KRITIS-DachG und NIS2-Umsetzungsgesetz sind zwei getrennte, aber eng verwandte Regelwerke, die beide auf EU-Recht zurückgehen: KRITIS-DachG setzt die CER-Richtlinie (Critical Entities Resilience, EU-Richtlinie vom 14.12.2022) um und ist seit 17.03.2026 in Kraft, das NIS2-Umsetzungsgesetz setzt die NIS2-Richtlinie um und gilt seit 06.12.2025. Der zentrale Unterschied liegt im Schutzgegenstand: Das KRITIS-DachG regelt die physische Resilienz kritischer Anlagen – also Perimeterschutz, Zutrittskontrolle, Redundanzen, Notfallpläne. NIS2 regelt dagegen die Cybersicherheit von Netz- und Informationssystemen.
In der Praxis betreffen beide Gesetze häufig dieselben Unternehmen, da physische und digitale Resilienz zusammenhängen: Ein Zutrittskontrollsystem etwa ist zugleich physische Schutzmaßnahme und IT-System. NIS2 hat zudem einen deutlich größeren Anwendungsbereich als das KRITIS-DachG, da es nahezu alle Rechenzentrums-Dienstleister und viele weitere Sektoren als benannte Kategorie erfasst, unabhängig von den höheren KRITIS-Schwellenwerten. CIBORIUS berät Betreiber, welche Anforderungen aus welchem Regelwerk konkret greifen, und wie sich physische und organisatorische Maßnahmen sinnvoll kombinieren lassen.