{"id":1039,"date":"2026-02-12T09:22:12","date_gmt":"2026-02-12T08:22:12","guid":{"rendered":"https:\/\/www.g-lorenzen.de\/?p=1039"},"modified":"2026-02-12T09:22:12","modified_gmt":"2026-02-12T08:22:12","slug":"compliance-und-resilienz-unter-nis2-und-kritis-dachgesetz-ende-der-freiwilligkeit","status":"publish","type":"post","link":"https:\/\/www.g-lorenzen.de\/index.php\/2026\/02\/12\/compliance-und-resilienz-unter-nis2-und-kritis-dachgesetz-ende-der-freiwilligkeit\/","title":{"rendered":"Compliance und Resilienz unter NIS2 und KRITIS-Dachgesetz: Ende der Freiwilligkeit"},"content":{"rendered":"<h3>Die neue Rechtslage: Ende der Freiwilligkeit<\/h3>\n<p>Seit dem <strong>6. Dezember 2025<\/strong> ist das NIS2-Umsetzungsgesetz (<strong>NIS2UmsuCG<\/strong>) in Kraft. Damit hat sich der Pr\u00fcfungsma\u00dfstab f\u00fcr die Revision fundamental ge\u00e4ndert: Informationssicherheit ist keine reine \u201eBest Practice\u201c mehr, sondern eine zwingende Frage der <strong>Legal Compliance<\/strong>. Ein nicht gepatchtes System kann nun direkt als Gesetzesversto\u00df gewertet werden.<\/p>\n<h3>NIS2 vs. KRITIS-Dachgesetz: Ein \u201eregulatorischer Zangengriff\u201c<\/h3>\n<p>Unternehmen m\u00fcssen zwei eng verzahnte, aber unterschiedliche Regelwerke bedienen:<\/p>\n<ul>\n<li><strong>NIS2 (Der digitale Schutzschild):<\/strong> Basiert auf dem novellierten BSI-Gesetz und sch\u00fctzt Netz- und Informationssysteme. Das Ziel ist die Sicherstellung der <strong>CIA-Triade<\/strong> (Vertraulichkeit, Integrit\u00e4t, Verf\u00fcgbarkeit) digitaler Dienste.<\/li>\n<li><strong>KRITIS-Dachgesetz (Der physische Festungswall):<\/strong> Erwartet f\u00fcr Anfang 2026, setzt es die europ\u00e4ische CER-Richtlinie um. Es sch\u00fctzt <strong>physische Anlagen<\/strong>, Geb\u00e4ude und Personal gegen Gefahren wie Sabotage, Terrorismus oder Naturkatastrophen.<\/li>\n<li><strong>Beispiel zur Abgrenzung:<\/strong> F\u00e4llt die Steuerung eines Wasserwerks durch einen Hackerangriff aus, greift NIS2; wird dieselbe Steuerung durch ein Hochwasser geflutet, ist dies ein Fall f\u00fcr das KRITIS-Dachgesetz.<\/li>\n<\/ul>\n<h3>Der massive Scope-Wechsel: Die \u201eSize-Cap-Rule\u201c<\/h3>\n<p>Die Zahl der betroffenen Unternehmen steigt von etwa 2.000 auf gesch\u00e4tzte <strong>30.000<\/strong>. Ausschlaggebend ist nicht mehr nur eine Versorgungs-Schwelle, sondern die Gr\u00f6\u00dfe:<\/p>\n<ul>\n<li><strong>Betroffenheit:<\/strong> 18 regulierte Sektoren (u. a. Energie, Gesundheit, Chemie, Lebensmittel, verarbeitendes Gewerbe).<\/li>\n<li><strong>Schwellenwert:<\/strong> Mindestens <strong>50 Mitarbeiter<\/strong> ODER \u00fcber <strong>10 Mio. Euro Jahresumsatz<\/strong>.<\/li>\n<li><strong>Wichtig:<\/strong> Es gibt keinen offiziellen Bescheid. Unternehmen m\u00fcssen selbst pr\u00fcfen, ob sie betroffen sind, und sich eigenst\u00e4ndig beim BSI registrieren.<\/li>\n<\/ul>\n<p>Man unterscheidet zudem zwischen <strong>Besonders wichtigen Einrichtungen<\/strong> (Aufsicht jederzeit anlasslos) und <strong>Wichtigen Einrichtungen<\/strong> (Aufsicht nur ex post bei Vorf\u00e4llen).<\/p>\n<h3>Management-Haftung: \u201eTone from the Top\u201c wird Gesetz<\/h3>\n<p>Die Gesch\u00e4ftsleitung (Vorstand\/GmbH-Gesch\u00e4ftsf\u00fchrung) wird pers\u00f6nlich in die Pflicht genommen (\u00a7 38 BSIG-neu).<\/p>\n<ul>\n<li><strong>Billigungs- und \u00dcberwachungspflicht:<\/strong> Die F\u00fchrungsebene muss Risikomanagementma\u00dfnahmen absegnen und kontrollieren.<\/li>\n<li><strong>Pers\u00f6nliche Haftung:<\/strong> Bei schuldhafter Verletzung haften Gesch\u00e4ftsf\u00fchrende der Gesellschaft gegen\u00fcber mit ihrem Privatverm\u00f6gen.<\/li>\n<li><strong>Schulungspflicht:<\/strong> Das Management muss regelm\u00e4\u00dfig an Schulungen teilnehmen; Unwissenheit sch\u00fctzt nicht.<\/li>\n<\/ul>\n<h3>Die Kernpflichten im Detail<\/h3>\n<ol>\n<li><strong>Risikomanagement (\u00a7 30-Katalog):<\/strong> Erfordert Konzepte zur Risikoanalyse (\u201eKronjuwelen-Identifikation\u201c), Incident-Response-Pl\u00e4ne, Business Continuity Management (BCM) und Backup-Strategien.<\/li>\n<li><strong>Lieferkettensicherheit:<\/strong> Ein massiver neuer Block. Unternehmen m\u00fcssen Sicherheitsaspekte in Vertr\u00e4gen mit Zulieferern verankern und deren Sicherheitsniveau bewerten.<\/li>\n<li><strong>Technik:<\/strong> Multi-Faktor-Authentifizierung (MFA) ist nun gesetzlicher Standard f\u00fcr alle zugangsgesch\u00fctzten Bereiche.<\/li>\n<li><strong>Versch\u00e4rftes Meldewesen:<\/strong> Bei erheblichen Vorf\u00e4llen gilt ein <strong>24-Stunden-Takt<\/strong> f\u00fcr die erste Fr\u00fchwarnung an das BSI, gefolgt von einer detaillierten Meldung nach 72 Stunden und einem Abschlussbericht nach einem Monat.<\/li>\n<\/ol>\n<h3>Sanktionen: Wenn das BSI Ernst macht<\/h3>\n<p>Der Sanktionsrahmen ist an die Wirtschaftskraft gekoppelt:<\/p>\n<ul>\n<li><strong>Besonders wichtige Einrichtungen:<\/strong> Bis zu <strong>10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes<\/strong>.<\/li>\n<li><strong>Wichtige Einrichtungen:<\/strong> Bis zu <strong>7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes<\/strong>.<\/li>\n<li><strong>Ultima Ratio:<\/strong> Das BSI kann sogar beantragen, Gesch\u00e4ftsf\u00fchrern vor\u00fcbergehend die Leitung zu untersagen, bis die Compliance wiederhergestellt ist.<\/li>\n<\/ul>\n<h3>Die 4-Phasen-Roadmap zur Umsetzung<\/h3>\n<p>F\u00fcr Unternehmen, die noch nicht \u201eready\u201c sind, empfiehlt der Autor folgendes Vorgehen:<\/p>\n<ul>\n<li><strong>Phase 1 (Woche 1\u20134):<\/strong> BSI-Registrierung, Etablierung von 24\/7-Meldewegen und dokumentierte Haftungs-Aufkl\u00e4rung der Gesch\u00e4ftsleitung.<\/li>\n<li><strong>Phase 2 (Monat 2\u20136):<\/strong> \u201eQuick Wins\u201c wie MFA f\u00fcr alle externen Zug\u00e4nge, Validierung von Restore-Prozessen (Backups) und Schlie\u00dfen kritischer Patch-L\u00fccken binnen 72 Stunden.<\/li>\n<li><strong>Phase 3 (Monat 7\u201312):<\/strong> Aufbau eines vollwertigen ISMS\/BCMS, physische Bestandsaufnahme f\u00fcr das KRITIS-Dachgesetz und Audits der wichtigsten Lieferanten.<\/li>\n<li><strong>Phase 4 (Laufend):<\/strong> J\u00e4hrliche Tabletop-Krisen\u00fcbungen, Stichprobenpr\u00fcfungen durch die Interne Revision und fortlaufende Security-Awareness-Schulungen.<\/li>\n<\/ul>\n<p><strong>Fazit:<\/strong> NIS2 und das KRITIS-Dachgesetz markieren den \u00dcbergang von der \u201eK\u00fcr\u201c zur \u201ePflicht\u201c. Resilienz wird so zum neuen Qualit\u00e4tsmerkmal <strong>\u201eMade in Germany\u201c<\/strong> \u2013 wer seine Lieferf\u00e4higkeit auch in Krisenzeiten nachweisen kann, gewinnt einen klaren Wettbewerbsvorteil.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die neue Rechtslage: Ende der Freiwilligkeit Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz (NIS2UmsuCG)&hellip;<\/p>\n","protected":false},"author":1,"featured_media":898,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2,4],"tags":[],"class_list":["post-1039","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-datenschutz","category-it-audit"],"_links":{"self":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts\/1039","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/comments?post=1039"}],"version-history":[{"count":1,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts\/1039\/revisions"}],"predecessor-version":[{"id":1040,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/posts\/1039\/revisions\/1040"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/media\/898"}],"wp:attachment":[{"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/media?parent=1039"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/categories?post=1039"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.g-lorenzen.de\/index.php\/wp-json\/wp\/v2\/tags?post=1039"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}