NIS2 · KRITIS
NIS2 für Recyclingunternehmen:
Was Entsorger jetzt wissen müssen
Die Entsorgungswirtschaft ist kritische Infrastruktur. Mit dem NIS2-Umsetzungsgesetz gelten seit Ende 2025 verbindliche IT-Sicherheitspflichten für die meisten mittelständischen Recycling- und Entsorgungsunternehmen — unabhängig davon, ob sie privat oder kommunal sind.
Overview
- What?
- NIS2-Umsetzungsgesetz (neues BSIG) plus KRITIS-Dachgesetz
- Since when?
- NIS2: in Kraft seit Ende 2025. KRITIS-Dachgesetz: Frühjahr 2026
- Who is affected?
- Abfallunternehmen ab 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz und Bilanzsumme; KRITIS-Anlagenbetreiber ab bestimmten Anlagen-Schwellenwerten
- Kernpflichten
- Registrierung, Risikomanagement, Meldepflichten bei Vorfällen, Lieferkettensicherheit, Verantwortung der Geschäftsleitung
- In case of violations
- Empfindliche Bußgelder, persönliche Haftung der Geschäftsleitung möglich
Einordnung
Warum gilt Abfallwirtschaft
als kritische Infrastruktur?
Fällt die Abfallentsorgung aus, entstehen innerhalb weniger Tage hygienische und logistische Probleme für Millionen Menschen. Der Gesetzgeber hat die Siedlungsabfallentsorgung deshalb bereits 2021 in den Kreis der KRITIS-Sektoren aufgenommen — gleichrangig mit Energie, Wasser, Gesundheit und Telekommunikation.
Seit dem 1. Januar 2024 definiert die überarbeitete BSI-KritisV konkret, welche Anlagen als kritische Infrastruktur gelten:
- →Disposition von Siedlungsabfallsammlung und -beförderung
- →Lagerung, Zwischenlagerung und Umladung von Siedlungsabfällen
- →Thermische Behandlung (Müllverbrennung)
- →Mechanisch-biologische Behandlungsanlagen und Sortieranlagen
Die Rechtsform spielt dabei keine Rolle: Auch rein private Unternehmen sind KRITIS-Betreiber, wenn sie entsprechende Anlagen oberhalb der Schwellenwerte betreiben.
NIS2 erweitert den Kreis
Betroffen ist nicht mehr nur, wer eine kritische Anlage betreibt
Mit NIS2 gilt das gesamte Unternehmen als mindestens „wichtige Einrichtung“, sobald es im Sektor Abfallbewirtschaftung tätig ist und eine dieser Schwellen überschreitet. Betreiber kritischer Anlagen werden als „besonders wichtige Einrichtung“ eingestuft — mit strengeren Pflichten und intensiverer BSI-Aufsicht.
50+
Mitarbeitende — oder
10 Mio. €
Jahresumsatz und Jahresbilanzsumme
Pflichten
Die konkreten Pflichten
unter NIS2 und KRITIS
Beim BSI registrieren
Betroffene Einrichtungen müssen sich beim BSI registrieren und eine Kontaktstelle benennen.
Risikomanagement umsetzen
Konzepte für Risikoanalyse und Informationssicherheit, Bewältigung von Vorfällen, Backup- und Krisenmanagement, Lieferkettensicherheit, sichere Entwicklung und Wartung von IT-Systemen (auch deiner Website), Verschlüsselung, Zugriffskontrolle, MFA und Schulungen.
Vorfälle fristgerecht melden
Erhebliche Sicherheitsvorfälle werden gestaffelt gemeldet: Erstmeldung innerhalb von 24 Stunden, detaillierte Folgemeldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
Geschäftsleitung in der Pflicht
Die Geschäftsleitung muss Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen droht persönliche Haftung.
Physische Resilienz
Das KRITIS-Dachgesetz (Frühjahr 2026) verpflichtet Betreiber kritischer Anlagen zusätzlich zu Mindeststandards beim physischen und organisatorischen Schutz: Zutrittskontrollen, Notfallpläne, Resilienzmanagement.
Und deine Website?
Was hat NIS2
mit deiner Website zu tun?
Mehr, als viele denken: Website, Online-Shop und Kundenportal sind Teil deiner IT-Angriffsfläche und fallen unter das geforderte Risikomanagement.
Sichere Entwicklung und Betrieb
Veraltete CMS-Installationen und ungepatchte Plugins sind eines der häufigsten Einfallstore. Eine moderne, gewartete Architektur reduziert das Risiko strukturell.
Lieferkettensicherheit
NIS2 verlangt, dass du auch deine Dienstleister prüfst. Deine Webagentur muss saubere Prozesse nachweisen können: Zugriffskontrollen, Deployment-Prozesse, Incident-Handling, dokumentierte QA.
Verfügbarkeit
Wenn Kunden über den Shop bestellen und Preise aus dem ERP kommen, ist die Website Teil deiner Geschäftskontinuität.
Meldefähigkeit
Ohne Monitoring und Logging kannst du Vorfälle weder erkennen noch fristgerecht melden.
So unterstützt Desent
Deine Web-Plattform,
NIS2-tauglich gebaut
Wir sind keine Zertifizierungsstelle und keine Rechtsberatung. Aber wir sorgen dafür, dass deine Web-Plattform die Anforderungen erfüllt, die NIS2 an sichere IT-Systeme und an Dienstleister stellt.
- ✓Moderner, sicherer Stack statt Plugin-Flickenteppich: Next.js, Vercel, Headless CMS — mit klar definierten Update- und Deployment-Prozessen
- ✓Dokumentierte QA-Prozesse: automatisierte Tests und strukturierte Testpläne (TestRail, Jira) — genau solche Nachweise verlangt NIS2 von deiner Lieferkette
- ✓Monitoring und Incident-Prozesse: Verfügbarkeits- und Fehlerüberwachung mit definierten Reaktionszeiten per SLA
- ✓Sichere Integrationen: ERP-Anbindungen (z. B. AMCS/Recy) mit sauberem Berechtigungskonzept statt offener Schnittstellen
- ✓Zusammenarbeit mit deinen Security-Verantwortlichen: Wir liefern die technischen Nachweise, die dein ISMS und deine Audits brauchen
Berlin Recycling GmbH
Wir haben die Web-Plattform auf eine moderne Architektur mit automatisierten Tests, strukturiertem QA-Prozess und ERP-Preisintegration gebracht. Das Ergebnis: nachvollziehbare Releases, stabile Verfügbarkeit und eine Plattform, die den Anforderungen an kritische Infrastruktur gerecht wird.
Ja. NIS2 und KRITIS knüpfen an Tätigkeit, Größe und Anlagen an, nicht an die Eigentümerstruktur. Privat, kommunal oder gemischt macht keinen Unterschied.
Free Analysis
Where is your website located?
We check it — free of charge.
You receive a clear report on the current state with a prioritized list of actions — no sales pitch as a prerequisite, no obligation. You decide how to proceed.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für die rechtliche Einordnung deines Unternehmens empfehlen wir die Abstimmung mit spezialisierten Beratern.