NIS2 vs. KRITIS: Unterschiede, Kategorien und doppelte Pflichten 2026

Viele Unternehmen stehen vor derselben Frage: Wenn wir bereits unter KRITIS fallen – müssen wir dann noch NIS2 erfüllen? Die kurze Antwort lautet: ja. NIS2 ersetzt KRITIS nicht, sondern ergänzt es: Seit dem NIS2UmsuCG stehen die KRITIS-Pflichten im neuen BSI-Gesetz, und KRITIS-Betreiber haben zusätzlich zu den allgemeinen NIS2-Pflichten einige besondere Pflichten. Wer unter NIS2 fällt, muss KRITIS-Anforderungen nur dann erfüllen, wenn eine seiner Anlagen die KRITIS-Schwellenwerte erreicht. Für die physische Resilienz kommt seit März 2026 das KRITIS-Dachgesetz hinzu – mit erheblichen Überschneidungen und einigen wichtigen Unterschieden.

Dieser Leitfaden erklärt, was KRITIS und NIS2 voneinander trennt, wo sie sich überlappen und welche konkreten Pflichten für Unternehmen entstehen, die beiden Regimen unterliegen. Als Grundlage dient das NIS2-Grundlagen-Leitfaden, der den Gesamtrahmen der Richtlinie erklärt.

Was ist KRITIS? Das deutsche Schutzkonzept für kritische Infrastrukturen

KRITIS – kurz für „Kritische Infrastrukturen“ – ist in seiner heutigen Ausprägung vor allem ein deutsches Konzept (das EU-Gegenstück für die physische Resilienz ist die CER-Richtlinie (EU) 2022/2557). Es wurde 2015 mit dem ersten IT-Sicherheitsgesetz eingeführt, in der BSI-Kritisverordnung (BSI-KritisV) von 2016 konkretisiert und 2021 durch das IT-Sicherheitsgesetz 2.0 erweitert. Die BSI-KritisV legt anlagenbezogene Schwellenwerte fest, ab denen ein Betreiber als KRITIS-Betreiber gilt.

Die BSI-KritisV enthält Regelungen für neun Sektoren: Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Transport und Verkehr sowie Siedlungsabfallentsorgung. (Der im Gesetz zusätzlich genannte Sektor Weltraum hat dort noch keine Schwellenwerte.) Ausgangspunkt ist meist ein Regelschwellenwert von 500.000 versorgten Personen, umgerechnet je Anlagenkategorie: z. B. 22 Mio. m³ Trinkwasser pro Jahr, 104 MW installierte Nettonennleistung bei Stromerzeugungsanlagen oder 30.000 vollstationäre Fälle pro Jahr bei Krankenhäusern. Diese anlagenbezogenen, häufig technisch definierten Schwellen sind das entscheidende Merkmal von KRITIS.

Für die Cybersicherheit der KRITIS-Betreiber ist das BSI (Bundesamt für Sicherheit in der Informationstechnik) zuständig. Das BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe) ist nach dem KRITIS-Dachgesetz zentrale Anlaufstelle für die physische Resilienz; je nach Dienstleistung sind weitere Behörden zuständig, etwa die Bundesnetzagentur (§ 3 KRITISDachG). Diese Zweiteilung hat praktische Konsequenzen: Zur Registrierung beim BSI kommt künftig eine Registrierung nach dem KRITIS-Dachgesetz hinzu (dazu unten).

Zum Stichtag 30. Juni 2026 waren beim BSI 1.231 KRITIS-Betreiber mit 2.180 kritischen Anlagen registriert. Es ist eine relativ kleine, aber hochrelevante Gruppe: Energieversorger, Krankenhäuser, Trinkwasserbetriebe, Netzbetreiber, große Banken und ähnliche Einrichtungen, ohne die das gesellschaftliche und wirtschaftliche Leben nicht funktionieren würde.

Was regelt NIS2? Die europäische Dimension der Cybersicherheit

NIS2 (Richtlinie (EU) 2022/2555) ist europäisches Recht – verabschiedet am 14. Dezember 2022, in Deutschland durch das NIS2UmsuCG (BGBl. 2025 I Nr. 301) umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist. Kern des NIS2UmsuCG ist ein neu gefasstes BSIG (BSI-Gesetz), das das bisherige BSI-Gesetz von 2009 ersetzt.

NIS2 unterscheidet sich von KRITIS in einem zentralen Punkt: Die Schwellenwerte sind größenbasiert statt anlagenbezogen. Eine Einrichtung unterliegt NIS2, wenn sie einer der in den Anlagen 1 und 2 BSIG genannten Einrichtungsarten zuzuordnen ist und die Größenschwellen erreicht:

• Besonders wichtige Einrichtungen (EU: wesentliche Einrichtungen, § 28 Abs. 1 BSIG): Anlage-1-Einrichtungen mit ≥ 250 Mitarbeitenden oder > 50 Mio. Euro Umsatz und > 43 Mio. Euro Bilanzsumme; größenunabhängig u. a. Betreiber kritischer Anlagen
• Wichtige Einrichtungen (§ 28 Abs. 2 BSIG): Einrichtungen der Anlagen 1 und 2 mit ≥ 50 Mitarbeitenden oder Umsatz und Bilanzsumme von jeweils > 10 Mio. Euro, soweit nicht besonders wichtig

NIS2 greift damit deutlich früher als KRITIS und erfasst eine viel größere Zahl von Unternehmen. Die Bundesregierung schätzt knapp 30.000 Einrichtungen (rund 8.250 besonders wichtige und 21.600 wichtige); registriert hatten sich bis 30. September 2026 20.141. Das ist ein Vielfaches der KRITIS-Population. Betroffen sind nicht nur große Konzerne, sondern auch mittelständische Unternehmen in den Bereichen Maschinenbau, Chemie, Lebensmittelverarbeitung, digitale Dienste und viele weitere. Eine detaillierte Analyse, wer betroffen ist, finden Sie im Anwendungsbereich-Leitfaden.

NIS2 vs. KRITIS: Die wesentlichen Unterschiede im Überblick

Merkmal	KRITIS	NIS2 (besonders wichtig / wichtig)
Rechtsgrundlage	BSI-KritisV (fortgeltend, § 66 BSIG), §§ 28, 31, 39 BSIG (neu), KRITISDachG	NIS2UmsuCG, §§ 28 ff. BSIG (neu), Anlagen 1 und 2 BSIG
Anzahl betroffener Einrichtungen (DE)	1.231 Betreiber mit 2.180 Anlagen (BSI, 30.06.2026)	ca. 30.000 (Schätzung); 20.141 registriert (30.09.2026)
Schwellenkriterium	Anlagenbezogen (Regelschwellenwert 500.000 Versorgte)	Größenbasiert (≥ 50 MA oder Umsatz und Bilanz je > 10 Mio. €)
Erfasste Sektoren	9 Sektoren (BSI-KritisV)	18 Sektoren (Anlagen 1 und 2 BSIG)
Zuständige Behörden	BSI (Cyber) + BBK (physische Resilienz) + Sektorbehörden	BSI; Sonderregeln u. a. für Energie, TK und Finanzen (z. B. BNetzA, BaFin)
NIS2-Kategorie des KRITIS-Betreibers	Kraft Gesetzes „besonders wichtige Einrichtung“ (§ 28 Abs. 1 Nr. 1 BSIG)	Je nach Einrichtungsart und Größe
Registrierungspflicht	MIP + BSI-Portal; BBK erst nach Inkrafttreten der KRITIS-Verordnung	BSI-Portal (§ 33 BSIG)
Sicherheitsnachweis	Alle 3 Jahre gegenüber BSI (§ 39 BSIG; bisher 2 Jahre)	Kein fester Turnus; Anordnung durch das BSI (§§ 61, 62 BSIG)
Bußgeldrahmen	Wie besonders wichtige Einrichtungen, plus KRITIS-Tatbestände (z. B. § 39-Nachweis)	bis 10 Mio. € / bis 7 Mio. €; ab 500 Mio. € Umsatz bis 2 % / 1,4 %
Parallelbetrieb	Ja – KRITIS-Pflichten kommen zu den NIS2-Pflichten hinzu; KRITIS ersetzt NIS2 nicht

§ 28 Abs. 1 Nr. 1 BSIG: KRITIS-Betreiber als „besonders wichtige Einrichtungen“

Die zentrale Schnittstelle zwischen KRITIS und NIS2 schafft § 28 Absatz 1 Nummer 1 des neuen BSIG. Danach gelten Betreiber kritischer Anlagen als besonders wichtige Einrichtungen – unabhängig davon, ob sie die größenbasierten NIS2-Schwellenwerte erreichen oder nicht. Welche Anlagen kritisch sind, bestimmt bis zur neuen Verordnung nach dem KRITIS-Dachgesetz weiterhin die BSI-KritisV (§ 66 BSIG).

Dies hat weitreichende Konsequenzen:

1. Keine Prüfung der NIS2-Schwellenwerte nötig: Auch wenn ein KRITIS-Betreiber aus irgendeinem Grund unter den NIS2-Schwellenwerten liegen sollte, gilt er dennoch als besonders wichtige Einrichtung.
2. Strengste NIS2-Aufsicht: Bei besonders wichtigen Einrichtungen kann das BSI Audits auch ohne konkreten Verdacht anordnen (§ 61 BSIG); wichtige Einrichtungen werden anlassbezogen geprüft (§ 62 BSIG).
3. Höchster Bußgeldrahmen: Für besonders wichtige Einrichtungen gilt der höchste Sanktionsrahmen – bis zu 10 Mio. Euro, bei mehr als 500 Mio. Euro weltweitem Gesamtumsatz bis zu 2 % davon (§ 65 BSIG).
4. Zusätzliche Pflichten für die kritische Anlage: KRITIS-Betreiber müssen die zehn Maßnahmenbereiche nach § 30 BSIG umsetzen. Für die IT der kritischen Anlage kommen ein höheres Schutzniveau (§ 31 Abs. 1), Systeme zur Angriffserkennung (§ 31 Abs. 2), Zusatzangaben bei Meldungen (§ 32 Abs. 3) und der Nachweis alle drei Jahre (§ 39) hinzu.

Praktisch bedeutet das: Ein Trinkwasserversorger, der als KRITIS-Betreiber eingestuft ist, sollte sein bestehendes KRITIS-Sicherheitskonzept prüfen und um die Anforderungen des neuen BSIG ergänzen. Eine vollständige Aufstellung der Pflichten, die sich aus der deutschen Umsetzung ergeben, finden Sie im NIS2 Deutschland-Leitfaden.

Doppelte Registrierung: BSI und BBK für KRITIS-Betreiber

Ein praktisches Thema, das viele KRITIS-Betreiber unterschätzen, ist die doppelte Registrierungspflicht. Das Zusammenspiel von BSI und BBK führt zu unterschiedlichen Registrierungswegen und Portalen:

Registrierung beim BSI (Cybersicherheit)

Für die Cybersicherheit ist das BSI zuständig – und schon hier gibt es zwei Registrierungen. Nach Angaben des BSI läuft die KRITIS-Registrierung weiterhin über das Melde- und Informationsportal (MIP); zusätzlich müssen sich KRITIS-Betreiber im BSI-Portal als besonders wichtige Einrichtung registrieren (§ 33 Abs. 1 BSIG). Die KRITIS-Registrierung umfasst nach § 33 Abs. 2 BSIG (fortgeltende Fassung, § 66 BSIG) insbesondere:

• eine Kontaktstelle, über die der Betreiber jederzeit erreichbar ist
• kritische Dienstleistung, Anlagenkategorie, Versorgungskennzahlen und Standort
• öffentliche IP-Adressbereiche und eingesetzte Typen kritischer Komponenten

Die Nachweise über umgesetzte Maßnahmen sind nicht Teil der Registrierung, sondern folgen gesondert nach § 39 BSIG. Vorfälle können KRITIS-Betreiber laut BSI übergangsweise weiter über das MIP melden (voraussichtlich bis Ende 2026). KRITIS-Betreiber sollten daher sicherstellen, dass sie in beiden Systemen vollständig und aktuell registriert sind.

Registrierung beim BBK (physische Resilienz)

Das KRITIS-Dachgesetz (KRITISDachG, BGBl. 2026 I Nr. 66) ist am 17. März 2026 in Kraft getreten und regelt die physische Resilienz kritischer Anlagen gegen Sabotage, Naturkatastrophen und andere nicht-digitale Gefahren. Betreiber müssen sich spätestens drei Monate, nachdem eine Anlage als kritisch gilt, beim BBK registrieren – über eine gemeinsame Registrierungsmöglichkeit von BSI und BBK (§ 8 Abs. 1 KRITISDachG). Welche Anlagen kritisch sind, legt eine Rechtsverordnung des BMI fest, die bislang nur als Entwurf vorliegt; eine BBK-Registrierungspflicht besteht deshalb derzeit noch nicht. Nach der Registrierung folgen Risikoanalyse (nach neun Monaten) sowie Resilienzplan, Meldepflichten und Geschäftsleitungspflichten (nach zehn Monaten, § 8 Abs. 7 KRITISDachG).

In der Praxis bedeutet dies: Ein Betreiber einer kritischen Infrastruktur hat möglicherweise gleichzeitig:

• Eine laufende KRITIS-Registrierung beim BSI im MIP (Cyber)
• Eine Registrierung als besonders wichtige Einrichtung im BSI-Portal
• Eine künftige Registrierung nach § 8 KRITISDachG für die physische Resilienz
• Sektorspezifische Pflichten (z. B. nach dem Energiewirtschaftsgesetz gegenüber der BNetzA oder nach DORA gegenüber der BaFin)

Die Koordination dieser Meldewege erfordert klare interne Zuständigkeiten und ein strukturiertes Compliance-Management.

Welche Sektoren sind von beiden Regimen betroffen?

Es gibt eine erhebliche Überlappung zwischen KRITIS-Sektoren und NIS2-Sektoren, aber keine vollständige Deckungsgleichheit. Einrichtungen der Anlage 1 BSIG sind je nach Größe besonders wichtig oder wichtig, Einrichtungen der Anlage 2 sind stets wichtig. Folgende Tabelle gibt einen Überblick:

Sektor	KRITIS (BSI-KritisV)	NIS2 (NIS2UmsuCG)	Besonderheit
Energie	✓ (z. B. Stromerzeugungsanlagen ab 104 MW)	✓ Anlage 1	NIS2 greift bei kleineren Versorgern ohne KRITIS-Schwelle; EnWG-Sonderregeln (§ 28 Abs. 5 BSIG)
Trinkwasser / Abwasser	✓ (z. B. Trinkwasser 22 Mio. m³/Jahr, Kanalisation 500.000 angeschlossene Einwohner)	✓ Anlage 1	KRITIS-Betreiber kraft Gesetzes besonders wichtige Einrichtung
Gesundheit	✓ (Krankenhäuser ab 30.000 vollstationären Fällen/Jahr)	✓ Anlage 1	Viele Krankenhäuser NIS2-pflichtig ohne KRITIS-Status
Finanzwesen	✓ (große Banken / Börsen)	✓ Anlage 1	DORA geht vor (§ 28 Abs. 6 BSIG)
Transport / Verkehr	✓ (Schienennetz, Wasserstraßen, Flughäfen ab Passagiervolumen)	✓ Anlage 1	NIS2 erfasst auch mittlere Verkehrsunternehmen unterhalb der KRITIS-Schwellen
Maschinenbau / Produktion	✗	✓ Wichtig (Anlage 2)	Neuer NIS2-Sektor, kein KRITIS-Äquivalent
Chemikalien	✗	✓ Wichtig (Anlage 2)	Neuer NIS2-Sektor
Lebensmittel	✓ (Ernährungssektor, große Versorger)	✓ Wichtig (Anlage 2)	Kleiner Ernährungssektor unter KRITIS, großer Lebensmittelsektor unter NIS2
Digitale Infrastruktur / IKT	✓ (TK-Netze ab bestimmtem Volumen)	✓ Anlage 1	Große Überschneidung; TK-Sonderregeln (§ 28 Abs. 5 BSIG)

Konkrete Handlungsempfehlungen: Was müssen betroffene Unternehmen tun?

Wenn Sie KRITIS-Betreiber sind:

1. Prüfen Sie Ihren NIS2-Status: Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG als „besonders wichtige Einrichtung“, vorbehaltlich der Sonderregeln in § 28 Abs. 5 und 6 BSIG, und unterliegen der proaktiven BSI-Aufsicht.
2. Bestandsaufnahme bestehender Pflichten: Erstellen Sie eine Übersicht aller bestehenden KRITIS-Anforderungen und prüfen Sie, welche NIS2-Pflichten zusätzlich entstehen.
3. Doppelte Registrierung sicherstellen: KRITIS-Registrierung im MIP aktuell halten + Registrierung als besonders wichtige Einrichtung im BSI-Portal + künftige Registrierung nach § 8 KRITISDachG einplanen.
4. Sicherheitskonzept um NIS2-Anforderungen ergänzen: Die Maßnahmen nach § 30 BSIG sind zu dokumentieren (§ 30 Abs. 1 Satz 3 BSIG) – auch wenn Ihr bestehendes KRITIS-Konzept bereits viele davon abdeckt.
5. Geschäftsleitungspflichten beachten: § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und zu überwachen (Art. 20 NIS2: „billigen“) und regelmäßig an Schulungen teilzunehmen; sie haftet der Einrichtung nach Gesellschaftsrecht.

Wenn Sie unter NIS2 fallen, aber nicht unter KRITIS:

1. KRITIS-Schwellenwerte prüfen: Obwohl KRITIS höhere Schwellen hat, sollten Sie anhand der BSI-KritisV prüfen, ob eine Ihrer Anlagen die Schwellenwerte tatsächlich nicht erreicht.
2. NIS2-Kategorie bestimmen: Sind Sie besonders wichtige oder wichtige Einrichtung? Das bestimmt Aufsichtsintensität und Bußgeldrahmen.
3. BSI-Registrierung nachholen: Die Frist nach § 33 BSIG ist am 6. März 2026 abgelaufen; noch nicht registrierte Einrichtungen sollten dies im BSI-Portal unverzüglich nachholen (Bußgeld bis zu 500.000 Euro möglich, § 65 BSIG).

Häufige Fragen zu NIS2 und KRITIS

Ersetzt NIS2 die KRITIS-Anforderungen komplett?
Nein. KRITIS-Betreiber müssen alle Pflichten besonders wichtiger Einrichtungen erfüllen und zusätzlich die KRITIS-spezifischen Pflichten des BSIG (u. a. §§ 31, 39) – künftig auch die des KRITIS-Dachgesetzes. Es gibt kein „entweder/oder“ – es ist immer „sowohl als auch“.

Welche Behörde ist bei einem Sicherheitsvorfall mein Ansprechpartner?
Für Cybervorfälle ist das BSI zuständig (Meldung über das BSI-Portal; KRITIS-Betreiber übergangsweise auch über das MIP). Für alle besonders wichtigen und wichtigen Einrichtungen gilt nach § 32 BSIG: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung einen Monat nach der Meldung. KRITIS-Betreiber machen zusätzlich Angaben zur betroffenen Anlage (§ 32 Abs. 3 BSIG). Für bestimmte Energie- und TK-Unternehmen gelten Sonderregeln; Finanzunternehmen melden nach DORA, in der Regel an die BaFin (§ 28 Abs. 5 und 6 BSIG).

Muss ich mich beim BBK registrieren, auch wenn ich bereits beim BSI registriert bin?
Das KRITIS-Dachgesetz sieht eine eigene BBK-Registrierung für die physische Resilienz vor (§ 8 KRITISDachG), über eine gemeinsame Registrierungsmöglichkeit von BSI und BBK. Sie wird erst fällig, wenn die Rechtsverordnung zur Bestimmung kritischer Anlagen in Kraft ist – Stand Oktober 2026 ist das noch nicht der Fall.

Gilt die NIS2-Registrierungspflicht auch für kleinere Zulieferer von KRITIS-Betreibern?
Zulieferer und Dienstleister von KRITIS-Betreibern unterliegen NIS2 nur, wenn sie selbst die Schwellenwerte erreichen und in einem erfassten Sektor tätig sind. Allerdings verpflichtet § 30 Abs. 2 Nr. 4 BSIG betroffene Einrichtungen, die Sicherheit ihrer Lieferkette zu gewährleisten – was sich über Verträge und Lieferantenanforderungen mittelbar auch auf Zulieferer auswirkt, die selbst nicht NIS2-pflichtig sind.

Sind die Bußgeldrahmen für KRITIS-Betreiber höher als für andere NIS2-Einrichtungen?
KRITIS-Betreiber gelten als „besonders wichtige Einrichtungen“ und unterliegen dem höchsten Sanktionsrahmen: bis zu 10 Mio. Euro, bei mehr als 500 Mio. Euro weltweitem Gesamtumsatz bis zu 2 % davon. Für wichtige Einrichtungen gelten bis zu 7 Mio. Euro bzw. 1,4 % (§ 65 BSIG). Hinzu kommen KRITIS-spezifische Tatbestände, etwa für fehlende Nachweise nach § 39 BSIG.

Gibt es eine Übergangsfrist für KRITIS-Betreiber bei NIS2?
Eine allgemeine Übergangsfrist gibt es nicht: Das NIS2UmsuCG gilt seit dem 6. Dezember 2025 (die EU-Umsetzungsfrist war der 17. Oktober 2024). Für bisherige KRITIS-Betreiber legt das BSI den ersten Nachweis nach neuem Recht aber frühestens drei Jahre nach dem letzten Nachweis nach altem Recht fest (§ 39 Abs. 3 BSIG). Offene Punkte betreffen häufig die Aktualisierung der Risikoanalyse, die Einbindung der Geschäftsleitung und die Registrierung im BSI-Portal.

Quellen

• BSI: Kritische Infrastrukturen (KRITIS) – Änderungen für KRITIS-Betreiber im neuen BSI-Gesetz – Bundesamt für Sicherheit in der Informationstechnik
• BSI: KRITIS in Zahlen – Bundesamt für Sicherheit in der Informationstechnik
• BSI: NIS-2 in Zahlen – Bundesamt für Sicherheit in der Informationstechnik
• BBK: KRITIS-Dachgesetz – Bundesamt für Bevölkerungsschutz und Katastrophenhilfe
• BSIG (neues BSI-Gesetz nach NIS2UmsuCG) – Bundesministerium der Justiz
• KRITIS-Dachgesetz (KRITISDachG) – Bundesministerium der Justiz
• BSI-Kritisverordnung (BSI-KritisV) – Bundesministerium der Justiz
• Gesetzentwurf der Bundesregierung zum NIS2UmsuCG (BT-Drs. 21/1501) – Deutscher Bundestag
• NIS2-Richtlinie (EU) 2022/2555 – Amtsblatt der EU
• OpenKRITIS – Informationsplattform zu KRITIS in Deutschland

Hinweis: Die Inhalte dieser Seite dienen ausschließlich der allgemeinen Information. Sie stellen keine Rechts-, Steuer- oder Fachberatung dar und ersetzen diese nicht. Für die Anwendung auf Ihren konkreten Fall konsultieren Sie bitte einen qualifizierten Berater.