{"id":913367,"date":"2026-10-29T07:00:43","date_gmt":"2026-10-29T07:00:43","guid":{"rendered":"https:\/\/www.ninjaone.com\/?p=913367"},"modified":"2026-10-29T07:00:43","modified_gmt":"2026-10-29T07:00:43","slug":"wichtige-unterschiede-zwischen-kritis-und-nis2umsucg","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/de\/blog\/wichtige-unterschiede-zwischen-kritis-und-nis2umsucg\/","title":{"rendered":"Wesentliche Unterschiede zwischen KRITIS und NIS2UmsuCG"},"content":{"rendered":"

Kurze Antwort: KRITIS beschreibt kritische Infrastrukturen. Das deutsche NIS2-Umsetzungsgesetz, im Internet h\u00e4ufig unter der Abk\u00fcrzung NIS2UmsuCG zu finden, legt Cybersicherheitspflichten f\u00fcr einen gr\u00f6\u00dferen Kreis von Unternehmen fest. Betreiber kritischer Anlagen geh\u00f6ren nach dem BSIG zur Kategorie der besonders wichtigen Einrichtungen, w\u00e4hrend das KRITISDachG die physische Resilienz gesondert regelt.<\/p>\n

Wenn Sie in einem deutschen Unternehmen f\u00fcr den IT-Bereich verantwortlich sind oder als MSP deutsche Kunden betreuen, hilft Ihnen das Verst\u00e4ndnis der KRITIS-Vorschriften und der deutschen NIS2-Vorschriften dabei, zu ermitteln, welche Verpflichtungen zu pr\u00fcfen sind. Dieser Leitfaden erkl\u00e4rt die Begriffe, zeigt \u00dcberschneidungen auf und erl\u00e4utert, was sie f\u00fcr den IT-Betrieb bedeuten.<\/p>\n

Dieser Beitrag liefert allgemeine Informationen und stellt keine Rechtsberatung dar. Die Anwendbarkeit h\u00e4ngt von den Dienstleistungen, der Struktur und den aktuellen gesetzlichen Vorgaben des Unternehmens ab.<\/p>\n

KRITIS vs. NIS2UmsuCG im \u00dcberblick<\/h2>\n\n\n\n\n\n\n\n\n\n
Aspekt<\/strong><\/td>\nKRITIS und kritische Einrichtungen<\/strong><\/td>\nDeutschlands NIS2-Framework<\/strong><\/td>\n<\/tr>\n
Was darin beschrieben wird<\/td>\nKritische Infrastrukturen und gesetzlich definierte Betreiber kritischer Anlagen.<\/td>\nCybersicherheitsvorschriften, die durch das NIS2-Umsetzungsgesetz eingef\u00fchrt wurden.<\/td>\n<\/tr>\n
Rechtsgrundlage<\/td>\nBSIG, einschl\u00e4gige Verordnungen sowie das gesonderte KRITISDachG.<\/td>\nVorrangig das novellierte BSIG und die anwendbaren sektorspezifischen Rechtsvorschriften.<\/td>\n<\/tr>\n
Abdeckung<\/td>\nKriterien f\u00fcr Anlagen und kritische Dienstleistungen, Schwellenwerte und einschl\u00e4gige Einstufungen.<\/td>\nAufgef\u00fchrte Einrichtungsarten, Gr\u00f6\u00dfenvorgaben und Sonderkategorien.<\/td>\n<\/tr>\n
Kernaufgaben<\/td>\nCybersicherheitspflichten zuz\u00fcglich geltender anlagenspezifischer Anforderungen sowie gesonderte Pflichten zur physischen Resilienz.<\/td>\nRisikomanagement, Registrierung, Meldung erheblicher Sicherheitsvorf\u00e4lle und Pflichten der Gesch\u00e4ftsleitung.<\/td>\n<\/tr>\n
Beh\u00f6rden<\/td>\nBSI f\u00fcr die Cybersicherheit; BBK sowie benannte Bundes- oder Landesbeh\u00f6rden f\u00fcr Pflichten nach dem KRITISDachG.<\/td>\nVorrangig das BSI, vorbehaltlich sektorspezifischer Regelungen.<\/td>\n<\/tr>\n
\u00dcberlappung<\/td>\nBetreiber kritischer Anlagen sind nach dem BSIG besonders wichtige Einrichtungen.<\/td>\nErfasst zudem viele Einrichtungen, die keine kritische Anlage betreiben.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Dieser Vergleich trennt den Status als kritische Infrastruktur vom \u00fcbergeordneten Rahmen f\u00fcr die Cybersicherheit. Sektorspezifische Ausnahmen und Stichtage f\u00fcr die Umsetzung bleiben dennoch relevant.<\/p>\n

Was bedeutet KRITIS?<\/h2>\n

KRITIS steht f\u00fcr \u201eKritische Infrastrukturen\u201d. Gemeint sind Infrastrukturen, deren Ausfall wesentliche Dienstleistungen oder die \u00f6ffentliche Sicherheit erheblich beeintr\u00e4chtigen k\u00f6nnte. Der Begriff bezeichnet kein einzelnes Gesetz. Verbindliche Pflichten ergeben sich aus der jeweils ma\u00dfgeblichen gesetzlichen Definition eines Betreibers kritischer Anlagen und nicht allein aus der weit gefassten Bezeichnung \u201eKRITIS\u201d.<\/p>\n

Dabei sind zwei rechtliche Regelungsstr\u00e4nge zu unterscheiden. Das BSI-Gesetz (BSIG) regelt die Cybersicherheit. Das KRITIS-Dachgesetz (KRITISDachG), das die EU-Richtlinie (EU) 2022\/2557 \u00fcber die Resilienz kritischer Einrichtungen umsetzt, befasst sich mit der physischen Resilienz und Betriebskontinuit\u00e4t gegen\u00fcber Gefahren wie Naturkatastrophen, Unf\u00e4llen und Sabotage. Es ist am 17. M\u00e4rz 2026 in Kraft getreten; das bedeutet jedoch nicht, dass s\u00e4mtliche Betreiberpflichten sofort galten.<\/p>\n

F\u00fcr die Einstufung im Bereich Cybersicherheit sind die einschl\u00e4gigen Anlagenkategorien und Schwellenwerte zu pr\u00fcfen, darunter die BSI-Kritisverordnung (BSI-KritisV) sowie die aktuellen Hinweise des BSI. Die Kriterien und Umsetzungsregelungen des KRITISDachG sind davon getrennt zu bewerten. Betreiber kritischer Anlagen gelten nach \u00a7 28 Abs. 1 Nr. 1 BSIG als besonders wichtige Einrichtungen, wobei sektorspezifische Ausnahmen beeinflussen k\u00f6nnen, welche Pflichten im Einzelnen gelten.<\/p>\n

Was ist das NIS2UmsuCG?<\/h2>\n

NIS2UmsuCG ist eine Bezeichnung, die mit dem fr\u00fcheren Gesetzentwurf zum NIS-2-Umsetzungs- und Cybersicherheitsst\u00e4rkungsgesetz verbunden ist. Das verabschiedete Gesetz tr\u00e4gt den Titel \u201eGesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundz\u00fcge des Informationssicherheitsmanagements in der Bundesverwaltung\u201d. In diesem Beitrag sprechen wir vom deutschen NIS2-Umsetzungsgesetz. Es setzt die Richtlinie (EU) 2022\/2555 um, und zwar haupts\u00e4chlich durch ein neu gefasstes BSIG sowie durch \u00c4nderungen weiterer Gesetze.<\/p>\n

Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt ver\u00f6ffentlicht und trat am 6. Dezember 2025 in Kraft. Es handelt sich also um geltendes Recht und nicht um einen laufenden Gesetzentwurf. Ma\u00dfgeblich f\u00fcr die aktuellen Pflichten sind das konsolidierte BSIG und die einschl\u00e4gigen sektorspezifischen Vorschriften, nicht fr\u00fchere Entwurfsfassungen.<\/p>\n

Die BSIG unterscheidet zwischen \u201ebesonders wichtigen Einrichtungen\u201c und \u201ewichtigen Einrichtungen\u201c. Diese gesetzlichen Kategorien bestimmen Aufsicht und Pflichten und sollten nicht mit der weiter gefassten, alltagssprachlichen Bedeutung von \u201ekritischer Infrastruktur\u201d verwechselt werden.<\/p>\n

Die wichtigsten Unterschiede zwischen KRITIS und NIS2UmsuCG<\/h2>\n

Rechtliche Funktion<\/h3>\n

KRITIS beschreibt kritische Infrastrukturen. Das deutsche NIS2-Umsetzungsgesetz schafft einen breiteren Rahmen f\u00fcr die Cybersicherheit. Das gesonderte KRITISDachG erg\u00e4nzt ein Framework f\u00fcr die physische Resilienz. Ein Unternehmen muss unter Umst\u00e4nden alle drei Regelwerke pr\u00fcfen.<\/p>\n

Organisatorischer Anwendungsbereich<\/h3>\n

Die Vorschriften f\u00fcr kritische Anlagen konzentrieren sich auf bestimmte Anlagen und deren Betreiber. Die deutschen NIS2-Regelungen erfassen dar\u00fcber hinaus viele weitere Einrichtungsarten, darunter bestimmte Hersteller, digitale Anbieter, MSPs sowie Managed Security Service Provider (MSSPs). Ein Unternehmen kann somit in den Anwendungsbereich fallen, ohne eine kritische Anlage zu betreiben.<\/p>\n

Anwendbarkeitskriterien<\/h3>\n

Die anlagenbezogene Einstufung richtet sich nach den ma\u00dfgeblichen Kriterien f\u00fcr kritische Dienstleistungen, den Anlagenkategorien, den Schwellenwerten und gegebenenfalls einer individuellen Bestimmung. Die Erfassung durch NIS2 h\u00e4ngt zudem von der Art der Einrichtung und den Gr\u00f6\u00dfenvorgaben in \u00a7 28 BSIG sowie in den Annexen 1 und 2 ab.<\/p>\n

F\u00fcr eine erste Einsch\u00e4tzung gilt bei den in Annex 1 oder 2 aufgef\u00fchrten T\u00e4tigkeiten grunds\u00e4tzlich: Als wichtige Einrichtung gilt, wer mindestens 50 Besch\u00e4ftigte hat oder dessen Jahresumsatz und Jahresbilanzsumme jeweils \u00fcber 10 Mio. \u20ac liegen. Bei den im Anhang 1 aufgef\u00fchrten T\u00e4tigkeiten liegt der allgemeine Schwellenwert f\u00fcr besonders wichtige Einrichtungen bei mindestens 250 Besch\u00e4ftigten oder bei einem Jahresumsatz von \u00fcber 50 Mio. \u20ac zusammen mit einer Jahresbilanzsumme von \u00fcber 43 Mio. \u20ac. Sonderkategorien, Konzernberechnungen und gesetzliche Ausnahmen k\u00f6nnen das Ergebnis ver\u00e4ndern. Es handelt sich nicht um allgemeing\u00fcltige Grenzwerte.<\/p>\n

Verpflichtungen<\/h3>\n

Soweit die einschl\u00e4gigen BSIG-Vorschriften Anwendung finden, m\u00fcssen erfasste Einrichtungen angemessene Ma\u00dfnahmen zum Management von Cybersicherheitsrisiken dokumentieren, erhebliche Sicherheitsvorf\u00e4lle melden und sich registrieren. F\u00fcr Betreiber kritischer Anlagen gelten zus\u00e4tzliche Anforderungen, darunter Systeme zur Angriffserkennung nach \u00a7 31 sowie Nachweise durch Audits, Pr\u00fcfungen oder Zertifizierungen nach \u00a7 39, vorbehaltlich von Ausnahmen und \u00dcbergangsregelungen. Das KRITISDachG sieht gesondert Risikoanalysen, Resilienzma\u00dfnahmen und einen Resilienzplan vor.<\/p>\n

Governance und Aufsicht<\/h3>\n

Das BSI ist die zentrale Cybersicherheitsbeh\u00f6rde nach dem BSIG, wobei in Bereichen wie Energie und Telekommunikation sektorspezifische Regelungen bestehen. Nach dem KRITISDachG fungiert das BBK als zentrale Anlaufstelle und nimmt bestimmte Registrierungs- und Meldeaufgaben wahr. Die Aufsicht teilt sich das BBK mit benannten Bundes- und Landesbeh\u00f6rden. Es ist nicht f\u00fcr jeden Sektor die alleinige Aufsichtsbeh\u00f6rde.<\/p>\n

Verantwortung der Gesch\u00e4ftsleitung<\/h3>\n

Nach \u00a7 38 BSIG muss die Gesch\u00e4ftsleitung die vorgeschriebenen Risikomanagementma\u00dfnahmen im Bereich der Cybersicherheit umsetzen und \u00fcberwachen sowie regelm\u00e4\u00dfig an Schulungen teilnehmen. Auch wenn operative Aufgaben an ein IT-Team oder einen MSP \u00fcbertragen werden, bleiben diese Pflichten der Gesch\u00e4ftsleitung bestehen.<\/p>\n

Registrierung und Meldung von Sicherheitsvorf\u00e4llen<\/h2>\n

Gem\u00e4\u00df \u00a7 33 BSIG m\u00fcssen betroffene Einrichtungen sich innerhalb von drei Monaten registrieren, nachdem sie die gesetzlichen Kriterien erstmals oder erneut erf\u00fcllen. F\u00fcr Einrichtungen, die am 6. Dezember 2025 in den Anwendungsbereich fielen, endete die regul\u00e4re erste Frist am 6. M\u00e4rz 2026. Die Registrierung entscheidet nicht dar\u00fcber, ob das Gesetz Anwendung findet. Das BSI-Portal ist der Registrierungsweg f\u00fcr NIS2; Betreiber kritischer Anlagen sollten zus\u00e4tzlich die gesonderten, aktuellen KRITIS-Registrierungshinweise des BSI beachten.<\/p>\n

Bei erheblichen Cybersicherheitsvorf\u00e4llen nach \u00a7 32 BSIG ist unverz\u00fcglich, sp\u00e4testens innerhalb von 24 Stunden nach Kenntnisnahme, eine Fr\u00fchwarnung abzugeben. Unverz\u00fcglich und sp\u00e4testens innerhalb von 72 Stunden folgt die Meldung des Vorfalls. Der Abschlussbericht ist in der Regel innerhalb eines Monats nach der Vorfallmeldung f\u00e4llig. Dauert der Vorfall noch an, ist zu diesem Zeitpunkt ein Fortschrittsbericht einzureichen und nach Abschluss der Bearbeitung ein Abschlussbericht. Ein meldepflichtiger Vorfall ist dabei nicht gleichbedeutend mit jeder Warnmeldung oder jeder Software-Schwachstelle.<\/p>\n

F\u00fcr das KRITISDachG gilt ein eigener Zeitplan. Nach \u00a7 8 Abs. 7 greifen die Pflichten zur Risikoanalyse erstmals neun Monate nach der Registrierung, die Pflichten zu Resilienz, Meldungen und Gesch\u00e4ftsleitung erstmals zehn Monate danach. Sobald \u00a7 18 gilt, sind qualifizierte Vorf\u00e4lle unverz\u00fcglich, sp\u00e4testens innerhalb von 24 Stunden nach Kenntnisnahme, zu melden. Ein ausf\u00fchrlicher Bericht folgt innerhalb eines Monats nach Kenntnisnahme. Zu ber\u00fccksichtigen sind dar\u00fcber hinaus die einschl\u00e4gigen Verordnungen und Registrierungsregelungen. Diese Fristen schieben bestehende BSIG-Pflichten nicht auf.<\/p>\n

Wo sich die Frameworks \u00fcberschneiden k\u00f6nnen<\/h2>\n

Manche Unternehmen sind von beiden Regelwerken betroffen. Die folgenden Szenarien sind hypothetische Beispiele und keine rechtlichen Einordnungen.<\/p>\n

    \n
  • Szenario A, ein Wasserversorger: Der Betreiber einer qualifizierten kritischen Wasseranlage z\u00e4hlt nach dem BSIG zu den besonders wichtigen Einrichtungen. Hinzu kommt, dass auch die Pflichten zur physischen Resilienz nach dem KRITISDachG samt der dort geltenden Regeln zu Zeitpunkt und Anwendungsbereich zu pr\u00fcfen sind.<\/li>\n
  • Szenario B, ein Hersteller: Ein Unternehmen aus einer der im Annex 2 aufgef\u00fchrten Herstellungskategorien kann aufgrund seiner Gr\u00f6\u00dfe als wichtige Einrichtung gelten, selbst wenn es keine kritische Anlage betreibt. Die blo\u00dfe Bezeichnung \u201eHersteller\u201d gen\u00fcgt allerdings nicht, um die Erfassung zu begr\u00fcnden.<\/li>\n
  • Szenario C, ein MSP: Ein MSP kann eigene, unmittelbare NIS2-Pflichten haben, da MSPs und MSSPs im Annex 1 aufgef\u00fchrt sind. Daneben k\u00f6nnen sich vertragliche Anforderungen an Sicherheit und Zusammenarbeit bei Vorf\u00e4llen ergeben, die regulierte Kunden stellen. Allein die Betreuung eines KRITIS-Kunden bestimmt die rechtliche Einordnung des MSP jedoch nicht.<\/li>\n<\/ul>\n

    Betroffene MSPs und bestimmte andere digitale Anbieter m\u00fcssen au\u00dferdem die Durchf\u00fchrungsverordnung (EU) 2024\/2690 der Kommission ber\u00fccksichtigen. Sie konkretisiert die Risikomanagementma\u00dfnahmen im Bereich der Cybersicherheit sowie die Kriterien f\u00fcr erhebliche Sicherheitsvorf\u00e4lle bei diesen Anbietertypen.<\/p>\n

    Fazit: KRITIS und NIS2UmsuCG sind weder austauschbar noch schlie\u00dfen sie einander aus.<\/p>\n

    Ersetzt das NIS2UmsuCG die KRITIS-Regelungen?<\/h2>\n

    Nein. Betreiber kritischer Anlagen werden vom BSIG weiterhin ausdr\u00fccklich erfasst. Das NIS2-Umsetzungsgesetz hat den bisherigen Rahmen f\u00fcr die Cybersicherheit abgel\u00f6st und erweitert, den Status als kritische Infrastruktur aber nicht abgeschafft. Das KRITISDachG erg\u00e4nzt einen eigenst\u00e4ndigen Resilienzrahmen mit eigenem Anwendungsbereich, eigenen Ausnahmen und einem eigenen Umsetzungszeitplan. Bestehende Ma\u00dfnahmen und Nachweise sollten daher den aktuellen Anforderungen zugeordnet werden.<\/p>\n

    So pr\u00fcfen Sie, ob Ihr Unternehmen betroffen sein k\u00f6nnte<\/h2>\n
      \n
    1. Erfassen Sie jede juristische Person, ihren Sektor und die tats\u00e4chlich erbrachten Dienstleistungen und ordnen Sie diese den Anlagen des BSIG zu.<\/li>\n
    2. Ermitteln Sie die ma\u00dfgeblichen Besch\u00e4ftigtenzahlen und Finanzkennzahlen, einschlie\u00dflich der geltenden Regeln zu Partner- und verbundenen Unternehmen.<\/li>\n
    3. Pr\u00fcfen Sie besondere Einrichtungskategorien, Ausnahmen und sektorspezifische Regelungen, darunter Energie, Telekommunikation und nach DORA regulierte Finanzunternehmen.<\/li>\n
    4. Bewerten Sie kritische Anlagen gesondert anhand der einschl\u00e4gigen Verordnung, der Schwellenwerte sowie der aktuellen Hinweise von BSI und BBK.<\/li>\n
    5. Halten Sie bestehende KRITIS-Registrierungen, Bescheide, Pr\u00fcftermine und Nachweispflichten fest.<\/li>\n
    6. Kl\u00e4ren Sie die Zust\u00e4ndigkeit bei grenz\u00fcberschreitenden Dienstleistungen. F\u00fcr Anbieter wie MSPs und Cloud-Anbieter gelten nach \u00a7 60 BSIG besondere EU-Regeln zur Hauptniederlassung.<\/li>\n
    7. Dokumentieren Sie die Einstufungsentscheidung, ziehen Sie bei Bedarf qualifizierte Beratung hinzu und benennen Sie Verantwortliche f\u00fcr Registrierung, Meldungen und Neubewertung.<\/li>\n<\/ol>\n

      Was das f\u00fcr den IT-Betrieb bedeutet<\/h2>\n

      Die folgenden Beispiele \u00fcbersetzen rechtliche Anforderungen in operative Aufgaben. Sie stellen keine vollst\u00e4ndige Compliance-Checkliste dar, und die genannten Nachweise sind lediglich beispielhaft. \u00a7 30 BSIG umfasst ausdr\u00fccklich Risikoanalyse, Bew\u00e4ltigung von Sicherheitsvorf\u00e4llen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Schwachstellenmanagement, Wirksamkeitspr\u00fcfungen, Schulungen, Kryptografie, Personalsicherheit, Zugriffskontrolle, Asset-Management und Authentifizierung.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n
      Regulatorisches Thema<\/strong><\/td>\nBeispiele f\u00fcr operative Aufgaben und Nachweise<\/strong><\/td>\n<\/tr>\n
      Asset- und Zugriffsmanagement<\/td>\nBestandsverzeichnisse und Verantwortliche pflegen; nicht verwaltete Ger\u00e4te abgleichen; Zugriffe, MFA und privilegierte Remote-Sitzungen \u00fcberpr\u00fcfen.<\/td>\n<\/tr>\n
      Schwachstellenmanagement<\/td>\nSchwachstellen priorisieren, Patches bereitstellen und deren Wirksamkeit verifizieren sowie Ausnahmen und kompensierende Ma\u00dfnahmen dokumentieren<\/td>\n<\/tr>\n
      Betriebskontinuit\u00e4t und Wiederherstellung<\/td>\nWiederherstellungsziele festlegen; Wiederherstellungen testen und Ergebnisse, Abh\u00e4ngigkeiten sowie Korrekturma\u00dfnahmen festhalten.<\/td>\n<\/tr>\n
      Erkennung und Bew\u00e4ltigung von Sicherheitsvorf\u00e4llen<\/td>\nWorkflows f\u00fcr Erkennung und Eskalation pflegen; relevante Logs sichern; Meldefristen und Entscheidungszust\u00e4ndigkeiten \u00fcben.<\/td>\n<\/tr>\n
      Sicherheit der Lieferkette<\/td>\nLieferanten und MSPs bewerten; Abh\u00e4ngigkeiten, Sicherheitsvereinbarungen und Regelungen zur Meldung von Vorf\u00e4llen dokumentieren.<\/td>\n<\/tr>\n
      Governance und Wirksamkeit<\/td>\nRisikoentscheidungen, Schulungsnachweise der Gesch\u00e4ftsleitung, \u00dcberpr\u00fcfungen von Ma\u00dfnahmen und Kryptografie-Richtlinien pflegen.<\/td>\n<\/tr>\n
      Anforderungen an kritische Anlagen<\/td>\nSoweit zutreffend, Systeme zur Angriffserkennung betreiben und Pr\u00fcfnachweise nach \u00a7\u00a7 31 und 39 BSIG vorhalten.<\/td>\n<\/tr>\n
      Physische Resilienz<\/td>\nSoweit zutreffend, Gefahren am Standort, physischen Zugang, Kontinuit\u00e4tsregelungen und den Resilienzplan nach dem KRITISDachG bewerten.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

      W\u00e4hlen Sie Ma\u00dfnahmen und Nachweise anhand der Risiken, des rechtlichen Anwendungsbereichs und der geltenden sektorspezifischen Anforderungen des Unternehmens aus.<\/p>\n

      MSPs sollten beachten, dass sich Verantwortlichkeit und gesetzliche Pflichten nicht ohne Weiteres \u00fcbertragen lassen. Ein MSP kann Ma\u00dfnahmen betreiben und Nachweise erstellen, das regulierte Unternehmen bleibt jedoch in der Regel selbst f\u00fcr Compliance verantwortlich.<\/p>\n

      Checkliste zur Vorbereitung auf KRITIS und NIS2UmsuCG<\/h2>\n

      Rechtliche Anwendbarkeit<\/h3>\n
        \n
      • Dokumentieren Sie die Anwendbarkeit nach dem aktuellen BSIG, dem KRITISDachG und den einschl\u00e4gigen Verordnungen.<\/li>\n
      • Halten Sie die Einrichtungskategorie sowie die Begr\u00fcndung f\u00fcr die Einbeziehung oder den Ausschluss fest.<\/li>\n
      • Pr\u00fcfen Sie Registrierungspflichten, Meldetermine und die aktuellen Hinweise im Portal.<\/li>\n
      • Ordnen Sie bestehende KRITIS-Pflichten den aktuellen Anforderungen an Pr\u00fcfungen und Nachweise zu.<\/li>\n
      • Legen Sie fest, wer rechtliche, organisatorische und dienstbezogene \u00c4nderungen beobachtet.<\/li>\n
      • Kl\u00e4ren Sie unsichere Einstufungen und sektorspezifische Ausnahmen mit qualifizierter deutscher Rechtsberatung.<\/li>\n<\/ul>\n

        Technische Vorbereitung<\/h3>\n
          \n
        • Erfassen Sie Systeme, Endpunkte, Software, Dienste, Abh\u00e4ngigkeiten und Verantwortliche in einem Bestandsverzeichnis.<\/li>\n
        • Dokumentieren Sie Risikobewertungen, freigegebene Ma\u00dfnahmen, die Aufsicht durch die Gesch\u00e4ftsleitung sowie Schulungen.<\/li>\n
        • \u00dcberpr\u00fcfen Sie die Identifizierung von Schwachstellen, risikobasiertes Patching, die Verifizierung von Behebungsma\u00dfnahmen und Ausnahmen.<\/li>\n
        • \u00dcben Sie die Verfahren zur Erkennung und Eskalation von Vorf\u00e4llen, zu gesetzlichen Meldungen und zur Sicherung von Nachweisen.<\/li>\n
        • Testen Sie die Integrit\u00e4t von Backups, die Wiederherstellung und die Kontinuit\u00e4tspl\u00e4ne anhand der festgelegten Wiederherstellungsziele.<\/li>\n
        • Pr\u00fcfen Sie die Sicherheit Ihrer Lieferanten, privilegierte Zugriffe, MFA, Kryptografie und die Wirksamkeit der Ma\u00dfnahmen.<\/li>\n<\/ul>\n

          Wie NinjaOne die operative Vorbereitung unterst\u00fctzen kann<\/h2>\n

          NinjaOne unterst\u00fctzt interne IT-Teams, einschlie\u00dflich Unternehmen gro\u00dfer Unternehmen, sowie MSPs mit Endpunkt-Management, Patch-Management, Schwachstellenmanagement, Backup und Remote-Zugriff. Je nach eingesetzten Produkten und Konfiguration k\u00f6nnen Teams die Transparenz \u00fcber ihre Ger\u00e4te zentral b\u00fcndeln, Ma\u00dfnahmen zur Behebung koordinieren und operative Aufzeichnungen sammeln, die ihr Sicherheitsprogramm st\u00fctzen.<\/p>\n

          Diese Funktionen k\u00f6nnen Ma\u00dfnahmen und Nachweise unterst\u00fctzen, begr\u00fcnden oder bescheinigen jedoch keine Konformit\u00e4t mit NIS2 oder KRITIS. Unternehmen ben\u00f6tigen weiterhin Governance, eine rechtliche Einordnung, Meldeverfahren f\u00fcr Sicherheitsvorf\u00e4lle, geeignete Erkennungs- und Reaktionsma\u00dfnahmen sowie gegebenenfalls Ma\u00dfnahmen zur physischen Resilienz.<\/p>\n","protected":false},"excerpt":{"rendered":"

          Kurze Antwort: KRITIS beschreibt kritische Infrastrukturen. Das deutsche NIS2-Umsetzungsgesetz, im Internet h\u00e4ufig unter der Abk\u00fcrzung NIS2UmsuCG zu finden, legt Cybersicherheitspflichten f\u00fcr einen gr\u00f6\u00dferen Kreis von Unternehmen fest. Betreiber kritischer Anlagen geh\u00f6ren nach dem BSIG zur Kategorie der besonders wichtigen Einrichtungen, w\u00e4hrend das KRITISDachG die physische Resilienz gesondert regelt. Wenn Sie in einem deutschen Unternehmen f\u00fcr […]<\/p>\n","protected":false},"author":35,"featured_media":905274,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"no","_lmt_disable":"","footnotes":""},"categories":[4356],"tags":[],"class_list":["post-913367","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-betrieb"],"acf":[],"modified_by":"Dragos Frangulea","_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/913367","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/comments?post=913367"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/913367\/revisions"}],"predecessor-version":[{"id":913368,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/913367\/revisions\/913368"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media\/905274"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media?parent=913367"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/categories?post=913367"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/tags?post=913367"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}