Ein Vorfall, zwei Uhren
Seit März hat ein Betreiber kritischer Anlagen zwei Aufsichtsakten: die für Cybersicherheit beim BSI und die für physischen Schutz beim BBK. Beide verlangen Meldungen binnen 24 Stunden. Danach zählen sie verschieden, und wer beide von einem Kalendereintrag aus führt, verpasst eine.
Wer NIS2 sagt, meint Cybersicherheit: das Meldewesen nach § 32 BSIG, die Registrierung beim BSI, die Nachweise nach § 39. Seit dem 16. März 2026 gibt es das zweite Gesetz. Das KRITIS-Dachgesetz setzt die CER-Richtlinie um und verlangt von Betreibern kritischer Anlagen den physischen Schutz: gegen Brand, Hochwasser, Sabotage, Ausfall der Versorgung. Zuständig ist nicht das BSI, sondern das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.
Wer unter beides fällt, führt zwei Akten. Und die Stelle, an der das schiefgeht, ist nicht die Registrierung. Es ist der Vorfall.
Was das Dachgesetz verlangt
Die Pflichten hängen nicht an einem bundesweiten Stichtag, sondern an der eigenen Registrierung, darüber steht seit dem 10. September ein Eintrag im Compliance-Kalender. Registriert wird spätestens drei Monate, nachdem eine Anlage als kritisch gilt (§ 8 Abs. 1). Die Risikoanalyse nach § 12 ist erstmals neun Monate nach der Registrierung fällig, Resilienzplan und Meldewesen nach §§ 13 und 18 erstmals zehn Monate danach (§ 8 Abs. 7).
Die Risikoanalyse folgt dem Allgefahrenansatz, zehn Gefahrenarten nach § 11 Abs. 2. Der Resilienzplan kennt sechs Maßnahmenkategorien nach § 13 Abs. 3. „Nicht anwendbar" ist nach Abs. 2 zulässig, aber mit Begründung: Eine leere Kategorie ist keine Entscheidung, sondern eine Lücke.
Der Vorfall, der beide Ketten auslöst
Ein Brand im Technikraum eines Versorgers. Die Leitstelle fällt aus, die Fernwirktechnik auch. Das ist eine Störung der kritischen Dienstleistung, meldepflichtig nach § 18 des Dachgesetzes an die gemeinsame Meldestelle von BBK und BSI. Es ist zugleich ein erheblicher Sicherheitsvorfall nach § 32 BSIG, meldepflichtig an das BSI. Zwei Ketten, zwei Adressaten, ein Ereignis.
Beide beginnen gleich: eine erste Meldung binnen 24 Stunden nach Kenntnis. Danach trennen sie sich, und zwar an einer Stelle, die man beim ersten Lesen überliest.
Ab Kenntnis, ab Meldung
§ 32 BSIG verlangt nach der Frühwarnung eine Meldung binnen 72 Stunden und eine Abschlussmeldung „spätestens einen Monat nach Übermittlung der Meldung nach Nummer 2". Die Monatsfrist läuft also ab der 72-Stunden-Meldung.
§ 18 Abs. 1 des Dachgesetzes verlangt die Erstmeldung spätestens 24 Stunden nach Kenntnis und den ausführlichen Bericht „spätestens einen Monat nach Kenntnis des Vorfalls". Die Monatsfrist läuft ab Kenntnis.
Bei einem Vorfall, der am ersten Tag bekannt wird, ist der KRITIS-Bericht damit bis zu drei Tage früher fällig als die NIS2-Abschlussmeldung. Wer beide Fristen aus einem Kalendereintrag ableitet, rechnet eine davon falsch. Und weil DORA an derselben Stelle wie NIS2 rechnet, ab der Meldung, ist die Regel des Dachgesetzes die Ausnahme, die man kennen muss.
In unserem Modul hängt die Monatsfrist deshalb am Anker Kenntnis, und ein Test hält das fest, damit niemand den Anker beim nächsten Umbau an DORA angleicht.
Was nicht doppelt geführt werden muss
Die zweite Akte heißt nicht zweite Arbeit. § 17 des Dachgesetzes lässt ausdrücklich zu, Teile des Nachweises nach § 39 BSIG auch gegenüber dem BBK zu verwenden. Ein Notfallplan aus dem BCM, eine Brandschutzprüfung, eine Zutrittsregelung, eine Schulung: Das sind Nachweise, die in beide Akten gehören und nur einmal existieren sollten.
Das Modul verknüpft die sechs Kategorien deshalb mit dem, was in BCM, Brandschutz, Zutritt, Arbeitsschutz und Schulungen schon liegt, und zeigt, welche Kategorie damit gedeckt sein kann. Die Sicht entscheidet nichts. Sie zeigt, wo man nicht neu anfangen muss.
Zwei Prüffragen
Für welche Ihrer Anlagen gilt das Dachgesetz, und ist die Registrierung beim BBK gelaufen? Drei Monate ab Feststellung sind seit März für viele bereits vorbei.
Und: Wer in Ihrem Haus weiß, dass ein Brand eine 24-Stunden-Meldung auslöst, nicht nur ein Ransomware-Vorfall? Die Meldekette für den Cyberzweig hat meist einen Namen. Die für den physischen Zweig meist noch nicht.
Mehr auf der Modulseite zur KRITIS-Resilienz. Den Cyberzweig mit seinen drei Stufen beschreibt die Seite zum NIS2-Meldewesen.
Quellen
KRITIS-Dachgesetz, §§ 8, 11, 12, 13, 17 und 18, bei Gesetze im Internet. § 32 BSIG (Meldepflichten), ebenfalls dort. CER-Richtlinie (EU) 2022/2557, Artikel 13 und 14.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.