Kritische Infrastruktur

KRITIS und NIS-2: Diese Fristen sollten Unternehmen jetzt im Blick haben

10. Juli 2026

Die Sicherheitslage in Deutschland hat sich in den vergangenen Jahren deutlich verändert. Cyberangriffe, Sabotage und andere sicherheitsrelevante Vorfälle stellen Unternehmen und Betreiber kritischer Infrastruktur zunehmend vor Herausforderungen. Als Reaktion darauf hat der Gesetzgeber mit dem NIS-2-Umsetzungsgesetz und dem KRITIS-Dachgesetz die Anforderungen an die Sicherheit und Widerstandsfähigkeit wichtiger Einrichtungen verschärft.

NIS-2 stärkt insbesondere die Cybersicherheit, während das KRITIS-Dachgesetz die Resilienz kritischer Infrastrukturen insgesamt in den Blick nimmt.

Diese Termine sollten Unternehmen kennen:

Seit Anfang 2026: Die Regelung des NIS-2-Umsetzungsgesetzes gelten bereits. Betroffene Unternehmen müssen unter anderem Cybersicherheitsmaßnahmen umsetzen, Sicherheitsvorfälle melden und sich beim BSI registrieren: BSI-Portal.
Noch ausstehend: Mit der KRITIS-Verordnung wird festgelegt, welche Unternehmen künftig als Betreiber kritischer Infrastruktur gelten. Die endgültige Verordnung liegt derzeit noch nicht vor. Die ursprünglich vorgesehene Registrierungsfrist für Unternehmen zum 17. Juli 2026 kann daher nicht eingehalten werden. Weitere Informationen zum Verfahren werden nach dem Sommer erwartet.

Was Unternehmen jetzt tun sollten

Auch wenn sich die Einführung einzelner Pflichten verzögert, bleibt die Richtung klar: Betreiber kritischer Infrastrukturen werden künftig nachweisen müssen, dass sie angemessene Maßnahmen zur Stärkung ihrer Resilienz getroffen haben. Dazu gehört unter anderem Risikoanalysen, Krisenvorsorge- und Notfallpläne sowie Maßnahmen zum Schutz kritischer Prozesse und Systeme.

Nutzen Sie die Zeit, um die eigene Krisenvorsorge auf den Prüfstand zu stellen. Unterstützung bieten unsere Checkliste Resilienz (PDF-Datei · 270 KB), der Krisenvorsorgeplan (nicht barrierefrei, PDF-Datei · 532 KB) und der Resilienz -Check für Unternehmen.

Mehr Infos, Tipps und Termine