Momentan gibt es ja nur diesen Referentenentwurf. Aber wann das alles umgesetzt sein muss...
Laut dieser Seite möge man seine Kontaktstelle lieber früher als später benennen:
https://www.bsi.bund.de/DE/Themen/Industrie_KRITIS/IT-SiG/Was_tun/Vorfaelle_melden/vorfaelle_melden.html?nn=7540236
"Die Meldepflicht nach BSIG tritt erst nach Verabschiedung der BSI-Kritisverordnung in Kraft. Sobald dies geschehen ist, werden Sie an dieser Stelle Möglichkeiten zur Wahrnehmung Ihrer Meldepflicht finden. Bitte registrieren Sie Ihre Kontaktstelle (https://www.bsi.bund.de/DE/Themen/Industrie_KRITIS/IT-SiG/Was_tun/Kontaktstelle/kontakt_node.html) rechtzeitig, sodass Ihnen im Falle eines meldewürdigen Vorfalls etablierte und vertrauenswürdige Meldekanäle zur Verfügung stehen."
Und laut dieser Seite sollte man die Kontaktstelle lieber doch erstmal nicht benennen:
https://www.bsi.bund.de/DE/Themen/Industrie_KRITIS/IT-SiG/Was_tun/Kontaktstelle/kontakt_node.html
"Sobald die BSI-Kritisverordnung verabschiedet ist, werden Sie an dieser Stelle Möglichkeiten zur Benennung Ihrer Kontaktstelle und zur Registrierung als gemeinsame übergeordnete Ansprechstelle (GÜAS) finden. Bitte sehen Sie aus organisatorischen Gründen von einer vorherigen Benennung einer Kontaktstelle ab."
Gut, dass man von der ersten zur zweiten Seite geschickt wird.
Das Einzige was sicher zu sein scheint ist, dass das alles erst gültig ist wenn aus dem Entwurf eine Verordnung geworden ist. Und dann innerhalb von 6 Monaten.