NIS2 und KRITIS – wenn eine Anlage das ganze Unternehmen zu betreffen scheint

Warum KRITIS-Betreiber ihre anlagenbezogenen Massnahmen nicht reflexartig unternehmensweit ausrollen sollten – und was eine saubere Abgrenzung spart.

KRITIS-Betreiber = Betreiber kritischer Anlagen = besonders wichtige Einrichtung

Viele KRITIS-Betreiber stehen aktuell vor einer Falle, die auf den ersten Blick harmlos wirkt, in der Praxis jedoch unnötig Zeit, Geld und Kapazitäten verschlingt.

KRITIS-Betreiber fallen unter NIS2 und sind verpflichtet, die Anforderungen unternehmensweit umzusetzen. Hier findet sich jedoch ein Fallstrick: Die Maßnahmen für eine einzelne kritische Anlage werden reflexartig auf das gesamte Unternehmen ausgedehnt – aufgrund der Unternehmensbetrachtung und Einwertung durch NIS2. Das Ergebnis sind Doppelstrukturen, aufgeblähte Dokumentationen und ein hoher Aufwand, die Compliance nachvollziehbar darzustellen.

Worum es wirklich geht

KRITIS-Verpflichtungen sind anlagenbezogen und fordern die Umsetzung spezieller Sicherheitsmaßnahmen, etwa einen verschärften Perimeterschutz. NIS2 hingegen adressiert Organisationen auf Unternehmens- oder Konzernebene und kann im Scope nicht eingeschränkt werden.

Beide Regelwerke gelten gleichzeitig. Das ist kein Widerspruch, erzeugt aber in der Praxis Reibungsflächen, wenn nicht klar unterschieden wird, welche Maßnahmen für welche Ebene gelten sollen.

Die Risiken einer unscharfen Abgrenzung

Wer den Geltungsbereich einer KRITIS-Anlage nicht präzise definiert, läuft Gefahr, KRITIS-Schutzmaßnahmen pauschal unternehmensweit umzusetzen, zusätzlich die vollständigen NIS2-Anforderungen zu implementieren und dadurch Prozesse und Kontrollen zu duplizieren.

Solche Überschneidungen führen zu höheren Kosten, unnötiger Komplexität und einer verwässerten Governance – und machen Audits, interne Kontrollen und Notfallübungen schwerfälliger.

Pragmatische Haltung statt Micro-Management

Statt in technische Details oder sofortige Rollouts zu springen, lohnt sich eine pragmatische Haltung: Klarheit über den Geltungsbereich schaffen, Verantwortlichkeiten festlegen und die Zusammenhänge zwischen anlagenbezogenen Anforderungen (KRITIS) und organisationsweiten Pflichten (NIS2) abbilden. Dadurch werden Überschneidungen sichtbar und steuerbar – ohne in operativen Details zu versinken.

Weil der Nutzen die Kosten überwiegt

Eine saubere Abgrenzung reduziert nicht nur Kosten, sondern stärkt auch die Sicherheit: Durch zielgerichtete Maßnahmen bleiben Kontrollen wirksam und überprüfbar. Governance-Prozesse werden schlanker, Verantwortlichkeiten klarer, und Berichtspflichten lassen sich effizienter erfüllen. Letztlich führt das zu belastbareren Nachweisen gegenüber Aufsichtsbehörden und zu einem besseren Management von Risiken entlang der Lieferkette.

Fazit

KRITIS und NIS2 müssen nebeneinander bestehen. Das Problem entsteht, wenn ungeprüft alles doppelt umgesetzt wird. Eine risikobasierte Denkweise hilft, die richtige Balance zu finden: nicht weniger Sicherheit, aber mehr Effizienz und Transparenz.

Wir unterstützen Sie dabei, die Abgrenzung in Ihrem konkreten Kontext konzeptionell zu formulieren und umzusetzen.