CyberPediaWissenA1-04NIS-2

Größenunabhängige Sondertatbestände und KRITIS-DachG-Abgrenzung — wann Größe egal ist und welche zweite Regulierung greift

Autor: Willi Plattes LinkedIn
Erstveröffentlichung: 10. Juni 2026 · Letzte Aktualisierung: 19. September 2026
Lesezeit: 39 Min.

1. Worum es geht

Viele NIS-2-Prüfungen beginnen mit einer Größenfrage: Wie viele Mitarbeiter hat die Einrichtung, wie hoch sind Umsatz und Bilanzsumme, gehört sie zu einer Unternehmensgruppe? Diese Route ist wichtig, aber sie ist nicht die ganze Wahrheit. A1-04 behandelt die andere Tür in den Anwendungsbereich: Fälle, in denen die Größe für die Erfassung nicht entscheidend ist.

Die Größenschwellen und die Kategorien-Logik der besonders wichtigen Einrichtungen und wichtigen Einrichtungen stehen in Schwellenwerte (250 MA / 50 Mio. €). Die NIS-2-Gesamtübersicht steht in Selbst-Check für Geschäftsführer. Dieser Satellit beantwortet dagegen zwei Sonderfragen: Erstens, welche Einrichtungen unabhängig von Mitarbeiterzahl, Umsatz und Bilanzsumme über § 28 BSIG [N-BSIG-28] erfasst sein können. Zweitens, wann neben dem BSIG eine zweite Regulierungswelt greift: das KRITIS-Dachgesetz [N-KRITISDachG].

Der wichtigste Ausgangspunkt ist einfach: Klein schützt nicht, wenn ein Sondertatbestand oder eine besondere Telekommunikationsroute erfüllt ist. Ein kleiner qualifizierter Vertrauensdiensteanbieter kann besonders wichtige Einrichtung sein. Ein kleiner Vertrauensdiensteanbieter kann wichtige Einrichtung sein. Ein Betreiber kritischer Anlagen ist über § 28 Abs. 1 Satz 1 Nr. 1 BSIG besonders wichtige Einrichtung, ohne dass die allgemeinen Mitarbeiter-, Umsatz- oder Bilanzschwellen der Größenroute entscheidend wären. Daneben haben Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze eine eigene §-28-BSIG-Route: je nach Schwellenlage als besonders wichtige Einrichtung oder — unterhalb dieser Schwelle — als wichtige Einrichtung.

Gleichzeitig ist die zweite Regulierungswelt nicht nur ein anderes Wort für NIS-2. Das BSIG regelt Cybersicherheit. Das KRITIS-Dachgesetz regelt die physische und allgemeine Resilienz kritischer Anlagen. Betreiber kritischer Anlagen stehen deshalb regelmäßig in zwei Prüfungsräumen: BSIG-Cybersicherheit und KRITIS-DachG-Resilienz. Das bedeutet aber nicht, dass in jedem Sektor derselbe vollständige Pflichtenkatalog gilt. Ausnahmen, Übergänge, Spezialregime und Rechtsverordnungen entscheiden über die konkrete Pflichtentiefe.

2. Die größenunabhängigen Sondertatbestände im BSIG

2.1 Sonderrollen und Telekommunikations-Sonderroute

§ 28 BSIG [N-BSIG-28] unterscheidet zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen. Für A1-04 sind drei größenunabhängige Sonderrollen und zusätzlich die Telekommunikations-Sonderroute entscheidend.

Erstens gelten Betreiber kritischer Anlagen als besonders wichtige Einrichtungen. Das steht in § 28 Abs. 1 Satz 1 Nr. 1 BSIG. Wer Betreiber kritischer Anlagen ist, wird also nicht erst deshalb besonders wichtige Einrichtung, weil er eine bestimmte Mitarbeiterzahl oder Umsatzschwelle erreicht. Die kritische-Anlage-Route ist eine eigene Tatbestandsroute.

Zweitens gelten qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter als besonders wichtige Einrichtungen. Das steht in § 28 Abs. 1 Satz 1 Nr. 2 BSIG. Auch hier ist der rechtliche Trigger nicht die Unternehmensgröße, sondern die Rolle.

Drittens gelten Vertrauensdiensteanbieter als wichtige Einrichtungen. Das steht in § 28 Abs. 2 Satz 1 Nr. 1 BSIG. Der einfache Vertrauensdiensteanbieter ist also nicht automatisch besonders wichtige Einrichtung, aber ebenfalls größenunabhängig erfasst. Daneben bleibt zu prüfen, ob derselbe Träger über eine andere Route — insbesondere eine Anlage-1-Hochschwellenroute — als besonders wichtige Einrichtung einzuordnen ist.

Viertens gibt es eine eigene Telekommunikations-Sonderroute. Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze können nach § 28 Abs. 1 Satz 1 Nr. 3 BSIG bereits mit der niedrigeren TK-Schwelle besonders wichtige Einrichtungen sein; unterhalb dieser Schwelle können sie nach § 28 Abs. 2 Satz 1 Nr. 2 BSIG wichtige Einrichtungen sein. Diese Route ist nicht identisch mit den vollständig größenunabhängigen Rollen, gehört aber ebenfalls nicht in die allgemeine Anlage-1-/Anlage-2-Größenroute.

Die praktische Folge lautet: Ein Unternehmen kann klein sein und trotzdem im BSIG stehen. Umgekehrt kann ein großes Unternehmen außerhalb dieser Sonderrouten stehen und erst über die Größenroute aus Schwellenwerte (250 MA / 50 Mio. €) geprüft werden. Die Sonderroute ersetzt also nicht die allgemeine Größenroute; sie beantwortet nur die Frage, wann Größe gerade nicht die Eintrittskarte ist.

2.2 Normkern

Der Normkern lässt sich für die Erstprüfung so zusammenfassen:

§ 28 Abs. 1 Satz 1 Nr. 1 BSIG: Betreiber kritischer Anlagen sind besonders wichtige Einrichtungen.

§ 28 Abs. 1 Satz 1 Nr. 2 BSIG: qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter sind besonders wichtige Einrichtungen.

§ 28 Abs. 2 Satz 1 Nr. 1 BSIG: Vertrauensdiensteanbieter sind wichtige Einrichtungen.

§ 28 Abs. 1 Satz 1 Nr. 3 und Abs. 2 Satz 1 Nr. 2 BSIG: Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze haben eine eigene Telekommunikations-Sonderroute; die Kategorie richtet sich nach der dortigen Schwellenlogik.

Diese Sätze beantworten aber noch nicht die gesamte Pflichtenlage. Die Einordnung ist nur die erste Stufe. Danach sind § 28 Abs. 5 bis 8 BSIG, § 29 BSIG [N-BSIG-29] für Einrichtungen der Bundesverwaltung, Spezialregime wie DORA [EU-DORA], EnWG, TKG und SGB V sowie die einzelnen Pflichtnormen des BSIG zu prüfen.

2.3 Die wichtigste Kausalkette

Die Sondertatbestands-Kette lautet:

  1. Rolle prüfen: Betreiber kritischer Anlagen, qualifizierter Vertrauensdiensteanbieter, Top Level Domain Name Registry, DNS-Diensteanbieter, Vertrauensdiensteanbieter oder Telekommunikationsanbieter/-netzbetreiber mit öffentlicher TK-Rolle.
  2. Rechtsfolge nach § 28 BSIG zuordnen: besonders wichtige Einrichtung oder wichtige Einrichtung.
  3. Keine allgemeine Anlage-1-/Anlage-2-Größenroute als Ersatzprüfung anwenden; bei der Telekommunikations-Sonderroute die eigene §-28-Schwellenlogik prüfen.
  4. Danach Pflichtentiefe prüfen: § 28 Abs. 5 bis 8 BSIG, Spezialregime, Registrierung, Risikomanagement, Meldung, Geschäftsleitung, Nachweise und Aufsicht.

3. Was ist eine kritische Anlage?

3.1 Der BSIG-Verweis auf das KRITIS-Dachgesetz

Das BSIG baut die heutige kritische-Anlage-Logik nicht mehr isoliert im BSIG auf. § 2 Nr. 22 BSIG [N-BSIG-2-22] verweist auf das KRITIS-Dachgesetz [N-KRITISDachG]:

„kritische Anlage“ eine Anlage im Sinne des § 2 Nummer 3 des KRITIS-Dachgesetzes;

§ 2 Nr. 24 BSIG verweist ebenfalls auf das KRITIS-Dachgesetz:

„kritische Dienstleistung“ eine Dienstleistung im Sinne des § 2 Nummer 4 des KRITIS-Dachgesetzes;

Damit wird der Anwendungsbereich des BSIG an der kritischen-Anlage-Stelle mit dem KRITIS-Dachgesetz verschaltet. Das ist die erste große Cross-Norm-Stelle: Wer im BSIG wissen will, was eine kritische Anlage ist, muss in das KRITIS-Dachgesetz schauen — und zugleich den Übergang nach § 66 BSIG [N-BSIG-66] beachten.

3.2 Die vier Grundbegriffe des KRITIS-Dachgesetzes

Das KRITIS-Dachgesetz arbeitet mit vier Grundbegriffen.

Betreiber kritischer Anlagen ist die natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt. Im Sektor Finanzwesen gilt eine Besonderheit: Dort kommt es abweichend auf die tatsächliche Sachherrschaft an; rechtliche und wirtschaftliche Umstände bleiben insoweit unberücksichtigt.

Anlage ist weit zu verstehen: Betriebsstätte, sonstige ortsfeste Installation, Maschine, Gerät und sonstige ortsveränderliche technische Installation. Der Begriff ist nicht auf ein Gebäude oder einen Standort im engen Sinn beschränkt.

Kritische Anlage ist eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist. Die Erheblichkeit entsteht nicht durch eine Selbstbezeichnung, sondern über die Normmechanik des § 5 KRITISDachG [N-KRITISDachG-5], die Rechtsverordnung, Einzelfallfeststellung und Länderfeststellung einschließen kann.

Kritische Dienstleistung ist eine Dienstleistung zur Versorgung der Allgemeinheit in den zehn KRITIS-DachG-Sektoren, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder zu Gefährdungen der öffentlichen Sicherheit führen würde. Die zehn Sektoren sind Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum und Siedlungsabfallentsorgung.

3.3 Resilienz und Vorfall

Für die Abgrenzung zum BSIG sind zwei weitere KRITIS-DachG-Begriffe wichtig.

Resilienz meint die Fähigkeit einer kritischen Anlage, einen Vorfall zu verhindern, sich vor einem Vorfall zu schützen, einen Vorfall abzuwehren, auf ihn zu reagieren, seine Folgen zu begrenzen, ihn aufzufangen und zu bewältigen und sich von ihm zu erholen. Das ist der All-Gefahren-Ansatz. Er umfasst Cyber-Gefahren nicht als isoliertes IT-Sicherheitsprogramm, sondern als Teil einer umfassenderen Widerstandsfähigkeit.

Vorfall im KRITIS-Dachgesetz ist nicht dasselbe wie der BSIG-Sicherheitsvorfall. § 2 Nr. 9 KRITISDachG [N-KRITISDachG-2] grenzt den Vorfall ausdrücklich von Ereignissen ab, die ausschließlich Sicherheitsvorfälle im Sinne des § 2 Nr. 40 BSIG [N-BSIG-2-40] oder § 3 Nr. 53 TKG [N-TKG-3-53] sind. Für die Praxis bedeutet das: Gemeinsame Meldestelle heißt nicht gemeinsamer Vorfallbegriff. Ein Ereignis kann nach BSIG, nach KRITIS-DachG, nach beiden oder nach einem Spezialregime relevant sein. Der Tatbestand muss getrennt geprüft werden.

Auf der BSIG-Seite ist zusätzlich zwischen Sicherheitsvorfall, erheblichem Sicherheitsvorfall und erheblicher Cyberbedrohung zu unterscheiden. § 2 Nr. 40 BSIG definiert den Sicherheitsvorfall als Grundbegriff. § 2 Nr. 11 BSIG [N-BSIG-2-11] definiert den erheblichen Sicherheitsvorfall; § 32 BSIG [N-BSIG-32] knüpft für die Kernmeldungen an diesen erheblichen Sicherheitsvorfall an, nicht an jeden Sicherheitsvorfall. § 2 Nr. 10 BSIG betrifft die erhebliche Cyberbedrohung und wird vor allem bei Unterrichtungen nach § 35 BSIG [N-BSIG-35] relevant. Bei § 2 Nr. 11 BSIG bleibt der amtliche Verweisungsbruch offen: Der Normwortlaut verweist auf eine Rechtsverordnung nach § 56 Abs. 5 BSIG [N-BSIG-56]; die Erheblichkeits-Konkretisierung steht materiell in § 56 Abs. 4 BSIG. § 56 Abs. 5 BSIG betrifft dagegen Krankenhaus-Nachweise. Der amtliche Wortlaut wird deshalb nicht geglättet, sondern transparent als offener Verweisungsbruch geführt.

3.4 Die Erheblichkeitsprüfung: nicht nur 500.000

§ 5 KRITISDachG ist die zentrale Norm für die Erheblichkeit einer Anlage. Die Rechtsverordnung nach § 5 Abs. 1 KRITISDachG bestimmt insbesondere Anlagenkategorien, Schwellenwerte zum Versorgungsgrad, Stichtage und Kategorien von Anlagen, die unabhängig von Schwellenwerten als erheblich gelten können.

Der bekannte Wert von 500.000 Personen ist deshalb kein isolierter Alles-oder-nichts-Satz. § 5 Abs. 2 KRITISDachG enthält den Regelwert: grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner. Dieser Regelwert leitet Schwellenwerte der Rechtsverordnung an. Er ersetzt nicht die Rechtsverordnung und verdrängt nicht Einzelfall- oder Länderfeststellungen.

§ 5 Abs. 3 bis 6 KRITISDachG erlaubt Einzelfallfeststellungen durch das Bundesministerium des Innern. Nach positiver Feststellung teilt das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe [B-BBK] dem Betreiber das Ergebnis mit und fordert ihn zur Registrierung auf. § 5 Abs. 7 KRITISDachG öffnet außerdem eine Länderfeststellung für zusätzliche Anlagen, wenn die kritische Dienstleistung allein in die Zuständigkeit eines Landes fällt und die dafür vorgesehene Rechtsverordnung die Kriterien und das Verfahren bestimmt.

Die korrekte kritische-Anlage-Kette lautet daher:

  1. kritische Dienstleistung in einem KRITIS-DachG-Sektor;
  2. Anlage, die für diese Dienstleistung erheblich ist;
  3. Erheblichkeit über Rechtsverordnung, schwellenunabhängige Kategorie, Einzelfallfeststellung oder Länderfeststellung;
  4. Betreiber mit bestimmendem Einfluss oder im Finanzwesen tatsächlicher Sachherrschaft;
  5. Betreiber kritischer Anlagen;
  6. über § 28 Abs. 1 Satz 1 Nr. 1 BSIG zugleich besonders wichtige Einrichtung;
  7. konkrete Pflichten erst danach mit Übergang, Ausnahmen und Spezialregimen prüfen.

4. Zwei Regulierungswelten — BSIG/NIS-2 gegen KRITIS-Dachgesetz

4.1 Vergleich in einer Tabelle

Prüfungspunkt BSIG / NIS-2-Welt KRITIS-DachG / CER-Welt
Schutzgut Sicherheit in der Informationstechnik, Netz- und Informationssystemsicherheit, Cyber-Risikomanagement Physische und allgemeine Resilienz kritischer Anlagen nach dem All-Gefahren-Ansatz
EU-Herkunft Richtlinie (EU) 2022/2555, NIS-2 Richtlinie (EU) 2022/2557, CER
Deutsches Recht BSIG in der NIS2UmsuCG-Fassung KRITIS-Dachgesetz
Adressatenbegriff besonders wichtige Einrichtungen und wichtige Einrichtungen Betreiber kritischer Anlagen; zusätzlich Sonderregeln für Einrichtungen der Bundesverwaltung
Kernbegriffe Sicherheitsvorfall, erheblicher Sicherheitsvorfall, Risikomanagementmaßnahmen kritische Anlage, kritische Dienstleistung, Resilienz, Vorfall
Registrierung § 33 BSIG § 8 KRITISDachG über die gemeinsame Registrierungsmöglichkeit nach § 33 Abs. 1 BSIG
Meldewesen § 32 BSIG, erheblicher Sicherheitsvorfall § 18 KRITISDachG, Vorfall im Resilienz-Sinn
Aufsicht und Durchsetzung BSI, insbesondere §§ 40, 58, 59, 61, 62, 65 BSIG BBK und zuständige Behörden nach KRITISDachG, Bußgeldanker § 24 KRITISDachG
Wichtige Vorbehalte § 28 Abs. 5 bis 8 BSIG, § 29 BSIG, DORA, EnWG, TKG, SGB V, § 37 BSIG § 4 Abs. 2 KRITISDachG, § 8 Abs. 7 KRITISDachG, § 14 Abs. 3 bis 5 ab 2030, § 15, § 17, § 22, § 26 KRITISDachG

Der Unterschied ist nicht akademisch. Das BSIG fragt: Wie schützt die Einrichtung ihre Netz- und Informationssysteme? Das KRITIS-Dachgesetz [N-KRITISDachG] fragt: Wie bleibt eine kritische Anlage gegen erhebliche Störungen widerstandsfähig, wie verhindert oder bewältigt sie Vorfälle, und wie wird die kritische Dienstleistung aufrechterhalten?

4.2 Doppelregulierung, aber nicht pauschal

Ein Betreiber kritischer Anlagen wird über § 28 Abs. 1 Satz 1 Nr. 1 BSIG als besonders wichtige Einrichtung eingeordnet. Daneben kann das KRITIS-Dachgesetz greifen. In vielen praktischen Fällen entsteht also eine Doppelregulierung: Cyber-Pflichten auf der BSIG-Seite und Resilienzpflichten auf der KRITIS-DachG-Seite.

Dieser Satz braucht aber zwei Bremsen. Erstens gelten die BSIG-Pflichten nicht schematisch für jede Einrichtung gleich. § 28 Abs. 5 bis 8 BSIG [N-BSIG-28] enthält Nichtanwendungen und Spezialregeln, unter anderem für bestimmte Telekommunikations-, Energie-, DORA-/Finanz-, Telematik- und landesrechtlich regulierte öffentliche Konstellationen. Zweitens nimmt § 4 Abs. 2 KRITISDachG [N-KRITISDachG-4] bestimmte Sektoren und Betreibergruppen von einzelnen KRITIS-DachG-Vorschriften aus. Besonders relevant sind Finanz-/DORA-Konstellationen, Betreiber kritischer Anlagen im Sektor Informationstechnik und Telekommunikation, Siedlungsabfallentsorgung sowie Leistungen der Sozialversicherung und Grundsicherung. Die Nichtanwendungen sind nicht deckungsgleich: Bei Siedlungsabfallentsorgung sowie Sozialversicherung/Grundsicherung bleibt § 12 KRITISDachG [N-KRITISDachG-12] etwa gerade nicht pauschal ausgenommen; deshalb darf § 4 Abs. 2 KRITISDachG nicht als grober Sektor-Freibrief gelesen werden.

Deshalb ist die präzise Formel:

Betreiber kritischer Anlagen stehen regelmäßig in zwei Regulierungswelten. Die konkrete Pflichtentiefe hängt von § 28 Abs. 5 bis 8 BSIG, § 4 Abs. 2 KRITISDachG, Übergangsregeln, Spezialregimen und dem konkreten Sektor ab.

4.3 Behörden und Zuständigkeiten

Auch die Behördenlogik darf nicht vermischt werden. Das BSI bleibt [B-BSI] die zentrale BSIG-/Cyber-Autorität. § 40 BSIG [N-BSIG-40] macht das BSI zur nationalen Verbindungsstelle sowie zur zentralen Melde- und Anlaufstelle. § 58 BSIG [N-BSIG-58] betrifft Berichtspflichten des Bundesamts, § 59 BSIG [N-BSIG-59] die Zuständigkeit des Bundesamts für Teil 3, §§ 61 und 62 BSIG Aufsichts- und Durchsetzungsmaßnahmen und § 65 BSIG [N-BSIG-65] Bußgeldvorschriften.

Das BBK ist im KRITIS-Dachgesetz der zentrale Resilienz-Anker, soweit das Gesetz ihm Aufgaben zuweist. Es ist vor allem für Registrierungs-, Resilienz-, Risikoanalyse- und Vorfallmechanik des KRITIS-Dachgesetzes relevant. Eine gemeinsame Meldestelle oder Registrierungsmöglichkeit macht aus BSI und BBK keine einheitliche materiell-rechtliche Behörde. Für A1-04 genügt der Überblick; für die operative Pflichtentiefe stehen NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) und für Sanktionen Haftung und Sanktionen — Überblick.

5. Sektor-Trennschärfe — drei verschiedene Zählungen

5.1 Die Zählungen

Rechtsraum Zählung Funktion Typischer Fehler
BSIG 14 Sektoren über Anlage 1 und Anlage 2 Einrichtungsarten für besonders wichtige Einrichtungen und wichtige Einrichtungen die BSIG-Anlagen mit den KRITIS-DachG-Sektoren gleichsetzen
NIS-2-Richtlinie 18 Sektoren über Anhang I und Anhang II EU-Herkunftsschicht die EU-Anhänge unmittelbar als deutsche Normprüfung verwenden
KRITIS-Dachgesetz 10 Sektoren in § 4 Abs. 1 KRITISDachG Resilienz kritischer Anlagen „öffentliche Verwaltung“ als elften KRITIS-DachG-Sektor behandeln

Die BSIG-14er-Zählung ist eine Systemzählung aus Anlage 1 [N-BSIG-Anl1] und Anlage 2 [N-BSIG-Anl2]. Sie arbeitet mit sieben Sektoren in Anlage 1 und sieben Sektoren in Anlage 2. Anlage 1 betrifft Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur und Weltraum. Anlage 2 betrifft Transport und Verkehr, Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, Verarbeitendes Gewerbe/Herstellung von Waren, Anbieter digitaler Dienste und Forschung.

Die NIS-2-Richtlinie [EU-NIS2] zählt über Anhang I und II insgesamt 18 Sektoren. Sie enthält unter anderem Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, chemische Stoffe, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter und Forschung. Diese EU-Liste erklärt die Herkunftsschicht; die deutsche Prüfung läuft aber über das BSIG.

Das KRITIS-Dachgesetz [N-KRITISDachG] nennt zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum und Siedlungsabfallentsorgung. Öffentliche Verwaltung ist in der KRITIS-DachG-Systematik kein elfter §-4-Sektor. Einrichtungen der Bundesverwaltung werden gesondert über § 7 KRITISDachG [N-KRITISDachG-7] behandelt. Wenn öffentliche Stellen erwähnt werden, sind § 2 Nr. 10 und Nr. 11 KRITISDachG [N-KRITISDachG-2] mitzulesen.

5.2 Konkrete Abweichungen

Die Listen überschneiden sich im Daseinsvorsorge-Kern, decken sich aber nicht. Das KRITIS-Dachgesetz führt etwa Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende als eigenen Sektor; diese Bezeichnung steht nicht als gleichnamiger BSIG-Anlagensektor. Bei Gesundheit/Gesundheitswesen, Digitale Infrastruktur/Informationstechnik und Telekommunikation sowie Abfallbewirtschaftung/Siedlungsabfallentsorgung unterscheiden sich die Bezeichnungen und teilweise die Systemfunktion. Transport und Verkehr steht in beiden BSIG-Anlagen, während einzelne NIS-2-Anhang-II-Bezeichnungen nicht eins zu eins als BSIG-Anlagensektor übernommen werden dürfen. Die BSIG-Anlagen enthalten außerdem Einrichtungsarten wie Anbieter digitaler Dienste, Forschung, chemische Stoffe und Verarbeitendes Gewerbe, die nicht in derselben Weise als KRITIS-DachG-Sektoren erscheinen.

Der praktische Prüfhinweis lautet: Keine Tabelle aus einer Welt darf ungeprüft in die andere Welt kopiert werden. Wer aus einer NIS-2-Sektorliste unmittelbar auf KRITIS-DachG-Pflichten schließt, überspringt die deutsche Normmechanik. Wer aus der KRITIS-DachG-Sektorliste unmittelbar auf BSIG-Einrichtungsarten schließt, überspringt Anlagen 1 und 2 des BSIG.

6. KRITIS-DachG-Übergang — was heute schon gilt

6.1 In Kraft, aber nicht vollständig scharfgeschaltet

Das KRITIS-Dachgesetz [N-KRITISDachG] ist am 17. März 2026 in Kraft getreten. § 14 Abs. 3 bis 5 KRITISDachG [N-KRITISDachG-14] tritt aber erst am 1. Januar 2030 in Kraft. Das Gesetz ist also nicht „noch nicht geltend“. Richtig ist: Einzelne Identifizierungs-, Registrierungs-, Nachweis- und Pflichtenfragen hängen von Übergängen, Fristen und der neuen KRITIS-DachG-Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG [N-KRITISDachG-5] ab.

§ 66 BSIG [N-BSIG-66] ist der zentrale BSIG-Übergang:

§ 2 Nummer 22 und 24 und § 33 Absatz 2 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 2 Nummer 22 und 24 in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden.

Das bedeutet: Der neue BSIG-Verweis auf das KRITIS-Dachgesetz steht im Gesetz, ist für § 2 Nr. 22 und Nr. 24 BSIG sowie § 33 Abs. 2 BSIG [N-BSIG-33] aber erst nach Geltung der neuen Rechtsverordnung anzuwenden. Bis dahin bleibt die alte Fassung der kritische-Anlage- und kritische-Dienstleistung-Begriffe maßgeblich.

6.2 § 26 KRITISDachG neben § 66 BSIG

§ 66 BSIG beantwortet nicht alle Übergangsfragen. § 26 KRITISDachG [N-KRITISDachG-26] regelt einen eigenen KRITIS-DachG-Übergang. Nach dieser Norm sind § 8 Abs. 1 Nr. 2, 6 und 7 KRITISDachG erst anzuwenden, wenn die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG gilt. Bis dahin bleibt für § 8 Abs. 1 Nr. 2 und 6 KRITISDachG die bis einschließlich 16. März 2026 geltende Fassung maßgeblich.

Die Unterscheidung ist wichtig: § 66 BSIG betrifft die BSIG-Seite, insbesondere § 2 Nr. 22 und Nr. 24 sowie § 33 Abs. 2 BSIG. § 26 KRITISDachG betrifft die KRITIS-DachG-Registrierungsangaben. Wer nur § 66 BSIG liest, sieht nicht die ganze Übergangslage.

6.3 Registrierung und Pflichtenreife

§ 8 Abs. 1 KRITISDachG [N-KRITISDachG-8] verpflichtet Betreiber kritischer Anlagen zur Registrierung spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschließlich zum 17. Juli 2026. Die Registrierung erfolgt über die gemeinsame Registrierungsmöglichkeit von BSI und BBK nach § 33 Abs. 1 BSIG. Das ist ein gemeinsamer Weg, aber kein einheitliches materielles Regime.

§ 8 Abs. 1 Nr. 1 bis 7 KRITISDachG ist nicht nur eine Fristnorm, sondern ein Angabenkatalog. Er umfasst unter anderem Betreiberangaben, Sektor, Branche, kritische Dienstleistung, Anlagenkategorie, Versorgungsgrad, Standort, Versorgungsgebiet, öffentliche IP-Adressbereiche, wesentliche Dienste in anderen Mitgliedstaaten, Kontaktstelle und — soweit einschlägig — die zum Einsatz kommenden Typen kritischer Komponenten nach § 2 Nr. 23 BSIG [N-BSIG-2-22]. Öffentliche IP-Adressbereiche, Dienste in anderen Mitgliedstaaten und kritische Komponenten sind dabei nicht schematisch für jeden Betreiber gleich zu lesen; der konkrete Anwendungsfall und § 26 KRITISDachG sind mitzudenken. § 26 KRITISDachG schiebt allerdings § 8 Abs. 1 Nr. 2, 6 und 7 bis zur Geltung der neuen Rechtsverordnung teilweise in den Übergang.

§ 8 Abs. 2 bis 4 KRITISDachG ergänzt die Registrierung um behördliche Ermittlungs- und Korrekturmechanik: Das BBK kann Unterlagen und Auskünfte verlangen, wenn Tatsachen die Annahme rechtfertigen, dass ein Betreiber seine Registrierungspflicht nicht erfüllt; bei Nichtregistrierung kann das BBK nach Anhörung eine Registrierung selbst vornehmen; BSI und zuständige Behörden können dem BBK weitere Registrierungen vorschlagen.

§ 8 Abs. 5 KRITISDachG enthält eine Timing- und Informationsregel: Die Mitteilung der zuständigen Behörde erfolgt grundsätzlich spätestens zwei Wochen nach Registrierung; die erstmalige Mitteilung muss aber nicht vor dem 17. August 2026 erfolgen. Zugleich informiert das BBK das BSI und die zuständige Behörde über Registrierungen, und Angaben zu kritischen Komponenten nach § 8 Abs. 1 Nr. 7 gehen ausschließlich an das BSI. Das ist kein Freibrief, die eigene Prüfung zu verschieben. Es erklärt, wie die Behördenseite zeitlich anläuft.

§ 8 Abs. 6 KRITISDachG regelt Änderungsmitteilungen. Geänderte Werte zum Versorgungsgrad sind einmal jährlich zu übermitteln; alle anderen Angaben sind unverzüglich, spätestens binnen zwei Wochen ab Kenntnis der Änderung zu übermitteln. § 8 Abs. 7 KRITISDachG schaltet Pflichten zeitlich gestuft: § 12 KRITISDachG [N-KRITISDachG-12] gilt erstmals neun Monate nach Registrierung; §§ 13, 18 und 20 KRITISDachG gelten erstmals zehn Monate nach Registrierung. § 8 Abs. 8 KRITISDachG ordnet schließlich die öffentliche Festlegung der Einzelheiten des Registrierungsverfahrens durch das BBK im Einvernehmen mit dem BSI an. Damit wird klar: Der Zeitpunkt der Registrierung ist nicht nur ein Registerdatum, sondern auch ein Startpunkt für konkrete Resilienzpflichten.

6.4 Alte BSI-KritisV und neue KRITIS-DachG-Rechtsverordnung

Die alte BSI-Kritisverordnung [N-BSIKritisV] ist nicht die neue KRITIS-DachG-Rechtsverordnung. Sie bleibt als Übergangs-/Altrecht relevant, bis die neue Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG in Kraft tritt. § 12 BSI-KritisV ordnet an, dass die BSI-Kritisverordnung mit Inkrafttreten dieser neuen Rechtsverordnung außer Kraft tritt und das Bundesministerium des Innern das Inkrafttreten im Bundesgesetzblatt bekannt gibt.

Normenstand 9. Juni 2026: Die BSI-KritisV ist weiterhin die Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz und wurde zuletzt durch Artikel 3 Absatz 1 des Gesetzes vom 15. Mai 2026, BGBl. 2026 I Nr. 148, geändert. Für die neue KRITIS-DachG-Rechtsverordnung sind öffentlich Entwurfsstände auffindbar; als geltendes Recht darf daraus kein Schwellenwert, keine Anlagenkategorie und kein Stichtag übernommen werden.

Demut-Box: Solange die neue KRITIS-DachG-Rechtsverordnung nicht gilt, ist jede Aussage zu neuen Schwellenwerten standabhängig. Entwürfe sind Arbeitsmaterial, kein geltender Prüfungsmaßstab.

7. Vertrauensdienste, TLD und DNS — die digitalen Sondertatbestände

7.1 Vertrauensdienste und eIDAS

Das BSIG verweist für Vertrauensdienste auf eIDAS [EU-eIDAS]. § 2 Nr. 34 BSIG [N-BSIG-2-34] betrifft den qualifizierten Vertrauensdiensteanbieter nach Art. 3 Nr. 20 der Verordnung (EU) Nr. 910/2014. § 2 Nr. 44 BSIG [N-BSIG-2-44] betrifft den Vertrauensdiensteanbieter nach Art. 3 Nr. 19 derselben Verordnung. Für die Prüfung ist die konsolidierte eIDAS-Fassung maßgeblich, insbesondere nach der Änderung durch Verordnung (EU) 2024/1183.

Die Unterscheidung ist rechtlich erheblich. Der qualifizierte Vertrauensdiensteanbieter steht in § 28 Abs. 1 Satz 1 Nr. 2 BSIG und ist besonders wichtige Einrichtung. Der Vertrauensdiensteanbieter steht in § 28 Abs. 2 Satz 1 Nr. 1 BSIG und ist wichtige Einrichtung. Beide Routen sind größenunabhängig, aber sie führen nicht zur selben Kategorie.

7.2 TLD, DNS und Domain-Name-Registry-Rollen

§ 2 Nr. 42 BSIG [N-BSIG-2-42] betrifft die Top Level Domain Name Registry. Die amtliche Schreibweise im BSIG lautet ohne Bindestriche; der Plural in § 28 Abs. 1 Satz 1 Nr. 2 BSIG lautet Top Level Domain Name Registries. § 2 Nr. 8 BSIG [N-BSIG-2-8] betrifft DNS-Diensteanbieter.

Daneben steht § 2 Nr. 9 BSIG [N-BSIG-2-9]: Domain-Name-Registry-Dienstleister. Diese Rolle ist nicht dasselbe wie Top Level Domain Name Registry und nicht dasselbe wie DNS-Diensteanbieter. Sie ist für A1-04 wichtig, weil §§ 49 bis 51 BSIG [N-BSIG-49-51] besondere Datenbank-, Zugangs- und Kooperationspflichten für Top Level Domain Name Registries und Domain-Name-Registry-Dienstleister enthalten.

Zusätzlich verwendet § 33 Abs. 1 BSIG [N-BSIG-33] den Ausdruck Domain-Name-Registry-Diensteanbieter. Diese Wortlautdifferenz darf nicht geglättet werden. Im Artikel bleibt deshalb die Normsprache erhalten: Domain-Name-Registry-Dienstleister bei § 2 Nr. 9 und §§ 49 bis 51 BSIG; Domain-Name-Registry-Diensteanbieter bei § 33 BSIG.

7.3 Digitale Folgepflichten

Bei den digitalen Sondertatbeständen bleibt A1-04 im Überblick, aber einige Folgeanker dürfen nicht fehlen.

§ 33 BSIG enthält die Registrierungspflicht. § 34 BSIG [N-BSIG-34] verlangt für Einrichtungen bestimmter digitaler Einrichtungsarten die Übermittlung zusätzlicher Informationen; relevant sind insbesondere DNS-Diensteanbieter, Top Level Domain Name Registries und Domain-Name-Registry-Dienstleister. Vertrauensdiensteanbieter dürfen nicht ohne Normprüfung automatisch in § 34 und § 60 BSIG [N-BSIG-60] hineingezogen werden.

§ 60 BSIG regelt die zentrale Zuständigkeit in der Europäischen Union für bestimmte Einrichtungsarten. Auch hier ist rollenscharf zu lesen. § 49 bis § 51 BSIG betreffen nicht jeden DNS- oder Hosting-Fall, sondern die Pflichten der Top Level Domain Name Registries und Domain-Name-Registry-Dienstleister. § 49 BSIG verlangt eine Datenbank mit genauen und vollständigen Domain-Namen-Registrierungsdaten; Vorgaben und Verfahren zur Sicherung der Datenqualität sind vorzuhalten und bis zum 6. März 2026 öffentlich zugänglich zu machen. § 50 BSIG betrifft den Zugang zu Domain-Namen-Registrierungsdaten: grundsätzlich unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Antragseingang; wenn die angefragten Informationen nicht vorliegen, ist dies innerhalb von 24 Stunden mitzuteilen. Auch die Vorgaben und Verfahren zur Offenlegung sind bis zum 6. März 2026 öffentlich zugänglich zu machen. § 51 BSIG ist die Kooperationspflicht zur Erfüllung von § 49 und § 50 BSIG und zur Vermeidung doppelter Datenerhebung.

Für Risikomanagement und Vorfallkriterien ist zusätzlich die Durchführungsverordnung (EU) 2024/2690 [EU-DVO-2690] wichtig. Sie konkretisiert technische und methodische Anforderungen sowie die Kriterien erheblicher Sicherheitsvorfälle unter anderem für DNS-Diensteanbieter, TLD-Namenregister, bestimmte digitale Dienste und Vertrauensdiensteanbieter. Das bedeutet: Bei diesen digitalen Rollen reicht es nicht, nur § 30 und § 32 BSIG [N-BSIG-32] isoliert zu lesen.

8. Folgen der Einordnung

8.1 BSIG-Cyber-Pflichten im Überblick

Wer besonders wichtige Einrichtung oder wichtige Einrichtung ist, landet nicht nur in einer Überschrift. Die Einordnung löst einen Pflichtenkreis aus. Für A1-04 reicht der Überblick; die Volltiefe steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).

§ 30 BSIG betrifft Risikomanagementmaßnahmen. Bei digitalen Einrichtungsarten und Vertrauensdiensten sind § 30 Abs. 3 bis 5 BSIG [N-BSIG-30] mitzulesen, weil dort Durchführungsrechtsakte der Europäischen Kommission, ihre Einwirkung auf nationale Pflichten und der Rechtsverordnungsvorbehalt eine Rolle spielen. § 30 Abs. 8 BSIG ist dagegen der Anker für branchenspezifische Sicherheitsstandards besonders wichtiger Einrichtungen und ihrer Branchenverbände. § 30 Abs. 9 BSIG ist ein eigener Standardanker für Betreiber kritischer Anlagen in Verbindung mit § 31 BSIG [N-BSIG-31]. Diese Absätze dürfen nicht ineinander geschoben werden.

§ 31 BSIG verschärft die Pflichten für Betreiber kritischer Anlagen. Nach § 31 Abs. 1 BSIG können für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit kritischer Anlagen maßgeblich sind, über das Schutzniveau anderer besonders wichtiger Einrichtungen hinausgehende Maßnahmen verhältnismäßig sein. § 31 Abs. 2 Satz 1 BSIG verlangt Systeme zur Angriffserkennung. Nach § 31 Abs. 2 Satz 2 bis 5 BSIG müssen diese Systeme geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten; sie sollen fortwährend Bedrohungen identifizieren und vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorsehen. Dabei sollen Stand der Technik und Verhältnismäßigkeit im Blick bleiben.

§ 32 BSIG regelt Meldepflichten bei erheblichen Sicherheitsvorfällen nach § 2 Nr. 11 BSIG [N-BSIG-2-11]. Die Meldekette umfasst die unverzügliche frühe Erstmeldung spätestens innerhalb von 24 Stunden nach Kenntniserlangung, die Meldung spätestens innerhalb von 72 Stunden, Zwischenmeldungen auf Ersuchen des BSI und eine Abschlussmeldung spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung. Wenn der Sicherheitsvorfall zu diesem Zeitpunkt noch andauert, tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung; die Abschlussmeldung folgt nach abschließender Bearbeitung. Wichtig ist der Startvorbehalt aus § 32 Abs. 1 Satz 2 BSIG [N-BSIG-32]: Die Meldepflicht nach Satz 1 gilt frühestens ab Einrichtung des Meldewegs. Betreiber kritischer Anlagen müssen nach § 32 Abs. 3 BSIG zusätzliche Angaben zur Art der betroffenen Anlage, zur kritischen Dienstleistung und zu Auswirkungen auf diese Dienstleistung übermitteln, wenn der erhebliche Sicherheitsvorfall Auswirkungen auf die kritische Anlage hat oder haben könnte. § 32 Abs. 4 BSIG weist die Ausgestaltung des Meldeverfahrens und die Konkretisierung der Inhalte dem BSI im Einvernehmen mit dem BBK zu, soweit mögliche EU-Durchführungsrechtsakte nicht widersprechen.

§ 33 BSIG regelt Registrierung. § 33 Abs. 1 BSIG [N-BSIG-33] enthält die gemeinsame Registrierungsmöglichkeit und verwendet den Wortlaut Domain-Name-Registry-Diensteanbieter. Bei Betreibern kritischer Anlagen ist § 33 Abs. 2 BSIG nur zusammen mit § 66 BSIG [N-BSIG-66] und § 8 KRITISDachG [N-KRITISDachG-8] zu lesen. § 33 Abs. 3 BSIG betrifft die Selbstregistrierung durch das BSI bei nicht erfüllter Registrierungspflicht. § 33 Abs. 4 BSIG erlaubt Auskunfts- und Unterlagenverlangen. § 33 Abs. 5 BSIG regelt Änderungsmitteilungen und ist nicht als eine einheitliche Sofortfrist zu verkürzen: geänderte Versorgungskennzahlen und Änderungen der bei Betreibern kritischer Anlagen eingesetzten Typen kritischer Komponenten sind jährlich zu übermitteln; andere Angaben unverzüglich, spätestens binnen zwei Wochen. § 33 Abs. 6 BSIG verlangt die öffentliche Mitteilung der Einzelheiten des Registrierungsverfahrens.

§ 34 BSIG [N-BSIG-34], § 60 BSIG [N-BSIG-60] und §§ 49 bis 51 BSIG [N-BSIG-49-51] ergänzen die digitale Spezialschicht. § 35 BSIG [N-BSIG-35] ist bei erheblichem Sicherheitsvorfall und erheblicher Cyberbedrohung mitzudenken: Das BSI kann bei erheblichen Sicherheitsvorfällen Unterrichtungen der Empfänger von Diensten anordnen; in bestimmten Sektoren können potenziell von einer erheblichen Cyberbedrohung betroffene Empfänger zu informieren sein. § 36 BSIG [N-BSIG-36] betrifft Rückmeldungen des BSI nach einer Meldung, Orientierungshilfen oder operative Beratung auf Ersuchen, mögliche technische Unterstützung sowie öffentliche Information, wenn Sensibilisierung der Öffentlichkeit erforderlich ist oder ein öffentliches Interesse besteht. § 37 BSIG [N-BSIG-37] enthält einen Ausnahmebescheid-Anker bei nationaler Sicherheit, öffentlicher Sicherheit, Verteidigung und Strafverfolgung; für Vertrauensdiensteanbieter ist diese Ausnahme gesperrt.

§ 38 BSIG [N-BSIG-38] betrifft die Geschäftsleitung. Geschäftsleitungen müssen die Umsetzung der Risikomanagementmaßnahmen billigen, überwachen und an Schulungen teilnehmen. § 39 BSIG [N-BSIG-39] betrifft Nachweise von Betreibern kritischer Anlagen durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Die Frist ist zweigliedrig: frühestens drei Jahre nach erstmaligem oder spätestens drei Jahre nach erneutem Gelten als Betreiber einer kritischen Anlage und anschließend alle drei Jahre. § 39 Abs. 3 BSIG enthält einen Altnachweis-Übergang für bisherige Betreiber Kritischer Infrastrukturen. § 39 Abs. 4 BSIG nimmt Betreiber aus, die aufgrund von § 5 Abs. 7 KRITISDachG [N-KRITISDachG-5] bestimmt wurden.

§ 40, § 58, § 59, §§ 61 und 62 sowie § 65 BSIG [N-BSIG-65] bilden die Behörden-, Berichts-, Zuständigkeits-, Aufsichts-, Durchsetzungs- und Bußgeldschicht. A1-04 vertieft sie nicht, verschweigt sie aber auch nicht: Die Einordnung endet nicht bei Registrierung und Risikomanagement.

8.2 Kritische Komponenten

Für Betreiber kritischer Anlagen kommt eine eigene Folgeebene hinzu: kritische Komponenten. § 2 Nr. 23 BSIG [N-BSIG-2-22] definiert kritische Komponenten im Wortlaut als IKT-Produkte, die in einer Rechtsverordnung aufgrund von § 56 Absatz 7 und 8 als kritische Komponenten bestimmt werden. Diese Verweisung darf nicht geglättet werden: § 56 BSIG hat im aktuellen amtlichen Wortlaut keinen Absatz 8; die Bestimmung kritischer Komponenten steht materiell in § 56 Abs. 6 BSIG [N-BSIG-56], das Vorschlagsrecht in § 56 Abs. 7 BSIG. Die Kette ist deshalb als offener Verweisungsbruch zu führen und bei späteren Änderungen von § 56 BSIG erneut zu prüfen.

§ 33 BSIG enthält Registerangaben zu eingesetzten Typen kritischer Komponenten; § 8 Abs. 1 Nr. 7 und Abs. 5 KRITISDachG schieben diese Angabe in die gemeinsame Registrierungsmechanik und leiten sie ausschließlich an das BSI. § 41 BSIG [N-BSIG-41] ermöglicht unter Voraussetzungen die Untersagung des Einsatzes kritischer Komponenten. Diese Kette darf nicht als bloße Registerangabe verkürzt werden. Die korrekte Kette lautet: Betreiber kritischer Anlagen → Prüfung eingesetzter Typen kritischer Komponenten → Wortlaut des § 2 Nr. 23 BSIG mit seiner amtlichen, aber gebrochenen Verweisung auf § 56 Abs. 7 und 8 BSIG, materiell gegenzulesen mit § 56 Abs. 6 und 7 BSIG → Registerangaben nach § 33 BSIG und § 8 KRITISDachG → mögliche Einsatzuntersagung nach § 41 BSIG. § 42 BSIG [N-BSIG-42] ist nur ein Grenzanker für Zugang zu Informationen und Akten in den dort genannten Angelegenheiten, keine allgemeine zusätzliche operative Unternehmenspflicht.

8.3 KRITIS-DachG-Resilienzpflichten im Überblick

Für Betreiber kritischer Anlagen steht daneben der KRITIS-DachG-Pflichtenkanon. Die Tiefe gehört nicht vollständig in A1-04, aber die Normanker müssen sichtbar sein.

§ 6 KRITISDachG ist als Grenznorm für sonstige Resilienzregelungen und Resilienzmaßnahmen mitzudenken. § 7 KRITISDachG [N-KRITISDachG-7] regelt Einrichtungen der Bundesverwaltung und ordnet bestimmte Vorschriften für Betreiber kritischer Anlagen entsprechend an; das betrifft insbesondere Teile von § 8, § 12, § 13, § 15 und § 18 KRITISDachG [N-KRITISDachG-18]. Diese Bundesverwaltungsroute ist nicht dasselbe wie die private Betreiberroute, darf aber bei öffentlichen Einrichtungen nicht fehlen.

§ 11 KRITISDachG [N-KRITISDachG-11] betrifft die nationale Risikoanalyse. Das ist die staatliche Analyseebene. § 12 KRITISDachG [N-KRITISDachG-12] betrifft Risikoanalyse und Risikobewertung des Betreibers. Diese beiden Ebenen dürfen nicht vermischt werden.

§ 13 KRITISDachG [N-KRITISDachG-13] enthält Resilienzpflichten und den Resilienzplan. § 14 KRITISDachG [N-KRITISDachG-14] enthält sektorübergreifende und sektorspezifische Mindestanforderungen. § 14 Abs. 2 KRITISDachG baut eine Brücke zu branchenspezifischen Sicherheitsstandards nach § 30 Abs. 8 BSIG. § 14 Abs. 3 bis 5 KRITISDachG ist aber erst ab 1. Januar 2030 anzuwenden.

§ 15 KRITISDachG regelt den Vorrang von Durchführungsrechtsakten der Europäischen Kommission zu Resilienzpflichten. § 16 KRITISDachG betrifft Nachweise. § 17 KRITISDachG betrifft Gleichwertigkeit von Nachweisen und sonstigen öffentlich-rechtlichen Verpflichtungen. § 18 KRITISDachG regelt das Meldewesen für Vorfälle: unverzüglich und spätestens 24 Stunden nach Kenntnis an das BBK über die gemeinsame Meldestelle, bei andauernden Vorfällen Aktualisierung und ein ausführlicher Bericht spätestens einen Monat nach Kenntnis des Vorfalls. § 18 Abs. 2 KRITISDachG verlangt verfügbare Informationen, damit Art, Ursache sowie mögliche auch grenzüberschreitende Auswirkungen und Folgen nachvollzogen werden können. § 18 Abs. 3 KRITISDachG weist die Ausgestaltung des Verfahrens dem BBK im Einvernehmen mit dem BSI zu. Andere gesetzliche Meldepflichten bleiben unberührt.

§ 19 KRITISDachG betrifft Unterstützung der Betreiber und freiwillige Beratungsmissionen. § 20 KRITISDachG [N-KRITISDachG-20] enthält Umsetzungs- und Überwachungspflichten der Geschäftsleitung. Wenn Geschäftsleitung im KRITIS-DachG-Kontext angesprochen wird, ist § 2 Nr. 11 KRITISDachG [N-KRITISDachG-2] mitzulesen; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 2 Nr. 10 sowie Leiterinnen und Leiter von Behörden gelten nicht als Geschäftsleitung im Sinne dieser Definition.

§ 21 KRITISDachG ist keine Aufsichtsnorm, sondern Berichtspflichten. § 22 KRITISDachG ist ein Ausnahmebescheid-Anker. § 23 KRITISDachG betrifft die Verarbeitung personenbezogener Daten. § 24 KRITISDachG [N-KRITISDachG-24] enthält das Bußgeldregime. § 26 KRITISDachG [N-KRITISDachG-26] enthält Übergang. § 9 und § 10 KRITISDachG sowie die Delegierte Verordnung (EU) 2023/2450 [EU-CER-DVO-2450] sind mitzudenken, wenn Betreiber kritischer Anlagen von besonderer europäischer Bedeutung, wesentliche Dienste oder grenzüberschreitende CER-Fragen berührt sind.

Demut-Box: Die Pflichtenliste ist ein Navigationsbild. Vor einer Umsetzung sind § 4 Abs. 2 KRITISDachG, § 8 Abs. 7 KRITISDachG, § 15, § 17, § 22, § 26 KRITISDachG, die neue Rechtsverordnung und sektorale Spezialregime zu prüfen.

9. Wer fällt nicht darunter?

Die negative Prüfung ist gefährlicher als die positive. Der falsche Satz lautet: „Unter 500.000 Einwohnern = keine kritische Anlage.“ So einfach ist es nicht.

Die robuste Abgrenzungs-Kette lautet:

  1. Kein Betreiber kritischer Anlagen nach dem maßgeblichen Übergangs- oder Neurecht.
  2. Keine kritische Dienstleistung in einem KRITIS-DachG-Sektor.
  3. Keine Anlage, die für diese kritische Dienstleistung erheblich ist.
  4. Keine Erfassung über die alte BSI-KritisV [N-BSIKritisV] im Übergangsrecht.
  5. Keine Erfassung nach der neuen KRITIS-DachG-Rechtsverordnung, sobald diese gilt.
  6. Keine schwellenunabhängige Anlagenkategorie nach § 5 Abs. 1 KRITISDachG [N-KRITISDachG-5].
  7. Keine Einzelfallfeststellung nach § 5 Abs. 3 bis 6 KRITISDachG.
  8. Keine Länderfeststellung nach § 5 Abs. 7 KRITISDachG.
  9. Kein qualifizierter Vertrauensdiensteanbieter, keine Top Level Domain Name Registry, kein DNS-Diensteanbieter, kein Vertrauensdiensteanbieter.
  10. Keine öffentliche Telekommunikationsdienste- oder öffentliche Telekommunikationsnetz-Route nach § 28 Abs. 1 Satz 1 Nr. 3 oder Abs. 2 Satz 1 Nr. 2 BSIG.
  11. Keine Sonderrolle als Domain-Name-Registry-Dienstleister, soweit digitale Folgepflichten relevant werden.
  12. Keine Einrichtungsart der BSIG-Anlagen 1 oder 2 mit Größenroute nach § 28 Abs. 1 Satz 1 Nr. 4 oder § 28 Abs. 2 Satz 1 Nr. 3 BSIG.
  13. Kein Spezialregime, das unabhängig von A1-04 eine Prüfung auslöst.

Erst wenn diese Prüfung negativ ausfällt, spricht A1-04 gegen eine Erfassung. Der Befund ersetzt aber keine Prüfung anderer Rechtsmaterien. Der Bäckerei-Test bleibt als Plausibilitätsanker brauchbar: keine kritische Dienstleistung, keine kritische Anlage, kein digitaler Sondertatbestand, keine öffentliche TK-Sonderroute, keine Einrichtungsart der BSIG-Anlagen 1/2, keine Größenroute und kein Spezialregime — dann ist die typische kleine Bäckerei nicht über A1-04 erfasst.

10. Zeitlicher Geltungsstand

Stand dieses Artikels ist der 9. Juni 2026.

Das BSIG in der NIS2UmsuCG-Fassung gilt seit dem 6. Dezember 2025. Das KRITIS-Dachgesetz [N-KRITISDachG] ist am 17. März 2026 in Kraft getreten. § 14 Abs. 3 bis 5 KRITISDachG [N-KRITISDachG-14] tritt erst am 1. Januar 2030 in Kraft.

Für die kritische-Anlage-Begriffe im BSIG ist § 66 BSIG [N-BSIG-66] entscheidend. § 2 Nr. 22 und Nr. 24 BSIG sowie § 33 Abs. 2 BSIG [N-BSIG-33] sind erst anzuwenden, wenn die neue Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG [N-KRITISDachG-5] gilt. Bis dahin gilt die bis einschließlich 16. März 2026 geltende Fassung der Begriffe weiter.

Für die KRITIS-DachG-Registrierung ist § 8 KRITISDachG [N-KRITISDachG-8] entscheidend: Registrierung spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschließlich zum 17. Juli 2026. § 8 Abs. 7 KRITISDachG verschiebt die erstmalige Anwendung von § 12 auf neun Monate und von §§ 13, 18 und 20 auf zehn Monate nach Registrierung.

Für die alte BSI-KritisV [N-BSIKritisV] gilt: Sie ist nicht die neue KRITIS-DachG-Rechtsverordnung. Sie wurde zuletzt durch Artikel 3 Absatz 1 des Gesetzes vom 15. Mai 2026, BGBl. 2026 I Nr. 148, geändert und tritt nach § 12 BSI-KritisV mit Inkrafttreten der neuen Rechtsverordnung außer Kraft.

11. Schnittstellen

Die NIS-2-Gesamtübersicht steht in Selbst-Check für Geschäftsführer. Die Größenschwellen und Kategorien-Logik stehen in Schwellenwerte (250 MA / 50 Mio. €). Die DORA-oder-BSIG-Grundabgrenzung steht in DORA oder BSIG?. Die Navigation durch Sonderkonstellationen steht in Konzern, DORA & Insolvenz — Sonderfälle. Die Konzern-Schwellenberechnung steht in Konzern: Größenklassen & IT-Tochter.

Die Pflichten, die aus der Einordnung folgen, stehen in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG). Haftung und Sanktionen stehen in Haftung und Sanktionen — Überblick. A1-04 ist der Satellit für Sondertatbestände und KRITIS-DachG-Abgrenzung; es ist nicht der Vollartikel zu Risikomanagement, Meldung, Nachweis, Geschäftsleitung, Bußgeld oder DORA [EU-DORA].

12. Kurzantworten auf die 24 Lese-Fragen

  1. Gilt NIS-2 erst ab einer bestimmten Unternehmensgröße? Nein. Neben der Größenroute aus A1-03 gibt es Sondertatbestände, bei denen die Größe für die Erfassung nicht entscheidend ist — Klein schützt nicht, wenn eine Sonderrolle, eine kritische Anlage oder die Telekommunikations-Sonderroute erfüllt ist.
  2. Wer ist größenunabhängig besonders wichtige Einrichtung? Betreiber kritischer Anlagen (§ 28 Abs. 1 Satz 1 Nr. 1 BSIG) sowie qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter (§ 28 Abs. 1 Satz 1 Nr. 2 BSIG). Trigger ist die Rolle, nicht Mitarbeiterzahl, Umsatz oder Bilanzsumme.
  3. Und größenunabhängig wichtige Einrichtung? Vertrauensdiensteanbieter nach § 28 Abs. 2 Satz 1 Nr. 1 BSIG. Daneben bleibt zu prüfen, ob derselbe Träger über eine andere Route — insbesondere die Anlage-1-Hochschwellenroute — als besonders wichtige Einrichtung einzuordnen ist.
  4. Was ist die Telekommunikations-Sonderroute? Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze laufen über § 28 Abs. 1 Satz 1 Nr. 3 BSIG (niedrigere TK-Schwelle) beziehungsweise § 28 Abs. 2 Satz 1 Nr. 2 BSIG. Das ist keine vollständig größenunabhängige Rolle, aber auch keine allgemeine Anlage-1-/Anlage-2-Größenroute.
  5. Was ist eine kritische Anlage? § 2 Nr. 22 BSIG verweist auf § 2 Nr. 3 KRITISDachG: eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist. Die Erheblichkeit entsteht über die Mechanik des § 5 KRITISDachG, nicht über Selbstbezeichnung — und für die BSIG-Begriffe ist zusätzlich der Übergang des § 66 BSIG zu beachten.
  6. Wer ist Betreiber kritischer Anlagen? Wer unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt. Im Sektor Finanzwesen kommt es abweichend auf die tatsächliche Sachherrschaft an.
  7. Sind 500.000 versorgte Personen die harte Grenze? Nein. 500.000 ist der Regelwert des § 5 Abs. 2 KRITISDachG, der die Schwellenwerte der Rechtsverordnung anleitet. Daneben stehen schwellenunabhängige Anlagenkategorien, Einzelfallfeststellungen (§ 5 Abs. 3 bis 6) und Länderfeststellungen (§ 5 Abs. 7).
  8. Worin unterscheiden sich BSIG-Welt und KRITIS-DachG-Welt? Das BSIG (NIS-2-Umsetzung) regelt die Sicherheit in der Informationstechnik; das KRITIS-Dachgesetz (CER-Umsetzung) regelt die physische und allgemeine Resilienz kritischer Anlagen nach dem All-Gefahren-Ansatz. Adressaten, Kernbegriffe, Meldewesen und Behörden sind getrennt zu prüfen.
  9. Bedeutet Betreiber kritischer Anlagen automatisch das doppelte Vollprogramm? Nein. Regelmäßig entstehen zwei Prüfungsräume, aber die konkrete Pflichtentiefe hängt von § 28 Abs. 5 bis 8 BSIG, § 4 Abs. 2 KRITISDachG, Übergangsregeln, Spezialregimen und dem Sektor ab. Die Nichtanwendungen beider Welten sind nicht deckungsgleich.
  10. Ist der Vorfallbegriff in beiden Welten derselbe? Nein. § 2 Nr. 9 KRITISDachG grenzt den Vorfall ausdrücklich von Ereignissen ab, die ausschließlich Sicherheitsvorfälle nach § 2 Nr. 40 BSIG oder § 3 Nr. 53 TKG sind. Gemeinsame Meldestelle heißt nicht gemeinsamer Vorfallbegriff.
  11. Was hat es mit dem Verweisungsbruch bei § 2 Nr. 11 BSIG auf sich? Der amtliche Wortlaut verweist für die Erheblichkeits-Konkretisierung auf eine Rechtsverordnung nach § 56 Abs. 5 BSIG; materiell steht die Erheblichkeits-Ermächtigung in § 56 Abs. 4 BSIG, während § 56 Abs. 5 Krankenhaus-Nachweise betrifft. Der Bruch wird transparent offen geführt, nicht geglättet.
  12. Wie viele Sektoren gibt es eigentlich? Drei Zählungen: 14 BSIG-Sektoren als Systemzählung aus Anlage 1 (sieben) und Anlage 2 (sieben), 18 Sektoren der NIS-2-Richtlinie über die Anhänge I und II und zehn KRITIS-DachG-Sektoren in § 4 Abs. 1 KRITISDachG. Öffentliche Verwaltung ist kein elfter KRITIS-DachG-Sektor.
  13. Darf man eine Sektorliste in die andere Welt übertragen? Nein. Wer aus einer NIS-2-Anhangsliste unmittelbar auf KRITIS-DachG-Pflichten schließt oder aus der KRITIS-DachG-Sektorliste auf BSIG-Einrichtungsarten, überspringt die deutsche Normmechanik der Anlagen 1 und 2 beziehungsweise des § 4 KRITISDachG.
  14. Gilt das KRITIS-Dachgesetz schon? Ja, es ist am 17. März 2026 in Kraft getreten — nur § 14 Abs. 3 bis 5 KRITISDachG tritt erst am 1. Januar 2030 in Kraft. Richtig ist allein: Einzelne Identifizierungs-, Registrierungs- und Pflichtenfragen hängen an Übergängen und der neuen Rechtsverordnung.
  15. Was regelt § 66 BSIG? Den BSIG-Übergang: § 2 Nr. 22 und 24 sowie § 33 Abs. 2 BSIG sind erst anzuwenden, wenn die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG gilt. Bis dahin gelten die kritische-Anlage- und kritische-Dienstleistung-Begriffe in der bis einschließlich 16. März 2026 geltenden Fassung weiter.
  16. Und § 26 KRITISDachG? Den eigenen KRITIS-DachG-Übergang: § 8 Abs. 1 Nr. 2, 6 und 7 KRITISDachG sind erst mit Geltung der neuen Rechtsverordnung anzuwenden; für Nr. 2 und 6 bleibt bis dahin die bis einschließlich 16. März 2026 geltende Fassung maßgeblich. Wer nur § 66 BSIG liest, sieht nicht die ganze Übergangslage.
  17. Wann und wo müssen Betreiber kritischer Anlagen sich nach dem KRITIS-Dachgesetz registrieren? Nach § 8 Abs. 1 KRITISDachG spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschließlich zum 17. Juli 2026 — über die gemeinsame Registrierungsmöglichkeit von BSI und BBK nach § 33 Abs. 1 BSIG. § 8 Abs. 7 staffelt die Pflichtenreife: § 12 ab neun, §§ 13, 18 und 20 ab zehn Monaten nach Registrierung.
  18. Ist die alte BSI-KritisV erledigt? Nein. Sie bleibt als Übergangs-/Altrecht relevant, bis die neue KRITIS-DachG-Rechtsverordnung in Kraft tritt; § 12 BSI-KritisV ordnet ihr Außerkrafttreten erst für diesen Zeitpunkt an. Aus öffentlich auffindbaren Verordnungsentwürfen darf kein Schwellenwert als geltendes Recht übernommen werden.
  19. Welcher Unterschied besteht zwischen qualifizierten und einfachen Vertrauensdiensteanbietern? Die Begriffe laufen über eIDAS (Art. 3 Nr. 20 und Nr. 19 der Verordnung (EU) Nr. 910/2014, maßgeblich in der konsolidierten Fassung nach der Verordnung (EU) 2024/1183). Der qualifizierte Anbieter ist besonders wichtige Einrichtung, der einfache wichtige Einrichtung — beide größenunabhängig, aber nicht in derselben Kategorie.
  20. Sind TLD-Registry, DNS-Diensteanbieter und Domain-Name-Registry-Dienstleister dasselbe? Nein, das sind drei Rollen (§ 2 Nr. 42, Nr. 8 und Nr. 9 BSIG). §§ 49 bis 51 BSIG knüpfen Datenbank-, Zugangs- (72 Stunden, 24-Stunden-Mitteilung) und Kooperationspflichten an TLD-Registries und Domain-Name-Registry-Dienstleister; § 33 BSIG verwendet zusätzlich den Wortlaut Domain-Name-Registry-Diensteanbieter — die Normsprache wird nicht geglättet.
  21. Welche BSIG-Pflichten folgen aus der Einordnung? Risikomanagement (§ 30, bei Betreibern kritischer Anlagen verschärft durch § 31 einschließlich Angriffserkennung), Meldepflichten nach § 32 mit der Kaskade 24 Stunden/72 Stunden/Zwischenmeldung auf Ersuchen/Abschlussmeldung — frühestens ab Einrichtung des Meldewegs —, Registrierung (§§ 33, 34), Unterrichtung (§§ 35, 36), Geschäftsleitungspflichten (§ 38), Nachweise (§ 39) sowie die Behörden-, Aufsichts- und Bußgeldschicht (§§ 40, 58, 59, 61, 62, 65).
  22. Was gilt für kritische Komponenten? § 2 Nr. 23 BSIG verweist amtlich auf § 56 Abs. 7 und 8 BSIG, obwohl § 56 keinen Absatz 8 hat; materiell stehen Bestimmung und Vorschlagsrecht in § 56 Abs. 6 und 7 BSIG — ein offen geführter Verweisungsbruch. Registerangaben laufen über § 33 BSIG und § 8 Abs. 1 Nr. 7 KRITISDachG (ausschließlich an das BSI); § 41 BSIG erlaubt unter Voraussetzungen die Einsatzuntersagung.
  23. Welche Pflichten drohen auf der KRITIS-DachG-Seite? Registrierung (§ 8), Risikoanalyse und -bewertung des Betreibers (§ 12), Resilienzpflichten und Resilienzplan (§ 13), Mindestanforderungen (§ 14), Meldewesen für Vorfälle (§ 18: unverzüglich, spätestens 24 Stunden, ausführlicher Bericht spätestens einen Monat nach Kenntnis), Geschäftsleitungspflichten (§ 20) und das Bußgeldregime (§ 24) — jeweils mit den Vorbehalten aus § 4 Abs. 2, § 8 Abs. 7, § 15, § 17, § 22 und § 26 KRITISDachG.
  24. Wie prüft man sauber, dass man NICHT erfasst ist? Über die dreizehnstufige Abgrenzungs-Kette aus Sektion 9 — vom Betreiber-Ausschluss über Erheblichkeit, Alt- und Neurecht, Einzelfall- und Länderfeststellung bis zu Sonderrollen, TK-Route, Größenroute und Spezialregimen. Der Satz „unter 500.000 Einwohnern = keine kritische Anlage“ ist als alleinige Begründung falsch; der Bäckerei-Test taugt nur als Plausibilitätsanker.

13. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

13.1 Nationale Normen

13.2 EU-Recht

13.3 Rechtsprechung

13.4 Behörden und amtliche Praxis

13.5 Markt, AVB, Versicherer und Banken

  • [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage. (ergänzende Quelle, im Body nicht eigens verankert)

13.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

14. CyberSchutzEngel-Hinweis

CyberSchutzEngel behandelt A1-04 als Prüfartikel, nicht als Werbeartikel. Die praktische Frage lautet nicht: „Sind wir groß genug für NIS-2?“ Die bessere Frage lautet: „Gibt es eine Rolle, eine Anlage, einen Dienst, eine Registrierung oder ein Spezialregime, das uns unabhängig von der Größe in die Regulierung zieht?“

Für Geschäftsleitungen ist die Antwort strategisch. Wer eine kritische Anlage betreibt oder eine digitale Sonderrolle innehat, baut Compliance-Schulden auf, wenn er nur Mitarbeiterzahl, Umsatz und Bilanzsumme prüft. Der richtige erste Schritt ist eine Tatbestandskarte: Sondertatbestand, Größenroute, Spezialregime, Übergang, Registrierung, Pflichtenreife und Behördenzuständigkeit.

Alle Menschen sind klug.
Die einen vorher, die anderen nachher.

PlattesGroup – auf Mallorca verankert, weltweit vernetzt

Unsere Kompetenzzentren

Wissen & Networking