NIS2 und KRITIS: Wie sich die Bedrohungslage für kritische Infrastrukturen verändert

Mit dem KRITIS-Dachgesetz und NIS2 steigen die Anforderungen an den Schutz kritischer Infrastrukturen deutlich. Während NIS2 vor allem Cyber Security adressiert, rückt das KRITIS-Dachgesetz die physische Resilienz stärker in den Fokus. Für Unternehmen bedeutet das: Digitale Sicherheit, Objektschutz und Krisenmanagement müssen künftig noch enger zusammengedacht werden.

Im Gespräch mit Mirko Geyer, Sprecher bei MHP, ordnen Kevin Kohlhoff, Associated Partner und Cyber Security Lead Public & Defense bei MHP sowie Norman Weferling, Senior Manager im Bereich Cyber Security, die Auswirkungen von KRITIS-Dachgesetz und NIS2 ein. Sie erläutern, wie gut deutsche Unternehmen auf die neuen Vorgaben vorbereitet sind, welche Risiken häufig unterschätzt werden und welche Maßnahmen jetzt entscheidend sind, um die Resilienz nachhaltig zu stärken.

Mirko Geyer: Das KRITIS-Dachgesetz und NIS2 sind mittlerweile in Kraft. Welche Veränderungen spüren betroffene Unternehmen in der Praxis bereits?

Norman Weferling: Ehrlich gesagt: sehr unterschiedlich, je nach Gesetz. NIS2 spüren die Unternehmen deutlich, da das BSIG seit dem 6. Dezember 2025 ohne Übergangsfrist gilt. Das Meldeportal läuft, die Registrierung ist verpflichtend. Beim Dachgesetz ist es nahezu umgekehrt: Es ist zwar formal seit März in Kraft, die Verordnung, die überhaupt erst festlegt, wer als kritische Anlage gilt, liegt jedoch bis heute nur im Entwurf vor. 

Was ich in den KRITIS-Projekten sehe, ist daher weniger Umsetzung als vielmehr Vorbereitung auf einen Rahmen, dessen Details noch fehlen. NIS2 befindet sich bei vielen Unternehmen bereits in der konkreten Umsetzung. Allerdings gibt es auch hier große Unterschiede: Einige haben sich schon seit Jahren mit dem Thema befasst und frühzeitig begonnen, da es intern häufig zu umfassenden Veränderungen kommt. Andere scheitern hingegen bereits an der Registrierung.

Kevin Kohlhoff: Die größte Veränderung besteht aus meiner Sicht darin, dass Resilienz endgültig aus der Zuständigkeit einzelner Fachbereiche in die Unternehmenssteuerung rückt. Unter NIS2 reicht es nicht mehr aus, Cyber Security an die IT oder den CISO zu delegieren. Die Geschäftsleitung muss die Risiken kennen, die erforderlichen Maßnahmen umsetzen und deren Wirksamkeit überwachen.

In der Praxis sehen wir deshalb, dass Unternehmen ihre Verantwortlichkeiten neu ordnen und erstmals IT, OT, Recht, Compliance, Einkauf, Business Continuity und physische Sicherheit in einem gemeinsamen Programm zusammenbringen. Beim KRITIS-Dachgesetz sorgt die noch ausstehende Konkretisierung zwar weiterhin für Zurückhaltung. Die zentralen Fragen lassen sich aber schon heute beantworten: Welche Leistungen sind wirklich kritisch, wie lange dürfen sie ausfallen und von welchen internen und externen Faktoren hängen sie ab? Wer damit erst auf eine finale Checkliste wartet, verliert wertvolle Zeit.

Mirko Geyer: Wie greifen KRITIS-Dachgesetz und NIS2 ineinander und worin unterscheiden sie sich?

Norman Weferling: Wichtig ist zunächst: Das KRITIS-Dachgesetz setzt nicht NIS2 um. Das wird häufig verwechselt. NIS2 wird über das BSIG umgesetzt und regelt die digitale Sicherheit. Das Dachgesetz setzt hingegen die CER-Richtlinie um und adressiert die physische Resilienz, also beispielsweise Objektschutz, Personalsicherheit und Notfallvorsorge. Die Verzahnung ist an den richtigen Stellen bewusst vorgesehen: eine gemeinsame Plattform von BSI und BBK, das Once-Only-Prinzip bei der Registrierung sowie Geschäftsleiterpflichten in beiden Regimen. Der größte praktische Unterschied liegt jedoch im Kreis der betroffenen Unternehmen in Deutschland: NIS2 betrifft rund 29.500 Einrichtungen, das Dachgesetz hingegen lediglich gut 2.000 Betreiber kritischer Anlagen.

Kevin Kohlhoff: Beide Gesetze betrachten dasselbe Schutzziel aus unterschiedlichen Perspektiven: die verlässliche Erbringung kritischer Dienstleistungen. NIS2 und das BSIG fokussieren die Sicherheit der dafür eingesetzten Informations- und Kommunikationssysteme. Das KRITIS-Dachgesetz betrachtet die physische und organisatorische Resilienz der kritischen Anlagen.

In der betrieblichen Realität lässt sich diese Trennung allerdings kaum aufrechterhalten. Ein Stromausfall kann die IT außer Betrieb setzen, ein Cyberangriff eine Produktionsanlage stoppen und ein kompromittiertes Zutrittssystem den physischen Zugang zu sensiblen Bereichen ermöglichen. Hinzu kommt: Betreiber kritischer Anlagen werden automatisch als besonders wichtige Einrichtungen nach dem BSIG eingestuft und müssen bei ihren kritischen Anlagen sogar Anforderungen erfüllen, die über das allgemeine NIS2-Schutzniveau hinausgehen. Die Vorgaben wirken daher nicht alternativ, sondern kumulativ. Unternehmen sollten sie von Beginn an in einem gemeinsamen Governance- und Risikomodell umsetzen.

Mirko Geyer: Sind deutsche Unternehmen aus Eurer Sicht gut vorbereitet? Wo seht Ihr aktuell die größten Herausforderungen? 

Norman Weferling: Aus meiner Sicht nein, allerdings ist das differenziert zu betrachten. Die klassischen KRITIS-Betreiber sind vergleichsweise weit. Sie beschäftigen sich bereits seit dem IT-Sicherheitsgesetz von 2015 mit dem Thema und verfügen über etablierte Strukturen. Die Zahl, die mich wirklich beunruhigt, ist eine andere: Zum gesetzlichen Stichtag am 6. März waren von rund 29.500 NIS2-pflichtigen Einrichtungen lediglich etwa 11.500 registriert. Das BSI musste die Frist daher bis Ende Juli verlängern. Wer bereits an der Registrierung scheitert, hat die zehn Maßnahmenbereiche des § 30 BSIG mit hoher Wahrscheinlichkeit auch noch nicht vollständig umgesetzt oder bewertet.

Kevin Kohlhoff: Flächendeckend sind sie es noch nicht. Viele Unternehmen verfügen zwar über einzelne gut entwickelte Bausteine: ein ISMS in der IT, eine Risikoanalyse im Werkschutz, ein Business Continuity Management und eine eigene Krisenorganisation. Häufig arbeiten diese Strukturen jedoch mit unterschiedlichen Betrachtungsgegenständen, Risikomaßstäben und Prioritäten. Aus mehreren funktionierenden Einzeldisziplinen entsteht deshalb noch kein belastbares Resilienzmanagement.

Die größten Herausforderungen sehe ich bei der Transparenz über Gesellschaften, Standorte, IT- und OT-Systeme sowie kritische Lieferanten und Dienstleister. Darauf aufbauend müssen Risiken priorisiert, Verantwortlichkeiten eindeutig festgelegt und Maßnahmen finanziert werden. Regulierung scheitert selten daran, dass eine weitere Sicherheitstechnologie fehlt. Sie scheitert meist an unklarer Verantwortung und fehlender Priorisierung. Ein Zertifikat oder eine verabschiedete Richtlinie ist noch kein Nachweis dafür, dass ein Unternehmen einen realen Ausfall bewältigen kann.

Mirko Geyer: Das KRITIS-Dachgesetz betrachtet neben Cyberangriffen vor allem auch physische Bedrohungen. Welche Risiken, etwa Sabotage oder Drohnen, werden aus Eurer Sicht noch unterschätzt?

Norman Weferling: Drohnen sind ein relevantes Risiko, werden aus meiner Sicht aber häufig stärker diskutiert als andere, wesentlich wahrscheinlichere Störszenarien. Gehen wir einige Monate zurück: In Berlin-Lichterfelde führte ein Brandanschlag auf eine Kabelbrücke dazu, dass fünf Hochspannungskabel ausfielen. Die Folge waren rund 45.000 betroffene Haushalte und viereinhalb Tage ohne Strom und Heizung mitten im Winter. Es war der längste Ausfall dieser Art seit 1945. Das war keine Hightech-Bedrohung, sondern ein klassischer Single Point of Failure.

Aus meiner Sicht werden vor allem drei Dinge unterschätzt: Erstens die Kaskadeneffekte, die solche Ereignisse erst wirklich kritisch machen. In Berlin fielen gemeinsam mit dem Strom auch Mobilfunk und Festnetz aus. Zweitens Innentäter beziehungsweise Dienstleister mit Werksausweis. Und drittens die Tatsache, dass viele Betreiber ihre eigenen kritischen Knotenpunkte gar nicht vollständig kennen. Um den Bogen zu den Drohnen noch einmal zu schlagen: Ein Drohnenüberflug ist künftig ein meldepflichtiges Ereignis. Einen entsprechenden Prozess dafür haben bislang jedoch die wenigsten Unternehmen etabliert.

Kevin Kohlhoff: Am häufigsten werden nicht einzelne Bedrohungen unterschätzt, sondern Abhängigkeiten und gemeinsam genutzte Schwachstellen. Zwei Rechenzentren schaffen beispielsweise keine echte Redundanz, wenn beide von derselben Stromtrasse, demselben Telekommunikationsanbieter oder demselben Dienstleister abhängig sind. Ebenso kann eine Produktionsanlage technisch gut geschützt sein und dennoch ausfallen, wenn Gebäudeautomation, Kühlung, Ersatzteilversorgung oder spezialisiertes Wartungspersonal nicht verfügbar sind.

Besonders kritisch sind kombinierte Szenarien: Ein begrenzter physischer Vorfall trifft gleichzeitig auf eine Cyberstörung oder den Ausfall der Kommunikationswege. Aus einem zunächst beherrschbaren Ereignis kann so eine sektorübergreifende Krise entstehen. Unternehmen müssen ihre kritischen Dienstleistungen deshalb durchgängig betrachten – von Personal und Gebäuden über IT und OT bis zu Energieversorgung, Kommunikation und Lieferkette.

Mirko Geyer: Welche Rolle spielt künftig die Verzahnung von Cyber Security, physischer Sicherheit und Krisenmanagement, um kritische Infrastrukturen wirksam zu schützen?

Norman Weferling: Sie spielt die entscheidende Rolle, schon allein deshalb, weil die Regulierung den Unternehmen die notwendige Integration nicht abnimmt. Bei Registrierung und Meldung ist die Verzahnung gut gelöst. Das erfolgt über eine gemeinsame Plattform von BBK und BSI. Zudem darf die Resilienzaufsicht bei Nachweisen auf Teile der BSIG-Dokumentation zugreifen. Bei der Aufsicht selbst endet diese Verzahnung jedoch: Das BSI ist für die digitalen Pflichten zuständig, für die physische Resilienz sind je nach Sektor das BBK, Fachbehörden oder die Länder verantwortlich. Hinzu kommen zwei getrennte Sanktionsregime.

Wer diese Anforderungen intern als zwei getrennte Projekte organisiert, verursacht doppelte Aufwände und ist am Ende dennoch nicht resilient. Der entscheidende Klebstoff ist aus meiner Sicht die Business-Impact-Analyse: eine gemeinsame Sicht darauf, welcher Prozess wie lange ausfallen darf. Daraus lassen sich Szenarien ableiten, die sowohl digitale als auch physische Ursachen berücksichtigen, sowie eine gemeinsame Krisenorganisation entwickeln und nicht drei verschiedene.

Kevin Kohlhoff: Die Verzahnung ist keine organisatorische Kür, sondern die Voraussetzung für wirksame Resilienz. In vielen Unternehmen arbeiten Cyber Security, Werkschutz, Business Continuity und Krisenmanagement jeweils professionell, aber weitgehend getrennt. Sie verwenden unterschiedliche Risikobegriffe, berichten in verschiedenen Gremien und priorisieren nach eigenen Maßstäben.

Integration bedeutet dabei nicht, alle Funktionen in einer neuen Abteilung zusammenzuführen. Notwendig ist vielmehr ein gemeinsames Steuerungsmodell: dieselben kritischen Dienstleistungen, eine abgestimmte Risikomethodik, einheitliche Eskalationswege und eine gemeinsame Maßnahmenplanung. 

Die Geschäftsleitung sollte ein konsistentes Bild der Unternehmensresilienz erhalten und nicht drei voneinander abweichende Statusberichte. Die fachliche Verantwortung bleibt bei den jeweiligen Spezialisten. Gesteuert, priorisiert und geübt werden muss jedoch gemeinsam. Erst dadurch wird aus der Erfüllung regulatorischer Einzelanforderungen eine tatsächlich belastbare Organisation.

Mirko Geyer: Wie verändert künstliche Intelligenz die Bedrohungslage? Welchen Einfluss hat das auf Angreifer und Verteidiger gleichermaßen?

Norman Weferling: Ich betrachte das nüchterner als viele andere. KI verschafft Angreifern bislang vor allem mehr Skalierung und höhere Qualität, aber keine grundlegend neuen Fähigkeiten. Phishing-Mails ohne Rechtschreibfehler, Deepfake-Anrufe für CEO-Fraud oder eine schnellere Aufklärung von Zielen sind typische Beispiele. Der eigentliche Effekt ist ökonomischer Natur: Der gezielte Angriff kostet plötzlich fast so wenig wie ein breit angelegter Massenangriff.

Verteidiger verfügen zwar über dieselben Werkzeuge, sind jedoch strukturell langsamer. Beschaffungsprozesse, Governance-Vorgaben und Freigaben bremsen häufig die Nutzung entsprechender Technologien. Für KRITIS-Betreiber kommt noch ein weiterer Punkt hinzu: Sobald KI in Leitständen oder Monitoring-Systemen eingesetzt wird, wird sie selbst zur potenziellen Angriffsfläche.

Kevin Kohlhoff: Wie Norman bereits ausgeführt hat, schafft KI derzeit vor allem Skalierungs- und Effizienzvorteile. Künstliche Intelligenz verändert vor allem Geschwindigkeit, Skalierbarkeit und Wirtschaftlichkeit von Angriffen. Angreifer können Informationen schneller auswerten, sehr glaubwürdige Social-Engineering-Szenarien erzeugen und potenzielle Schwachstellen effizienter identifizieren. Damit sinkt die Schwelle für gezielte Angriffe erheblich.

Auf der Verteidigerseite kann KI große Datenmengen analysieren, Warnmeldungen priorisieren und bei der Untersuchung von Sicherheitsvorfällen wertvolle Zeit gewinnen. Sie entfaltet ihren Nutzen aber nur, wenn Datenqualität, Prozesse und Verantwortlichkeiten stimmen. Gerade in kritischen Infrastrukturen dürfen KI-Systeme nicht selbst zu einem neuen Single Point of Failure werden. Für sicherheitsrelevante Anwendungen braucht es deshalb menschliche Kontrolle, nachvollziehbare Entscheidungen und belastbare Rückfallverfahren. Der entscheidende Vorteil entsteht nicht allein durch das bessere Modell, sondern durch die Fähigkeit einer Organisation, Erkenntnisse schnell in wirksame Entscheidungen zu übersetzen.

Mirko Geyer: Wenn Ihr Unternehmen heute drei konkrete Empfehlungen geben könnten, um ihre Resilienz nachhaltig zu stärken, welche wären das?

Norman Weferling: Erstens: Die eigene Betroffenheit sofort klären und dabei bereits den aktuellen Verordnungsentwurf zugrunde legen. Wer wartet, bis die KRITIS-Verordnung im Bundesgesetzblatt veröffentlicht wird, startet mit bereits laufender Uhr.

Zweitens: Die physische und die digitale Risikoanalyse in einem gemeinsamen Prozess zusammenführen und nicht getrennt betrachten. Das Dachgesetz verlangt einen All-Gefahren-Ansatz, der sich nur schwer mit Silodenken vereinbaren lässt.

Und drittens, vielleicht der unbequemste Punkt: üben. Ein Resilienzplan, der nie unter realistischem Zeitdruck getestet wurde, ist nur ein Dokument und kein Schutz. Mein Praxistest dafür ist ganz einfach: Morgen früh fällt der Strom aus und gleichzeitig das Mobilfunknetz. Wer informiert dann wen und über welchen Weg?

Kevin Kohlhoff: Erstens sollten Unternehmen nicht mit dem Gesetzestext oder einer technischen Maßnahmenliste beginnen, sondern mit ihren kritischen Dienstleistungen. Was muss auch in einer Krise weiter funktionieren, wie lange darf eine Leistung maximal ausfallen und von welchen Personen, Anlagen, Systemen und Dienstleistern hängt sie ab?

Zweitens braucht es eine eindeutige Verantwortung auf Ebene der Geschäftsleitung. NIS2 und das KRITIS-Dachgesetz sollten in einem gemeinsamen Programm mit klaren Entscheidungswegen, ausreichendem Budget und einer priorisierten Roadmap umgesetzt werden. Bestehende Strukturen wie ISMS, Business Continuity Management und Krisenmanagement sollten dabei gezielt weiterentwickelt und nicht durch neue Parallelsysteme ergänzt werden.

Drittens muss die Umsetzung auf Wirksamkeit und nicht auf die Produktion von Dokumenten ausgerichtet sein. Jede Maßnahme benötigt einen Verantwortlichen, einen Termin und einen belastbaren Nachweis. Compliance sollte das Ergebnis eines funktionierenden Resilienzmanagements sein – nicht dessen einziges Ziel.