{"id":88935,"date":"2026-04-14T10:02:11","date_gmt":"2026-04-14T10:02:11","guid":{"rendered":"https:\/\/www.sardinasystems.com\/uncategorized-de\/kritis-nis2umsg-neue-regeln-fuer-die-it-kritischer-infrastrukturen\/"},"modified":"2026-04-14T11:40:57","modified_gmt":"2026-04-14T11:40:57","slug":"kritis-nis2umsg-new-rules-for-critical-infrastructure-it","status":"publish","type":"post","link":"https:\/\/www.sardinasystems.com\/de\/blog\/kritis-nis2umsg-new-rules-for-critical-infrastructure-it\/","title":{"rendered":"KRITIS & NIS2UmsG: Neue Regeln f\u00fcr die IT kritischer Infrastrukturen"},"content":{"rendered":"\n

Deutschlands KRITIS-Rahmenwerk zum Schutz kritischer Infrastrukturen hat gerade seine umfassendste \u00dcberarbeitung seit einem Jahrzehnt erfahren. Das NIS2-Umsetzungsgesetz \u2014 Gesetz zur Umsetzung der NIS-2-Richtlinie<\/em>, kurz NIS2UmsG \u2014 ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz (BSIG), das seit 2009 die IT-Sicherheitsanforderungen f\u00fcr Betreiber kritischer Infrastrukturen regelt, grundlegend \u00fcberarbeitet. <\/p>\n\n

F\u00fcr Organisationen in Sektoren wie Energie, Wasser, Gesundheitswesen, Verkehr oder IT und Telekommunikation ist dies kein kleines Update. Der Kreis der Regulierten, ihre Pflichten und der Nachweis der Umsetzung haben sich konkret ver\u00e4ndert. Dieser Artikel erl\u00e4utert, was sich ge\u00e4ndert hat, was gleich bleibt und was das in der Praxis bei der Wahl einer Cloud-Plattform bedeutet. Was KRITIS ist und was es nach dem neuen Gesetz bedeutet<\/strong>KRITIS \u2014 kurz f\u00fcr Kritische Infrastrukturen<\/em><\/a> \u2014 ist die bundesweite Bezeichnung f\u00fcr kritische Infrastruktur. Betreiber KRITIS-relevanter Anlagen unterliegen seit Langem spezifischen IT-Sicherheitsanforderungen nach dem BSIG, beaufsichtigt durch das BSI (Bundesamt f\u00fcr Sicherheit in der Informationstechnik<\/em>). <\/p>\n\n

Mit dem neuen Gesetz hat sich die Terminologie verschoben. Das \u00fcberarbeitete BSIG<\/a> spricht nicht mehr von \u201eKritischen Infrastrukturen\u201c als prim\u00e4rer Kategorie. Stattdessen regelt es besonders wichtige Einrichtungen<\/em> (particularly important entities) und wichtige Einrichtungen<\/em> (important entities). Betreiber der nun sogenannten kritischen Anlagen<\/em> (critical facilities) sind eine Teilmenge der ersten Gruppe und unterliegen weiterhin den strengsten Anforderungen. Die Pflichten aus dem bisherigen BSIG werden weitgehend fortgef\u00fchrt, jedoch neu strukturiert und in einigen Bereichen versch\u00e4rft. <\/p>\n\n

Die erfassten Sektoren bleiben weitgehend gleich: Energie, Verkehr, Finanzen, Gesundheit, Wasser, Lebensmittel, IT und Telekommunikation, Raumfahrt sowie Abfallwirtschaft. Ge\u00e4ndert haben sich die Schwellenlogik, einige sektorspezifische Regeln und der Gesamtumfang der vom Rahmenwerk erfassten Organisationen \u2014 nicht nur KRITIS-Betreiber, sondern Zehntausende Organisationen in den breiteren NIS2-Kategorien. <\/p>\n\n

Eine auff\u00e4llige strukturelle \u00c4nderung: Der Finanzsektor wurde in zwei Bereiche aufgeteilt \u2014 Finanzwesen<\/em> (Finance) und Leistungen der Sozialversicherung sowie Grundsicherung f\u00fcr Arbeitsuchende <\/em>(Social benefits and basic income for jobseekers)<\/em>. Private Versicherungsanbieter sind nicht mehr enthalten. Organisationen, die der EU-DORA-Verordnung unterliegen, sind von bestimmten Melde- und Auditpflichten nach dem BSIG ausgenommen, da sich beide Rahmenwerke erheblich \u00fcberschneiden. <\/p>\n\n

Was Betreiber kritischer Anlagen jetzt tun m\u00fcssen<\/strong><\/h3>\n\n

F\u00fcr Betreiber von kritischen Anlagen<\/em> bleiben die Kernpflichten \u2014 Registrierung, Meldung von Vorf\u00e4llen, Umsetzung angemessener technischer und organisatorischer Ma\u00dfnahmen sowie regelm\u00e4\u00dfiger Compliance-Nachweis \u2014 bestehen. Mehrere Details haben sich jedoch ge\u00e4ndert. <\/p>\n\n

Die Registrierung erfolgt jetzt zweigleisig.<\/strong> Bestehende KRITIS-Betreiber m\u00fcssen sich nicht nur wie bisher im MIP-Portal (Melde- und Informationsportal<\/em>)<\/a> registrieren, sondern zus\u00e4tzlich als besonders wichtige Einrichtung<\/em> im neuen BSI-Portal. Die Frist f\u00fcr bereits registrierte Betreiber betr\u00e4gt drei Monate ab dem 6. Dezember 2025 \u2014 also bis zum 6. M\u00e4rz 2026. Neue Betreiber m\u00fcssen beide Registrierungen von Anfang an vornehmen. <\/p>\n\n

Der Audit-Zyklus wurde verl\u00e4ngert.<\/strong> Bisher mussten Betreiber alle zwei Jahre einen Compliance-Nachweis einreichen. Nach dem neuen BSIG erfolgt dies alle drei Jahre. Das BSI hat bestehende Betreiber direkt \u00fcber ihre neuen individuellen Fristen informiert. <\/p>\n\n

Die Vorfallmeldung folgt der NIS2-Struktur.<\/strong> Die bisherige KRITIS-Meldepflicht geht nun vollst\u00e4ndig im NIS2-Rahmenwerk auf. Betreiber, die \u00fcber MIP melden, m\u00fcssen die Meldung nicht zus\u00e4tzlich im BSI-Portal einreichen \u2014 das BSI hat best\u00e4tigt, dass diese \u00dcbergangsregelung mindestens bis zum 31. Juli 2026 bestehen bleibt. <\/p>\n\n

Systeme zur Angriffserkennung bleiben verpflichtend.<\/strong> Die Pflicht zum Einsatz von Systemen, die sicherheitsrelevante Ereignisse erkennen k\u00f6nnen \u2014 eingef\u00fchrt durch IT-SiG 2.0 im Jahr 2021 \u2014 wird f\u00fcr Betreiber kritischer Anlagen speziell unter \u00a731 BSIG fortgef\u00fchrt. Das BSI hat eine Orientierungshilfe dazu ver\u00f6ffentlicht, was diese Systeme leisten m\u00fcssen (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung<\/em>), abrufbar \u00fcber die Download-Seite des BSI. <\/p>\n\n

Gemeinsame Ansprechstellen (G\u00dcAS) werden abgeschafft.<\/strong> Betreiber, die zuvor eine gemeinsame Kontaktstruktur mit anderen Akteuren desselben Sektors genutzt haben, m\u00fcssen nun jeweils eigene direkte Kontaktregelungen mit dem BSI vorhalten.<\/p>\n\n

Warum die Wahl der Cloud-Plattform eine KRITIS-Compliance-Entscheidung ist<\/strong><\/h3>\n\n

Das \u00fcberarbeitete BSIG verpflichtet Betreiber ausdr\u00fccklich, die Vertrauensw\u00fcrdigkeit ihrer Technologielieferanten zu bewerten \u2014 einschlie\u00dflich der Plattformen, auf denen ihre kritischen Workloads laufen. Das ist nicht neu, aber nun formaler im Rahmenwerk verankert. Speziell f\u00fcr Cloud-Infrastruktur wirft das Fragen auf, die \u00fcber Zertifizierungen und SLAs hinausgehen. <\/p>\n\n

Hyperscale-Public-Cloud-Plattformen \u2014 AWS, Azure, GCP \u2014 bringen strukturelle Eigenschaften mit, die sich nur schwer mit KRITIS-Anforderungen vereinbaren lassen. Entscheidungen zur Datenweiterleitung werden dynamisch getroffen, wodurch es technisch schwierig ist zu garantieren, dass Daten Deutschland oder die EU nie verlassen. Ihre internen Systeme \u2014 Hypervisoren, Netzwerk-Stacks \u2014 k\u00f6nnen nicht unabh\u00e4ngig auditiert werden, was zu Reibung mit Anforderungen an die Bewertung der Lieferkette f\u00fchrt. Und Anbieter mit Hauptsitz in den USA unterliegen weiterhin dem CLOUD Act (18 U.S.C. \u00a7 2713), der eine Datenherausgabe unabh\u00e4ngig vom Speicherort erzwingen kann \u2014 ein direkter Konflikt mit den Datensouver\u00e4nit\u00e4tsanforderungen im BSIG-Rahmenwerk. <\/p>\n\n

All dies bedeutet nicht, dass ein Hyperscaler nicht Teil der Infrastruktur eines Betreibers sein kann. Es bedeutet jedoch, dass bei als kritisch eingestuften Workloads die Plattformfrage regulatorisches Gewicht hat \u2014 nicht nur operatives. <\/p>\n\n

Worauf Sie bei einer konformen Cloud-Plattform achten sollten<\/strong><\/h3>\n\n

Auf Basis der Anforderungen des \u00fcberarbeiteten BSIG und der BSI-Leitlinien muss eine Cloud-Plattform f\u00fcr KRITIS-regulierte Workloads nachweislich mehrere Bereiche abdecken:<\/p>\n\n

Hohe Verf\u00fcgbarkeit durch Architektur<\/mark><\/strong> \u2014 nicht nur vertraglich zugesicherte Uptime, sondern Redundanz in Compute-, Storage- und Netzwerkebenen, ohne Single Points of Failure.<\/p>\n\n

On-Premises- oder Private-Deployment mit vollst\u00e4ndiger Kontrolle \u00fcber die Datenresidenz<\/strong><\/mark> \u2014 der Betreiber muss verifizieren k\u00f6nnen, wo Daten verarbeitet und gespeichert werden, ohne nicht offengelegte externe Weiterleitung.<\/p>\n\n

Verschl\u00fcsselung im Ruhezustand und bei der \u00dcbertragung<\/mark><\/strong>, Schl\u00fcsselmanagement unter Kontrolle des Betreibers sowie strikte Netzwerksegmentierung zwischen Mandanten.<\/p>\n\n

F\u00e4higkeit zur Angriffserkennung<\/mark><\/strong>, die die BSI-Leitlinien erf\u00fcllt \u2014 Echtzeit-Monitoring, Anomalieerkennung und Integration in SIEM-Tools.<\/p>\n\n

Vollst\u00e4ndiges Audit-Logging<\/mark><\/strong> \u2014 jeder API-Aufruf, jede Konfigurations\u00e4nderung, jede administrative Aktion, exportierbar f\u00fcr BSI-Pr\u00fcfungen und die dreij\u00e4hrliche Einreichung des Compliance-Nachweises.<\/p>\n\n

Eine auditierbare Software-Lieferkette<\/mark><\/strong> \u2014 Open-Source-Grundlagen mit ver\u00f6ffentlichter Software Bill of Materials (SBOM), damit Betreiber die gesetzlich geforderte Vertrauensw\u00fcrdigkeitsbewertung durchf\u00fchren k\u00f6nnen.<\/p>\n\n

Wie FishOS KRITIS-Anforderungen erf\u00fcllt<\/strong><\/h3>\n\n

FishOS, entwickelt von Sardina Systems, ist eine Cloud-Management-Plattform, die OpenStack, Kubernetes und Ceph in einem einzigen automatisierten Stack integriert. Sie ist f\u00fcr On-Premises- und Private-Cloud-Deployments konzipiert, wodurch Betreiber die direkte Kontrolle dar\u00fcber behalten, wo ihre Daten liegen und verarbeitet werden \u2014 ohne Abh\u00e4ngigkeit von externer Cloud-Infrastruktur oder ausl\u00e4ndischer Gerichtsbarkeit. <\/p>\n\n

Im Bereich Verf\u00fcgbarkeit umfasst FishOS eine propriet\u00e4re Health Monitoring Component<\/a>, die kontinuierlich Echtzeit-Metriken und Log-Daten analysiert. Laut Sardina Systems nutzt sie einen Ansatz, den sie als \u201eComputer-Immunologie\u201c beschreiben \u2014 er erkennt nicht nur Ausf\u00e4lle, sondern auch degradierte \u201ekranke\u201c Zust\u00e4nde, bevor sie zu Ausf\u00e4llen f\u00fchren. Das unterscheidet sich von herk\u00f6mmlichen Monitoring-Tools. <\/p>\n\n

Im Bereich Sicherheit und Audit stellt FishOS ein zentrales Audit-Logging bereit, das Benutzer- und Systemaktionen \u00fcber die gesamte Infrastruktur hinweg abdeckt, und unterst\u00fctzt die SIEM-Integration. Laut unabh\u00e4ngigen Reviews der Plattform umfasst FishOS eine integrierte SIEM-Funktionalit\u00e4t zur Erkennung und Reaktion auf Sicherheitsbedrohungen innerhalb der Umgebung. <\/p>\n\n

In Bezug auf Transparenz in der Lieferkette basiert FishOS auf Open-Source-Komponenten \u2014 OpenStack, Ceph, Kubernetes \u2014 mit \u00f6ffentlich auditierbaren Codebasen. Sardina Systems stellt SBOM-Dokumentation bereit, die die im \u00fcberarbeiteten BSIG geforderte Bewertung der Vertrauensw\u00fcrdigkeit der Lieferkette direkt unterst\u00fctzt. <\/p>\n\n

FishOS unterst\u00fctzt die Migration von VMware und anderen Legacy-Plattformen \u00fcber sein FishOS Move It Appliance, entweder mit einem Ansatz mit minimaler Downtime oder mittels Change Block Tracking (CBT) f\u00fcr Live-Umgebungen. Beide Methoden haben sich an Produktionsstandorten bew\u00e4hrt. <\/p>\n\n

FishOS liefert die architektonische Grundlage \u2014 On-Premises-Souver\u00e4nit\u00e4t, Open-Source-Auditierbarkeit, hohe Verf\u00fcgbarkeit und die operativen Tools \u2014 die Betreiber ben\u00f6tigen, um konforme Infrastruktur aufzubauen und nachzuweisen.<\/p>\n\n

Wo Sie bei KRITIS anfangen sollten<\/strong>Wenn Ihre Organisation potenziell unter das \u00fcberarbeitete BSIG f\u00e4llt \u2014 entweder als bestehender KRITIS-Betreiber oder als neu regulierte Einheit unter den NIS2-Kategorien \u2014 sind die unmittelbaren Priorit\u00e4ten:<\/p>\n\n

Erstens: Pr\u00fcfen Sie, ob Sie nach der aktualisierten BSI-KritisV als Betreiber kritischer Anlagen<\/em> gelten oder im breiteren NIS2-Rahmenwerk als besonders wichtige<\/em> oder wichtige Einrichtung<\/em>. Das BSI hat hierf\u00fcr ein Selbstbewertungstool ver\u00f6ffentlicht. <\/p>\n\n

Zweitens: Wenn Sie bereits als KRITIS-Betreiber im MIP registriert sind, starten Sie die Registrierung im neuen BSI-Portal als besonders wichtige Einrichtung<\/em> vor dem 6. M\u00e4rz 2026.<\/p>\n\n

Drittens: Bewerten Sie Ihre aktuelle Infrastruktur anhand der technischen Anforderungen der \u00a7\u00a730 und 31 BSIG \u2014 insbesondere in Bezug auf Angriffserkennung, Audit-Logging und Lieferkettendokumentation.<\/p>\n\n

\"Ein<\/a><\/figure>\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

Deutschlands KRITIS-Rahmenwerk zum Schutz kritischer Infrastrukturen hat gerade seine umfassendste \u00dcberarbeitung seit einem Jahrzehnt erfahren. Das NIS2-Umsetzungsgesetz \u2014 Gesetz zur Umsetzung der NIS-2-Richtlinie, kurz NIS2UmsG \u2014 ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz (BSIG), das seit 2009 die IT-Sicherheitsanforderungen f\u00fcr Betreiber kritischer Infrastrukturen regelt, grundlegend \u00fcberarbeitet. F\u00fcr Organisationen in Sektoren […]<\/p>\n","protected":false},"author":20,"featured_media":88938,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[565,569],"tags":[750,3476],"class_list":["post-88935","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","category-news-de","tag-offene-infrastruktur","tag-cloud-compliance","grve-entry-item","grve-blog-item"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t