+ Energie, Versorger und Betreiber kritischer Anlagen · Kassel und bundesweit
Sie müssen NIS2 und das KRITIS-Dachgesetz gleichzeitig erfüllen. Wir bringen beides in eine gemeinsame Nachweiskette.
NIS2 verlangt Cybersicherheit im BSI-Portal, das KRITIS-Dachgesetz zusätzlich physische Resilienz beim BBK. Beide Aufsichten prüfen unabhängig voneinander. Wir sorgen dafür, dass Sie beide Nachweise aus einer Struktur heraus liefern.
+
17. Juli 2026
Bis zu diesem Stichtag müssen Betreiber bestehender kritischer Anlagen sich beim BBK registrieren. Die Anmeldung läuft über eine gemeinsame Plattform von BBK und BSI, damit Doppelmeldungen mit der bestehenden BSIG-Registrierung entfallen.
+
24 Stunden
So kurz ist die Frist für die erste Frühwarnung an das BSI, wenn ein Sicherheitsvorfall entsteht. Nach 72 Stunden folgt die Bewertung, nach einem Monat der Abschlussbericht.
+
Anlassunabhängig
Als besonders wichtige Einrichtung stehen Sie unter proaktiver BSI-Aufsicht. Ein Prüfer fragt Nachweise auch dann ab, wenn nichts passiert ist.
+
Alle drei Jahre
Nach § 39 BSIG belegen Sie regelmäßig, dass Ihre IT-Sicherheit auf dem Stand der Technik ist. Der Zyklus wurde 2025 von zwei auf drei Jahre verlängert.
Wo bei Betreibern kritischer Anlagen der Druck entsteht
Drei typische Situationen, die uns aus Gesprächen mit Versorgern und Betreibern regelmäßig begegnen.
Zwei Regelwerke wollen unterschiedliche Nachweise
NIS2 fragt nach Cybersicherheit, Meldeprozessen und Risikomanagement. Das KRITIS-Dachgesetz fragt nach physischem Schutz, Notfallvorsorge und Resilienz gegen Sabotage. Beide Aufsichten prüfen unabhängig voneinander, und niemand im Haus führt die Nachweise bisher zusammen.
Fernzugriffe auf die Leittechnik sind nicht durchgängig dokumentiert
Wartung und Support durch Hersteller und externe Dienstleister sind im Alltag eines Kraftwerks oder Wasserwerks Standard. Wer wann auf die Anlagensteuerung zugreift, ist selten so protokolliert, dass Sie es einem BSI-Prüfer in unter zehn Minuten belegen könnten.
Die BSI-Aufsicht wartet nicht auf einen Vorfall
Als besonders wichtige Einrichtung unterliegen Sie der proaktiven Aufsicht nach BSIG. Deshalb prüft die Behörde Ihre Umsetzung auch ohne konkreten Anlass. Wenn die Anfrage kommt, haben Sie üblicherweise Tage, nicht Wochen.
Keiner dieser Punkte bedeutet, dass Sie unsicher arbeiten. Er bedeutet, dass Nachweise auf Ordner, Postfächer und Köpfe verteilt liegen statt an einer prüfbaren Stelle. Genau daran setzen wir an.
Selbstcheck: Bestehen Sie eine anlassunabhängige BSI-Prüfung?
Gehen Sie die fünf Fragen durch. Wo Sie sofort und belastbar antworten könnten, ist alles gut. Wo Sie zögern, liegt Ihre größte Lücke bei der nächsten Prüfung.
Frage
Ihre Einschätzung
Warum es bei Betreibern kritischer Anlagen im Betrieb hakt
Was in den meisten Fällen fehlt, ist nicht die Fachkompetenz, sondern der Überblick über zwei Regelwerke gleichzeitig. Die IT-Abteilung arbeitet an NIS2, während der Anlagenbetrieb für Sicherheit und Verfügbarkeit zuständig ist, doch niemand führt Cybersicherheit und physische Resilienz in einer prüfbaren Nachweiskette zusammen.
Wie wir vorgehen
Einordnen: Wir klären Ihre Betroffenheit und finden die Lücken
Wir prüfen mit Ihnen, welche Pflichten aus NIS2 und dem KRITIS-Dachgesetz gelten und wie weit Ihre Registrierungen bei BSI und BBK sind. Anschließend schauen wir auf die Schnittstelle zwischen IT und OT. Am Ende wissen Sie, was zu tun ist und in welcher Reihenfolge.
Ihr Ergebnis: dokumentierte Betroffenheitsanalyse für NIS2 und KRITIS-Dachgesetz, klarer Überblick über offene Registrierungen und eine priorisierte Liste der Handlungsfelder für IT und OT.
Betroffenheitsanalyse · NIS2 · KRITIS-Dachgesetz · IT-OT
Aufbauen: Wir bringen Cybersicherheit und physische Resilienz zusammen
Wir bauen Risikomanagement, Zugriffs- und Fernwartungskontrolle, Meldeprozesse und physische Notfallvorsorge so auf, dass sie in eine gemeinsame Struktur passen. Ein ISMS deckt dabei den Großteil der NIS2-Anforderungen ab und passt zu den Nachweisen für das BBK.
Ihr Ergebnis: eine IT-Sicherheit nach dem Stand der Technik, ein funktionierendes ISMS für die NIS2-Anforderungen, eine höhere Versorgungssicherheit Ihrer kritischen Infrastruktur und sensibilisierte Beschäftigte in Betrieb und IT.
ISMS · Fernzugriffskontrolle · Meldeprozess · Notfallvorsorge
Nachweisen: Wir bereiten Sie auf die Prüfungen durch BSI und BBK vor
Wir bringen Ihre Nachweise in eine Form, die einer anlassunabhängigen Prüfung standhält. Zusätzlich begleiten wir Sie durch Registrierung und Meldeketten, damit Sie vorbereitet sind, bevor der Prüfer fragt.
Ihr Ergebnis: ein objektiver Nachweis über die Erfüllung der IT-Sicherheitsanforderungen, Rechtssicherheit durch dokumentierte Umsetzung der gesetzlichen Auflagen und ein deutlich geringeres Risiko für Bußgelder bei Verstößen.
Nachweisführung · Audit-Vorbereitung · Meldeketten · Registrierung
AUS DER PRAXIS
„NIS2 lief ab, und wir standen ohne funktionierendes ISMS da."
Ein Müllheizkraftwerk mit 80 Mitarbeitern, KRITIS und von NIS2 direkt betroffen. Die gesetzlichen Fristen liefen, ein ISMS gab es nur auf dem Papier, und der bisherige Dienstleister hatte weder geliefert noch Vertrauen geschaffen.
Was wir gemacht haben:
Gap-Analyse gegen ISO 27001 und NIS2, Beratung zu Technik und Organisation, Unterstützung bei der Dokumentation, internes Audit und komplette Audit-Vorbereitung, alles neben dem laufenden Betrieb. In knapp einem Jahr zum Zertifikat.
BRANCHE
Energie und Abfall (KRITIS)
GRÖSSE
80 Mitarbeiter
DAUER
ca. 1 Jahr
ERGEBNIS
ISO 27001 zertifiziert, externer ISB beauftragt
Häufige Fragen:
01
Sind wir als KRITIS-Betreiber automatisch von NIS2 betroffen?
Ja. Betreiber kritischer Anlagen gelten ohne Schwellenwert als besonders wichtige Einrichtung unter NIS2. Das bedeutet proaktive Aufsicht durch das BSI. Deshalb prüft die Behörde auch ohne konkreten Sicherheitsvorfall, ob Sie Ihre Pflichten erfüllen.
02
Welche Pflichten habe ich konkret als KRITIS-Betreiber?
Nach dem novellierten BSIG müssen Sie sich als Betreiber kritischer Anlagen registrieren, eine rund um die Uhr erreichbare Kontaktstelle benennen und erhebliche Sicherheitsvorfälle melden. Zusätzlich sind Sie verpflichtet, angemessene technische und organisatorische Maßnahmen zur Vermeidung von Störungen umzusetzen (§ 30 BSIG). Für den Geltungsbereich Ihrer kritischen Anlage gelten in der Regel noch weitergehende Maßnahmen (§ 31 BSIG), deren Umsetzung Sie regelmäßig gegenüber dem BSI nachweisen müssen (§ 39 BSIG).
03
Was ist der Unterschied zwischen NIS2 und dem KRITIS-Dachgesetz?
NIS2 regelt die digitale Sicherheit, also IT-Systeme, Meldeprozesse und Risikomanagement. Das KRITIS-Dachgesetz regelt die physische Resilienz, insbesondere Schutz vor Sabotage, Ausfällen und Naturereignissen. Beide Regelwerke betreffen Sie parallel, und beide Aufsichten wollen eigene Nachweise. Wenn die Strukturen dahinter zusammenpassen, sparen Sie Aufwand.
04
Bis wann müssen wir was registriert haben?
Die Registrierung im BSI-Portal nach NIS2 war ursprünglich bis zum 6. März 2026 fällig, die Nachfrist läuft bis 31. Juli 2026. Die Registrierung beim BBK nach dem KRITIS-Dachgesetz muss für bestehende kritische Anlagen bis zum 17. Juli 2026 abgeschlossen sein. Für neue Anlagen gilt jeweils eine Frist von drei Monaten nach Einstufung. Wenn Sie eine Frist verpasst haben, holen Sie das umgehend nach. Wir unterstützen Sie dabei.
05
Reicht eine ISO-27001-Zertifizierung als Nachweis nach § 8a BSIG?
Nicht automatisch. Eine ISO-27001-Zertifizierung ist als Bestandteil eines Nachweises verwendbar, nicht aber als Nachweis selbst. Damit sie zählt, muss der Geltungsbereich Ihre kritischen Anlagen nach BSI-Kritisverordnung vollständig umfassen und um ausgelagerte Bereiche erweitert sein. Zusätzlich müssen die KRITIS-Schutzziele (Verfügbarkeit, Vertraulichkeit, Integrität, Authentizität) durchgängig in Risikobetrachtung und Maßnahmen berücksichtigt werden. Wir prüfen Ihre bestehende Zertifizierung gegen diese Anforderungen und ergänzen gezielt, was für den Nachweis fehlt.
06
Wie lange ist ein Nachweis nach § 39 BSIG gültig?
Mit dem Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 wurde der Nachweiszyklus von zwei auf drei Jahre verlängert. Betreiber, die vorher registriert waren, haben vom BSI eine neue Nachweisfrist bekommen. Sie dürfen Ihren Nachweis wahlweise zum ursprünglichen oder zum neuen Termin einreichen. Wenn Sie zum ursprünglichen Datum einreichen, ersetzt das einmalig die Einreichung zum neuen Datum. Neue Betreiber müssen ihren ersten Nachweis frühestens drei Jahre nach der Registrierung erbringen, danach wiederholt sich der Zyklus.
07
Gibt es Besonderheiten für den Sektor Energie?
Ja. Betreiber der bisherigen Kategorie „1.1.2 Anlage oder System zur Steuerung/Bündelung elektrischer Leistung“ werden jetzt unter der neuen Bezeichnung „1.1.2 Digitaler Energiedienst“ geführt, mit erweitertem Geltungsbereich. Die Zuständigkeit für die Informationssicherheitsanforderungen ist vom BSI auf die Bundesnetzagentur übergegangen. Bisherige Nachweise zu Systemen der Angriffserkennung gehen deshalb an die BNetzA statt an das BSI. Registrierungs- und Meldepflichten für Betreiber kritischer Anlagen und Energieversorgungsnetze bleiben unabhängig von der Anlagengröße bestehen.
08
Gibt es Besonderheiten für Finanzwesen und Sozialversicherung?
Ja. Der frühere Sektor „Finanz- und Versicherungswesen“ wurde in zwei Sektoren aufgeteilt: „Finanzwesen“ sowie „Leistungen der Sozialversicherung und Grundsicherung für Arbeitsuchende“. Die Regulierung privater Versicherungen im Bereich der Versicherungsdienstleistungen entfällt. Zusätzlich sind einige KRITIS-Betreiber von der Melde- und Nachweispflicht nach BSIG befreit, sofern sie unter die DORA-Verordnung fallen. Details zu DORA für IT-Dienstleister im Finanzsektor finden Sie auf unserer Landingpage zu DORA.
09
Wir haben schon ein KRITIS-Nachweiskonzept nach altem Recht. Reicht das für NIS2?
Meistens nicht vollständig. NIS2 verlangt zusätzlich Governance-Anforderungen, Lieferkettensicherheit und eine erweiterte Dokumentation nach § 30 BSIG. Der Nachweiszyklus wurde außerdem von zwei auf drei Jahre verlängert, was die Anforderungen an die kontinuierliche Pflege der Dokumentation verändert. Wir gleichen Ihre bestehenden Nachweise gegen die neuen Anforderungen ab und schließen gezielt die Lücken, statt bei null anzufangen.
ECHTE MENSCHEN. KEIN CHATBOT. KEIN CALLCENTER.
Bereit für den ersten Schritt?
ANRUFEN
0561 9402 6666
Mo–Fr 08:00–16:30