„Wir sind betroffen" – und jetzt?
Es beginnt meistens mit einer E-Mail vom Rechtsanwalt, einem Hinweis des Wirtschaftsprüfers oder einem Artikel in der Fachpresse. Dann folgt die interne Recherche – und die Erkenntnis, dass das eigene Unternehmen unter NIS2 oder das KRITIS-Dachgesetz fällt. Plötzlich stehen Begriffe im Raum wie Registrierungspflicht, Risikoanalyse, Resilienzplan, Nachweispflicht gegenüber Behörden. Und die Frage: Was bedeutet das konkret für unsere physische Sicherheit – und wo fangen wir an?
Dieser Post beantwortet genau diese Frage. Keine Theorie, keine Zusammenfassung der Richtlinie – sondern ein konkreter Fahrplan: Was fordert das Gesetz, welche Fristen gelten, und wie erfüllt ein Physical Penetration Test die Nachweispflichten, die NIS2 und das KRITIS-Dachgesetz verlangen.
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft – ohne Übergangsfrist für die Maßnahmenumsetzung. Das KRITIS-Dachgesetz folgte am 29. Januar 2026. Wer jetzt noch nicht gehandelt hat, steht bereits in der Pflicht.
NIS2 und KRITIS-Dachgesetz: Zwei Gesetze, eine Pflicht
Viele Unternehmen stolpern über die Frage: Bin ich von NIS2 betroffen, vom KRITIS-Dachgesetz – oder von beiden? Die Antwort hängt vom Sektor und der Unternehmensgröße ab. Wichtig: Beide Gesetze können gleichzeitig gelten, adressieren aber unterschiedliche Schutzziele.
NIS2 schützt deine digitale Infrastruktur. Das KRITIS-Dachgesetz schützt deine physische Anlage. Viele Betreiber fallen unter beide Gesetze gleichzeitig – und müssen damit sowohl IT-Sicherheitsmaßnahmen als auch physische Resilienzmaßnahmen nachweisbar umsetzen. Eine ISO 27001-Zertifizierung allein reicht nicht.
Wer fällt unter welches Gesetz – und wie erkenne ich das?
Die erste und wichtigste Frage ist: Fällt mein Unternehmen überhaupt unter NIS2 oder das KRITIS-Dachgesetz? Beide Gesetze fordern, dass Betreiber sich selbst identifizieren – eine Behörde kommt nicht proaktiv auf dich zu. Wer die eigene Betroffenheit falsch einschätzt und sich nicht registriert, haftet trotzdem.
NIS2 betrifft dich, wenn:
- Dein Unternehmen in einem der 18 definierten Sektoren tätig ist (siehe unten)
- Du als wesentliche Einrichtung gilt: mehr als 250 Mitarbeiter oder mehr als 50 Mio. EUR Umsatz UND mehr als 43 Mio. EUR Bilanzsumme
- Du als wichtige Einrichtung gilt: mehr als 50 Mitarbeiter oder mehr als 10 Mio. EUR Umsatz UND mehr als 10 Mio. EUR Bilanzsumme
- Unabhängig von der Größe, wenn du als KRITIS-Betreiber eingestuft bist
KRITIS-Dachgesetz betrifft dich, wenn:
- Du eine kritische Anlage betreibst, deren Ausfall mindestens 500.000 Menschen betrifft
- Dein Bundesland niedrigere Schwellenwerte definiert hat – dann auch bei geringerer Versorgungsreichweite
- Du vom BBK oder der zuständigen Fachbehörde als KRITIS-Betreiber identifiziert wurdest
Die vollständige Sektorenliste umfasst 18 Bereiche – von Energie und Wasser über Gesundheit, Transport, Finanzwesen und digitale Infrastruktur bis hin zu Chemie, Weltraum und Siedlungsabfall. Wenn du unsicher bist: Das BSI stellt unter bsi.bund.de einen Betroffenheitsprüfer bereit. Im Zweifelsfall lohnt sich eine rechtliche Einschätzung – die Selbstidentifizierungspflicht trifft dich unabhängig davon, ob eine Behörde dich kontaktiert hat.
Der Fahrplan: Was bis wann zu tun ist
Beide Gesetze kombiniert ergeben einen dichten Fristenkalender. Die wichtigste Erkenntnis vorab: Bei NIS2 gibt es keine Schonfrist für die Maßnahmenumsetzung. Wer zum Zeitpunkt des Inkrafttretens am 6. Dezember 2025 unter das Gesetz fiel, muss die Anforderungen bereits jetzt erfüllen.
Was konkret umgesetzt werden muss – der physische Teil
Sowohl NIS2 als auch das KRITIS-Dachgesetz enthalten explizite physische Sicherheitsanforderungen. Viele Betreiber sind überrascht: Sie haben in IT-Security investiert, aber die physische Seite wurde stiefmütterlich behandelt. Das ändert sich jetzt fundamental.
Fünf Fragen, die du heute beantworten können solltest
Wenn dein Unternehmen unter NIS2 oder das KRITIS-Dachgesetz fällt, sind das die fünf Fragen, auf die du eine dokumentierte Antwort haben musst – nicht irgendwann, sondern jetzt.
Frage 4 ist die kritischste. „Wir haben eine Zutrittskontrolle" ist kein Nachweis. „Wir haben einen dokumentierten Physical Penetration Test durchgeführt, der unsere Maßnahmen unter Realbedingungen validiert hat" – das ist ein Nachweis.
Warum ein Physical Penetration Test die direkteste Antwort auf die Nachweispflicht ist
Das KRITIS-Dachgesetz und NIS2 fordern nicht nur, dass Maßnahmen vorhanden sind – sie fordern, dass ihre Wirksamkeit nachgewiesen wird. Das ist ein fundamentaler Unterschied zu bisherigen Anforderungen. Eine Checkliste und ein technisches Datenblatt des Zutrittskontrollsystems reichen nicht aus.
Ein Physical Penetration Test ist das sinnvollste Vorbereitungsinstrument für die Nachweispflicht, weil er:
- Reale Angriffsbedingungen simuliert: Kein Theorietest, sondern ein kontrollierter Versuch, die physischen Schutzmaßnahmen unter realen Bedingungen zu überwinden – mit denselben Methoden, die ein echter Angreifer nutzen würde.
- Eine auditfähige Dokumentation liefert: Der Testbericht enthält eine vollständige Aufstellung aller getesteten Angriffsvektoren, gefundener Schwachstellen, ihres Risikopotenzials und konkreter Handlungsempfehlungen. Dieses Format ist direkt als Nachweis gegenüber BSI und BBK verwendbar.
- Die Grundlage für die Risikoanalyse schafft: Eine physische Risikoanalyse nach § 12 KRITISDachG baut auf dem empirischen Befund auf – was ein Pentest findet, ist keine Theorie, sondern ein gemessenes Risiko. Das macht die Risikoanalyse methodisch belastbar.
- Investitionen priorisiert: Ohne Pentest wird entweder zu viel in die falschen Bereiche investiert oder zu wenig, ohne es zu wissen. Der Bericht liefert eine priorisierte Maßnahmenliste als direkt verwendbare Investitionsgrundlage.
- Anlassbezogen wiederholbar ist: Nach baulichen Veränderungen, Dienstleisterwechsel, Personalwechsel im Wachdienst oder nach einem Sicherheitsvorfall – ein aktueller Pentest zeigt den tatsächlichen Stand, nicht den von vor drei Jahren.
Ein dokumentierter Physical Penetration Test belegt, dass die Compliance-Pflicht nicht nur auf dem Papier, sondern unter Realbedingungen erfüllt wurde. Das ist der Unterschied zwischen einer Behauptung und einem Nachweis – und genau das fordern NIS2 und KRITIS-Dachgesetz.
Fazit: Die Regulatorik ist da – die Zeit für Abwarten ist vorbei
NIS2 gilt seit Dezember 2025. Das KRITIS-Dachgesetz wurde im Januar 2026 beschlossen. Beide Gesetze bringen erstmals verbindliche physische Sicherheitspflichten mit Nachweischarakter – mit persönlicher Haftung der Geschäftsleitung und Bußgeldern in Millionenhöhe bei Verstößen.
Die Frage ist nicht mehr, ob man handeln muss. Die Frage ist, ob man strukturiert handelt – mit einem klaren Plan, der Registrierung, Risikoanalyse, Maßnahmenumsetzung und Nachweis sauber aufeinander aufbaut. Oder ob man wartet, bis eine Behörde fragt.
Der erste konkrete Schritt ist fast immer derselbe: verstehen, wo die physische Sicherheit heute tatsächlich steht. Nicht in der Dokumentation – sondern in der Realität.
Du weißt, dass du betroffen bist – aber nicht, wo du bei der physischen Sicherheit stehst?
Wir führen strukturierte Physical Penetration Tests durch, die direkt als Nachweis für NIS2 und KRITIS-Dachgesetz verwendbar sind. Dokumentiert, priorisiert, auditfähig.
Kostenloses Erstgespräch anfragen →