KRITIS-Dachgesetz Mapping
Das KRITIS-Dachgesetz nach der EU CER fordert Resilienzmaßnahmen von betroffenen Betreibern kritischer Anlagen. Die Anforderungen aus den Paragraphen des KRITIS-DachG beschreiben Maßnahmen nach Stand der Technik und eine Steuerung durch BCM (Resilienzmanagement), Risikomanagement und Krisenmanagement.
Die Paragraphen und Anforderungen des KRITIS-Dachgesetzes (DG.) ordnet das OpenKRITIS Mapping Security-Standards als Orientierung zu:
- ISO 27001:2022: Management von Informationssicherheit und Annex A Kontrollen
- ISO 22301:2019: Managementsystem für Resilienz und Risiken
- NIS2 Implementing Act: Vorgaben der EU NIS2 Durchführungsverordnung (EU) 2024/2690
- NIS2 (BSIG): Vorgaben der deutschen NIS2-Umsetzung im BSIG (2025)
Alle Angaben ohne Gewähr der Vollständigkeit und Korrektheit. Wird regelmäßig aktualisiert.
KRITIS-Dachgesetz und Standards
Dieses Mapping und die Zuordnungen sind nicht vollständig und nur eine Orientierung.
| Nr. | KRITIS DachG |
Anforderung | ISO 27001 2022 |
ISO 22301 2019 |
NIS2 DVO‑EU |
NIS2 BSIG |
|---|---|---|---|---|---|---|
| DG.1 | §8 (1) | Registrierung als Betreiber kritischer Anlagen | A.5.5 A.5.31 |
4.2.2 | - | NS.33 |
| DG.2 | §8 (6) | Aktualisierung der Registrierungsdaten | A.5.5 | 4.2.2 | - | NS.33 |
| DG.3 | §12 (1) | Risikoanalyse und Risikobewertung Betreiber | 4.1 8.2 8.3 |
4 6 8.2.3 |
2.1.2 | NS.1 NS.3 |
| DG.4 | §13 (1) | Maßnahmen zur Gewährleistung Resilienz | 6.1.3 6.2 8.3 |
4 5 6.3 9 10 |
4 | NS.7 |
| DG.5 | §13 (2) | Verhältnismässigkeit und Stand der Technik | 6.1 8.2 8.3 A.5.29 A.5.30 |
6.1 6.2 8.2 |
2.1 | NS.1 NS.3 |
| DG.6 | §13 (3) 1 | Notfallvorsorge | (A.5.30) | 6 8.3 8.4 8.5 |
4.1 4.2 |
NS.7 NS.8 NS.9 |
| DG.7 | §13 (3) 2 a) | Objektschutz, Sicherung, Grenzen, Fassaden | A.7.1 A.7.2 A.7.3 A.7.5 A.7.6 A.7.7 A.7.8 A.7.12 |
- | 13.1 13.2 13.3 |
NS.25 |
| DG.8 | §13 (3) 2 b) | Überwachung der Umgebung | A.7.4 | - | 13.2.2 | NS.25 |
| DG.9 | §13 (3) 2 c) | Detektionsgeräte | (A.7.4) | - | 13.3.2 | NS.25 |
| DG.10 | §13 (3) 2 d) | Zugangskontrollen | A.7.1 A.7.2 |
- | 13.3 | NS.25 |
| DG.11 | §13 (3) 3 a) | Risiko- und Krisenmanagement | 4.1-10.2 - |
6.1 8 8.4.2 |
2 4.3 |
NS.4 NS.10 |
| DG.12 | §13 (3) 3 b) | Abläufe im Alarmfall (Vorfallsmanagement) | (A.5.30) (A.5.26) |
8.4.2 8.4.3 |
4.1 3.5 |
NS.6 |
| DG.13 | §13 (3) 4 a) | Aufrechterhaltung des Betriebs BIA, Strategien, Pläne |
(A.5.30) A.8.14 |
8.2 8.3 8.4.4 7.5 |
4.1.1 4.1.2 4.1.3 |
NS.7 |
| DG.14 | §13 (3) 4 b) | Alternative Lieferketten | - | 8.3.4 (8.3.2) |
5.1.3 5.1.5 |
(NS.11) |
| DG.15 | §13 (3) 5 | Sicherheitsmanagement Personal und Externe | 7.2 7.3 A.5.8 A.5.14 A.5.20 A.6.1 A.6.2 A.6.3 A.6.4 A.6.5 A.6.6 |
- | 10 | NS.22 |
| DG.16 | §13 (3) 6 | Schulungen, Übungen und Awareness | 7.2 7.3 9 A.6.3 A.6.5 A.7.7 |
7.2 7.3 7.4 8.5 8.6 9.1 |
8.1 8.2 4.1.4 4.2.6 4.3.4 6.5 |
NS.19 NS.20 |
| DG.18 | §13 (4) | Resilienzplan Betreiber | tw 6.1.3 7.5 8.3 A.5.31 |
7.5 4 8 |
- | (NS.2) (NS.24) |
| DG.19 | §16 (1)(3) | (Übersendung der) Nachweise durch Audits | 9.2 10.1 A.5.35 A.5.36 A.5.37 A.8.34 |
4.2.2 7.5 |
2.3.1 2.3.2 |
NS.39 |
| DG.20 | §16 (2) | Weitere Nachweise, Resilienzplan an Behörde (Kontrolle) | A.5.5 A.5.31 A.5.28 A.5.37 |
4.2.2 7.5 |
(2.3.3) | NS.40 |
| DG.21 | §16 (4) | Audits durch Behörde | A.5.5 A.5.31 |
(4.2.2) | NS.42 | |
| DG.22 | §16 (5) | Vorlage Mängelbeseitigungsplan an Behörde | A.5.5 A.5.31 |
(4.2.2) 10.1 |
(2.3.3) | NS.40 |
| DG.23 | §18 (1) | Meldepflicht erhebliche Störungen 24h | A.5.24 A.5.31 |
- (4.2) |
3.3.1 3.5.3 |
≈NS.31 |
| DG.24 | §18 (2) | Informationen zu Meldungen | A.5.24 A.5.31 |
4.2 | 3.5.3 | ≈NS.31 |
| DG.25 | §18 (9) | Information Öffentlichkeit | A.5.31 | - (4.2) |
3.5.3 | ≈NS.36 |
| DG.26 | §20 (1) | Verantwortung Geschäftsleitungen | 5.1 A.5.4 A.5.31 |
5 9.3 |
2.1.2 2.2 |
≈NS.37 |
Weitere Informationen
Literatur
- NIS2-Mapping auf ISO 27001, OpenKRITIS 2026
- NIS2 Implementing Act-Mapping auf ISO 27001, NIS2, KRITIS, OpenKRITIS 2026
- KRITIS-Branchenstandards auf OpenKRITIS
- KRITIS-Standards für Management-Systeme auf OpenKRITIS
Quellen
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz - BSIG) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2)
- Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen, KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66)
- ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements
- ISO 22301:2019 Security and resilience — Business continuity management systems — Requirements