Rechenzentren als kritische Infrastruktur: Pflichten nach NIS2 und KRITIS-Dachgesetz
- Rechenzentren zählen zum Sektor „Digitale Infrastruktur" und können sowohl als KRITIS-Betreiber nach dem KRITIS-Dachgesetz als auch als besonders wichtige oder wichtige Einrichtung nach dem NIS2-Umsetzungsgesetz erfasst sein – mit jeweils eigenständigen Pflichten.
- Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft und regelt vor allem die Cybersicherheit.
- Das KRITIS-Dachgesetz ist im März 2026 in Kraft getreten und regelt ergänzend die physische und organisatorische Resilienz; betroffene Betreiber müssen sich frühestens ab dem 17. Juli 2026 und spätestens drei Monate nach ihrer Identifikation als kritische Anlage registrieren.
- Auf die Registrierung folgen weitere Fristen: eine Risikoanalyse spätestens neun Monate und ein Resilienzplan spätestens zehn Monate nach Registrierung.
- Sicherheitsrelevante Vorfälle sind binnen 24 Stunden zu melden; Verstöße können mit Bußgeldern geahndet werden.
Nachdem sich die ersten fünf Teile dieser Reihe mit den Energieeffizienzpflichten des EnEfG befasst haben, wenden wir uns in Teil 6 einem eigenständigen, parallel laufenden Rechtsrahmen zu: der Regulierung von Rechenzentren als kritische Infrastruktur. Zwei erst kürzlich in Kraft getretene Gesetze greifen hier ineinander – mit unmittelbarem Handlungsbedarf für viele Betreiber.
Zwei Regelwerke, ein Rechenzentrum: NIS2 und KRITIS-Dachgesetz im Zusammenspiel
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft – ohne Übergangsfrist, sodass betroffene Unternehmen die Pflichten bereits ab dem ersten Tag erfüllen mussten. Es adressiert die digitale Cybersicherheit: Netzwerksicherheit, Vorfallreaktion, Schwachstellenmanagement und die Absicherung von Lieferketten. Betroffen sind grundsätzlich Unternehmen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz in einem der regulierten Sektoren, wobei für bestimmte digitale Dienste – etwa Betreiber von Rechenzentren – auch größenunabhängige Sonderregeln gelten können.
Das KRITIS-Dachgesetz setzt demgegenüber die europäische CER-Richtlinie um und regelt die physische und organisatorische Resilienz kritischer Anlagen: Perimeterschutz, Zugangskontrollen, Personalüberprüfungen, Business Continuity Management und Krisenkommunikation. Digitale Infrastruktur – ausdrücklich einschließlich Rechenzentren, DNS-Diensten und Internet-Knoten – ist einer der im Gesetz benannten Sektoren. Für Rechenzentrumsbetreiber bedeutet dies: Wer als Betreiber einer kritischen Anlage identifiziert wird, unterliegt regelmäßig gleichzeitig den Cybersicherheitspflichten aus NIS2 und den Resilienzpflichten aus dem KRITIS-Dachgesetz – zwei unterschiedliche Schutzrichtungen, die in der Praxis als integriertes Compliance-Programm gedacht werden sollten.
Die Registrierungspflicht nach dem KRITIS-Dachgesetz: Ein laufendes Zeitfenster
Betreiber kritischer Anlagen sind verpflichtet, sich auf der gemeinsam von BBK und BSI errichteten Plattform zu registrieren – frühestens ab dem 17. Juli 2026 und spätestens drei Monate nach ihrer Identifikation als kritische Anlage. Welche Rechenzentren konkret als kritische Anlage im Sinne des Gesetzes gelten, konkretisiert die zugehörige KRITIS-Verordnung, deren Referentenentwurf Ende Mai 2026 vorgelegt wurde und die entsprechenden Schwellenwerte noch näher bestimmt.
An die Registrierung schließen sich weitere Fristen an: Betreiber müssen erstmals neun Monate nach ihrer Registrierung eine eigene Risikoanalyse und -bewertung durchführen – danach mindestens alle vier Jahre erneut. Erstmals zehn Monate nach der Registrierung sind zudem geeignete technische, sicherheitsbezogene und organisatorische Maßnahmen zu treffen und in einem Resilienzplan zu dokumentieren. Erhebliche Störungen und sicherheitsrelevante Ereignisse sind künftig binnen 24 Stunden über die gemeinsame Plattform von BSI und BBK zu melden.
Aus unserer Beratungspraxis wissen wir, dass viele Rechenzentrumsbetreiber die genaue Schwellenwertbestimmung für die KRITIS-Einordnung derzeit noch nicht abschließend vornehmen können, da die konkretisierende KRITIS-Verordnung selbst noch im Entwurfsstadium ist. Wir empfehlen dennoch, bereits jetzt eine vorläufige Betroffenheitsprüfung vorzunehmen und die Registrierungs- und Folgefristen ab Identifikation aktiv im Compliance-Kalender zu erfassen, statt auf die endgültige Verordnung zu warten. Wer bereits ein Energie- oder Umweltmanagementsystem nach ISO 50001 betreibt – wie in Teil 5 dieser Reihe dargestellt –, verfügt regelmäßig über eine gute strukturelle Ausgangsbasis für die dokumentations- und prozessbezogenen Anforderungen des KRITIS-Dachgesetzes.
Abgrenzung zu NIS2: Doppelte Betroffenheit ist der Regelfall
Für Rechenzentrumsbetreiber ist die parallele Betroffenheit durch NIS2 und KRITIS-Dachgesetz eher die Regel als die Ausnahme. Die Registrierungspflicht nach dem KRITIS-Dachgesetz knüpft dabei ausdrücklich an die bereits bestehende Registrierungspflicht nach § 33 BSIG an, sodass ein Once-Only-Prinzip zwischen beiden Regelwerken gilt – Angaben müssen nicht doppelt erfasst werden. Inhaltlich bleiben die Pflichten jedoch getrennt zu erfüllen: NIS2 verlangt technische und organisatorische Cybersicherheitsmaßnahmen sowie Melde- und Nachweispflichten gegenüber dem BSI, während das KRITIS-Dachgesetz zusätzlich die physische Sicherheit und die organisatorische Resilienz in den Blick nimmt.
Für Rechenzentrumsbetreiber verdichtet sich damit ein Compliance-Bild, das über die reinen Energieeffizienzpflichten des EnEfG deutlich hinausgeht: Cybersicherheit nach NIS2, physische und organisatorische Resilienz nach dem KRITIS-Dachgesetz und – wie in den vorangegangenen Teilen dieser Reihe dargestellt – Energieeffizienz, Abwärmenutzung und Grünstrom-Beschaffung nach dem EnEfG greifen ineinander. Angesichts der noch nicht abschließend konkretisierten KRITIS-Verordnung empfiehlt sich eine vorausschauende, aber flexible Compliance-Planung. Im nächsten Teil dieser Reihe werfen wir einen zusammenfassenden Blick auf die EnEfG-Novelle und ordnen ein, welche Erleichterungen für Rechenzentrumsbetreiber tatsächlich zu erwarten sind.
Sie möchten prüfen, ob Ihr Rechenzentrum als kritische Anlage einzustufen ist und welche Fristen für Sie konkret laufen? Sprechen Sie uns an.