NIS2 und KRITIS-Dachgesetz in Deutschland: Was die neuen Cybersicherheitsregeln für Unternehmen bedeuten

Seit fast einem Jahr gelten in Deutschland zwei Gesetze, die die Cybersicherheit kritischer Infrastruktur neu ordnen. Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, das KRITIS-Dachgesetz folgte am 17. März 2026. Betroffen sind nach Schätzungen rund 29.500 Unternehmen in 18 Sektoren, und auch ihre Zulieferer spüren die Folgen längst. Eine Analyse des Kennzeichenerkennungs-Anbieters Survision vom 9. November 2026 zeigt, worauf sich Firmen in Deutschland jetzt einstellen müssen.

Zwei Gesetze, ein gemeinsames Ziel

Deutschland hat die europäische NIS2-Richtlinie mit dem NIS2-Umsetzungsgesetz in nationales Recht übertragen. Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt veröffentlicht und trat einen Tag später, am 6. Dezember 2025, in Kraft. Es reformiert das BSI-Gesetz grundlegend und gilt ohne Übergangsfrist. Zuständig ist das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI.

Das zweite Gesetz, das KRITIS-Dachgesetz, ist am 17. März 2026 in Kraft getreten. Es setzt die europäische CER-Richtlinie um und regelt die physische Widerstandsfähigkeit kritischer Einrichtungen. Während NIS2 vor allem die digitale Sicherheit betrifft, also Netzwerke, Software und Daten, geht es beim KRITIS-Dachgesetz um den Schutz vor physischen Bedrohungen, etwa Sabotage, Naturkatastrophen oder Ausfälle der Stromversorgung. Beide Gesetze gehören zusammen, denn ein Angriff auf ein Rechenzentrum kann genauso gut mit einem Bagger beginnen wie mit einem Phishing-Link.

Die Botschaft der beiden Gesetze ist klar: Cybersicherheit ist in Deutschland keine freiwillige Zusatzleistung mehr, sondern eine gesetzliche Pflicht für alle, die kritische Dienste betreiben. Wer dazugehört, muss sich registrieren, Vorfälle melden und seine Sicherheitsmaßnahmen nachweisen können.

Wer ist betroffen? Rund 29.500 Unternehmen in 18 Sektoren

Nach Angaben aus der Analyse vom 9. November 2026 betreffen die beiden Gesetze zusammen schätzungsweise 29.500 Unternehmen in Deutschland, verteilt auf 18 Sektoren. Dazu gehören Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Finanzwesen und öffentliche Verwaltung, aber auch Bereiche wie Abfallwirtschaft, Lebensmittel oder Forschung.

Im Verkehrssektor sind die Auswirkungen besonders sichtbar. Betreiber von Flughäfen, Autobahnen und Mautsystemen, Parkhäusern und öffentlichen Verkehrsmitteln gehören zu den regulierten Bereichen. Auch Unternehmen, die diese Betreiber beliefern, geraten in den Blick der neuen Regeln. Ein Beispiel sind Anbieter von Kennzeichenerkennungssystemen, deren Kameras in Mautanlagen, Flughafenparkhäusern und städtischen Parkleitsystemen im Einsatz sind. Ihre Technik wird Teil der kritischen Infrastruktur, auch wenn sie selbst keine Betreiber sind.

Wichtig ist die Unterscheidung: Die Registrierungs-, Melde- und Haftungspflichten treffen in erster Linie die Betreiber kritischer Anlagen. Ein Hersteller oder Zulieferer unterliegt diesen Pflichten nach der Analyse nicht direkt. Er muss aber damit rechnen, dass seine Kunden ihn genau prüfen, bevor sie seine Hardware und Software einsetzen. Wer als Zulieferer keine klaren Antworten auf Fragen zur Sicherheit seiner Produkte geben kann, verliert Aufträge an Wettbewerber, die das können.

Was Zulieferer jetzt spüren: Prüfung statt Pflicht

Die neuen Gesetze wirken über die Lieferkette. Betreiber kritischer Infrastruktur müssen die Sicherheit ihrer Lieferanten im Blick behalten, denn ein unsicheres Bauteil kann die ganze Anlage angreifbar machen. Deshalb verlangen Kunden von ihren Zulieferern heute Nachweise, die es vor wenigen Jahren noch nicht gab: Wo wird die Hardware entwickelt und gefertigt? Wer hat Zugriff auf die Firmware? Wo liegen die Daten, und welche Cloud wird genutzt?

Der Anbieter Survision beschreibt in seiner Analyse vom 9. November 2026, wie sein Unternehmen auf diese Anforderungen reagiert. Die Hardware werde in Europa entwickelt und gefertigt, Firmware, Erkennungssoftware und KI-Algorithmen stammten aus eigener Entwicklung. Für die Cloud setze das Unternehmen auf den europäischen Anbieter OVHcloud statt auf US-amerikanische Hyperscaler. Außerdem habe man die Anforderungen des US-amerikanischen Beschaffungsregimes NDAA Section 889 umgesetzt, eines der strengsten Regelwerke für sicherheitsrelevante Hardware.

Ob ein einzelnes Unternehmen diese Details genauso löst, spielt eine kleinere Rolle. Entscheidend ist das Muster: Europäische Fertigung, eigene Kontrolle über Software und Daten und nachweisbare Sicherheitsstandards sind für Zulieferer kritischer Infrastruktur zu einem Verkaufsargument geworden.

Was Unternehmen jetzt tun sollten

Für Betreiber, die unter die neuen Gesetze fallen, gibt es keinen Grund mehr zu warten. Die Gesetze sind in Kraft, und die Übergangsfristen, auf die manche gehofft hatten, gibt es beim NIS2-Umsetzungsgesetz ausdrücklich nicht. Drei Schritte stehen am Anfang.

Erstens: Prüfen, ob das eigene Unternehmen betroffen ist. Die Kriterien hängen von Sektor und Größe ab. Das BSI stellt Informationen bereit, und Branchenverbände helfen bei der Einordnung. Wer unsicher ist, sollte die Prüfung nicht aufschieben, denn die Registrierungspflicht gilt ab dem ersten Tag.

Zweitens: Die eigenen Sicherheitsmaßnahmen auf den Stand bringen, den die Gesetze verlangen. Dazu gehören ein dokumentiertes Risikomanagement, Meldewege für Sicherheitsvorfälle und Maßnahmen für den Fall eines Angriffs. Viele Unternehmen haben diese Bausteine schon, etwa aus der ISO-27001-Zertifizierung, aber sie müssen nun auch gegenüber dem BSI nachweisbar sein.

Drittens: Die Lieferkette prüfen. Welche Zulieferer liefern Technik, die für den Betrieb kritischer Dienste wichtig ist? Sind Verträge und Sicherheitsnachweise aktuell? Ein Angriff über einen Zulieferer ist kein theoretisches Szenario mehr, sondern eine der häufigsten Angriffsarten der vergangenen Jahre. Wer seine Lieferanten kennt und prüft, reduziert dieses Risiko deutlich.

Der Blick nach Europa: Frankreich holt erst jetzt auf

Deutschland gehört zu den Ländern, die die NIS2-Richtlinie vergleichsweise zügig umgesetzt haben. In Frankreich kehrt der Gesetzentwurf zur Umsetzung der Richtlinie erst am 9. November 2026 in die Nationalversammlung zurück, nach mehr als zwei Jahren Verzögerung. Das zeigt, wie unterschiedlich schnell die EU-Staaten bei derselben Richtlinie vorankommen.

Für deutsche Unternehmen, die europaweit tätig sind, bedeutet das: Die Regeln sind in Deutschland bereits Realität, während in anderen Ländern noch diskutiert wird. Wer in Deutschland die Anforderungen erfüllt, ist für den Rest Europas gut aufgestellt. Wer dagegen wartet, bis alle Länder so weit sind, riskiert Bußgelder und den Verlust von Aufträgen, bei denen Kunden Sicherheit nachweisen müssen.

Frequently Asked Questions

Was ist das NIS2-Umsetzungsgesetz?

Das NIS2-Umsetzungsgesetz, kurz NIS2UmsuCG, überträgt die europäische NIS2-Richtlinie in deutsches Recht. Es wurde am 5. Dezember 2025 im Bundesgesetzblatt veröffentlicht und ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Es reformiert das BSI-Gesetz und verpflichtet Betreiber kritischer Infrastruktur unter anderem zur Registrierung, zur Meldung von Sicherheitsvorfällen und zu einem dokumentierten Risikomanagement.

Was regelt das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten und setzt die europäische CER-Richtlinie um. Es regelt die physische Widerstandsfähigkeit kritischer Einrichtungen, also den Schutz vor Sabotage, Naturkatastrophen und anderen physischen Bedrohungen. Zusammen mit dem NIS2-Umsetzungsgesetz deckt es damit beide Seiten der Sicherheit kritischer Infrastruktur ab: die digitale und die physische.

Bin ich als Zulieferer von den neuen Gesetzen betroffen?

Die Registrierungs-, Melde- und Haftungspflichten treffen in erster Linie die Betreiber kritischer Anlagen, nicht ihre Zulieferer direkt. Als Zulieferer müssen Sie aber damit rechnen, dass Ihre Kunden die Sicherheit Ihrer Hardware, Software und Datenverarbeitung genau prüfen, bevor sie Ihre Produkte einsetzen. Nachweise über europäische Fertigung, eigene Softwareentwicklung und sichere Cloud-Infrastruktur sind dabei ein wichtiger Vorteil im Wettbewerb.