IT-Sicherheitsgesetz 2.0
Unterstützung bei der Erfüllung der Anforderungen des IT-Sicherheitsgesetzes 2.0 für Betreiber kritischer Infrastrukturen (KRITIS). Unterstützung beim Schutz Ihres Unternehmens vor Bußgeldern und Cyberangriffen.
IT-Sicherheitsgesetz 2.0 im Überblick
Das IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) regelt seit 2021 die IT-Sicherheitsanforderungen für Betreiber kritischer Infrastrukturen (KRITIS). Es erweitert die Meldepflichten und setzt Mindeststandards für die IT-Sicherheit.
Betroffene Sektoren (KRITIS)
- Energie (Strom, Gas, Öl)
- Transport und Verkehr
- Finanz- und Versicherungswesen
- Gesundheitswesen
- Wasserversorgung
- Ernährung
- IT und Telekommunikation
- Siedlungsabfallentsorgung
- Weltraum
Anforderungen nach Unternehmensgröße
Kleine KRITIS-Betreiber1-50 Mitarbeiter
Anforderungen:
- Grundlegende IT-Sicherheitsmaßnahmen
- Meldepflicht bei Vorfällen
- Benennung eines Ansprechpartners
Mittlere KRITIS-Betreiber51-250 Mitarbeiter
Anforderungen:
- IT-Sicherheitsmaßnahmen
- Regelmäßige Sicherheitsaudits
- Notfallpläne und Incident Response
- Meldepflichten an das BSI
Große KRITIS-Betreiber250+ Mitarbeiter
Anforderungen:
- Hohe IT-Sicherheitsstandards
- Jährliche Sicherheitsaudits
- Notfallpläne
- Kontinuierliche Überwachung
- Erweiterte Meldepflichten
Wichtige Anforderungen im Detail
Meldepflicht bei IT-Sicherheitsvorfällen
Die 24-Stunden-Frist stammt aus der NIS2-Richtlinie und gilt in Deutschland über das seit dem 6. Dezember 2025 in Kraft getretene Umsetzungsgesetz (NIS2UmsuCG) und das neugefasste BSIG. Das IT-Sicherheitsgesetz 2.0 selbst verlangte eine „unverzügliche“ Meldung ohne feste Stundenfrist. Nach dem neuen Recht folgt auf die Erstmeldung binnen 24 Stunden eine Vorfallsmeldung nach 72 Stunden und ein Abschlussbericht nach einem Monat. Betroffen sind auch Vorfälle bei Dienstleistern.
IT-Sicherheitsstandards
Unternehmen müssen IT-Sicherheitsstandards nach dem Stand der Technik implementieren. Dies umfasst technische und organisatorische Maßnahmen zum Schutz der IT-Systeme.
Regelmäßige Sicherheitsaudits
Alle drei Jahre (§ 39 BSIG) müssen KRITIS-Betreiber Sicherheitsaudits durchführen, um die Wirksamkeit ihrer IT-Sicherheitsmaßnahmen zu überprüfen.
Notfallpläne
Unternehmen müssen Notfallpläne für IT-Sicherheitsvorfälle erstellen und regelmäßig testen, um im Ernstfall schnell reagieren zu können.
Konsequenzen bei Verstößen
Bußgelder
Bis zu 10 Mio. € bzw. 2 % des weltweiten Jahresumsatzes (§ 65 BSIG, besonders wichtige Einrichtungen); 7 Mio. € / 1,4 % für wichtige Einrichtungen.
Haftung
Schadensersatzansprüche bei Datenpannen oder Systemausfällen, die auf mangelnde IT-Sicherheit zurückzuführen sind.
Reputation
Vertrauensverlust bei Kunden und Geschäftspartnern, besonders kritisch für KRITIS-Betreiber.
Weiterführende Informationen – BSI
Offizielle Informationen des Bundesamts für Sicherheit in der Informationstechnik (BSI):
IT-Sicherheitsgesetz-Compliance prüfen
Unser interaktiver Compliance-Check hilft Ihnen dabei, Ihren aktuellen Status bezüglich des IT-Sicherheitsgesetzes 2.0 zu bewerten und konkrete Handlungsempfehlungen zu erhalten.