KRITIS und NIS2

Gesetzliche Anforderungen im Überblick

Was das KRITIS-Dachgesetz und NIS2 für Betreiber bedeuten

Seit 2026 gelten mit dem KRITIS-Dachgesetz und der NIS2-Richtlinie neue, verbindliche Anforderungen an den physischen Schutz kritischer Infrastrukturen. Ob Energieversorger, Wasserwerk, Krankenhaus oder Rechenzentrum: Wer betroffen ist, muss handeln – nicht nur digital, sondern auch bei Türen, Zutrittswegen und Schließanlagen. 

Als Fachhandelspartner mit über 140 Jahren Erfahrung in der Sicherheitstechnik unterstützen wir Sie dabei, Ihre Zutrittskontrolle gesetzeskonform und zukunftssicher aufzustellen – herstellerübergreifend und mit einem Team von über 20 Mitarbeitern an den Standorten Stuttgart, Ulm, Bonn und Olpe.

Letzte Aktualisierung: 20.08.2026

Neue Gesetze, neue Pflichten

Cyberphysische Angriffe nehmen zu: Immer häufiger verschaffen sich Angreifer über eine unsichere Tür, einen veralteten Schließzylinder oder einen ungeschützten Serverraum Zugang zu Hochsicherheitsbereichen – nicht nur über das Netzwerk. Der physische Zugang gilt inzwischen als „größte Hintertür" für Cyberkriminelle. Mit dem KRITIS-Dachgesetz und der NIS2-Richtlinie gelten seit 2025/2026 erstmals bundeseinheitliche, verbindliche Mindeststandards – sowohl für die IT-Sicherheit als auch für den physischen Schutz von Gebäuden und Anlagen. 

Auf dieser Seite erfahren Sie das Wichtigste im Überblick – und wie Sie Ihre Zutrittskontrolle rechtssicher aufstellen.

Was ist das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz ist die deutsche Umsetzung der europäischen CER-Richtlinie und seit März 2026 in Kraft. Es legt erstmals bundeseinheitlich fest, welche Unternehmen verpflichtende Resilienzmaßnahmen für den physischen Schutz ihrer Anlagen ergreifen müssen.

Betroffen sind elf Sektoren: Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung, Gesundheitswesen, Wasser, Ernährung, IT und Telekommunikation, Weltraum, Siedlungsabfallentsorgung sowie Bundesverwaltung.

Grober Schwellenwert: ab 500.000 versorgten Personen – zuständige Behörden können auch kleinere Anlagen einbeziehen. Das BMI rechnet mit rund 1.700 betroffenen Betreibern.

Zentrale Pflichten: Risikoanalyse, Resilienzplan, Registrierung beim BBK, Meldepflicht bei Vorfällen innerhalb von 24 Stunden.
 

Was regelt die NIS2-Richtlinie?

NIS2 ist das europaweite Pendant zum KRITIS-Dachgesetz mit Schwerpunkt auf Cybersicherheit – in Deutschland seit dem 6. Dezember 2025 verbindlich. Rund 29.000 bis 30.000 Einrichtungen unterliegen künftig der Aufsicht des BSI.

Auch physischer Schutz zählt: Betroffene Einrichtungen müssen gemäß Artikel 21 nicht nur digitale, sondern ausdrücklich auch physische Schutzmaßnahmen ergreifen – etwa moderne Zutrittskontrolle.

Faustregel: Betroffen sind Unternehmen in einem der 18 gelisteten Sektoren mit über 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz.

Meldefristen bei Vorfällen: Erstmeldung innerhalb von 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussmeldung in der Regel nach einem Monat. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

In drei Fragen zur ersten Einschätzung

1. Sektor: Ist Ihr Unternehmen in einem der Bereiche Energie, Wasser, Ernährung, Gesundheit, IT/Telekommunikation, Transport, Finanzwesen, Verwaltung oder Entsorgung tätig?

2. Größe/Schwellenwert: Versorgen Sie mehr als 500.000 Personen – oder beschäftigen Sie mehr als 50 Mitarbeitende bzw. erzielen über 10 Millionen Euro Jahresumsatz?

3. Systemrelevanz: Wurden Sie bereits von Behörden als systemrelevant eingestuft oder hatten Kontakt zum BSI/BBK?

Wenn Sie mindestens 3 der Fragen mit “Ja” beantworten, sind Sie wahrscheinlich betroffen und müssen handeln. 
Sie sind sich unsicher? Nehmen Sie Kontakt mit unseren Experten auf.
 

Ihr Partner für gesetzeskonforme Zutrittskontrolle

Mit über 140 Jahren Erfahrung begleiten wir Sie von der Beratung bis zum laufenden Betrieb Ihrer Schließanlage:

• Beratung & Bestandsaufnahme – Analyse Ihrer bestehenden Anlage und Schwachstellen nach aktuellem Stand der Technik
• Planung individueller Schließanlagen – Mechanisch, mechatronisch, digital oder online – herstellerübergreifend auf Ihre Anforderungen zugeschnitten
• Zonenkonzepte – Von der Gebäudeaußenhülle bis zum Serverraum mit gestaffelten Schutzklassen
• Elektronische Zutrittskontrolle – Zentrale Rechteverwaltung, Echtzeit-Monitoring und lückenlose Audit-Trails
• Intelligente Schlüsselverwaltung – Vollständige Nachverfolgung aller Zutrittsmedien ohne Compliance-Lücken
• Fluchtwegsicherung & Rettungswegtechnik – Sicherheit und Rettung funktionieren zusammen
• Wartung, Service & Betreuung vor Ort – Regelmäßige Inspektionen und schnelle Reaktion im Umkreis unserer Standorten Gärtringen, Olpe, Ulm, Tübingen, Achern, Nürtingen

So arbeiten wir: Erstberatung → Bestandsaufnahme vor Ort → individuelles Sicherheitskonzept → Umsetzung → laufender Support.

Warum wir der richtige Partner zur Umsetzung Ihrer Schließanlage sind

• 140 Jahre Sicherheitstechnik-Erfahrung – Wir kennen die Anforderungen von Betreibern kritischer Infrastrukturen aus der Praxis und haben langjährige Erfahrung.
• Herstellerübergreifend – Wir wählen die beste Lösung für Ihre Infrastruktur, nicht unsere Standard-Produkte. Ihre Anforderungen bestimmen die Technik.
• schnell und regional präsent – Bei Problemen oder Wartungsfragen: wir sind vor Ort ihr Ansprechpartner und helfen Ihnen innerhalb kürzester Zeit.
• Revisionssicher dokumentiert – Wir liefern das vollständige Nachweismaterial: Grundrisse, Audit-Trails, Wartungsprotokolle. Das ist Ihr Schutz gegen Bußgelder und Haftungsrisiken.
• Prozessübergreifend: Wir sind von Anfang an Ihr Ansprechpartner von der Beratung, über die Projektierung, bis zur Umsetzung und regelmäßigen Wartung.

Häufige Fragen zu KRITIS-Dachgesetz und NIS2

Was ist der Unterschied zwischen KRITIS-Dachgesetz und NIS2?
Das KRITIS-Dachgesetz regelt den physischen Schutz kritischer Infrastrukturen. NIS2 fokussiert Cybersicherheit, verlangt aber ebenfalls physische Schutzmaßnahmen als Teil eines ganzheitlichen Konzepts.

Ab wann gilt das KRITIS-Dachgesetz für mein Unternehmen?
Seit März 2026. Betroffenheit hängt von Sektor, Zahl versorgter Personen (Richtwert 500.000) und einer möglichen behördlichen Einstufung ab.

Reicht meine bestehende Schließanlage aus?
Das hängt vom Stand der Technik ab. Veraltete mechanische Systeme mit abgelaufenem Patentschutz gelten meist als Sicherheits- und Haftungsrisiko. Wir prüfen das gerne mit Ihnen gemeinsam.

Was kostet eine KRITIS-konforme Zutrittskontrolllösung?
Das hängt von Gebäudegröße, Bestandssituation und gewünschtem Schutzniveau ab. Im Rahmen einer kostenlosen Erstberatung erstellen wir ein individuelles Angebot.

An wen muss ich Sicherheitsvorfälle melden?
Beim KRITIS-Dachgesetz an das BBK, bei NIS2 an das BSI – in beiden Fällen in der Regel innerhalb von 24 Stunden.

Weiterführende Ressourcen

Weitere Informationen und offizielle Dokumente zu KRITIS-Dachgesetz und NIS2 finden Sie bei folgenden Behörden und Institutionen:

• Bundesamt für Sicherheit in der Informationstechnik (BSI) – Kritische Infrastrukturen
  https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/Kritische-Infrastrukturen/kritis.html
• Bundesministerium des Innern und für Heimat – Schutz kritischer Infrastrukturen
  https://www.bmi.bund.de/DE/themen/bevoelkerungsschutz/schutz-kritischer-infrastrukturen/schutz-kritischer-infrastrukturen-node.html
• Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) – Kritische Infrastrukturen
  https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/kritische-infrastrukturen_node.html
• Agentur der Europäischen Union für Cybersicherheit (ENISA)
  https://www.enisa.europa.eu/