Cybersecurity in KRITIS & NIS2
KRITIS-Betreiber und NIS2-Einrichtungen sind für Cybersecurity und Resilienz in ihren regulierten Unternehmen verantwortlich. Dazu müssen Betreiber und Einrichtungen Maßnahmen ergreifen, um sich vor Ausfällen zu schützen: Organisation, Technologie und Compliance.
Grundlage in regulierten Unternehmen ist eine organisierte Leitung mit Sicherheitsmanagement, Risiko-Management sowie BCMS. Dies wird konkretisiert durch die Sicherheit in der Lieferkette, Personalsicherheit, Vorfallsmanagement, IT-Sicherheit und physische Sicherheit. In der Umsetzung ist der Stand der Technik, Angemessenheit und Wirksamkeit sowie Reifegrade wichtig.
OpenKRITIS-Konferenz 2026: Sicherheit mit NIS2 und KRITIS
Die Umsetzung von NIS2 und KRITIS-Dachgesetz bei Betreibern
Konferenz ∙ Vorträge & Diskussion ∙ 28. September 2026 in Siegburg
Sicherheitsmaßnahmen
Anforderungen für KRITIS und NIS2
Betreiber und Einrichtungen müssen organisatorische und technische Schutzmaßnahmen umsetzen, um ihre Dienstleistungen und Infrastruktur zu schützen. Die NIS2-Maßnahmen der NIS2-Umsetzung (BSIG) betreffen alle Einrichtungen, die Maßnahmen aus dem KRITIS-Dachgesetz regulieren Betreiber.
| Kategorie | Beschreibung | KRITIS DachG Für Betreiber |
NIS2 BSIG Einrichtungen |
|---|---|---|---|
| ISMS | Management-System für Informationssicherheit steuert im Geltungsbereich Vorgaben und Risiken mit grundlegenden Verantwortungen und Rollen. | NS.1 NS.2 NS.5NS.18 NS.37 |
|
| BCM, Krisen Notfallmanagement |
Business Continuity Management und Notfall-Management mindern Ausfallrisiken von Assets und die Auswirkungen von Notfällen und Krisen. | DG.4 DG.6 DG.11 DG.12 DG.13 DG.18 |
NS.3 NS.7 NS.9 NS.10 |
| Risiko-Management | Wirksames Risiko-Management zur Behandlung von Cybersecurity und Ausfallrisiken. | DG.3 DG.5 DG.11 | NS.1 NS.2 NS.3 NS.4 |
| Asset-Management | Geregeltes Management von Assets mit Prozessen und Rollen als Grundlage für das Risikomanagement. | DG.6 DG.18 | NS.24 |
| Leitung | Governance von NIS2 und KRITIS und Verankerung in der Leitungsebene, Kontakt mit Behörden, Prüfungen und Nachweise | DG.1 DG.4 DG.5 DG.26 DG.19 DG.23 | NS.1 NS.31 NS.32 NS.34 NS.37 NS.38 |
| Personalsicherheit | Prozesse für Personal, HR-Sicherheit, Sicherheitsüberprüfungen, Schulungen und Awareness | DG.15 DG.16 | NS.19 NS.20 NS.22 NS.38 |
| Lieferanten | Management der Risiken und Sicherheit bei Lieferanten und Externen, Supply Chain Security | DG.14 | NS.11 NS.12 NS.12 NS.13 |
| Technologie | Technische Maßnahmen in der IT und OT nach Stand der Technik: IT-Sicherheit und Netzwerke, sichere Entwicklung, Backup und Redundanzen, Betrieb, Schwachstellen, Kryptographie, Kommunikation | DG.13 | NS.8 NS.14 NS.15 NS.16 NS.17 NS.21 NS.27 NS.28 |
| IAM | Definierte Rollen, Berechtigungen und Prozesse durch Identity und Access Management. | DG.10 | NS.23 NS.26 |
| Vorfallsmanagement | Erkennung und Management von Vorfällen und Meldeprozess an die Behörden. | DG.12 DG.23 ff. | NS.6 NS.31 |
| Angriffserkennung Kritische Anlagen |
Speziell für Betreiber kritischer Anlagen (KRITIS): Prozesse und Technologien zur Angriffserkennung | NS.30 | |
| Physische Sicherheit | Maßnahmen zum Schutz des Perimeters, der Versorgung und der Gebäude der Einrichtung. | DG.7 DG.8 DG.9 DG.10 | NS.25 |
| OpenKRITIS-Katalog Internet/Cloud/MSP |
Speziell für bestimmte IT-Betreiber und Cloud Implementing Act mit Einzel-Maßnahmen | DVO (EU) | |
| OpenKRITIS-Katalog Kritische Anlagen |
Speziell für Betreiber kritischer Anlagen (KRITIS) Maßnahmen, Angriffserkennung, Audits |
alle | NS.29 NS.30 NS.39 |
| OpenKRITIS-Katalog Energiesektor |
Speziell für Energieanlagen und Netze im EnWG und IT‑Sicherheitskatalog – Vielfachregulierung | alle | EnWG SiKat NS DVO (EU) |
Umsetzung Cybersecurity
Stand der Technik
Für technische Maßnahmen zur Sicherung der IT, OT und technischen Infrastruktur sieht das Gesetz eine Umsetzung vom Stand der Technik vor, einen von drei Technologieständen:
- Allgemein anerkannte Regeln der Technik
- → Stand der Technik
- Stand der Wissenschaft und Forschung
Von TeleTrusT, dem Bundesverband IT-Sicherheit e.V., gibt es dazu ein umfangreiches Werk an aktuell verbreiteten Maßnahmen. Neben dem Stand der Technik können NIS2-Einrichtungen und KRITIS-Betreiber für die Sicherung ihrer IT und OT ebenfalls auf Cybersecurity Standards zurückgreifen:
| Standard | Bereich | Umfang | KRITIS‑Prüfung | NIS2‑Nachweis |
|---|---|---|---|---|
| NIS2 BSIG | NIS2 | Cybersecurity | ◉ | |
| NIS2 Implementing Act | NIS2 Cloud/IT | Cybersecurity | ◉ | |
| KRITIS-Dachgesetz | Kritische Anlagen | Resilienz | ◉ ° | |
| IT-Sicherheitskatalog | Energie | Cybersecurity | EnWG | EnWG |
| DORA | Finanzsektor | Cybersecurity, Resilienz | ⬚ | |
| KRITIS (KdA) | Kritische Anlagen | Cybersecurity | ◉ | ⬚ ⁺ |
| IDW PH 9.860.2 | Kritische Anlagen | Cybersecurity | ◉ | |
| C5:2020/2026 | Cloud | Cybersecurity | ⬚ | |
| BSI IT-Grundschutz | Unternehmen | Informationssicherheit | ⬚ | |
| Orientierungshilfe SzA | Kritische Anlagen | Angriffserkennung | ◉ ° | |
| ISO 27001:2022 | Unternehmen | Informationssicherheit | ⬚ ⁺ | ⬚ |
| ISO 27011 | Telco | TK-Security | ||
| ISO 27017 | Cloud | Cloud-Security | ||
| ISO 27019 | Energieversorger | Security | ||
| IEC 62443 | Industrieanlagen | Security | ||
| Branchenstandards | KRITIS-Branchen | Cybersecurity | ⬚ ⁺ |
Angemessenheit und Wirksamkeit
Schutzmaßnahmen in Kritischen Infrastrukturen müssen geeignet, verhältnismäßig und wirksam sein — sie müssen die Schutzziele für Kritische Infrastrukturen erreichen können (Eignung), aber auch in vertretbaren Aufwand umzusetzen zu sein (Verhältnismäßigkeit) und dabei wirksam sein.
- NIS2 in §30 (1) BSIG versteht darunter
technische und organisatorische Maßnahmen [...] um Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse [...] ihrer Dienste [...] zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.
- Die Bewertung der Verhältnismäßigkeit nach NIS2 ist essentiell und muss das
Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen [...] berücksichtigen.
- Nach dem KRITIS-Dachgesetz müssen Betreiber
verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen [nach] Stand der Technik
umsetzen. - Dabei müssen Betreiber im KRITIS-DachG einen
Verhältnismäßigkeitsmaßstab
mittels einerZweck-Mittel-Relation
anwenden, um denAufwand zur Verhinderung oder Begrenzung eines Ausfalls gegen das Risiko eines Vorfalls abzuwägen[.]
Dabei können wirtschaftliche Aspekte sowie dieLeistungsfähigkeit des Betreibers
berücksichtigt werden.
Bei der Abwägung von Angemessenheit und Aufwand für Maßnahmen eröffnet sich schnell ein Spannungsfeld zwischen den unternehmerischen Realitäten und Verpflichtungen als Kritische Infrastruktur. Dieses Spannungsfeld müssen Betreiber selbst lösen und schließlich der Behörden und ggf. Prüfern in der KRITIS-Prüfung plausibel darlegen können.
In NIS2 wird explizit die Wirksamkeit technischer und organisatorischer Maßnahmen gefordert.
- Wirksamkeit betrifft die Umsetzung und Effektivität der Maßnahmen. Die Implementierung der Maßnahmen sollte dabei für Drittpersonen verständlich und nachvollziehbar sein.
- Wirksamkeit bedeutet, dass Prozesse effektiv gelebt werden und Maßnahmen im Ergebnis einem festgelegten Maßnahmenziel gerecht werden. Falls Mängel in der Umsetzung oder Effektivität identifiziert werden, sollten Verbesserungsmaßnahmen umgesetzt werden.
- Um die Wirksamkeit zu bewerten, kann für Prozesse, Anwendungen und Systeme betrachtet werden, ob Maßnahmen wie geplant zur Erreichung der Maßnahmenziele beitragen.
Langfristige Überlegungen
NIS2-Strategie
Eine langfristige und strategische Behandlung von Cybersecurity und Resilienz bei regulierten Einrichtungen ist in der aktuellen Bedrohungs- und Regulierungslage ratsam — und ermöglicht einen bedachten und geplanten Einsatz von Ressourcen beim Aufbau des Sicherheitsniveaus, anstatt reaktiv nach Vorfällen oder Prüfungen kurzfristig handeln zu müssen.
Security Programm
Ein Sicherheitsprogramm kann als Enabler im Unternehme strategische Themen und Cybersecurity mit priorisierten Initiativen und Projekten vorantreiben. Mit einem klaren Mandat basierend auf der eigenen Risikoabwägung können so die wichtigsten Themen und Lücken im Betrieb und Geltungsbereich strukturiert angegangen und geschlossen werden.
Organisation
Neben einzelnen Initiativen sollten Betreiber organisatorische Voraussetzungen schaffen, um Risiken und die Sicherheit in der Dienstleistungen zu managen — mit klaren Rollen, verbindlichen Verantwortlichkeiten und effektiven Prozessen im ISMS, BCMS und IT-RM.
Technologie
Der technologische Wandel und Sicherheit in der Digitalisierung sollten möglichst langfristig durch Cybersecurity begleitet werden — lange Lebenszyklen müssen berücksichtigt und Legacy-IT besonders geschützt werden. Die Sicherheitsanforderungen für KRITIS müssen mit Modernisierungsprogrammen und Cloud-Initiativen harmonisiert werden — vielleicht wird Sicherheit in Zulieferketten oder Service-Management zukünftig wichtiger als die eigene IT.
Prüfungen und Nachweise
Als Kritische Infrastruktur müssen Betreiber die Sicherheitsvorkehrungen in ihren Anlagen dem BSI regelmäßig durch Nachweisprüfungen nachweisen. Ein langfristiges Prüfprogramm strukturiert die Planung und Methodik der Prüfungen über mehrere Jahre und erleichtert die Vorbereitung und Durchführung deutlich.
Alle NIS2-regulierten Einrichtungen müssen die Umsetzung der Maßnahmen mindestens dokumentieren, um sie im Zweifel Prüfern und Behörden nachweisen zu können – durch Einsichtnahme oder Stichproben-Prüfungen.
Weitere Informationen
Literatur
- Framework for Improving Critical Infrastructure Cybersecurity, NIST - National Institute of Standards and Technology, Version 1.1, April 2018
- Stand der Technik in der IT-Sicherheit, TeleTrusT, Bundesverband IT-Sicherheit e.V., o.D. — dort gibt es auch eine verlinkte PDF Handreichung zum Stand der Technik
- "Stand der Technik" umsetzen, Allgemeine Infos zu KRITIS, Bundesamt für Sicherheit in der Informationstechnik, o.D.
- Reife- und Umsetzungsgradbewertung (RUN) im Rahmen der Nachweisprüfung, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
- Mapping von Anforderungen aus der Konkretisierung der KRITIS-Anforderungen auf RUN-Umsetzungsgrade, Bundesamt für Sicherheit in der Informationstechnik, 09.01.2025
Quellen
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz - BSIG) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2)
- Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen, KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66)
- ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements