KRITIS-DG
Die deutsche Umsetzung der EU-CER-Richtlinie deckt physische Sicherheit, Lieferketten-Resilienz und organisatorische Kontinuität zusätzlich zur Cybersicherheit ab. KaitoSec führt all das auf demselben Datenmodell wie ISMS, BCMS und DSMS.
Eine Maßnahme, mehrere Standards
Standards überschneiden sich weit mehr, als sie sich unterscheiden. Eine einmal erfasste Maßnahme wird jedem Framework zugeordnet, dessen Anforderung sie beantwortet. Das zweite Audit erbt den Nachweis aus dem ersten.
Eine Maßnahme
Lieferanten- und Dienstleisterprüfung
Von der Maßnahme zur Richtlinie
Eine Maßnahme ist keine Zeile in einem Register. Sie gehört zu einem Managementsystem und wird von den Richtlinien und Verfahren getragen, die Ihr Team tatsächlich liest. Deshalb läuft sie durch beides.
Eine Maßnahme
Lieferanten- und Dienstleisterprüfung
Managementsysteme
Richtlinien und Verfahren
01
KRITIS-DG verpflichtet Betreiber kritischer Anlagen über die Cybersicherheit hinaus: physische Sicherheit, Lieferketten-Resilienz und organisatorische Kontinuität. KaitoSec modelliert diese Schichten auf einem Inventar.
02
Die meisten KRITIS-Betreiber tragen KRITIS-DG und NIS2 parallel. KaitoSec bildet beide Regime auf dieselben Maßnahmen ab, eine Investition für eines wird Nachweis für das andere. So entstehen keine parallelen Programme und keine doppelten Audit-Zyklen.
03
ISO-22301-BCMS, Asset-Register, Lieferantenliste und Standortkatalog liegen in einem Workspace. Ein Ausfall eines primären Standorts, eines Lieferanten oder eines IKT-Systems läuft durch dieselbe BIA-Kette wie Ihr CER-Reporting.
01
Eine Ansicht für Ihre KRITIS-DG-Pflichten: Sektorzuordnung, benannte Einrichtungen, physische Sicherheitsmaßnahmen, BC-Pläne, Vorfallmeldungen und Aufsichtsfristen. Jede Pflicht zeigt Verantwortliche, Nachweisstatus und nächsten Aufsichtstermin.
02
Standorte, Perimeter, kontrollierte Bereiche, IKT-Systeme und Verarbeitungstätigkeiten teilen sich dasselbe Inventar. Der KRITIS-DG-Resilienzplan und die ISO-22301-BIA lesen aus derselben Quelle.
03
KRITIS-DG übernimmt die EU-CER-Meldestruktur. KaitoSec berechnet die relevanten Meldefristen, befüllt die Meldung vor und verbindet die Aufsichtsmeldung mit demselben Vorfall-Workflow, der die NIS2-Meldung bedient.
Das KRITIS-Dachgesetz ist die deutsche Umsetzung der EU-Richtlinie 2022/2557 (CER) und seit März 2026 in Kraft. Es bestimmt kritische Anlagen in 11 Sektoren und verpflichtet deren Betreiber zu physischer Sicherheit, Business Continuity und Lieferketten-Resilienz, zusätzlich zu den Cybersicherheitspflichten aus NIS2.
NIS2 (in Deutschland über NIS2UmsuCG umgesetzt) regelt Cybersicherheit für wesentliche und wichtige Einrichtungen. KRITIS-DG regelt physische und organisatorische Resilienz für kritische Einrichtungen. Die Regime überlappen stark bei Betreibern und sind zur gemeinsamen Umsetzung gedacht. BSIG regelt historisch Meldungen und Pflichten für KRITIS-Betreiber und wird parallel zum neuen Regime fortgeschrieben. Einen tieferen Vergleich liefert wie KRITIS-DG und NIS2 in der Praxis zusammenhängen.
Betreiber in 11 Sektoren: Energie, Verkehr, Banken, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum und Lebensmittel. Aufsicht liegt beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), für Cyber zusammen mit dem BSI.
Die meisten Cybersicherheitsmaßnahmen bedienen bereits KRITIS-DG. KRITIS-DG ergänzt die physische, organisatorische und Lieferketten-Resilienz-Dimension: Standortsicherheit, BC-Pläne für Störungen jenseits der IKT, Lieferanten-Resilienz und Resilienzpläne für die Einrichtung als Ganzes. KaitoSec modelliert diese Schichten auf demselben Asset-Register, das ISMS und BCMS bereits nutzen.
