz richtet den Blick zusätzlich auf nicht ausschließlich digitale Gefahren. Dazu zählen beispielsweise Naturgefahren, Sabotage, unbefugtes Eindringen, personelle Abhängigkeiten und Störungen wesentlicher Versorgungsleistungen. Betroffene Betreiber müssen ihre Cybersecurity- und Resilienzorganisation daher aufeinander abstimmen. Welche konkreten Pflichten bereits anwendbar sind, hängt auch von noch maßgeblichen Rechtsverordnungen, behördlichen Festlegungen und Übergangsregelungen ab.
Unsere Unterstützung
Collegium Auditores unterstützt Sie risikoorientiert und praxisnah bei:
- Betroffenheits- und Abgrenzungsanalysen nach BSIG, NIS2, KRITIS-Dachgesetz und DORA,
- Gap-Analysen gegen gesetzliche und behördliche Anforderungen,
- Aufbau und Weiterentwicklung von Informationssicherheits-, Notfall- und Lieferkettenprozessen,
- Vorbereitung und Begleitung von Nachweisprüfungen nach § 39 BSIG,
- Bewertung der Wirksamkeit von Kontrollen und Nachverfolgung festgestellter Mängel,
- Schulung und Sensibilisierung von Geschäftsleitung, Fachbereichen und internen Prüferinnen und Prüfern.
Von der Betroffenheitsanalyse bis zur Prüfungsreife
Wir verbinden Erfahrung aus IT-Audit, interner Revision, Informationssicherheit, Datenschutz und Governance. Je nach Aufgabenstellung binden wir geeignete Spezialistinnen und Spezialisten aus unserem Praxisnetzwerk ein. Ziel ist eine nachvollziehbare, verhältnismäßige und prüfbare Umsetzung, die zu Ihrer Organisation passt.
Kontakt: office(at)collegium-auditores.de
Rechtsstand: 13. August 2026. Die konkrete Betroffenheit und die anzuwendenden Übergangs- oder Sektorregelungen sind im Einzelfall zu prüfen.