Das physische Gegenstück zum Cyberzweig aus NIS2 und B3S
Seit dem 16. März 2026 gilt das KRITIS-Dachgesetz, die Umsetzung der CER-Richtlinie (EU) 2022/2557. Es verlangt von Betreibern kritischer Anlagen erstmals sektorenübergreifend den physischen Schutz: Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, eine Risikoanalyse nach dem Allgefahrenansatz, einen Resilienzplan mit sechs gesetzlichen Maßnahmenkategorien, Personalsicherheit an sensiblen Positionen und Störungsmeldungen binnen 24 Stunden. Die Fristen hängen an der eigenen Registrierung, nicht an einem bundesweiten Stichtag. Das Modul führt die Akte so, wie das Gesetz sie gliedert, und ist bewusst als Gegenstück zum Cyberzweig gebaut: Dieselbe Anlage kann eine NIS2-Meldekette und eine KRITIS-Meldekette tragen, mit verschiedenen Uhren.
Die zehn Gefahrenarten nach § 11 Abs. 2 werden beim Anlegen der Risikoanalyse vollständig als „noch zu bewerten" angelegt. Eine Freigabe mit offenen Kategorien wird verweigert. Was nicht betrachtet wurde, fehlt sichtbar, statt stillschweigend.
Die sechs Maßnahmenkategorien des § 13 Abs. 3 werden je Anlage vollständig angelegt. Eine Kategorie ohne Eintrag ist eine Lücke. „Nicht anwendbar" mit Begründung ist zulässig, denn § 13 Abs. 2 lässt das zu, aber es ist eine dokumentierte Entscheidung und kein leeres Feld.
Die Erstmeldung nach § 18 ist 24 Stunden nach Kenntnis fällig, der ausführliche Bericht einen Monat nach Kenntnis, nicht einen Monat nach der Erstmeldung. Das ist ein Unterschied zu DORA und NIS2, und ein Test hält ihn fest. Ein Vorfall kann daneben eine NIS2-Kette tragen.
Für Zuverlässigkeitsüberprüfungen an sensiblen Positionen speichert das Modul Anlass, Umfang, Einwilligung, Ergebnis und Gültigkeit. Der Inhalt eines Führungszeugnisses wird nie gespeichert, mit Blick auf Art. 10 DSGVO. Eigene Rechte trennen die Personalsicherheit vom übrigen Modul.
Eine Akte, die dem BBK die Fragen des Gesetzes in dessen Reihenfolge beantwortet, und die dabei nichts doppelt führt, was im Cyberzweig schon liegt.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
