NIS2 und KRITIS-Dachgesetz: Wo Betreiber im Herbst 2026 stehen

Zwei Gesetze prägen 2026 die Sicherheitspflichten deutscher Betreiber. Das NIS2-Umsetzungsgesetz regelt die Cybersicherheit, das KRITIS-Dachgesetz den physischen Schutz und die Resilienz kritischer Anlagen. Beide sind in Kraft. Beim NIS2-Gesetz läuft bereits die Aufsicht, beim KRITIS-Dachgesetz fehlt noch die entscheidende Verordnung.

NIS2: Registrierung abgeschlossen, Aufsicht beginnt

Das NIS2UmsuCG gilt seit dem 6. Dezember 2025. Betroffene Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren. Bis zu diesem Termin hatten sich Schätzungen zufolge rund 61 Prozent der Verpflichteten noch nicht registriert. Die anschließende Nachfrist endete am 31. Juli 2026. Laut BSI waren Anfang August mehr als 19.000 Einrichtungen registriert. Das Statistische Bundesamt hatte ursprünglich rund 29.500 betroffene Unternehmen geschätzt. Diese Zahl wird derzeit überprüft.

Meldepflichten nach § 32 BSIG

• Frühe Erstmeldung: unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls.
• Meldung: unverzüglich, spätestens innerhalb von 72 Stunden, mit erster Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
• Abschlussmeldung: spätestens einen Monat nach der Meldung.

Haftung der Geschäftsleitung

Bußgelder können bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes erreichen. Die Geschäftsleitung haftet persönlich für die Umsetzung der Risikomanagementmaßnahmen. Gegenüber Einrichtungen ohne Registrierung behält sich das BSI bußgeldbewehrte Schritte vor.

KRITIS-Dachgesetz: in Kraft, aber noch nicht scharf

Das KRITIS-Dachgesetz setzt die europäische CER-Richtlinie (EU) 2022/2557 um. Es wurde am 16. März 2026 verkündet und gilt im Wesentlichen seit dem 17. März 2026. Zuständig für die Registrierung ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.

Die Frist im Juli wurde gestrichen

Ursprünglich sah das Gesetz eine Registrierung frühestens bis zum 17. Juli 2026 vor. Mit einem Änderungsgesetz vom 21. Juli 2026 wurde dieses Kalenderdatum gestrichen. Die Registrierungspflicht beginnt nun mit der Verordnung, die festlegt, welche Anlagen als kritisch gelten. Nach Angaben des BBK war diese Verordnung im September 2026 noch in Erarbeitung und Abstimmung. Als Regelschwellenwert gilt die Versorgung von grundsätzlich 500.000 Einwohnern.

Was nach der Registrierung folgt

• Nach 9 Monaten: erste Risikoanalyse, danach mindestens alle vier Jahre.
• Nach 10 Monaten: Resilienzmaßnahmen, Resilienzplan und Meldewesen.
• Bei erheblichen Störungen: Erstmeldung spätestens nach 24 Stunden, ausführlicher Bericht spätestens nach einem Monat.
• Bußgelder: bis zu 1 Million Euro, etwa bei Verstößen gegen Anordnungen.

Warum Betreiber nicht auf die Verordnung warten sollten

Die Risikoanalyse nach dem KRITIS-Dachgesetz folgt einem All-Gefahren-Ansatz. Sabotage, Ausspähung und Cyberangriffe gehören dazu. Viele Betreiber unterliegen zugleich NIS2. Wer beide Pflichten auf einer gemeinsamen Datenbasis aufbaut, vermeidet doppelte Arbeit.

• Angriffsfläche und kompromittierte Zugänge laufend erfassen, auch bei Dienstleistern und Standorten.
• Untergrundaktivität gegen die eigene Organisation beobachten, etwa Angebote von Zugängen oder Erwähnungen von Anlagen.
• Meldeprozesse so aufsetzen, dass die 24-Stunden-Frist für beide Gesetze eingehalten werden kann.
• Die Geschäftsleitung regelmäßig mit einem geprüften Lagebild versorgen, da sie persönlich haftet.

NEXGAP liefert dieses Lagebild aus Darknet, Angriffsfläche und Threat Intelligence, analystengeprüft und mit Bezug auf die Anforderungen von NIS2 und KRITIS-Dachgesetz.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Stand: 20. Oktober 2026.