NIS2 · KRITIS · CRA
Sicherheit fängt an der Tür an.
Die neuen Vorgaben verlangen nicht nur Firewalls. Wer wann wo hineinkommt, gehört ausdrücklich dazu – und muss belegbar sein. Das ist der Teil, den wir liefern.
Worum es geht
Drei Regelwerke, ein Gedanke.
Sicherheit soll nicht behauptet, sondern nachgewiesen werden. Das gilt für die IT – und für die Tür davor.
NIS2
EU-Richtlinie für Cybersicherheit
Verlangt Risikomanagement, Meldewege und nachweisbare Sicherheitsmaßnahmen – ausdrücklich auch für den Zutritt zu Räumen und Anlagen. In Deutschland umgesetzt im BSI-Gesetz.
Betrifft: Mittlere und große Unternehmen in kritischen Sektoren
KRITIS
Kritische Infrastrukturen
Gilt zusätzlich und schon länger: Energie, Wasser, Gesundheit, Ernährung, Transport, IT. Maßgeblich sind sektorspezifische Schwellenwerte, nicht die Unternehmensgröße.
Betrifft: Betreiber von Anlagen mit Versorgungsrelevanz
CRA
Cyber Resilience Act
Nimmt die Hersteller in die Pflicht: sichere Entwicklung, Schwachstellenbehandlung und Updates über den Lebenszyklus. Betrifft auch elektronische Schließsysteme – also die Technik, die wir für Sie aussuchen.
Betrifft: Hersteller und Händler vernetzter Produkte
Der blinde Fleck
Die Firewall steht. Die Tür nicht.
Sicherheitskonzepte kreisen um Netzwerke, Passwörter und Datensicherung. Dabei nennt das Gesetz unter den Mindestmaßnahmen ausdrücklich Konzepte für die Zugriffskontrolle und das Management von Anlagen – also auch die Frage, wer physisch an den Serverschrank kommt.
In der Praxis finden wir regelmäßig dasselbe Bild: eine saubere IT-Dokumentation und daneben einen Schlüsselkasten, von dem niemand sagen kann, wer welchen Schlüssel seit wann hat.
- Wer hat Zugang zu Technik- und Serverräumen?
- Wie werden Berechtigungen vergeben – und wie wieder entzogen?
- Lässt sich ein Zutritt im Nachhinein belegen?
- Wie lange dauert es, einen verlorenen Schlüssel unschädlich zu machen?
Unser Teil
Was sich an der Tür nachweisen lässt.
Jeder Punkt hier lässt sich im Prüffall vorzeigen. Was man nicht vorzeigen kann, steht nicht in der Liste.
Berechtigungen, die dokumentiert sind
Wer darf wohin, seit wann und auf wessen Anweisung? In einer elektronischen Anlage steht das im System statt in einem Ordner – und lässt sich ausdrucken, wenn jemand danach fragt.
Entzug in Minuten statt in Wochen
Wenn jemand das Unternehmen verlässt oder ein Medium verloren geht, wird es gesperrt – nicht die Anlage getauscht. Die Reaktionszeit auf einen Vorfall ist selbst ein Prüfpunkt.
Protokolle, die standhalten
Jede Buchung mit Zeitstempel und Benutzer, nachträglich nicht veränderbar. Das ist der Unterschied zwischen „wir glauben, niemand war dort" und einem Nachweis.
Technikräume gesondert gesichert
Serverraum, Verteilung, Steuerung: Diese Türen brauchen eine eigene Berechtigungsebene, nicht denselben Schlüssel wie das Lager. Das ist der häufigste Mangel, den wir in Bestandsanlagen finden.
Fremdfirmen mit Ablaufdatum
Reinigung, Wartung, Handwerk – befristete Rechte, die von selbst enden, statt eines Schlüssels, der irgendwann nicht zurückkommt.
Schlüssel mit Nachweis
Auch mechanische Anlagen lassen sich belegen: Ausgabe gegen Unterschrift, Bestand und Verlust dokumentiert. Dafür haben wir den KEYMANAGER gebaut.
Ehrlich gesagt
Wir machen Sie nicht NIS2-konform.
Das kann niemand, der Türen ausrüstet. Die Vorgaben verlangen ein ganzes Bündel an Maßnahmen – Risikomanagement, Meldewege, Lieferkette, Notfallpläne, Schulungen. Davon ist genau ein Punkt unserer, und den machen wir gründlich.
- Wir erstellen kein Risikomanagement und keine Meldeprozesse – das ist Sache Ihrer IT-Sicherheit oder einer spezialisierten Beratung.
- Wir beurteilen nicht, ob Ihr Unternehmen unter NIS2 oder KRITIS fällt. Dafür gibt es die Betroffenheitsprüfung des BSI und Ihren Rechtsbeistand.
- Wir liefern keine Zertifikate und keine Testate. Was wir liefern, ist Technik und Dokumentation, die einer Prüfung standhält.
- Nichts auf dieser Seite ist Rechtsberatung. Die Angaben sind nach bestem Wissen recherchiert, verbindlich ist der Gesetzestext.
Fristen
Was schon gilt.
Die meisten Termine liegen hinter uns – das Gesetz trat ohne Übergangsfrist in Kraft. Stand dieser Übersicht: Oktober 2026.
- 6. Dezember 2025
Das NIS2-Umsetzungsgesetz gilt
In Kraft getreten ohne Übergangsfrist. Die Pflichten gelten seitdem unmittelbar.
- 31. Juli 2026
Registrierung beim BSI
Die ursprüngliche Frist lief im März 2026 ab, das BSI hatte bis Ende Juli nachgelassen. Wer betroffen ist und sich nicht registriert hat, sollte das nachholen.
- 11. September 2026
Meldepflichten des Cyber Resilience Act
Hersteller müssen aktiv ausgenutzte Schwachstellen melden – Frühwarnung binnen 24 Stunden, Bericht binnen 72.
- 11. Dezember 2027
Cyber Resilience Act vollständig
Dann gelten alle Anforderungen, einschließlich Konformitätsbewertung und CE-Kennzeichnung für Produkte mit digitalen Elementen.
- Dezember 2028
Nachweis gegenüber dem BSI
Besonders wichtige Einrichtungen müssen ihre Maßnahmen innerhalb von drei Jahren nach Inkrafttreten belegen.
Ob Ihr Unternehmen betroffen ist, hängt an Branche, Größe und Umsatz. Das BSI stellt dafür eine Betroffenheitsprüfung bereit – die Einschätzung gehört dorthin und zu Ihrem Rechtsbeistand, nicht zu uns.
Einmal durchs Objekt.
Wir gehen mit Ihnen durch das Gebäude und schauen uns an, welche Türen welchen Schutz brauchen und was davon heute belegbar ist. Daraus wird ein Vorschlag, der sich in Etappen umsetzen lässt – nicht alles auf einmal.
Nächster Schritt
Sprechen wir über Ihr Objekt.
Ob einzelner Zylinder oder komplettes Sicherheitskonzept: Wir schauen uns die Situation an und schlagen vor, was tatsächlich sinnvoll ist – ohne Paketdenken.
Im Notfall rund um die Uhr erreichbar: 07082 420060