Am 05. Dezember 2025 wurde das deutsche NIS-2-Umsetzungsgesetz im Bundesgesetzblatt verkündet — am 06.12.2025 trat es in Kraft, ohne Übergangsfristen. Damit wurde das bisher eng gefasste KRITIS-/§-8a-Regime zu einem breiten, sektorenübergreifenden Cybersicherheits-Ordnungsrahmen für große Teile der deutschen Wirtschaft. Bundestag-Beschluss erfolgte am 13.11.2025, Bundesrat-Billigung am 21.11.2025. Im Zentrum der unternehmerischen Pflichten stehen die Risikomanagementmaßnahmen nach § 30 BSIG, weiter ausdifferenziert durch die NIS-2-Umsetzungsverordnung (NIS2UmsVo) vom 17.10.2024 und ihren technischen Annex.
Die Mengenwirkung ist erheblich. Bislang wurden etwa 4.500 Organisationen durch das BSI-Gesetz reguliert — primär Betreiber Kritischer Infrastrukturen (KRITIS), Anbieter digitaler Dienste (DSP) und Unternehmen im besonderen öffentlichen Interesse (UBI). Mit NIS-2 erweitert sich der Anwendungsbereich nach OpenKRITIS-Schätzung auf ca. 21.600 Unternehmen — eine Verfünffachung. Davon sind ca. 2.000 Betreiber kritischer Anlagen, 2.693 Anbieter digitaler Dienste, 8.250 besonders wichtige Einrichtungen, plus weitere 3.550 neu betroffene Einrichtungen. Unternehmen müssen eigenständig prüfen, ob sie betroffen sind — automatische Benachrichtigung erfolgt nicht.
Die Pflichten sind anspruchsvoll. Drei zentrale Anforderungen treffen alle NIS-2-Unternehmen: (1) Registrierung als NIS-2-Unternehmen beim BSI über 'Mein Unternehmenskonto' (MUK), das BSI-Portal wurde am 06.01.2026 freigeschaltet. (2) Meldung erheblicher Sicherheitsvorfälle binnen 24 Stunden Erstmeldung und 72 Stunden Detailmeldung. (3) Implementierung und Dokumentation von Risikomanagementmaßnahmen nach § 30 BSIG (10 Maßnahmen). Hinzu kommt Geschäftsleitungs-Schulungspflicht alle drei Jahre nach § 38 Abs. 3 BSIG n.F. und Nachweispflicht für Betreiber kritischer Anlagen alle drei Jahre (vorher zwei Jahre). Die CER-Richtlinie wird parallel über das KRITIS-Dachgesetz (Regierungsentwurf 03.11.2025) umgesetzt — adressiert physische Resilienz kritischer Einrichtungen.
Die Bedrohungslage ist real. Der BSI-Lagebericht 2025 dokumentiert über 100 Schwachstellen-Exploits täglich — bei großen Unterschieden zwischen KRITIS-Sektoren. Systeme zur Angriffserkennung bleiben häufig unzureichend. Für Cybersicherheit existieren etablierte Anbieter. Für physische Sicherheit kritischer Anlagen (Umspannwerke, Wasserwerke, Rechenzentren, Telekom-Knoten, Krankenhaus-Außenflächen) sind spezialisierte Anbieter rar. Wir gehen einen anderen Weg: spezialisierte KRITIS-Architektur mit BSI-Standards-konformer Dokumentation, ISO 27001-zertifizierten deutschen Rechenzentren, 24-Stunden-Erstmeldungs-Wegen.
NIS-2 fokussiert primär auf Cybersicherheit — die CER-Richtlinie (Critical Entities Resilience) erweitert den Rahmen um physische Resilienz kritischer Einrichtungen. In Deutschland wird CER über das KRITIS-Dachgesetz umgesetzt (Regierungsentwurf vom 03.11.2025). Erfasst werden Betreiber kritischer Anlagen — physische Bedrohungen wie Vandalismus an Umspannwerken, Sabotage an Wasserwerken, Einbrüche in Telekom-Knoten, Materialdiebstahl in Krankenhäusern. Genau hier setzt unsere Architektur an: mobile Videotürme als physische Sicherheits-Komponente innerhalb des KRITIS-Sicherheitskonzepts.
Unsere Hardware ist auf KRITIS-Anforderungen ausgelegt. Multi-Tower-Vernetzung für große KRITIS-Areale (Umspannwerke umfassen oft 5-50 Hektar, Wasserwerke 10-30 Hektar, Rechenzentren 2-10 Hektar). KI-Videoanalyse mit KRITIS-spezifischen Sub-Modellen: Aufstiegs-Detektion (Sabotage-Vorbereitung an Hochspannungs-Masten), Container-Annäherung (Werkzeug-Diebstahl in Trafohäusern), gezielte Bewegungs-Patterns. Live-Täteransprache und Polizei-Eskalation in unter 60 Sekunden ab KI-Alarm. Audit-Trail in unveränderbarer Form für § 30-Audits.
Die Compliance-Dokumentation ist KRITIS-spezifisch. Sicherheitskonzept-Dokumentation nach BSI-Standards 200-1 (Informationssicherheitsmanagement), 200-2 (IT-Grundschutz Standardabsicherung), 200-3 (Risikoanalyse). NIS-2-konforme Meldewege binnen 24-Stunden-Erstmeldung — unsere Operator sind auf erhebliche Sicherheitsvorfälle nach § 2 BSIG n.F. geschult (schwerwiegende Betriebsstörungen, finanzielle Verluste, erhebliche materielle oder immaterielle Schäden). Daten verbleiben ausschließlich in ISO 27001-zertifizierten deutschen Rechenzentren — keine Cloud-Dienste außerhalb DE/EU. Geschäftsleitungs-Schulungs-Service nach § 38 Abs. 3 BSIG n.F. (alle drei Jahre, vier Kernfelder) im Premium-Bundle.
Die Meldepflichten unter NIS-2 / § 30 BSIG sind anspruchsvoll. Ein 'erheblicher Sicherheitsvorfall' (§ 2 Nr. 40 BSIG n.F.) ist ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht oder verursachen kann, oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt. Erstmeldung binnen 24 Stunden, Detailmeldung binnen 72 Stunden — über das BSI-Portal (seit 06.01.2026 freigeschaltet) oder Übergangs-Wege. KRITIS-DachG-Vorfälle (§ 2 Nr. 9 KRITIS-DachG) sind Ereignisse, die die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigen — Meldepflicht analog organisiert.
Unsere 24/7-Leitstelle ist auf diese Anforderungen vorbereitet. Operator sind auf KRITIS-Vorfalls-Klassifikation geschult: Wann liegt ein 'erheblicher Sicherheitsvorfall' nach § 30 BSIG vor? Wann ist ein 'Beinahevorfall' meldepflichtig? Wann reicht interne Dokumentation? Bei Verdacht auf erheblichen Vorfall sofortige Eskalation an Ihre KRITIS-Beauftragten mit allen forensisch relevanten Daten (Video-Aufzeichnung, Audit-Trail-Auszug, Zeitstempel, KI-Klassifikation). Vorbereitung der BSI-Meldung mit Ihren Beauftragten — Sie behalten Meldungs-Souveränität, wir liefern die Daten-Grundlage.
Die Geschäftsleitungs-Schulungspflicht nach § 38 Abs. 3 BSIG n.F. ist neu. Geschäftsleitungen müssen alle drei Jahre in vier Kernfeldern geschult werden — Risikomanagement, Informationssicherheit, Compliance-Anforderungen, Verantwortlichkeiten. Externe Wirtschaftskanzleien (Noerr, Hogan Lovells, Linklaters) bieten Schulungen typisch 3.000-8.000 € pro Schulungs-Tag. Unser Premium-Bundle enthält einen projektspezifischen Schulungs-Service mit fachlicher Begleitung — angepasst auf Ihr Unternehmen, Ihre KRITIS-Sektoren, Ihre konkrete Risiko-Konstellation.
Die Nachweispflicht für Betreiber kritischer Anlagen alle drei Jahre (vorher zwei Jahre) wird durch das BSI festgelegt. Audits, Prüfungen oder Zertifizierungen werden alle drei Jahre eingereicht — § 39 (1) BSIG n.F. Betreiber mit Nachweisfrist innerhalb von zwölf Monaten nach Inkrafttreten können den Nachweis noch nach den bisherigen § 8a-Vorgaben erbringen. Bei Energie-Betreibern bleiben Registrierung und Nachweispflichten bei der BNetzA (§ 5c EnWG), Meldung von Sicherheitsvorfällen geht ans BSI. Wir liefern projektspezifisch die Hardware-Dokumentation für diese Audits.
Wir erstellen ein Multi-Tower-Layout mit KRITIS-spezifischen Schwerpunkten (Aufstiegs-Bereiche mit Sabotage-Detektion, Container-Bereiche mit Werkzeug-Diebstahl-Schwellwerten). BSI 200-1 bis 200-3-Dokumente werden projektspezifisch angepasst. AV-Vertrag nach Art. 28 DSGVO mit KRITIS-spezifischen TOMs (technische und organisatorische Maßnahmen).
BIC-TEC ist Ihr zuverlässiger Partner für professionelle Sicherheits- und Überwachungslösungen. Wir schützen Ihre Baustellen, Infrastruktur und temporären Objekte – deutschlandweit.