KRITIS und NIS2 in Deutschland: Warum das Thema auch ANPR-Kamera-Lieferanten betrifft
Kurz gesagt: Seit Dezember 2025 ist die Cybersicherheitslandschaft für kritische Infrastruktur in Deutschland neu geregelt. Wer Betreiber im Verkehrssektor (Parkhäuser, Mautsysteme, Flughäfen, ÖPNV) beliefert, wird künftig genauer gefragt, wie sicher die eigene Hardware und Software wirklich ist. Wir erklären, was sich geändert hat und was das für die Beschaffung von Nummernschilderkennungssystemen (ANPR oder LPR) bedeutet.
Zwei neue Gesetze, ein gemeinsamer Anspruch
Deutschland hat zwei zentrale Regelwerke verabschiedet, die das Sicherheitsniveau kritischer Infrastruktur neu definieren:
- Das NIS2-Umsetzungsgesetz (NIS2UmsuCG), verkündet im Bundesgesetzblatt (BGBl. 2025 I Nr. 301) am 5. Dezember 2025 und in Kraft seit dem 6. Dezember 2025. Es überführt die europäische NIS2-Richtlinie in deutsches Recht und reformiert dabei das BSI-Gesetz grundlegend, und zwar ohne Übergangsfrist.
- Das KRITIS-Dachgesetz, in Kraft seit dem 17. März 2026, das die physische Resilienz kritischer Anlagen regelt (Umsetzung der europäischen CER-Richtlinie).
Zusammen betreffen beide Gesetze schätzungsweise 29.500 Unternehmen in Deutschland, verteilt über 18 Sektoren. Wichtig für das Verständnis der Systematik: KRITIS-Betreiber sind eine Teilmenge der "wichtigen Einrichtungen", die wiederum eine Teilmenge aller NIS2-Einrichtungen sind. Wer als KRITIS-Betreiber gilt, unterliegt automatisch auch den strengeren NIS2-Pflichten und zusätzlich dem KRITIS-Dachgesetz.
Betrifft das auch Hardware-Hersteller wie Survision?
Die klare Antwort: Nicht direkt, aber sehr wohl indirekt. Und genau das ist der entscheidende Punkt.
KRITIS und NIS2UmsuCG richten sich an Betreiber kritischer Infrastruktur, also an Flughafenbetreiber, Autobahn- und Mautgesellschaften, ÖPNV-Unternehmen oder Energieversorger. Ein Kamerahersteller wie Survision fällt nicht selbst unter die Registrierungs-, Melde- oder Haftungspflichten dieser Gesetze.
Aber: Genau diese Betreiber sind unsere Kunden oder die Kunden unserer Kunden. Und einer der zentralen Bausteine von NIS2 ist die Sicherheit der Lieferkette (Art. 21 der NIS2-Richtlinie). Betreiber müssen künftig nachweisen, dass sie die Cyberrisiken ihrer Zulieferer, einschließlich Kamerasystemen, Firmware und Software, aktiv bewerten und managen. Das bedeutet konkret:
KRITIS und NIS2UmsuCG richten sich an Betreiber kritischer Infrastruktur, also an Flughafenbetreiber, Autobahn- und Mautgesellschaften, ÖPNV-Unternehmen oder Energieversorger. Ein Kamerahersteller wie Survision fällt nicht selbst unter die Registrierungs-, Melde- oder Haftungspflichten dieser Gesetze.
Aber: Genau diese Betreiber sind unsere Kunden oder die Kunden unserer Kunden. Und einer der zentralen Bausteine von NIS2 ist die Sicherheit der Lieferkette (Art. 21 der NIS2-Richtlinie). Betreiber müssen künftig nachweisen, dass sie die Cyberrisiken ihrer Zulieferer, einschließlich Kamerasystemen, Firmware und Software, aktiv bewerten und managen. Das bedeutet konkret:
- Sicherheitsfragebögen werden zunehmend Teil deutscher Ausschreibungen im Verkehrssektor.
- Nachweise zu Firmware-Update-Prozessen, Schwachstellenmanagement und Datenverarbeitung werden zur Voraussetzung für die Auftragsvergabe.
- Vertragsklauseln zur Meldepflicht bei Sicherheitsvorfällen werden von Betreibern an ihre Hardware-Lieferanten durchgereicht.
- Das KRITIS-Dachgesetz bringt zusätzlich Anforderungen an die physische Robustheit von Anlagen mit sich, relevant etwa für Kameragehäuse an Mautstellen oder in Parkhäusern.
Warum der Verkehrssektor besonders im Fokus steht
Straßenverkehr, öffentlicher Personenverkehr und Flughäfen zählen zu den besonders wichtigen NIS2-Sektoren. Genau dort ist Survision mit Nummernschilderkennungs-Systemen aktiv: Mautanlagen, Flughafenparkhäuser, städtische Parkraumbewirtschaftung, ÖPNV-Zufahrtskontrollen. Deutsche Betreiber in diesen Bereichen gehören mit hoher Wahrscheinlichkeit zum Kreis der rund 29.500 regulierten Einrichtungen und werden ihre Lieferantenbasis entsprechend absichern müssen.
Was das für die Beschaffung von ANPR-Systemen praktisch bedeutet
Für Entscheider in Beschaffung und IT-Sicherheit deutscher Infrastrukturbetreiber lohnt sich künftig ein genauerer Blick auf:
- Herkunft und Fertigung der Hardware: Transparenz über die Lieferkette reduziert Risiken und vereinfacht die eigene NIS2-Dokumentation.
- Update- und Patch-Management: Wie wird eine Sicherheitslücke in der Kamera-Firmware erkannt, gemeldet und geschlossen?
- Datenhoheit: Wo werden erfasste Kennzeichendaten verarbeitet und gespeichert? Europäische Hosting-Lösungen erleichtern die Einhaltung von DSGVO und nationalen Sicherheitsanforderungen gleichermaßen.
- Kooperationsfähigkeit im Vorfall: Kann der Lieferant im Ernstfall schnell und strukturiert mit dem Betreiber und dem BSI zusammenarbeiten?
Warum die Wahl von Survision aus KRITIS-Sicht ein Sicherheitsgewinn ist
Genau an dieser Stelle wird der Lieferant selbst zum Risikofaktor oder zum Vorteil. Vier Eigenschaften von Survision zahlen direkt auf die Anforderungen ein, die Betreiber im Rahmen von NIS2 und KRITIS an ihre Lieferkette stellen müssen:
- Europäische Fertigung, lückenlos nachvollziehbar.
- Unsere Hardware wird in Europa entwickelt und gefertigt, mit eigenen Standorten in Frankreich (Paris, Angers, Bordeaux, Lyon); mehrere unserer Zulieferer sitzen zudem in Deutschland (z. B. Regensburg, LED-Fertigung). Für einen Betreiber, der im Rahmen von NIS2 seine Lieferkette dokumentieren und Risiken bewerten muss, bedeutet das: eine kurze, transparente und auditierbare Kette statt eines undurchsichtigen globalen Zulieferernetzwerks.
- Bereits heute NDAA-Section-889-konform.
- Survision hat die Anforderungen des US-amerikanischen NDAA Section 889 (eines der strengsten Beschaffungsregime weltweit im Bereich sicherheitsrelevanter Hardware) bereits vollständig umgesetzt: mit einer teilweise eigenen Fertigung in den USA und dem vollständigen Verzicht auf Komponenten von Unternehmen, die vom NDAA ausdrücklich benannt werden (Hikvision, Dahua, Huawei, ZTE, Hytera). Ein Anbieter, der ein derart strenges außereuropäisches Beschaffungsregime bereits erfüllt, bringt für europäische KRITIS-Anforderungen einen entscheidenden Vertrauensvorsprung mit.
- Souveräne Cloud-Infrastruktur.
- Unsere Systeme setzen auf europäische Cloud-Infrastruktur (OVHcloud) statt auf US-Hyperscaler. Das reduziert die Angriffsfläche durch extraterritoriale Zugriffsregime wie den US CLOUD Act und erleichtert Betreibern die gleichzeitige Einhaltung von DSGVO und nationalen Sicherheitsanforderungen. Dieser Punkt ist bei der Bewertung der Datenverarbeitung im Rahmen von NIS2 unmittelbar relevant.
- Alles in-house: Hardware, Software und KI aus einer Hand.
- Anders als viele Wettbewerber, die Kamerahardware, Bilderkennungssoftware und KI-Modelle von unterschiedlichen, teils außereuropäischen Zulieferern beziehen, entwickelt Survision Hardware, Firmware, Erkennungssoftware und KI-Algorithmen vollständig intern. Das bedeutet: keine unbekannten Drittkomponenten, keine verdeckten Abhängigkeiten, keine unklaren Verantwortlichkeiten im Schwachstellenmanagement. Wenn eine Sicherheitslücke gemeldet werden muss, gibt es einen einzigen, direkt verantwortlichen Ansprechpartner und nicht eine Kette von Sublieferanten.
- In der Summe heißt das: Wer mit Survision arbeitet, arbeitet mit einem Lieferanten, der die zentralen Fragen eines NIS2-Sicherheitsfragebogens (Herkunft, Kontrolle über die Lieferkette, Datenhoheit, Reaktionsfähigkeit bei Vorfällen) nicht erst beantworten muss, sondern von Grund auf so aufgestellt ist, dass die Antworten stimmen.
- Wir beobachten dieses Thema bereits seit der NIS2-Richtlinie auf europäischer Ebene sehr genau, im gleichen Geist wie unsere bisherigen Beiträge zu digitaler Souveränität und zu regulatorischen Anforderungen wie dem NDAA Section 889 in den USA.
Häufige Fragen (FAQ)
Ist Survision selbst eine KRITIS-Einrichtung?
Nein. Survision ist Hersteller, nicht Betreiber kritischer Infrastruktur. Die direkten Pflichten aus NIS2UmsuCG und dem KRITIS-Dachgesetz treffen unsere Kunden, nicht uns.
Inwiefern ist die Parkraum- und Parkhausbranche betroffen?
Sehr direkt, denn viele Parkflächen sind selbst Teil kritischer Anlagen oder sichern deren Zugang. Flughafenparkhäuser gehören zum Verkehrssektor und damit zu den besonders wichtigen NIS2-Bereichen. Parkplätze und Zufahrtskontrollen an Kraftwerken, Umspannwerken oder anderen Energieerzeugungsanlagen fallen unter den Energiesektor. Auch Parkflächen an Krankenhäusern, Wasserwerken oder Verwaltungsgebäuden mit KRITIS-Charakter zählen dazu. Überall dort, wo eine ANPR-Kamera die Zufahrt zu einem kritischen Areal kontrolliert, wird sie Teil des Sicherheitsperimeters und damit Gegenstand der Lieferkettenprüfung, die Betreiber im Rahmen von NIS2 durchführen müssen.
Muss ich als Betreiber meine bestehenden ANPR-Kameras austauschen?
Handelt es sich um Survision-Kameras, nein: Die Kriterien, auf die KRITIS abzielt (nachvollziehbare Fertigung, Kontrolle über die Lieferkette, Verzicht auf sicherheitskritische Komponenten, Datenhoheit), sind bei Survision seit jeher fest verankert. Handelt es sich um andere Geräte, sollten die Lieferkette und die damit verbundenen Risiken der installierten Ausrüstung bewertet werden.
Ab wann gelten die Pflichten?
Die NIS2UmsuCG-Pflichten gelten bereits seit dem 6. Dezember 2025 ohne Übergangsfrist. Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft.
Welche Behörde ist zuständig?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige Behörde für die NIS2-Umsetzung in Deutschland.
Warum ist Survision aus KRITIS-Sicht eine sichere Wahl?
Europäische Fertigung mit voller Rückverfolgbarkeit, bereits nachgewiesene Konformität mit dem strengen US-amerikanischen NDAA Section 889, eine souveräne europäische Cloud-Infrastruktur sowie vollständig intern entwickelte Hardware, Software und KI, ohne unbekannte Drittkomponenten oder verdeckte Abhängigkeiten.
Dieser Beitrag ist Teil unserer Serie zu digitaler Souveränität und regulatorischer Compliance, gemeinsam mit unseren bisherigen Beiträgen zu NDAA Section 889 und europäischer Datenhoheit.
Sehr direkt, denn viele Parkflächen sind selbst Teil kritischer Anlagen oder sichern deren Zugang. Flughafenparkhäuser gehören zum Verkehrssektor und damit zu den besonders wichtigen NIS2-Bereichen. Parkplätze und Zufahrtskontrollen an Kraftwerken, Umspannwerken oder anderen Energieerzeugungsanlagen fallen unter den Energiesektor. Auch Parkflächen an Krankenhäusern, Wasserwerken oder Verwaltungsgebäuden mit KRITIS-Charakter zählen dazu. Überall dort, wo eine ANPR-Kamera die Zufahrt zu einem kritischen Areal kontrolliert, wird sie Teil des Sicherheitsperimeters und damit Gegenstand der Lieferkettenprüfung, die Betreiber im Rahmen von NIS2 durchführen müssen.
Muss ich als Betreiber meine bestehenden ANPR-Kameras austauschen?
Handelt es sich um Survision-Kameras, nein: Die Kriterien, auf die KRITIS abzielt (nachvollziehbare Fertigung, Kontrolle über die Lieferkette, Verzicht auf sicherheitskritische Komponenten, Datenhoheit), sind bei Survision seit jeher fest verankert. Handelt es sich um andere Geräte, sollten die Lieferkette und die damit verbundenen Risiken der installierten Ausrüstung bewertet werden.
Ab wann gelten die Pflichten?
Die NIS2UmsuCG-Pflichten gelten bereits seit dem 6. Dezember 2025 ohne Übergangsfrist. Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft.
Welche Behörde ist zuständig?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige Behörde für die NIS2-Umsetzung in Deutschland.
Warum ist Survision aus KRITIS-Sicht eine sichere Wahl?
Europäische Fertigung mit voller Rückverfolgbarkeit, bereits nachgewiesene Konformität mit dem strengen US-amerikanischen NDAA Section 889, eine souveräne europäische Cloud-Infrastruktur sowie vollständig intern entwickelte Hardware, Software und KI, ohne unbekannte Drittkomponenten oder verdeckte Abhängigkeiten.
Dieser Beitrag ist Teil unserer Serie zu digitaler Souveränität und regulatorischer Compliance, gemeinsam mit unseren bisherigen Beiträgen zu NDAA Section 889 und europäischer Datenhoheit.