Ge­mein­sam­kei­ten im Über­blick: NIS2, CRA, EU AI Act und KRI­TIS-Dach­ge­setz

Regulatorische Flut 

NIS2, CRA, EU AI Act und das KRITIS-Dachgesetz: Belastung oder Chance? 

Unternehmen sehen sich aktuell mit einer Vielzahl neuer regulatorischer Anforderungen konfrontiert. Für Geschäftsführer und Compliance-Verantwortliche entsteht dabei der Eindruck, dass mehrere voneinander unabhängige Vorgaben parallel umzusetzen sind. Jede Regulierung scheint eigene Prozesse, Dokumentationspflichten und Nachweisanforderungen mit sich zu bringen. 

Gerade Organisationen, die von mehreren dieser Vorgaben gleichzeitig betroffen sind, stellen sich daher eine zentrale Frage: Müssen Prozesse tatsächlich mehrfach aufgebaut und gepflegt werden – oder entstehen lediglich neue Namen für ähnliche organisatorische Aufgaben? Die Antwort ist auf den ersten Blick keineswegs offensichtlich. Denn die Regelwerke unterscheiden sich zunächst deutlich hinsichtlich Zielsetzung, Perspektive und Anwendungsbereich.

Bei näherer Betrachtung lassen sich hinter den unterschiedlichen Begrifflichkeiten und Schwerpunkten jedoch gemeinsame Grundprinzipien erkennen. Genau darin liegt ein erhebliches Potenzial für Unternehmen. Vorausgesetzt, es gelingt, diese Zusammenhänge zu systematisieren.

Vier Regelwerke im Überblick

Unterschiedliche Perspektiven, ähnliche Stoßrichtung 

Auf den ersten Blick adressieren NIS2 , CRA, EU AI Act und das KRITIS-Dachgesetz sehr unterschiedliche Themenfelder. Während manche Vorgaben Organisationen in ihrer Gesamtheit betrachten, richten andere den Fokus auf Produkte, kritische Prozesse oder den Einsatz künstlicher Intelligenz. Genau diese Unterschiede erschweren häufig eine ganzheitliche Einordnung. 

NIS2 umsetzen: Cybersicherheit von Organisationen 

NIS2 verschärft die Grundanforderungen an die Cybersecurity für einen deutlich erweiterten Kreis betroffener Unternehmen. Im Fokus steht die Fähigkeit von Organisationen, Risiken systematisch zu identifizieren, geeignete Sicherheitsmaßnahmen umzusetzen und Vorfälle wirksam zu behandeln. Dabei werden organisatorische Fragestellungen zunehmend wichtiger.

Zentraler Bezugspunkt ist das Risikomanagement, das neben technischen Maßnahmen insbesondere organisatorische Maßnahmen wie Governance-Strukturen, Prozesse und Verantwortlichkeiten in den Mittelpunkt stellt. Die Perspektive ist damit klar organisationsbezogen: NIS2 zielt darauf ab, das Cybersicherheitsniveau in der EU zu erhöhen und die Widerstandsfähigkeit von Unternehmen und kritischen Einrichtungen gegenüber Bedrohungen in der Cybersecurity zu stärken.

KRITIS-Dachgesetz umsetzen: Resilienz kritischer Infrastrukturen 

Das KRITIS-Dachgesetz (KRITISDachG) erweitert den Blick über Cyberrisiken hinaus und stellt die physische und organisatorische Resilienz kritischer Infrastrukturen in den Mittelpunkt. Unternehmen müssen geeignete Schutz- und Geschäftsfortführungsmaßnahmen nachweisen, um kritische Prozesse auch unter außergewöhnlichen Bedingungen, bei Störungen sowie in Not- und Krisensituationen aufrechterhalten zu können.  

In diesem Kontext bietet DIN SPEC 14027 als möglicher Praxisstandard eine hilfreiche Orientierung zur Stärkung der physischen Resilienz von Organisationen. Die darin vorgesehenen unterschiedlichen Schutzniveaus berücksichtigen Kritikalität und Risikoexposition und ermöglichen damit ein breites Anwendungsspektrum von KMU bis hin zu Großunternehmen.

CRA umsetzen: Sicherheit von Produkten 

Der Cyber Resilience Act (CRA) verschiebt den Fokus von Organisationen auf Produkte mit digitalen Elementen und deren gesamten Lebenszyklus. Hersteller, Einführer und Händler müssen Cybersicherheit bereits in der Entwicklung, Produktion und späteren Nutzung berücksichtigen und die Einhaltung der grundlegenden Sicherheitsanforderungen nachweisen.  

Sicherheit endet damit nicht mit der Markteinführung; vielmehr werden Schwachstellenmanagement, Sicherheitsupdates, Meldepflichten und kontinuierliche Sicherheitsmaßnahmen zu festen Bestandteilen des Produktlebenszyklus. Der Grundgedanke von „Security by Design“ wird damit regulatorisch verankert. Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle ist ausdrücklich Teil des CRA-Systems.

EU AI Act umsetzen: Vertrauenswürdige KI 

Der EU AI Act verfolgt einen risikobasierten Ansatz zur Regulierung künstlicher Intelligenz mit dem Ziel, vertrauenswürdige KI-Systeme zu fördern, die Sicherheit, Transparenz und Nachvollziehbarkeit berücksichtigen.  

Für Hochrisiko-KI-Systeme gelten umfangreiche Anforderungen an Risikomanagement, technische Dokumentation, Qualitätsmanagement, Daten-Governance und menschliche Aufsicht, die über den gesamten Lebenszyklus des Systems aufrechterhalten werden müssen. Damit rücken nicht Einzelmaßnahmen, sondern kontrollierbare und nachweisbare Strukturen in den Mittelpunkt. 

Welche Anforderungen haben NIS2, CRA, EU AI Act und KRITIS-DachG gemeinsam? 

Trotz unterschiedlicher Perspektiven folgen NIS2, CRA, EU AI Act und KRITIS-Dachgesetz einem gemeinsamen Muster, das sich in sieben Merkmalen zeigt: Sie basieren auf einem risikobasierten Ansatz, verankern Managementverantwortung und Governance, verlangen Dokumentations- und Nachweispflichten, kombinieren technische mit organisatorischen Maßnahmen, zielen auf Resilienz statt reine Prävention, sind lebenszyklusorientiert und setzen auf kontinuierliche Verbesserung.

1. Risikobasierter Ansatz 

Alle vier Regulierungen folgen einem gemeinsamen, risikobasierten Ansatz: 

• NIS2 verankert das Risikomanagement in § 30 BSIG, 
• KRITISDachG in § 13 Absatz 2 über naturbedingte, technische und menschlich verursachte Risiken, 
• der Cyber Resilience Act über die grundlegenden Sicherheitsanforderungen und Herstellerpflichten in Artikel 13, und der 
• EU AI Act in Erwägungsgrund 65 sowie Artikel 9 über ein einzurichtendes, anzuwendendes, dokumentiertes und aufrechtzuerhaltendes Risikomanagementsystem für Hochrisiko-KI.

Das gemeinsame Grundmuster lautet: Ein konformes Risikomanagement verlangt, dass Unternehmen relevante Risiken systematisch identifizieren, bewerten, priorisieren und mit angemessenen Maßnahmen behandeln, statt diese anhand starrer Checklisten abzuarbeiten. 

2. Managementverantwortung und Governance 

Cybersicherheit und Compliance sind Managementthemen. Die Verantwortung liegt klar auf der Führungsebene und nicht bei IT- oder Fachabteilungen. 

In allen Regelwerken spielen Governance-Strukturen eine zentrale Rolle ein, also Ordnungs- und Steuerungsrahmen einer Organisation mit geeigneten Regeln, Rollen, Verantwortlichkeiten, Entscheidungswege und Kontrollmechanismen. Governance schafft Voraussetzungen, um Risiken, Sicherheit und Verantwortlichkeiten systematisch und nachvollziehbar zu steuern.

3. Dokumentations- und Nachweispflichten 

Ein weiterer gemeinsamer Nenner ist die Nachweisfähigkeit. Regulatorische Anforderungen beschränken sich nicht auf die Umsetzung einzelner Maßnahmen, sondern verlangen nachvollziehbare Dokumentationen zu Risiken, Entscheidungen, Prozessen und Verantwortlichkeiten. 

Risikobewertungen, Richtlinien, Maßnahmen und Schulungen müssen konsistent dokumentiert, aktuell gehalten und im Bedarfsfall belastbar nachweisbar sein.

4. Kombination technischer und organisatorischer Maßnahmen 

In allen vier Regelwerken greifen technische und organisatorische Maßnahmen ineinander. Gefordert ist nicht nur technische Absicherung, sondern zugleich ein wirksamer Rahmen aus Governance, Prozessen, Rollen, Zuständigkeiten und Aufsicht. Sicherheit entsteht damit aus dem Zusammenspiel von risikoadäquaten technischen und organisatorischen Maßnahmen. 

5. Resilienz statt reiner Prävention 

Ziel ist nicht allein die Vermeidung von Vorfällen, sondern auch die Fähigkeit, Störungen wirksam zu bewältigen. Im Mittelpunkt stehen robuste Reaktion, geordnete Wiederherstellung und die Aufrechterhaltung kritischer Funktionen auch unter außergewöhnlichen Bedingungen. Damit rückt Resilienz als Fähigkeit zur Fortführung des Betriebs stärker in den Vordergrund als reine Prävention.

6. Lebenszyklusorientierung 

Sicherheit wird als dauerhafter Prozess verstanden und nicht als einmalige Projektaufgabe. Die Anforderungen enden nicht mit der Erstimplementierung oder Markteinführung. Gefordert ist ein durchgängiger Blick über Planung, Entwicklung, Einführung, Betrieb, Wartung und Anpassung hinweg. Maßnahmen müssen fortlaufend überprüft, aktualisiert und an veränderte Risiken oder Rahmenbedingungen angepasst werden.

7. Kontinuierliche Verbesserung 

Alle vier Regulierungen implizieren einen kontinuierlichen Verbesserungsprozess (KVP) im Sinne des PDCA-Zyklus: planen, umsetzen, überprüfen und anpassen. Organisationen sollen wirksam überwachen, aus Vorfällen und Abweichungen lernen und ihre Maßnahmen fortlaufend anpassen. Sicherheit und Resilienz bleiben damit nicht statisch, sondern werden auf Basis von Erkenntnissen, Prüfungen und Rückmeldungen weiterentwickelt.

Die eigentliche Herausforderung: Silodenken erzeugt Komplexität 

Gerade an diesem Punkt entsteht in vielen Unternehmen ein Spannungsfeld. Obwohl sich die zugrundeliegenden Muster ähneln, werden neue Anforderungen häufig weiterhin isoliert betrachtet und umgesetzt. Für jede Regulierung entstehen eigene Projekte, eigene Dokumentationen und teilweise parallele Prozesse.

Die Folgen zeigen sich oft erst im operativen Alltag. Ähnliche Informationen werden mehrfach erhoben, Prozesse unterscheiden sich nur in Details und Verantwortlichkeiten überschneiden sich. Gleichzeitig steigt der Abstimmungsaufwand zwischen Fachbereichen und Compliance-Funktionen. 

Besonders deutlich wird dies in Audits. Überlappende Anforderungen führen dazu, dass Nachweise in verschiedenen Kontexten erneut vorgelegt werden müssen, obwohl die zugrunde liegenden Inhalte teilweise identisch sind. Dadurch erhöht sich nicht nur der Prüfaufwand, sondern auch das Risiko von Inkonsistenzen und widersprüchlichen Aussagen.

NIS2, EU AI Act, KRITISDachG: Perspektivwechsel

Was wäre, wenn die Anforderungen gar nicht getrennt betrachtet werden müssten? 

Managementsysteme gemäß etablierten Normen wie ISO 27001, ISO 22301 oder ISO/IEC 42001 basieren auf wiederkehrenden Grundprinzipien wie Risikomanagement, Governance, Prozessen, Verantwortlichkeiten, Dokumentation und kontinuierlicher Verbesserung. Auf dieser Grundlage entsteht eine einheitliche Perspektive. Nicht die einzelnen Regulierungen bilden den Startpunkt für die Umsetzung ihrer Anforderungen, sondern das integrierte Managementsystem selbst, dessen Kontext jeweils um die relevanten regulatorischen Anforderungen und das spezifische Managementsystem erweitert wird. 

Der integrierte Managementansatz wird damit zur strukturgebenden Antwort auf regulatorische Komplexität. Statt für jedes neue Regelwerk separate Lösungen aufzubauen, entsteht ein gemeinsamer organisatorischer Rahmen mit einer Werkzeuggrundausstattung, um wiederkehrende regulatorische Anforderungen einheitlich und abgestimmt zu bedienen.

Wie schafft ISO 27001 Synergien bei regulatorischen Anforderungen?  

ISO 27001 bietet mit ihrem risikobasierten Informationssicherheits-Managementsystem (ISMS) einen gemeinsamen Managementrahmen für Governance, Risikomanagement, Prozesse und Nachweise. Dadurch lassen sich zahlreiche Anforderungen der vier Regelwerke systematisch integrieren. 

In vielen Organisationen bildet ein ISMS nach ISO 27001 bereits eine etablierte Grundlage. Ein vorhandenes ISMS adressiert zahlreiche Mechanismen, die sich in NIS2, CRA, EU AI Act und dem KRITIS-Dachgesetz wiederfinden. Dazu gehören Risikomanagement, Governance, Prozesse, Verantwortlichkeiten, Dokumentation, Richtlinien, Incident-Management und ständige Verbesserungsprozesse.

Bei einer strukturellen Betrachtung wird deutlich, dass ISO 27001 weit mehr ist als ein reiner Managementstandard für Informationssicherheit. Die international anerkannte Norm eignet sich als Grundlage, weil sie ein generisches, risikobasiertes Managementsystem für Informationssicherheit bereitstellt, das sich über unterschiedliche Regulierungsvorgaben hinweg als gemeinsamer organisatorischer Rahmen nutzen lässt.

Zentrale Überschneidungen zwischen ISO 27001 und den betrachteten Regelwerken  

NIS2: Hohe strukturelle Deckung im Bereich Informationssicherheits-Governance, Risikomanagement, Incident-Management und kontinuierlicher Verbesserung. ISO 27001 wird faktisch als etablierter Referenzrahmen für die Umsetzung herangezogen. 

KRITIS-Dachgesetz: Starke Schnittmengen im Bereich organisatorische Resilienz, Business Continuity sowie Wiederanlauf- und Krisenmanagement. Ergänzend zu ISO 27001 wird insbesondere ISO 22301 als komplementärer Standard relevant. 

Cyber Resilience Act (CRA): Überlappung bestehen vor allem bei Secure Development Lifecycle, Schwachstellenmanagement, Sicherheitsupdates und dokumentierte Produkt-Sicherheitsprozesse, die in ISMS-Strukturen häufig bereits angelegt sind. 

EU AI Act: Relevante Parallelen ergeben sich im Risikomanagement für KI-Systeme, Governance-Strukturen sowie in Dokumentationspflichten. Eine ergänzende Brücke entsteht insbesondere über ISO 42001, die konzeptionell auf den Grundprinzipien eines Managementsystems aufbaut. 

Ein bestehendes Managementsystem nach ISO 27001 ersetzt regulatorische Anforderungen zwar nicht vollständig. Mapping-Ansätze zeigen jedoch regelmäßig, dass zahlreiche ISMS-Anforderungen bereits zumindest teilweise adressiert werden. Häufig unterscheiden sich Terminologie und Schwerpunktsetzung, während die zugrunde liegenden organisatorischen Mechanismen vergleichbar bleiben. 

ISO 27001 wird damit auf Grundlage der Harmonized Structure (HS) zur strukturellen Trägernorm für die Integration regulatorischer Anforderungen. Sie ersetzt die jeweiligen Rechtsakte nicht, bietet aber den einheitlichen Managementrahmen, in den sich deren Anforderungen systematisch und auditfähig einbetten lassen.

Integrierter Managementansatz reduziert Mehrarbeit  

Ein integrierter Managementansatz schafft organisatorische Effizienz und bietet damit Vorteile für die Umsetzung regulatorischer Anforderungen. Prozesse, Dokumentationen und Nachweise können wiederkehrend genutzt werden, anstatt parallel gepflegt zu werden. 

Ein einheitliches Risiko- oder Incident-Management kann mehrere Anforderungen gleichzeitig unterstützen. Auch Auditvorbereitungen lassen sich effizienter gestalten, da Nachweise in unterschiedlichen Kontexten genutzt werden können. Gleichzeitig steigt die Transparenz über Risiken, Verantwortlichkeiten und regulatorische Verpflichtungen. 

Darüber hinaus entsteht ein weiterer Vorteil: Organisationen schaffen eine belastbare Grundlage für zukünftige regulatorische Entwicklungen. Angesichts der regulatorischen Dynamik bietet diese Erweiterungsfähigkeit eine zukunftssichere Ordnungsstruktur. 

NIS2, CRA, EU AI Act und KRITISDachG: ein Fazit 

Von der regulatorischen Pflicht zur strategischen Chance

Die Vielzahl neuer regulatorischer Anforderungen kann zunächst als zusätzliche Belastung erscheinen. Ein isolierter Blick auf einzelne Regelwerke verstärkt diesen Eindruck häufig und führt zu parallelen Aktivitäten.  

Wer jedoch die gemeinsamen Muster hinter NIS2, CRA, EU AI Act und KRITISDachG erkennt, eröffnet einen integrierten Umsetzungspfad. Ein integrierter Managementansatz ermöglicht es, bestehende Strukturen gezielt weiterzuentwickeln und Anforderungen effizient zusammenzuführen. 

Compliance wird damit nicht nur zur Erfüllungspflicht, sondern zu einem strategischen Steuerungsinstrument, das regulatorische Sicherheit, Resilienz, Transparenz und organisatorische Handlungsfähigkeit stärkt.

Ganzheitliche Auditexpertise mit der DQS 

Die DQS steht seit über 40 Jahren für unparteiliche Audits und Zertifizierungen auf höchstem Niveau. Mit umfassender Expertise zu Informationssicherheit, Resilienz und Managementsystemen bewerten unsere qualifizierten Auditoren integrierte Ansätze ganzheitlich und schaffen Orientierung für auditfähige Nachweise zu ISO 27001 und angrenzenden regulatorischen Anforderungen. Wir freuen uns auf den Kontakt mit Ihnen.

Vertrauen und Expertise 

Unsere Texte und Broschüren werden ausschließlich von unseren Normexperten oder langjährigen Auditoren verfasst. Sollten Sie Fragen zu den Textinhalten oder unseren Dienstleistungen an unseren Autor haben, senden Sie uns gerne eine E-Mail: [email protected].

Hinweis: Wir verwenden aus Gründen der besseren Lesbarkeit das generische Maskulinum. Die Direktive schließt jedoch grundsätzlich Personen jeglicher Geschlechteridentitäten mit ein, soweit es für die Aussage erforderlich ist.