NIS 2 und KRITIS – wenn eine Anlagedas ganze Unternehmen zu betreffen scheint
KRITIS Betreiber = Betreiberkritischer Anlagen = besonders wichtige Einrichtung
VieleKRITIS Betreiber stehen aktuell vor einer Falle, die auf den ersten Blickharmlos wirkt, in der Praxis jedoch unnötig Zeit, Geld und Kapazitäten verschlingt.
KRITIS-Betreiberfallen unter die NIS 2 und sind verpflichtet die Anforderungen unternehmensweit umzusetzen.
Hierfindet sich jedoch ein Fallstrick. Die Maßnahmen für eine einzelne kritischeAnlage werden reflexartig auf das gesamte Unternehmen ausgedehnt – aufgrund derUnternehmensbetrachtung und Einwertung durch NIS 2. Das Ergebnis sindDoppelstrukturen, aufgeblähte Dokumentationen und ein hoher Aufwand die Compliance nachvollziehbar darzustellen.
Worum es wirklich geht
KRITIS‑Verpflichtungen sind anlagenbezogen und fordern die Umsetzung speziellerSicherheitsmaßnahmen (z.B. verschärfter Perimeterschutz). NIS 2 hingegenadressiert Organisationen auf Unternehmens‑ oder Konzernebene und kann vom Scope nicht eingeschränkt werden. Beide Regelwerke gelten gleichzeitig. Das ist kein Widerspruch, erzeugt aber in der Praxis Reibungsflächen, wenn nicht klarunterschieden wird, welche Maßnahmen für welche Ebene gelten sollen.
Die Risiken einer unscharfen Abgrenzung
Wer den Geltungsbereich einer KRITIS‑Anlage nicht präzise definiert, läuftGefahr, KRITIS‑Schutzmaßnahmen pauschal unternehmensweit umzusetzen, zusätzlich die vollständigen NIS‑2‑Anforderungen zu implementieren und dadurch Prozesse und Kontrollen zu duplizieren. Solche Überschneidungen führen zu höherenKosten, unnötiger Komplexität und einer verwässerten Governance — und machen Audits, interne Kontrollen und Notfallübungen schwerfälliger.
Pragmatische Haltung statt ‑Micro‑Management
Statt in technische Details odersofortige Rollouts zu springen, lohnt sich eine pragmatische Haltung: Klarheit schaffen über den Geltungsbereich, Verantwortlichkeiten festlegen und dieZusammenhänge zwischen anlagen bezogenen Anforderungen (KRITIS) und denorganisationsweiten Pflichten (NIS 2) abbilden. Dadurch werden Überschneidungen sichtbar und werden steuerbar — ohne in operative Details zu versinken.
Weil der Nutzen die Kosten überwiegt
Eine saubere Abgrenzung reduziert nicht nur Kosten, sondern stärkt auch die Sicherheit: Durch zielgerichtete Maßnahmen bleiben Kontrollen wirksam und überprüfbar. GovernanceProzesse werden schlanker, Verantwortlichkeiten klarer, und Berichtspflichten lassen sich effizienter erfüllen. Letztlich führt das zu belastbarerenNachweisen gegenüber Aufsichtsbehörden und zu einem besseren Management vonRisiken entlang der Lieferkette.
Fazit
KRITIS und NIS 2 müssen nebeneinander bestehen — das Problem entsteht, wen nun geprüft alles doppelt umgesetzt wird. Eine risikobasierte Denkweise hilft, die richtige Balance zu finden: nicht weniger Sicherheit, aber mehr Effizienz und Transparenz.
Wir können Sie dabei unterstützen, die Abgrenzung in Ihrem konkreten Kontext konzeptionell zu formulieren und umzusetzen.
