Einordnung & Geltungsbereich
Kritische Dienstleistungen, Anlagen und Abhängigkeiten erfassen. Betroffenheit, Sektorregeln und den Umfang der Betrachtung nachvollziehbar abgrenzen.
Ergebnis: Ein gemeinsames Verständnis von Umfang und Pflichten.
KRITIS-Beratung · IT · Anlagen · Gebäude
Resilienz für
kritische Infrastruktur.
IT, Anlagen und Gebäude zusammen denken. Wir unterstützen Sie dabei, Risiken fundiert zu bewerten, Maßnahmen wirksam umzusetzen und Ihr Audit gezielt vorzubereiten.
IT / OT · Standortschutz · Auditvorbereitung
01Den Umfang klärenEinordnung und kritische Abhängigkeiten
02Schutzziele erreichenWirksame Maßnahmen über Bereichsgrenzen
03Nachweise vorbereitenEntscheidungen und Prozesse belastbar belegen
Sicherheit braucht einen Zusammenhang
Das Schutzziel im Blick.
Die Umsetzung im Betrieb.
Ein Audit beginnt lange vor dem Prüftermin. Entscheidend ist, dass Risiken, Verantwortlichkeiten und Maßnahmen zusammenpassen – in der IT ebenso wie am Standort.
Wir helfen Ihnen, den tatsächlichen Handlungsbedarf zu erkennen, bestehende Schutzmaßnahmen zu bewerten und Entscheidungen belastbar zu dokumentieren. Wo gleichwertige Alternativen zulässig sind, prüfen wir ihre Wirksamkeit und Nachweisbarkeit. So lassen sich unnötig aufwändige Maßnahmen vermeiden, ohne das geforderte Schutzniveau zu unterschreiten.
Eine gute Dokumentation macht wirksame Sicherheit prüfbar. Sie ersetzt weder erforderliche Schutzmaßnahmen noch verbindliche Vorgaben.
Unsere Beratung
Vom Lagebild
zur belastbaren Vorbereitung.
IT, OT & Standortschutz
Schnittstellen zwischen IT, Steuerungstechnik und physischer Sicherheit betrachten: Zutritt, technische Räume, Versorgung, Ausfälle und Dienstleister.
Ergebnis: Priorisierte Risiken und aufeinander abgestimmte Maßnahmen.
Auditvorbereitung & Nachweise
Bestehende Nachweise strukturieren, Lücken sichtbar machen, Verantwortlichkeiten zuordnen und die Vorbereitung auf die unabhängige Prüfung begleiten.
Ergebnis: Ein nachvollziehbarer Nachweisstand und ein konkreter Maßnahmenplan.
Alternativen fundiert bewerten
Wo zulässig, gleichwertige Lösungen anhand des Schutzziels, der Wirksamkeit und des Restrisikos bewerten. Entscheidungen und ihre Grenzen dokumentieren.
Ergebnis: Begründete Entscheidungen statt pauschaler Übererfüllung.
Die Einordnung auf einen Blick
Welche Anforderungen
betreffen Ihr Unternehmen?
Die Tätigkeit entscheidet mit. Die Größe allein macht einen Betrieb noch nicht zur NIS2-Einrichtung. Diese vereinfachte Matrix bildet die Grundlogik des BSI-Entscheidungsbaums nach § 28 BSIG ab.
↔ Auf kleinen Bildschirmen können Sie die Matrix seitlich verschieben.
| Tätigkeit / Sonderfall | Unterhalb der mittleren Größe¹ | Mittlere Größe¹ | Große Einrichtung² |
|---|---|---|---|
| Einrichtungsart aus Anlage 1 BSIG z. B. Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur | Regulär keine Einordnung über Größe | Wichtige Einrichtung | Besonders wichtige Einrichtung |
| Einrichtungsart aus Anlage 2 BSIG z. B. bestimmte Herstellung, Lebensmittel, Chemie, Abfall, Post | Regulär keine Einordnung über Größe | Wichtige Einrichtung | Wichtige Einrichtung |
| Keine erfasste Einrichtungsart | Regulär keine direkte NIS2-Einordnung über diese Matrix. Vertragliche Anforderungen der Lieferkette bleiben möglich. | ||
| Betreiber kritischer Anlagen | Besonders wichtige Einrichtung – unabhängig von der Unternehmensgröße. Anlagenart und maßgeblicher Schwellenwert bzw. behördliche Bestimmung gesondert prüfen. | ||
| Qualifizierte Vertrauensdienste, TLD-Registries, DNS-Diensteanbieter | Besonders wichtige Einrichtung – unabhängig von der Unternehmensgröße. | ||
| Öffentliche Telekommunikationsdienste / -netze | Wichtige Einrichtung | Besonders wichtige Einrichtung ab mittlerer Größe¹ | |
| Sonstige Vertrauensdiensteanbieter | Wichtige Einrichtung – unabhängig von der Unternehmensgröße, sofern nicht bereits besonders wichtig. | ||
¹ Mittlere Größe: mindestens 50 Beschäftigte ODER Jahresumsatz über 10 Mio. € UND Jahresbilanzsumme über 10 Mio. €. Unterhalb: beide Kriterien nicht erfüllt.
² Große Einrichtung: mindestens 250 Beschäftigte ODER Jahresumsatz über 50 Mio. € UND Jahresbilanzsumme über 43 Mio. €. Die Spalte „mittlere Größe“ gilt, wenn die große Größe noch nicht erreicht wird.
Konkrete Einrichtungsarten, Ausnahmen, Zurechnung verbundener und Partnerunternehmen sowie sektorale Sonderregeln sind im Einzelfall zu prüfen. Ein Handwerksbetrieb ist nicht allein wegen seiner Beschäftigtenzahl direkt betroffen. KRITIS ist kein Synonym für jedes große Unternehmen. Die physische Resilienz nach dem KRITIS-Dachgesetz wird gesondert betrachtet.
IT-Sicherheit und physische Resilienz gemeinsam betrachten: Das BSIG regelt die Cybersicherheit und zusätzliche Pflichten kritischer Anlagen. Das KRITIS-Dachgesetz betrifft die physische Resilienz. Ob und ab wann dessen konkrete Pflichten greifen, hängt unter anderem von der Anlagenbestimmung, den konkretisierenden Verordnungen und den gesetzlichen Anwendungsregeln ab. Wir prüfen diese Ebenen zusammen mit den jeweiligen sektoralen Vorgaben.
Grundlagen · BSI-Entscheidungsbaum · § 28 BSIG · Anlage 1 · Anlage 2 · KRITIS-Dachgesetz · Umsetzung beim BBK
Fachlicher Stand: 6. November 2026. Orientierung, keine abschließende rechtliche Einstufung.
So arbeiten wir zusammen
Erst verstehen.
Dann gezielt handeln.
Ihr Vorhaben
Sie nennen uns Eckdaten, Ziel und Zeitrahmen über das Formular. Vertrauliche Sicherheitsdetails klären wir anschließend über einen abgestimmten Kanal.
Ein gemeinsames Bild
Wir betrachten vorhandene Prozesse, Schutzmaßnahmen und Nachweise. Daraus entwickeln wir den konkreten Beratungsumfang.
Ein passender Weg
Sie erhalten nachvollziehbare Prioritäten und vereinbarte nächste Schritte. Die weitere Begleitung richten wir an Ihrem Bedarf aus.
ELinOX · Rühle & Rühle GbR
Schaffen wir eine
belastbare Ausgangslage.
Beschreiben Sie uns kurz Ihr Unternehmen und Ihr Anliegen. Wir klären mit Ihnen den passenden nächsten Schritt.
Anfrage stellen