Neben NIS2-kompatiblem Besuchermanagement und ISO-27001-zertifizierten Zutrittskontrollen zu Gebäuden und IT-Systemen rücken damit auch Logistikflächen wie Zufahrten, Tore und Laderampen in den Fokus. Sie sind integraler Bestandteil eines ganzheitlichen NIS2 Risikomanagements.

Sicherheitsrisiken im Yard gezielt steuern

Werden Dock- und Yard-Prozesse nicht strukturiert gesteuert, entstehen sicherheitsrelevante Schwachstellen mit direkten Auswirkungen auf Betrieb und Infrastruktur.

Typische Risikofelder sind:

Unkontrollierte Zugangspunkte

Tore und Laderampen stellen potenzielle Eintrittspunkte für unbefugte Personen dar. Ohne klare Prozesse und Zugriffskontrollen lassen sich diese Bereiche nicht wirksam absichern.

Risiken durch Fahrzeuge und Ladung

LKW und transportierte Güter können – beabsichtigt oder unbeabsichtigt – erhebliche Gefahren verursachen. Bereits leere Fahrzeuge bergen ein hohes Schadenspotenzial, etwa durch Kollisionen. Bei sensiblen oder gefährlichen Gütern steigt das Risiko zusätzlich.

• Ein strukturierter Prozess sollte daher sicherstellen:
• Prüfung von Fahrer, Fahrzeug und Ladung bereits vor Ankunft
• Verknüpfung mit Sicherheits- und Compliance-Anforderungen
• Durchführung spezifischer Sicherheitsunterweisungen für externe Fahrer

Betriebsrisiken durch Systemausfälle

Auch die eingesetzten Yard-Management-Systeme selbst müssen hohen Sicherheitsanforderungen genügen. Manipulationen oder Ausfälle können zu erheblichen Störungen im Betriebsablauf führen.

Entsprechend wichtig sind:

• Schutz vor unbefugtem Zugriff
• hohe Systemverfügbarkeit
• definierte Wiederanlauf- und Notfallkonzepte

Yard-Management als Bestandteil des NIS2-Risikomanagements

Ein professionelles Dock- und Yard-Management trägt dazu bei, logistische Prozesse nicht nur effizient, sondern auch sicher und nachvollziehbar zu gestalten.

Damit wird es zu einem festen Bestandteil eines ganzheitlichen Ansatzes, der:

• physische und digitale Sicherheit miteinander verbindet
• Risiken entlang der Lieferkette reduziert
• Transparenz über alle Bewegungen auf dem Betriebsgelände schafft

VISIT: Integrierte Lösung für sichere Logistikprozesse

Mit den Dock- und Yard-Management-Funktionen von VISIT unterstützt ASTRUM IT Unternehmen dabei, ihre Logistikprozesse strukturiert und NIS2-konform auszurichten.

Die Lösung ermöglicht unter anderem:

• digitale Voranmeldung von Lieferungen und Transporten
• transparente Steuerung von Zufahrten, Toren und Rampen
• Integration von Sicherheitsprüfungen für Fahrer, Fahrzeuge und Ladung
• Authentifizierung der Fahrer via Personalausweis/Reisepass
• strukturierte Prozesse für Sicherheitsunterweisungen
• vollständige Nachvollziehbarkeit aller Bewegungen auf dem Gelände

Durch die enge Verzahnung mit dem Besuchermanagement entsteht eine durchgängige Lösung für physische Zugriffskontrolle – von der Person bis zur Lieferkette.

• Der Betrieb kann flexibel erfolgen:
• On-Premise in Ihrer eigenen Infrastruktur
• oder im Hosting & Betrieb auf DSGVO-konformen, in Deutschland betriebenen Systemen

Logistikprozesse als Teil Ihrer Sicherheitsstrategie

NIS2 macht deutlich: Sicherheit endet nicht am Werkstor – sie beginnt dort.

Unternehmen, die Dock- und Yard-Prozesse frühzeitig in ihr Risikomanagement integrieren, reduzieren nicht nur regulatorische Risiken, sondern stärken nachhaltig ihre operative Stabilität und digitale Vitalität.

Für von NIS2 betroffene Unternehmen bedeutet das: Informationssicherheit endet nicht an der Firewall. Ohne eine kontrollierte physische Zutrittssteuerung lassen sich Cyberrisiken nicht wirksam begrenzen.

Physische Sicherheit als integraler Bestandteil der NIS2-Strategie

Ein ganzheitliches Sicherheitskonzept muss sicherstellen, dass ausschließlich autorisierte Personen Zutritt auf kritische Systeme und Bereiche erhalten.

Die NIS2-Anforderungen umfassen dabei unter anderem:

• Kontrolle und Dokumentation physischer Zutritte
• Absicherung sensibler Bereiche wie Rechenzentren oder Technikräume
• Integration physischer Sicherheit in bestehende Informationssicherheitsprozesse

Darüber hinaus fordert NIS2 den Einsatz starker Authentifizierungsverfahren. Das Prinzip der Multi-Faktor-Authentifizierung lässt sich auch auf physische Zutrittsprozesse übertragen – etwa durch die Kombination von:

• digitalen Zugangscodes (z. B. QR-Codes)
• Ausweisdokumenten
• biometrischen Verfahren wie Gesichtserkennung

Transparenz und Nachvollziehbarkeit im Ereignisfall

Im Falle eines Sicherheitsvorfalls ist eine lückenlose Nachvollziehbarkeit entscheidend. Unternehmen müssen in der Lage sein, schnell zu erkennen:

• wer sich zu welchem Zeitpunkt auf dem Gelände befunden hat
• welche Bereiche betreten wurden
• ob unberechtigte Zutritte erfolgt sind

Eine strukturierte Protokollierung physischer Zutritte unterstützt nicht nur die interne Aufklärung, sondern auch die Einhaltung der NIS2-Meldepflichten gegenüber Behörden.

Differenzierte Zutrittskonzepte als Schlüssel zur Sicherheit

Ein wirksames Zutrittskonzept basiert auf klar definierten Rollen und Berechtigungen. Nicht jede Person benötigt denselben Zugang:

• Besucher erhalten ausschließlich temporäre, eingeschränkte Zutrittsrechte
• Externe Dienstleister erhalten gezielten Zugang zu definierten Arbeitsbereichen
• Mitarbeitende verfügen über rollenbasierte Berechtigungen entsprechend ihrer Funktion

Diese Differenzierung reduziert Risiken und erhöht gleichzeitig die Transparenz und Steuerbarkeit der Sicherheitsprozesse.

Digitale Unterstützung durch VISIT

Mit VISIT bietet ASTRUM IT eine spezialisierte Lösung, um physische Zutrittsprozesse strukturiert, effizient und NIS2-konform abzubilden.

Die Besuchermanagement-Software unterstützt Unternehmen unter anderem bei:

• digitaler Voranmeldung und automatisierter Besuchersteuerung
• Abgleich mit Sanktionslisten bereits vor dem Zutritt
• Vergabe individueller Rollen, Zugangsbereiche und Sicherheitsunterweisungen
• revisionssicherer Protokollierung aller Zutritte

Die Authentifizierung kann flexibel gestaltet werden, beispielsweise durch die Kombination aus:

• vorab versendetem QR-Code
• automatisierter Ausweiskontrolle
• optionaler biometrischer Verifikation

So lassen sich hohe Sicherheitsanforderungen mit effizienten Prozessen verbinden – bei gleichzeitig reduzierten Wartezeiten und geringem administrativem Aufwand.

Erweiterung auf Logistikprozesse: Yard Management

Für Unternehmen mit Liefer- und Werksverkehr gehen die Anforderungen über das klassische Besuchermanagement hinaus.

ASTRUM IT unterstützt hier zusätzlich mit Lösungen für ein strukturiertes, NIS2-konformes Dock- und Yard-Management. Dadurch werden auch logistische Prozesse in die Sicherheitsstrategie integriert und transparent gesteuert.

Sicherheit ganzheitlich denken

Die Anforderungen der NIS2-Richtlinie zeigen deutlich: Zutrittskontrolle ist kein isoliertes IT Thema, sondern ein unternehmensweiter Prozess.

Digitale Lösungen wie VISIT tragen dazu bei, physische Sicherheit effizient zu organisieren und nachvollziehbar zu dokumentieren – als Grundlage für eine zukunftssichere, revisionsfähige und skalierbare Sicherheitsarchitektur.

Die NIS2-Richtlinie verpflichtet Unternehmen dazu, ihre Informationssicherheit systematisch zu steuern und nachhaltig abzusichern. Ein zentraler Baustein ist dabei ein strukturiertes, wirksames Risikomanagement.

Gleichzeitig richtet sich NIS2 ausdrücklich an die Geschäftsleitung: Sie trägt die Gesamtverantwortung für die Umsetzung, Überwachung und kontinuierliche Weiterentwicklung der Sicherheitsmaßnahmen.

Das bedeutet konkret:

• Verpflichtende Schulungen für Geschäftsführung und Vorstand
• Persönliche Haftung bei Pflichtverletzungen
• Bußgelder von bis zu 10 Mio. € oder bis zu 2% des Jahresumsatzes

Die Verantwortung kann delegiert werden – die Haftung jedoch nicht.

Registrierungs- und Meldepflichten

Unternehmen müssen eigenständig prüfen, ob sie unter die NIS2-Regulierung fallen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt hierfür entsprechende Prüfverfahren bereit.

Betroffene Organisationen sind verpflichtet:

• sich über das „Mein Unternehmenskonto“ zu registrieren
• sich beim BSI als wichtige oder besonders wichtige Einrichtung zu melden

Für neu betroffene Unternehmen gilt eine Frist von drei Monaten.

Darüber hinaus bestehen klare Meldepflichten bei Sicherheitsvorfällen:

• Innerhalb von 24 Stunden: Erstmeldung beim BSI
• Innerhalb von 72 Stunden: Detaillierte Bewertung des Vorfalls
• Nach 30 Tagen: Abschluss- oder Fortschrittsmeldung

Ein Sicherheitsvorfall gilt als erheblich, wenn er:

• zu Betriebsstörungen führt
• finanzielle Schäden verursacht
• Auswirkungen auf Dritte hat

Zusätzlich kann das BSI Unternehmen verpflichten, betroffene Kunden oder Partner aktiv zu informieren.

NIS2-Risikomanagement: Strukturierte Sicherheit als strategische Aufgabe

Das Risikomanagement bildet den Kern der NIS2-Anforderungen. Ziel ist es, Sicherheitsrisiken frühzeitig zu erkennen, geeignete Maßnahmen umzusetzen und die Resilienz der Organisation nachhaltig zu stärken.

Dabei geht es nicht nur um Prävention, sondern auch um die Fähigkeit, den Betrieb im Ernstfall aufrechtzuerhalten oder schnell wiederherzustellen.

Grundprinzipien eines wirksamen Risikomanagements

Unternehmen sind verpflichtet, geeignete technische und organisatorische Maßnahmen umzusetzen und nachvollziehbar zu dokumentieren.

Die Ausgestaltung orientiert sich an:

• Risikoexposition
• Unternehmensgröße und -struktur
• Eintrittswahrscheinlichkeit von Vorfällen
• potenziellen Auswirkungen
• wirtschaftlicher Umsetzbarkeit

Dieser risikobasierte Ansatz stellt sicher, dass Sicherheitsmaßnahmen zielgerichtet und effizient eingesetzt werden.

Zielsetzung der NIS2-Maßnahmen

Ein wirksames Risikomanagement verfolgt insbesondere folgende Ziele:

• Sicherstellung von Verfügbarkeit, Integrität und Vertraulichkeit
• Minimierung von Auswirkungen bei Sicherheitsvorfällen
• Stabiler und sicherer Betrieb kritischer Prozesse

Dabei müssen sämtliche relevanten Systeme, Prozesse und Abhängigkeiten berücksichtigt werden – einschließlich externer Dienstleister und Lieferketten.

Orientierung am Stand der Technik

Die NIS2-Richtlinie fordert ausdrücklich die Ausrichtung am aktuellen Stand der Technik sowie an etablierten Normen und Standards, darunter:

• ISO/IEC 27001
• ISO 9001
• branchenspezifische Sicherheitsstandards

Für Unternehmen bedeutet das: Informationssicherheit muss kontinuierlich überprüft und weiterentwickelt werden – sowohl technisch als auch organisatorisch.

Mindestmaßnahmen im Überblick

Die Richtlinie definiert konkrete Anforderungen an das Risikomanagement. Dazu gehören insbesondere:

Handlungsbedarf frühzeitig erkennen

Die Umsetzung der NIS2-Anforderungen ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Unternehmen, die frühzeitig handeln, schaffen nicht nur regulatorische Sicherheit, sondern stärken auch ihre digitale Resilienz und Zukunftsfähigkeit.

Ransomware, gezielte Sabotage oder Angriffe über die Lieferkette sind längst keine Ausnahmefälle mehr, sondern ein dauerhaftes Risiko für Unternehmen und öffentliche Einrichtungen.

Organisationen, deren Ausfall weitreichende Auswirkungen hätte, stehen daher besonders im Fokus regulatorischer Anforderungen.

Cyber-Resilienz als strategische Aufgabe

Vor diesem Hintergrund gewinnt Cyber-Resilienz zunehmend an Bedeutung: die Fähigkeit, Sicherheitsvorfälle nicht nur zu verhindern, sondern deren Auswirkungen zu begrenzen und den Geschäftsbetrieb schnell wiederherzustellen.

Die NIS2-Richtlinie der EU sowie das nationale Umsetzungsgesetz schaffen hierfür einen deutlich erweiterten regulatorischen Rahmen. Unternehmen werden verpflichtet,

• Cybersicherheit systematisch zu etablieren
• Risiken strukturiert zu managen
• Sicherheitsvorfälle transparent zu melden

Damit wird Informationssicherheit zur unternehmenskritischen Disziplin – und zur klaren Verantwortung auf Management-Ebene.

NIS2 geht dabei über rein technische Maßnahmen hinaus: Gefordert ist ein ganzheitlicher Ansatz, der Organisation, Prozesse und Technologien gleichermaßen umfasst.

Welche Unternehmen sind betroffen?

Ob ein Unternehmen unter die NIS2-Regulierung fällt, muss grundsätzlich eigenständig geprüft werden. Das Gesetz unterscheidet zwischen wichtigen und besonders wichtigen Einrichtungen – eine Einordnung, die im Detail komplex sein kann.

Zur ersten Orientierung gilt: Betroffen sind insbesondere

• KRITIS-Betreiber
• Vertrauensdiensteanbieter (z. B. qualifizierte Anbieter digitaler Signaturen)
• Betreiber von DNS-Diensten und TLD-Registries
• Anbieter öffentlicher Telekommunikationsdienste und -netze
• Unternehmen ab 50 Mitarbeitenden oder mit mehr als 10 Mio. € Umsatz und Bilanzsumme in definierten Branchen

Ein offizieller Test zur Einstufung wird durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereitgestellt.

Relevante Sektoren im Überblick

Die NIS2-Richtlinie umfasst eine Vielzahl von Branchen, darunter:

• Energieversorgung
• Transport und Verkehr
• Finanzwesen
• Gesundheitswesen und Medizintechnik
• Wasser- und Abwasserwirtschaft
• Digitale Dienste und IT-Infrastruktur
• Lebensmittelindustrie
• Chemie und verarbeitendes Gewerbe
• Forschungseinrichtungen

Damit betrifft NIS2 einen erheblichen Teil der deutschen Wirtschaft – Schätzungen gehen von rund 30.000 betroffenen Unternehmen aus.

Zentrale Pflichten für Unternehmen

Unternehmen, die unter NIS2 fallen, müssen eine Reihe konkreter Anforderungen erfüllen. Dazu zählen insbesondere:

Registrierung und Nachweisführung

• Registrierung beim BSI
• Dokumentation der umgesetzten Sicherheitsmaßnahmen
• Nachweispflichten (z. B. durch Audits bei KRITIS-Betreibern)

Risikomanagement und Sicherheitsmaßnahmen

• Durchführung strukturierter Risikoanalysen
• Implementierung von Business-Continuity- und Krisenmanagementprozessen
• Einsatz technischer Maßnahmen wie Verschlüsselung und Multi-Faktor Authentifizierung
• Schulung und Sensibilisierung von Mitarbeitenden

Melde- und Informationspflichten

• Unverzügliche Meldung erheblicher Sicherheitsvorfälle an das BSI
• Laufende Berichterstattung zum Vorfallsmanagement
• Information von Kunden oder Partnern auf Anordnung der Behörden

Verantwortung der Geschäftsleitung

• Sicherstellung und Überwachung der Maßnahmen
• Verpflichtende Schulung
• Persönliche Haftung bei Pflichtverletzungen

Für KRITIS-Betreiber gelten darüber hinaus zusätzliche Anforderungen, etwa Einschränkungen beim Einsatz bestimmter kritischer Komponenten.

Konsequenzen bei Verstößen

Die NIS2-Regulierung sieht abgestufte, teils erhebliche Sanktionen vor. Bußgelder können bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes betragen – maßgeblich ist der jeweils höhere Wert.

Darüber hinaus kann die Haftung auf die Geschäftsleitung ausgeweitet werden. Bei Verstößen drohen nicht nur regulatorische Konsequenzen, sondern auch persönliche Haftungsrisiken für Vorstände und Geschäftsführer.

Umsetzung: Ganzheitlich und praxisnah

Die Anforderungen von NIS2 betreffen nicht nur IT-Systeme, sondern die gesamte Organisation – von technischen Schutzmaßnahmen über Prozesse bis hin zur physischen Sicherheit.

ASTRUM IT unterstützt Unternehmen dabei, diese Anforderungen strukturiert und nachhaltig umzusetzen – im Sinne einer ganzheitlichen, zukunftssicheren IT-Strategie.

Dazu gehören unter anderem:

• individueller Softwareentwicklung, bei der Sicherheit von Anfang an integriert wird
• Full Managed Hosting & Betrieb auf DSGVO-konformen, ISO-27001-zertifizierten Infrastrukturen in Deutschland
• Lösungen wie VISIT, die einen wichtigen Beitrag zur physischen Zugriffskontrolle leisten – etwa im Besuchermanagement sowie im Yard Management.

So entsteht ein durchgängiger Ansatz, der digitale und physische Sicherheit miteinander verbindet und die Grundlage für digitale Vitalität schafft.

KRITIS-Betreiber müssen daher selbst prüfen, ob ihre Organisation als Unternehmen der kritischen Infrastruktur gilt und ob sie sich registrieren sowie die entsprechenden Sicherheitsvorschriften einhalten müssen.

Während das KRITIS-Dachgesetz vor allem den physischen Schutz kritischer Anlagen und Einrichtungen regelt, adressieren andere Regelwerke – insbesondere die EU-Richtlinie NIS2 – stärker die Cybersicherheit von Unternehmen und Organisationen. Welche Unternehmen von NIS2 betroffen sind, erläutern wir in einem separaten Beitrag.

Was ist kritische Infrastruktur? Was sind KRITIS-Unternehmen?

Die rechtliche Grundlage für die Einordnung als kritische Infrastruktur bildet in Deutschland das sogenannte KRITIS-Dachgesetz. Es definiert, welche Einrichtungen und Organisationen aufgrund ihrer zentralen Bedeutung für das Gemeinwesen als systemrelevant gelten.

Gemäß dieser kritische Infrastruktur Definition zählen dazu Anlagen, Systeme und Dienstleistungen, deren Ausfall oder erhebliche Beeinträchtigung zu nachhaltigen Versorgungsengpässen, Störungen der öffentlichen Sicherheit oder anderen schwerwiegenden Auswirkungen auf Staat, Wirtschaft und Gesellschaft führen würde.

KRITIS-Unternehmen beziehungsweise KRITIS-Betreiber sind Organisationen, die in einem der gesetzlich definierten Sektoren tätig sind und eine bestimmte Versorgungsrelevanz erreichen. Maßgeblich ist in der Regel eine Versorgungsschwelle von mindestens 500.000 versorgten Personen. Für einzelne Sektoren wird diese Schwelle teilweise über technische Kennzahlen – etwa Produktionsmengen oder Kapazitäten – bestimmt.

Darüber hinaus können zuständige Behörden ein Unternehmen unabhängig von dieser Schwelle als Unternehmen der kritischen Infrastruktur einstufen, wenn dessen Bedeutung für die Funktionsfähigkeit des Gemeinwesens dies erfordert.

Das KRITIS-Dachgesetz ordnet die kritische Infrastruktur folgenden Sektoren zu:

• Energie (Stromversorgung, Erdgasversorgung, Wasserstoffversorgung, Mineralölversorgung)
• Wasser
• Gesundheit
• Transport und Verkehr (Eisenbahnverkehr, See- und Binnenschifffahrt, Wasserstand und Gezeiten, Straßenverkehr, Wettervorhersage, Luftverkehr)
• Digitale Infrastruktur (Sprach- und Datenübertragung, Datenspeicherung und verarbeitung, öffentliche Telekommunikationsnetze und -dienste)
• Finanzwesen (DORA-Dienstleistungen)
• Sozialversicherung
• Weltraum (Bodenstationen)
• Staat
• Ernährung
• Entsorgung

Nicht alle staatlichen Einrichtungen oder Akteure des Finanzwesens fallen automatisch unter die allgemeinen KRITIS-Regelungen, da sie teilweise durch eigene regulatorische Rahmenwerke erfasst sind.

Unternehmen der kritischen Infrastruktur tragen damit eine besondere Verantwortung für die Stabilität und Resilienz zentraler Versorgungs- und Verwaltungsstrukturen. Ihre Leistungen bilden die Grundlage für wirtschaftliche Leistungsfähigkeit, gesellschaftliche Sicherheit und staatliche Handlungsfähigkeit – entsprechend hoch ist ihre systemische Relevanz innerhalb des gesetzlichen Rahmens.

Ein wichtiger Unterschied zu Regelwerken wie NIS2 besteht darin, dass das KRITIS-Dachgesetz primär auf besonders kritische Einrichtungen mit hoher Versorgungsrelevanz abzielt. NIS2 erweitert den Kreis der regulierten Organisationen deutlich und bezieht auch viele mittelständische Unternehmen aus wichtigen Wirtschaftssektoren ein.

Strengere Sicherheitsanforderungen für KRITIS-Unternehmen

Normale Unternehmen können weitgehend selbst entscheiden, wie gut sie sich gegen Sabotage, Datendiebstahl, Katastrophen und andere Gefahren schützen und wie sie zwischen den Kosten für Sicherheit und den Sicherheitsrisiken abwägen. Betreiber der kritischen Infrastruktur dagegen müssen sich zumindest an die KRITIS-Anforderungen für ihre Sicherheitsmaßnahmen halten. Details dazu haben wir in einem weiteren Beitrag zusammengestellt.

Im Mittelpunkt steht dabei vor allem die physische Sicherheit: Überwachungssysteme, Zäune, Wachpersonal, sichere Türen und Tore mit effektiven Zutrittskontrollen sowie weitere Maßnahmen zum Schutz kritischer Anlagen.

Regelungen zur Cybersicherheit finden sich dagegen stärker in anderen regulatorischen Rahmenwerken, insbesondere in der EU-Richtlinie NIS2. Während KRITIS vor allem den Schutz kritischer Infrastruktur selbst adressiert, verpflichtet NIS2 eine deutlich größere Zahl von Unternehmen zu strukturierten IT-Sicherheitsmaßnahmen.

Für die konkrete Umsetzung vieler Sicherheitsanforderungen verweisen die Regelwerke auf den „Stand der Technik“. Eine wichtige Orientierung bietet hier beispielsweise die DIN EN ISO/IEC 27001.

Wir von VISIT unterstützen ISO 27001 konforme Zutrittskontrollen mit unseren Systemen für Besuchermanagement und Yard Management. Details dazu finden Sie in unseren Beiträgen zu KRITIS & Besuchermanagement sowie KRITIS & Yard Management.

Doch welche konkreten KRITIS Anforderungen ergeben sich aus dem neuen KRITIS Dachgesetz? Und welche organisatorischen, technischen und strategischen KRITIS Maßnahmen sind tatsächlich erforderlich, um den Schutz kritischer Infrastruktur nachhaltig sicherzustellen?

Für Betreiber kritischer Anlagen geht es dabei längst nicht nur um IT-Sicherheit im engeren Sinne. Gefordert ist ein ganzheitlicher Ansatz zur Resilienz – von der Risikoanalyse über angemessene technische und organisatorische Maßnahmen bis hin zu Meldepflichten und regelmäßigen Nachweisen. Der Schutz kritischer Infrastruktur ist damit eine unternehmerische Kernaufgabe, die strategisch verankert werden muss.

Das KRITIS-Dachgesetz ergänzt dabei andere regulatorische Vorgaben zur Cybersicherheit – insbesondere die europäische NIS2-Richtlinie. Während NIS2 vor allem Anforderungen an die IT- und Cybersicherheit vieler Unternehmen und Organisationen stellt, fokussiert das KRITIS Dachgesetz stärker auf die physische und organisatorische Resilienz kritischer Einrichtungen. Welche konkreten Anforderungen sich aus NIS2 ergeben, beleuchten wir in einem separaten Beitrag.

Besonders relevant: Die Verantwortung liegt nicht allein bei der IT-Abteilung oder beim Werksschutz. Die Geschäftsleitung ist verpflichtet, geeignete Organisationsmaßnahmen zu ergreifen, um die Sicherheit und Widerstandsfähigkeit der eigenen Systeme und Prozesse zu gewährleisten. Kommt sie dieser Pflicht nicht ausreichend nach, drohen nicht nur empfindliche Bußgelder von bis zu 1 Mio. Euro für das Unternehmen. Unter bestimmten Umständen kann auch eine persönliche Haftung der Geschäftsführung in Betracht kommen.

Hinzu kommt: Der finanzielle Schaden durch vermeidbare Sicherheitsvorfälle – etwa durch Produktionsausfälle, Reputationsverluste oder Vertragsstrafen – kann die gesetzlichen Geldbußen bei Weitem übersteigen.

Umso wichtiger ist es, die regulatorischen Anforderungen frühzeitig strukturiert zu analysieren und in belastbare, praxistaugliche Maßnahmen zu überführen. In diesem Beitrag erfahren Sie, welche gesetzlichen KRITIS Anforderungen derzeit gelten, welche KRITIS Maßnahmen nach dem Dachgesetz umzusetzen sind und wie Sie den Schutz kritischer Infrastruktur rechtskonform und zukunftssicher gestalten.

Registrierung von KRITIS-Unternehmen

Nach dem KRITIS-Dachgesetz müssen sich betroffene Unternehmen innerhalb von drei Monaten selbst registrieren. Zuständig ist dafür eine Registerstelle, die gemeinsam vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) betrieben wird. Etwa zwei Wochen nach der Registrierung wird dem Unternehmen die zuständige Aufsichtsbehörde mitgeteilt.

Das bedeutet: Unternehmen müssen zunächst selbst prüfen, ob sie als KRITIS-Betreiber gelten. Diese Einordnung erfolgt anhand definierter Schwellenwerte für einzelne Sektoren und Anlagen.

Risikoanalysen

Zu den zentralen KRITIS Anforderungen gehört die Erstellung strukturierter Risikoanalysen. Neben den individuellen Risiken des eigenen Betriebs müssen KRITIS-Unternehmen auch systemische Abhängigkeiten berücksichtigen.

Dazu gehören insbesondere:

• Risiken aus den nationalen Risikoanalysen
• Risiken aus Abhängigkeiten von anderen Betreibern, auch aus anderen Sektoren
• Risiken, die sich daraus ergeben, dass andere Betreiber von der eigenen Infrastruktur abhängig sind

Beispielsweise kann ein Raffineriebetreiber von der Stromversorgung oder Transportkapazitäten für Rohöl abhängig sein. Gleichzeitig können Transportsektor oder Abfallwirtschaft auf die Produkte der Raffinerie angewiesen sein.

Die erste Risikoanalyse ist spätestens neun Monate nach der Registrierung zu erstellen. Anschließend muss sie mindestens alle vier Jahre aktualisiert werden.

Resilienz-Maßnahmen, Umsetzungsplan und Nachweise

KRITIS-Unternehmen sind verpflichtet, innerhalb von zehn Monaten nach der Registrierung geeignete KRITIS Maßnahmen umzusetzen und diese in einem Umsetzungsplan zu dokumentieren.

Ziel ist ein ganzheitlicher und belastbarer Schutz kritischer Infrastruktur – von der Prävention über die Reaktion bis zur Wiederherstellung der Leistungsfähigkeit.

Im Kern lassen sich die gesetzlichen Vorgaben in mehrere Handlungsfelder gliedern.

Verhältnis zu NIS2

Das KRITIS-Dachgesetz ergänzt die Anforderungen aus der NIS2-Richtlinie, ersetzt diese jedoch nicht. Viele Unternehmen können künftig beiden Regimen gleichzeitig unterliegen.

Während NIS2 vor allem Cybersecurity, IT-Risikomanagement und Meldepflichten für IT Sicherheitsvorfälle adressiert, konzentriert sich das KRITIS-Dachgesetz stärker auf die Resilienz kritischer Einrichtungen insgesamt – also auch auf physische Sicherheit, organisatorische Maßnahmen und betriebliche Notfallvorsorge.

Das KRITIS-Dachgesetz sieht dabei grundsätzlich keine Nachweispflichten vor, die über die Anforderungen von NIS2 hinausgehen. Die zuständigen Aufsichtsbehörden können jedoch zusätzliche Nachweise verlangen.

Welche Unternehmen von NIS2 betroffen sind und welche konkreten Sicherheitsanforderungen sich daraus ergeben, erläutern wir ausführlich in unserem Beitrag zu den NIS2-Anforderungen für Unternehmen.

Meldepflicht für Vorfälle

Bei einem Vorfall, der die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnte, besteht für KRITIS-Unternehmen eine Meldepflicht.

Die Meldung muss innerhalb von 24 Stunden an das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe erfolgen. Spätestens nach einem Monat ist außerdem ein ausführlicher Bericht einzureichen.

Für die Aufarbeitung solcher Vorfälle ist eine revisionssichere Dokumentation sicherheitsrelevanter Prozesse, etwa bei Zutrittskontrollen oder Besucherzugängen, häufig ein wichtiger Bestandteil.

Als ISO 27001–zertifizierter Software-Anbieter unterstützen wir Unternehmen gern bei Ihren Maßnahmen, insbesondere wenn es um KRITIS-konforme Zutrittskontrollen und KRITIS konformes Yard Management geht.

Gleichzeitig zeigen aktuelle Studien, dass nicht nur externe Hackerangriffe, sondern auch Unachtsamkeit oder Fehlverhalten im eigenen Unternehmen Auslöser für Sicherheitsvorfälle sein können.

Vor diesem Hintergrund gewinnt Cyberresilienz zunehmend an strategischer Bedeutung. Es geht nicht mehr nur darum, Angriffe zu verhindern – sondern darum, den Geschäftsbetrieb auch im Ernstfall aufrechtzuerhalten und schnell wiederherstellen zu können.

Was Cyberresilienz wirklich bedeutet

Während klassische Cybersicherheit darauf abzielt, IT-Systeme gegen Angriffe zu schützen, umfasst Cyberresilienz einen erweiterten Ansatz. Sie vereint:

• präventive technische und organisatorische Schutzmaßnahmen
• strukturiertes Cyber-Risikomanagement
• Maßnahmen zur Erkennung, Analyse und Eindämmung von Sicherheitsvorfällen
• Business-Continuity-Strategien
• Backup- und Recovery-Konzepte
• klar definierte Melde- und Kommunikationsprozesse

Ziel ist es, Sicherheitsvorfälle zu verhüten, zu erkennen, kontrolliert zu bewältigen und die Betriebsfähigkeit schnell wiederherzustellen.

Cyberresilienz betrifft damit nicht nur die IT-Abteilung, sondern das gesamte Unternehmen – vom Management über Compliance-Verantwortliche bis hin zu operativen Bereichen wie Empfang, Produktion oder Logistik.

Regulatorischer Rahmen: KRITIS und NIS-2

Für bestimmte Unternehmen ist Cyberresilienz inzwischen gesetzlich konkretisiert:

KRITIS – Betreiber kritischer Infrastrukturen

KRITIS bezeichnet Einrichtungen und Organisationen, die für das Funktionieren einer Gesellschaft essenziell sind, etwa in den Bereichen:

• Energie
• Wasser
• Gesundheit
• Transport
• Finanzwesen
• Digitale Infrastruktur

Das KRITIS-Dachgesetz definiert zusätzliche Pflichten, unter anderem:

• Meldepflichten gegenüber Behörden
• Business-Continuity-Management
• Anforderungen an physische Sicherheit
• Vorgaben zu Personal- und Krisenmanagement

NIS-2 – Erweiterung der Cybersicherheitsanforderungen

Parallel dazu setzt das NIS2-Umsetzungsgesetz die EU-Richtlinie (EU 2022/2555) in deutsches Recht um. NIS-2 erweitert den Kreis der betroffenen Unternehmen deutlich – auch über klassische KRITIS-Betreiber hinaus.

Wesentliche Inhalte sind:

• strengere Anforderungen an IT-Sicherheitsmaßnahmen
• verpflichtendes Cyber-Risikomanagement
• erweiterte Meldepflichten bei Sicherheitsvorfällen
• ein gefahrenübergreifender Ansatz zum Schutz von Netz- und Informationssystemen sowie deren physischer Umgebung

Wichtig ist dabei: Viele geforderte Maßnahmen gelten seit Jahren als etablierte Best Practices der Informationssicherheit. Neu ist vor allem die Verbindlichkeit, Systematik und Dokumentationspflicht.

Für zahlreiche Unternehmen bedeutet dies, bestehende Sicherheitskonzepte zu überprüfen, strukturiert weiterzuentwickeln und organisatorisch zu verankern.

Cyberresilienz endet nicht an der Firewall: Die physische Sicherheit als Risikofaktor

Sicherheitsvorfälle entstehen nicht ausschließlich durch digitale Angriffe. Häufig spielen physische Zutritte eine entscheidende Rolle – sei es durch:

• unzureichend kontrollierte Besucher
• Fremdfirmen und Dienstleister
• ehemalige Mitarbeitende
• Manipulation sensibler Bereiche wie Serverräume
• unkontrollierte Logistikprozesse

Studien zeigen zudem, dass ein erheblicher Anteil sicherheitsrelevanter Vorfälle auf internes Fehlverhalten – bewusst oder unbewusst – zurückzuführen ist. Moderne Cyberresilienz berücksichtigt daher immer auch die physische Umgebung der IT Systeme.

Besuchermanagement und Zutrittskontrolle als Baustein moderner Cyberresilienz

Die NIS-2-Richtlinie fordert ausdrücklich geeignete technische, operative und organisatorische Maßnahmen zum Schutz von Netz- und Informationssystemen – einschließlich deren physischer Umwelt.

Systeme für Zutrittskontrolle und Besuchermanagement leisten hier einen wesentlichen Beitrag:

• Steuerung und Dokumentation von Zutrittsrechten
• Identitätsprüfung externer Personen
• zeitlich und räumlich begrenzte Zugriffsberechtigungen
• Nachvollziehbarkeit aller Besucherbewegungen
• Integration in bestehende Sicherheits- und IT-Infrastrukturen

Damit tragen sie dazu bei, unbefugten Zugriff auf sensible Bereiche und damit verbundene IT Systeme wirksam zu verhindern.

VISIT von ASTRUM IT: Vernetzte Sicherheit für Unternehmen

Mit VISIT, der modularen Besuchermanagement- und Yard-Management-Plattform von ASTRUM IT, schaffen Unternehmen Transparenz, Kontrolle und Dokumentationssicherheit in sensiblen Bereichen.

Funktionen zur Stärkung der Cyberresilienz

VISIT ermöglicht unter anderem:

• Erfassung und Validierung von Ausweisdokumenten
• strukturierte Voranmeldung und Genehmigungsprozesse
• individuelle Freigabeverfahren für besonders schützenswerte Bereiche
• Echtzeit-Monitoring von Besuchern und Lieferanten
• revisionssichere Dokumentation aller Zutritte
• Integration in bestehende Sicherheits- und Compliance-Strukturen

Gerade in regulierten Branchen – etwa Industrie, Medizintechnik, Forschung, Finanzwirtschaft oder öffentliche Einrichtungen – unterstützt VISIT dabei, gesetzliche Anforderungen systematisch umzusetzen und Audits sicher zu bestehen.

Sicherheit in der Logistik: Yard Management als Risikokontrolle

Auch logistische Prozesse stellen potenzielle Schwachstellen dar. Unkontrollierte Fahrzeugbewegungen oder Lieferprozesse können nicht nur den Betriebsablauf stören, sondern auch sicherheitskritische Risiken verursachen.

VISIT erweitert das Sicherheitskonzept um ein strukturiertes Yard Management:

• Steuerung von Fahrzeugbewegungen auf dem Betriebsgelände
• Dokumentation von Lieferungen und Abholungen
• Transparente Prozesse für Fremdfirmen und Spediteure
• Nachvollziehbare Abläufe für Audits und Compliance-Prüfungen

So wird Cyberresilienz entlang der gesamten Wertschöpfungskette unterstützt.

Ganzheitliche Cyberresilienz mit ASTRUM IT

Cyberresilienz erfordert mehr als einzelne technische Maßnahmen. Sie entsteht durch das Zusammenspiel von:

• Secure-by-Design Software-Engineering
• ISO-zertifizierten Sicherheitsprozessen (u. a. ISO/IEC 27001)
• Hosting und IT-Betrieb auf deutschen, DSGVO-konformen Servern
• strukturiertem IT-Service-Management
• Notfall- und Wiederanlaufkonzepten
• physischer Sicherheitsarchitektur

Im Full-Cycle-Ansatz begleitet ASTRUM IT Unternehmen von der Beratung über Entwicklung und Hosting bis hin zu Support – mit dem Ziel, digitale Vitalität nachhaltig zu sichern.

Fazit: Cyberresilienz als strategische Führungsaufgabe

Cyberresilienz ist keine rein technische Disziplin. Sie ist ein unternehmensweites Managementthema. Gesetzliche Vorgaben wie KRITIS und NIS-2 erhöhen den Handlungsdruck – doch auch unabhängig davon gilt:

Ohne strukturierte Sicherheitsmaßnahmen und belastbare Prozesse ist Wettbewerbsfähigkeit langfristig nicht gesichert.

Mit integrierten Lösungen wie VISIT und einem erfahrenen, ISO-zertifizierten IT-Partner schaffen Unternehmen die Grundlage für nachhaltige, überprüfbare und zukunftssichere Cyberresilienz.