Wesentliche Unterschiede zwischen KRITIS und NIS2UmsuCG

Kurze Antwort: KRITIS beschreibt kritische Infrastrukturen. Das deutsche NIS2-Umsetzungsgesetz, im Internet häufig unter der Abkürzung NIS2UmsuCG zu finden, legt Cybersicherheitspflichten für einen größeren Kreis von Unternehmen fest. Betreiber kritischer Anlagen gehören nach dem BSIG zur Kategorie der besonders wichtigen Einrichtungen, während das KRITISDachG die physische Resilienz gesondert regelt.

Wenn Sie in einem deutschen Unternehmen für den IT-Bereich verantwortlich sind oder als MSP deutsche Kunden betreuen, hilft Ihnen das Verständnis der KRITIS-Vorschriften und der deutschen NIS2-Vorschriften dabei, zu ermitteln, welche Verpflichtungen zu prüfen sind. Dieser Leitfaden erklärt die Begriffe, zeigt Überschneidungen auf und erläutert, was sie für den IT-Betrieb bedeuten.

Dieser Beitrag liefert allgemeine Informationen und stellt keine Rechtsberatung dar. Die Anwendbarkeit hängt von den Dienstleistungen, der Struktur und den aktuellen gesetzlichen Vorgaben des Unternehmens ab.

KRITIS vs. NIS2UmsuCG im Überblick

Aspekt	KRITIS und kritische Einrichtungen	Deutschlands NIS2-Framework
Was darin beschrieben wird	Kritische Infrastrukturen und gesetzlich definierte Betreiber kritischer Anlagen.	Cybersicherheitsvorschriften, die durch das NIS2-Umsetzungsgesetz eingeführt wurden.
Rechtsgrundlage	BSIG, einschlägige Verordnungen sowie das gesonderte KRITISDachG.	Vorrangig das novellierte BSIG und die anwendbaren sektorspezifischen Rechtsvorschriften.
Abdeckung	Kriterien für Anlagen und kritische Dienstleistungen, Schwellenwerte und einschlägige Einstufungen.	Aufgeführte Einrichtungsarten, Größenvorgaben und Sonderkategorien.
Kernaufgaben	Cybersicherheitspflichten zuzüglich geltender anlagenspezifischer Anforderungen sowie gesonderte Pflichten zur physischen Resilienz.	Risikomanagement, Registrierung, Meldung erheblicher Sicherheitsvorfälle und Pflichten der Geschäftsleitung.
Behörden	BSI für die Cybersicherheit; BBK sowie benannte Bundes- oder Landesbehörden für Pflichten nach dem KRITISDachG.	Vorrangig das BSI, vorbehaltlich sektorspezifischer Regelungen.
Überlappung	Betreiber kritischer Anlagen sind nach dem BSIG besonders wichtige Einrichtungen.	Erfasst zudem viele Einrichtungen, die keine kritische Anlage betreiben.

Dieser Vergleich trennt den Status als kritische Infrastruktur vom übergeordneten Rahmen für die Cybersicherheit. Sektorspezifische Ausnahmen und Stichtage für die Umsetzung bleiben dennoch relevant.

Was bedeutet KRITIS?

KRITIS steht für „Kritische Infrastrukturen”. Gemeint sind Infrastrukturen, deren Ausfall wesentliche Dienstleistungen oder die öffentliche Sicherheit erheblich beeinträchtigen könnte. Der Begriff bezeichnet kein einzelnes Gesetz. Verbindliche Pflichten ergeben sich aus der jeweils maßgeblichen gesetzlichen Definition eines Betreibers kritischer Anlagen und nicht allein aus der weit gefassten Bezeichnung „KRITIS”.

Dabei sind zwei rechtliche Regelungsstränge zu unterscheiden. Das BSI-Gesetz (BSIG) regelt die Cybersicherheit. Das KRITIS-Dachgesetz (KRITISDachG), das die EU-Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen umsetzt, befasst sich mit der physischen Resilienz und Betriebskontinuität gegenüber Gefahren wie Naturkatastrophen, Unfällen und Sabotage. Es ist am 17. März 2026 in Kraft getreten; das bedeutet jedoch nicht, dass sämtliche Betreiberpflichten sofort galten.

Für die Einstufung im Bereich Cybersicherheit sind die einschlägigen Anlagenkategorien und Schwellenwerte zu prüfen, darunter die BSI-Kritisverordnung (BSI-KritisV) sowie die aktuellen Hinweise des BSI. Die Kriterien und Umsetzungsregelungen des KRITISDachG sind davon getrennt zu bewerten. Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG als besonders wichtige Einrichtungen, wobei sektorspezifische Ausnahmen beeinflussen können, welche Pflichten im Einzelnen gelten.

Was ist das NIS2UmsuCG?

NIS2UmsuCG ist eine Bezeichnung, die mit dem früheren Gesetzentwurf zum NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz verbunden ist. Das verabschiedete Gesetz trägt den Titel „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung”. In diesem Beitrag sprechen wir vom deutschen NIS2-Umsetzungsgesetz. Es setzt die Richtlinie (EU) 2022/2555 um, und zwar hauptsächlich durch ein neu gefasstes BSIG sowie durch Änderungen weiterer Gesetze.

Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt veröffentlicht und trat am 6. Dezember 2025 in Kraft. Es handelt sich also um geltendes Recht und nicht um einen laufenden Gesetzentwurf. Maßgeblich für die aktuellen Pflichten sind das konsolidierte BSIG und die einschlägigen sektorspezifischen Vorschriften, nicht frühere Entwurfsfassungen.

Die BSIG unterscheidet zwischen „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“. Diese gesetzlichen Kategorien bestimmen Aufsicht und Pflichten und sollten nicht mit der weiter gefassten, alltagssprachlichen Bedeutung von „kritischer Infrastruktur” verwechselt werden.

Die wichtigsten Unterschiede zwischen KRITIS und NIS2UmsuCG

Rechtliche Funktion

KRITIS beschreibt kritische Infrastrukturen. Das deutsche NIS2-Umsetzungsgesetz schafft einen breiteren Rahmen für die Cybersicherheit. Das gesonderte KRITISDachG ergänzt ein Framework für die physische Resilienz. Ein Unternehmen muss unter Umständen alle drei Regelwerke prüfen.

Organisatorischer Anwendungsbereich

Die Vorschriften für kritische Anlagen konzentrieren sich auf bestimmte Anlagen und deren Betreiber. Die deutschen NIS2-Regelungen erfassen darüber hinaus viele weitere Einrichtungsarten, darunter bestimmte Hersteller, digitale Anbieter, MSPs sowie Managed Security Service Provider (MSSPs). Ein Unternehmen kann somit in den Anwendungsbereich fallen, ohne eine kritische Anlage zu betreiben.

Anwendbarkeitskriterien

Die anlagenbezogene Einstufung richtet sich nach den maßgeblichen Kriterien für kritische Dienstleistungen, den Anlagenkategorien, den Schwellenwerten und gegebenenfalls einer individuellen Bestimmung. Die Erfassung durch NIS2 hängt zudem von der Art der Einrichtung und den Größenvorgaben in § 28 BSIG sowie in den Annexen 1 und 2 ab.

Für eine erste Einschätzung gilt bei den in Annex 1 oder 2 aufgeführten Tätigkeiten grundsätzlich: Als wichtige Einrichtung gilt, wer mindestens 50 Beschäftigte hat oder dessen Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen. Bei den im Anhang 1 aufgeführten Tätigkeiten liegt der allgemeine Schwellenwert für besonders wichtige Einrichtungen bei mindestens 250 Beschäftigten oder bei einem Jahresumsatz von über 50 Mio. € zusammen mit einer Jahresbilanzsumme von über 43 Mio. €. Sonderkategorien, Konzernberechnungen und gesetzliche Ausnahmen können das Ergebnis verändern. Es handelt sich nicht um allgemeingültige Grenzwerte.

Verpflichtungen

Soweit die einschlägigen BSIG-Vorschriften Anwendung finden, müssen erfasste Einrichtungen angemessene Maßnahmen zum Management von Cybersicherheitsrisiken dokumentieren, erhebliche Sicherheitsvorfälle melden und sich registrieren. Für Betreiber kritischer Anlagen gelten zusätzliche Anforderungen, darunter Systeme zur Angriffserkennung nach § 31 sowie Nachweise durch Audits, Prüfungen oder Zertifizierungen nach § 39, vorbehaltlich von Ausnahmen und Übergangsregelungen. Das KRITISDachG sieht gesondert Risikoanalysen, Resilienzmaßnahmen und einen Resilienzplan vor.

Governance und Aufsicht

Das BSI ist die zentrale Cybersicherheitsbehörde nach dem BSIG, wobei in Bereichen wie Energie und Telekommunikation sektorspezifische Regelungen bestehen. Nach dem KRITISDachG fungiert das BBK als zentrale Anlaufstelle und nimmt bestimmte Registrierungs- und Meldeaufgaben wahr. Die Aufsicht teilt sich das BBK mit benannten Bundes- und Landesbehörden. Es ist nicht für jeden Sektor die alleinige Aufsichtsbehörde.

Verantwortung der Geschäftsleitung

Nach § 38 BSIG muss die Geschäftsleitung die vorgeschriebenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit umsetzen und überwachen sowie regelmäßig an Schulungen teilnehmen. Auch wenn operative Aufgaben an ein IT-Team oder einen MSP übertragen werden, bleiben diese Pflichten der Geschäftsleitung bestehen.

Registrierung und Meldung von Sicherheitsvorfällen

Gemäß § 33 BSIG müssen betroffene Einrichtungen sich innerhalb von drei Monaten registrieren, nachdem sie die gesetzlichen Kriterien erstmals oder erneut erfüllen. Für Einrichtungen, die am 6. Dezember 2025 in den Anwendungsbereich fielen, endete die reguläre erste Frist am 6. März 2026. Die Registrierung entscheidet nicht darüber, ob das Gesetz Anwendung findet. Das BSI-Portal ist der Registrierungsweg für NIS2; Betreiber kritischer Anlagen sollten zusätzlich die gesonderten, aktuellen KRITIS-Registrierungshinweise des BSI beachten.

Bei erheblichen Cybersicherheitsvorfällen nach § 32 BSIG ist unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, eine Frühwarnung abzugeben. Unverzüglich und spätestens innerhalb von 72 Stunden folgt die Meldung des Vorfalls. Der Abschlussbericht ist in der Regel innerhalb eines Monats nach der Vorfallmeldung fällig. Dauert der Vorfall noch an, ist zu diesem Zeitpunkt ein Fortschrittsbericht einzureichen und nach Abschluss der Bearbeitung ein Abschlussbericht. Ein meldepflichtiger Vorfall ist dabei nicht gleichbedeutend mit jeder Warnmeldung oder jeder Software-Schwachstelle.

Für das KRITISDachG gilt ein eigener Zeitplan. Nach § 8 Abs. 7 greifen die Pflichten zur Risikoanalyse erstmals neun Monate nach der Registrierung, die Pflichten zu Resilienz, Meldungen und Geschäftsleitung erstmals zehn Monate danach. Sobald § 18 gilt, sind qualifizierte Vorfälle unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, zu melden. Ein ausführlicher Bericht folgt innerhalb eines Monats nach Kenntnisnahme. Zu berücksichtigen sind darüber hinaus die einschlägigen Verordnungen und Registrierungsregelungen. Diese Fristen schieben bestehende BSIG-Pflichten nicht auf.

Wo sich die Frameworks überschneiden können

Manche Unternehmen sind von beiden Regelwerken betroffen. Die folgenden Szenarien sind hypothetische Beispiele und keine rechtlichen Einordnungen.

• Szenario A, ein Wasserversorger: Der Betreiber einer qualifizierten kritischen Wasseranlage zählt nach dem BSIG zu den besonders wichtigen Einrichtungen. Hinzu kommt, dass auch die Pflichten zur physischen Resilienz nach dem KRITISDachG samt der dort geltenden Regeln zu Zeitpunkt und Anwendungsbereich zu prüfen sind.
• Szenario B, ein Hersteller: Ein Unternehmen aus einer der im Annex 2 aufgeführten Herstellungskategorien kann aufgrund seiner Größe als wichtige Einrichtung gelten, selbst wenn es keine kritische Anlage betreibt. Die bloße Bezeichnung „Hersteller” genügt allerdings nicht, um die Erfassung zu begründen.
• Szenario C, ein MSP: Ein MSP kann eigene, unmittelbare NIS2-Pflichten haben, da MSPs und MSSPs im Annex 1 aufgeführt sind. Daneben können sich vertragliche Anforderungen an Sicherheit und Zusammenarbeit bei Vorfällen ergeben, die regulierte Kunden stellen. Allein die Betreuung eines KRITIS-Kunden bestimmt die rechtliche Einordnung des MSP jedoch nicht.

Betroffene MSPs und bestimmte andere digitale Anbieter müssen außerdem die Durchführungsverordnung (EU) 2024/2690 der Kommission berücksichtigen. Sie konkretisiert die Risikomanagementmaßnahmen im Bereich der Cybersicherheit sowie die Kriterien für erhebliche Sicherheitsvorfälle bei diesen Anbietertypen.

Fazit: KRITIS und NIS2UmsuCG sind weder austauschbar noch schließen sie einander aus.

Ersetzt das NIS2UmsuCG die KRITIS-Regelungen?

Nein. Betreiber kritischer Anlagen werden vom BSIG weiterhin ausdrücklich erfasst. Das NIS2-Umsetzungsgesetz hat den bisherigen Rahmen für die Cybersicherheit abgelöst und erweitert, den Status als kritische Infrastruktur aber nicht abgeschafft. Das KRITISDachG ergänzt einen eigenständigen Resilienzrahmen mit eigenem Anwendungsbereich, eigenen Ausnahmen und einem eigenen Umsetzungszeitplan. Bestehende Maßnahmen und Nachweise sollten daher den aktuellen Anforderungen zugeordnet werden.

So prüfen Sie, ob Ihr Unternehmen betroffen sein könnte

1. Erfassen Sie jede juristische Person, ihren Sektor und die tatsächlich erbrachten Dienstleistungen und ordnen Sie diese den Anlagen des BSIG zu.
2. Ermitteln Sie die maßgeblichen Beschäftigtenzahlen und Finanzkennzahlen, einschließlich der geltenden Regeln zu Partner- und verbundenen Unternehmen.
3. Prüfen Sie besondere Einrichtungskategorien, Ausnahmen und sektorspezifische Regelungen, darunter Energie, Telekommunikation und nach DORA regulierte Finanzunternehmen.
4. Bewerten Sie kritische Anlagen gesondert anhand der einschlägigen Verordnung, der Schwellenwerte sowie der aktuellen Hinweise von BSI und BBK.
5. Halten Sie bestehende KRITIS-Registrierungen, Bescheide, Prüftermine und Nachweispflichten fest.
6. Klären Sie die Zuständigkeit bei grenzüberschreitenden Dienstleistungen. Für Anbieter wie MSPs und Cloud-Anbieter gelten nach § 60 BSIG besondere EU-Regeln zur Hauptniederlassung.
7. Dokumentieren Sie die Einstufungsentscheidung, ziehen Sie bei Bedarf qualifizierte Beratung hinzu und benennen Sie Verantwortliche für Registrierung, Meldungen und Neubewertung.

Was das für den IT-Betrieb bedeutet

Die folgenden Beispiele übersetzen rechtliche Anforderungen in operative Aufgaben. Sie stellen keine vollständige Compliance-Checkliste dar, und die genannten Nachweise sind lediglich beispielhaft. § 30 BSIG umfasst ausdrücklich Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Schwachstellenmanagement, Wirksamkeitsprüfungen, Schulungen, Kryptografie, Personalsicherheit, Zugriffskontrolle, Asset-Management und Authentifizierung.

Regulatorisches Thema	Beispiele für operative Aufgaben und Nachweise
Asset- und Zugriffsmanagement	Bestandsverzeichnisse und Verantwortliche pflegen; nicht verwaltete Geräte abgleichen; Zugriffe, MFA und privilegierte Remote-Sitzungen überprüfen.
Schwachstellenmanagement	Schwachstellen priorisieren, Patches bereitstellen und deren Wirksamkeit verifizieren sowie Ausnahmen und kompensierende Maßnahmen dokumentieren
Betriebskontinuität und Wiederherstellung	Wiederherstellungsziele festlegen; Wiederherstellungen testen und Ergebnisse, Abhängigkeiten sowie Korrekturmaßnahmen festhalten.
Erkennung und Bewältigung von Sicherheitsvorfällen	Workflows für Erkennung und Eskalation pflegen; relevante Logs sichern; Meldefristen und Entscheidungszuständigkeiten üben.
Sicherheit der Lieferkette	Lieferanten und MSPs bewerten; Abhängigkeiten, Sicherheitsvereinbarungen und Regelungen zur Meldung von Vorfällen dokumentieren.
Governance und Wirksamkeit	Risikoentscheidungen, Schulungsnachweise der Geschäftsleitung, Überprüfungen von Maßnahmen und Kryptografie-Richtlinien pflegen.
Anforderungen an kritische Anlagen	Soweit zutreffend, Systeme zur Angriffserkennung betreiben und Prüfnachweise nach §§ 31 und 39 BSIG vorhalten.
Physische Resilienz	Soweit zutreffend, Gefahren am Standort, physischen Zugang, Kontinuitätsregelungen und den Resilienzplan nach dem KRITISDachG bewerten.

Wählen Sie Maßnahmen und Nachweise anhand der Risiken, des rechtlichen Anwendungsbereichs und der geltenden sektorspezifischen Anforderungen des Unternehmens aus.

MSPs sollten beachten, dass sich Verantwortlichkeit und gesetzliche Pflichten nicht ohne Weiteres übertragen lassen. Ein MSP kann Maßnahmen betreiben und Nachweise erstellen, das regulierte Unternehmen bleibt jedoch in der Regel selbst für Compliance verantwortlich.

Checkliste zur Vorbereitung auf KRITIS und NIS2UmsuCG

Rechtliche Anwendbarkeit

• Dokumentieren Sie die Anwendbarkeit nach dem aktuellen BSIG, dem KRITISDachG und den einschlägigen Verordnungen.
• Halten Sie die Einrichtungskategorie sowie die Begründung für die Einbeziehung oder den Ausschluss fest.
• Prüfen Sie Registrierungspflichten, Meldetermine und die aktuellen Hinweise im Portal.
• Ordnen Sie bestehende KRITIS-Pflichten den aktuellen Anforderungen an Prüfungen und Nachweise zu.
• Legen Sie fest, wer rechtliche, organisatorische und dienstbezogene Änderungen beobachtet.
• Klären Sie unsichere Einstufungen und sektorspezifische Ausnahmen mit qualifizierter deutscher Rechtsberatung.

Technische Vorbereitung

• Erfassen Sie Systeme, Endpunkte, Software, Dienste, Abhängigkeiten und Verantwortliche in einem Bestandsverzeichnis.
• Dokumentieren Sie Risikobewertungen, freigegebene Maßnahmen, die Aufsicht durch die Geschäftsleitung sowie Schulungen.
• Überprüfen Sie die Identifizierung von Schwachstellen, risikobasiertes Patching, die Verifizierung von Behebungsmaßnahmen und Ausnahmen.
• Üben Sie die Verfahren zur Erkennung und Eskalation von Vorfällen, zu gesetzlichen Meldungen und zur Sicherung von Nachweisen.
• Testen Sie die Integrität von Backups, die Wiederherstellung und die Kontinuitätspläne anhand der festgelegten Wiederherstellungsziele.
• Prüfen Sie die Sicherheit Ihrer Lieferanten, privilegierte Zugriffe, MFA, Kryptografie und die Wirksamkeit der Maßnahmen.

Wie NinjaOne die operative Vorbereitung unterstützen kann

NinjaOne unterstützt interne IT-Teams, einschließlich Unternehmen großer Unternehmen, sowie MSPs mit Endpunkt-Management, Patch-Management, Schwachstellenmanagement, Backup und Remote-Zugriff. Je nach eingesetzten Produkten und Konfiguration können Teams die Transparenz über ihre Geräte zentral bündeln, Maßnahmen zur Behebung koordinieren und operative Aufzeichnungen sammeln, die ihr Sicherheitsprogramm stützen.

Diese Funktionen können Maßnahmen und Nachweise unterstützen, begründen oder bescheinigen jedoch keine Konformität mit NIS2 oder KRITIS. Unternehmen benötigen weiterhin Governance, eine rechtliche Einordnung, Meldeverfahren für Sicherheitsvorfälle, geeignete Erkennungs- und Reaktionsmaßnahmen sowie gegebenenfalls Maßnahmen zur physischen Resilienz.