KRITIS-Dachgesetz: Schutzkonzepte für 29.500 Einrichtungen bis Mai 2027
Veröffentlicht am: 19.08.2026 um 02:01 Uhr | Redaktion boerse-global.de
Die Reichweite der europäischen Cybersicherheitsgesetzgebung führt zu einer unerwartet breiten Erfassung verschiedener Wirtschaftszweige. Jüngsten Berichten zufolge fallen unter die NIS2-Richtlinie (EU) 2022/2555 nun auch Sektoren, die bislang nicht mit dem Begriff der kritischen Infrastruktur assoziiert wurden.
Dazu zählen unter anderem Eiscremehersteller, Kaugummi-Großhändler sowie Produzenten von Weihnachtsbaumbeleuchtungen. Auch große Schulen, die Solaranlagen betreiben, sowie Vermieter, die Internetverbindungen an ihre Mieter weiterleiten, werden als relevante Akteure eingestuft.
Unerwartete Sektoren unter strenger Aufsicht
Die Auslegung der Richtlinie sieht vor, dass die Bereiche Lebensmittelproduktion, -verarbeitung und -vertrieb systematisch erfasst werden. In den Niederlanden wurde beispielsweise die Produktion von Weihnachtsbaumbeleuchtung explizit als wichtige Einrichtung definiert.
Die Entwicklung stößt auf politischer Ebene teils auf Unverständnis. Die tschechische EU-Abgeordnete Markéta Gregorová kritisierte die Einbeziehung solcher Sektoren und gab zu bedenken, dass diese in einer echten Krisensituation vermutlich nicht unmittelbar benötigt würden.
Die EU-Kommission verweist angesichts der Komplexität der Regulierung auf verschiedene Vereinfachungsinitiativen. Hierzu werden insbesondere der Digital Omnibus sowie der Cybersecurity Act angeführt, die den administrativen Aufwand für die betroffenen Unternehmen begrenzen sollen.
Dennoch bleibt die rechtliche Lage für viele Betriebe fordernd, da die Richtlinie bereits seit Januar 2023 in Kraft ist und die nationalen Umsetzungsfristen teils erheblich variieren. Während Länder wie Frankreich, Spanien, Irland und die Niederlande die ursprüngliche Frist im Oktober 2024 verfehlten, leitete die Kommission entsprechende Vertragsverletzungsverfahren ein.
Wer sich mit den komplexen regulatorischen Anforderungen befasst, erhält in diesem kostenlosen Report Aufklärung darüber, welche rechtlichen Pflichten und Bedrohungen Unternehmen jetzt kennen müssen. Gratis-Report zu neuen KI-Gesetzen und Cyberrisiken anfordern
Umsetzung in Deutschland und drohende Sanktionen
In Deutschland trat das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz am 6. Dezember 2025 ohne Übergangsfrist in Kraft. Schätzungen zufolge sind bundesweit rund 30.000 Unternehmen von den Regelungen betroffen.
Diese Einrichtungen waren verpflichtet, sich innerhalb von drei Monaten beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren. Aktuellen Berichten zufolge verläuft dieser Registrierungsprozess jedoch schleppend.
Die gesetzlichen Anforderungen an die betroffenen 29.500 Einrichtungen in Deutschland sind weitreichend. Die Meldepflichten bei Sicherheitsvorfällen sehen eine Erstmeldung innerhalb von 24 Stunden, eine ausführliche Meldung innerhalb von 72 Stunden und einen abschließenden Bericht nach einem Monat vor.
Bei Verstößen drohen empfindliche Bußgelder: Für essenzielle Einrichtungen können Strafen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden. Wichtige Einrichtungen müssen mit Bußgeldern von bis zu 7 Millionen Euro oder 1,4 % des globalen Umsatzes rechnen.
Angesichts drohender Bußgelder und strenger Meldepflichten zeigt dieses E-Book, wie Unternehmer Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen kosteneffizient erfüllen. Zum kostenlosen E-Book: IT-Sicherheit stärken und Unternehmen schützen
Lieferketten und ergänzende Sicherheitsgesetze
Über die direkte Betroffenheit hinaus greifen weitreichende Lieferkettenverpflichtungen gemäß Artikel 21 der Richtlinie. Diese ziehen auch Unternehmen in die Pflicht, die nicht unmittelbar aufgrund ihrer Größe oder ihres Sektors unter die NIS2-Regelung fallen, aber als Zulieferer für regulierte Einheiten fungieren.
Die erste Welle von Durchsetzungsmaßnahmen wird EU-weit für das Jahr 2026 erwartet, nachdem nach Deutschland auch Länder wie Luxemburg im Mai 2026 ihre nationalen Gesetze verabschiedet haben.
Parallel zur NIS2-Richtlinie konkretisieren sich weitere regulatorische Rahmenbedingungen. Die EU-Kommission veröffentlichte am 27. Juli 2026 einen Leitfaden zum Cyber Resilience Act (CRA), der speziell Kleinstunternehmen und KMU durch Compliance-Prüfungen führen soll.
In Deutschland wird zudem die europäische CER-Richtlinie durch das KRITIS-Dachgesetz umgesetzt. Dieses verlangt von den betroffenen Akteuren die Erarbeitung umfassender Schutzkonzepte nach einem All-Gefahren-Ansatz bis zum 17. Mai 2027.
