technical-measures-information-security-dqs-servers-cabinet-with-grid-door-and-lockable-door-handle

KRI­TIS-Prü­fung nach §8a BSIG



Nachweis der an­ge­mes­se­nen IT-Si­cher­heit für kri­ti­sche In­fra­struk­tu­ren

Kri­ti­sche In­fra­struk­tu­ren (KRI­TIS) sind Or­ga­ni­sa­tio­nen und Ein­rich­tun­gen mit we­sent­li­cher Be­deu­tung für das staat­li­che Ge­mein­we­sen, bei deren Ausfall oder Beeinträchtigung nach­hal­tig wirkende Versorgungsengpässe, er­heb­li­che Störungen der öffentlichen Si­cher­heit oder andere schwer­wie­gen­de Folgen ein­tre­ten können.

Vor diesem Hin­ter­grund fordert das Bun­des­amt für Si­cher­heit in der In­for­ma­ti­ons­tech­nik (BSI), dass Be­trei­ber kri­ti­scher In­fra­struk­tu­ren ihre Abhängigkeit von in­for­ma­ti­ons­tech­ni­schen Systemen sowie die damit ver­bun­de­nen Risiken sys­te­ma­tisch erfassen und be­wer­ten. Darüber hinaus sind an­ge­mes­se­ne or­ga­ni­sa­to­ri­sche und tech­ni­sche Maßnahmen nach dem Stand der Technik um­zu­set­zen, um die Verfügbarkeit, Integrität, Authentizität und Ver­trau­lich­keit der Systeme si­cher­zu­stel­len.

Die Um­set­zung und Wirk­sam­keit dieser Maßnahmen wird im Rahmen einer KRITIS-Prüfung nach §8a BSIG be­wer­tet. Die DQS führt diese Prüfungen auf Basis der jeweils gültigen re­gu­la­to­ri­schen Vorgaben durch.

BSI-konformer Nachweis umgesetzter IT-Sicherheitsmaßnahmen

Erfüllung gesetzlicher Anforderungen nach BSIG

Verbesserte Versorgungssicherheit Ihrer kritischen Dienstleistung

Erhöhte IT-Sicherheit durch Absicherung nach dem Stand der Technik

Wer darf zertifizieren

Kri­ti­sche In­fra­struk­tu­ren und be­trof­fe­ne Sektoren

Zu den kri­ti­schen In­fra­struk­tu­ren zählen unter anderem folgende Sek­to­ren:

  • En­er­gie
  • In­for­ma­ti­ons­tech­nik und Te­le­kom­mu­ni­ka­ti­on
  • Trans­port und Ver­kehr
  • Ge­sund­heit
  • Me­di­en und Kul­tur
  • Was­ser­ver- und -entsorgung
  • Ernährung
  • Finanz- und Ver­si­che­rungs­we­sen
  • Sied­lungs­ab­fall­ent­sor­gung
  • Staat und Ver­wal­tung

Un­ter­neh­men und Ein­rich­tun­gen, die die in der BSI-Kri­tis­ver­ord­nung fest­ge­leg­ten Schwel­len­wer­te er­rei­chen oder überschreiten, gelten als Be­trei­ber kri­ti­scher In­fra­struk­tu­ren und un­ter­lie­gen den ge­setz­li­chen Melde- und Nach­weis­pflich­ten nach dem Gesetz über das Bun­des­amt für Si­cher­heit in der In­for­ma­ti­ons­tech­nik (BSIG).

Das In­kraft­tre­ten des NIS2-Um­set­zungs­ge­set­zes im Dezember 2025

Im Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft ge­tre­ten. Es er­wei­tert die re­gu­la­to­ri­schen An­for­de­run­gen über Be­trei­ber kri­ti­scher In­fra­struk­tu­ren hinaus auf so­ge­nann­te „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“. KRI­TIS-Be­trei­ber gelten dabei als be­son­ders wichtige Ein­rich­tun­gen.

Die Nach­weis­pflicht wurde im Zuge der ge­setz­li­chen An­pas­sun­gen von zwei auf drei Jahre verlängert. Für die Um­set­zung der neuen An­for­de­run­gen gilt eine Übergangsfrist von zwölf Mo­na­ten.

Fir­men, die von der Übergangsfrist be­trof­fen sind: 

Die fol­gen­den Re­ge­lun­gen basieren auf den ak­tu­el­len In­for­ma­tio­nen des Bun­des­amts für Si­cher­heit in der In­for­ma­ti­ons­tech­nik (BSI) mit Stand 01.02.2026.

  • Un­ter­neh­men können ihren Nachweis wei­ter­hin zum bis­he­ri­gen Stichtag im Jahr 2026 nach den bis­he­ri­gen BSI-Vor­ga­ben er­brin­gen. Der dar­auf­fol­gen­de Nach­weis­stich­tag be­rech­net sich dennoch nach dem ak­tua­li­sier­ten Stich­tag, auch wenn sich daraus ein Zeitraum von mehr als drei Jahren er­gibt.
  • Al­ter­na­tiv kann der Nachweis zum neuen Stichtag im Jahr 2027 erbracht werden. In diesem Fall erfolgt der Nachweis auf Grund­la­ge der ak­tua­li­sier­ten Vorgaben des BSI.
Beschreibung Standard/Regelwerk

Wie erfolgt ein BSI-kon­for­mer Nachweis durch die DQS?

Der Nachweis für KRI­TIS-Be­trei­ber kann aktuell auf un­ter­schied­li­che Weise er­fol­gen. Grund­la­ge sind entweder vom BSI an­er­kann­te „Branchenspezifische Sicherheitsstandards“ (B3S) oder ge­eig­ne­te Normen, wie bei­spiels­wei­se ein Informationssicherheits-Managementsystem gemäß ISO 27001.

Ein wirk­sa­mes In­for­ma­ti­ons­si­cher­heits­ma­nage­ment bietet eine struk­tu­rier­te Grund­la­ge zur Be­wer­tung von Si­cher­heits­ri­si­ken sowie die Um­set­zung an­ge­mes­se­ner Sicherheitsmaßnahmen.

Auditplanung

Was wird in der BSI-Nach­weis­prü­fung ge­prüft?

Im Rahmen der Nachweisprüfung werden der Rei­fe­grad der re­le­van­ten Ma­nage­ment­sys­te­me sowie der Um­set­zungs­grad der Maßnahmen be­wer­tet.

  • Rei­fe­grad des In­for­ma­ti­ons­si­cher­heits-Ma­nage­ment­sys­tems (ISMS)
  • Rei­fe­grad des Business Con­ti­nui­ty Ma­nage­ment Systems (BCMS)
  • Rei­fe­grad der Systeme zur An­griffs­er­ken­nung (SzA)
  • Um­set­zungs­grad or­ga­ni­sa­to­ri­scher Maßnahmen (OrgM)
  • Um­set­zungs­grad per­so­nel­ler Maßnahmen (PerM)
  • Um­set­zungs­grad phy­si­scher Maßnahmen (PhyM)
  • Um­set­zungs­grad tech­ni­scher Maßnahmen (TecM)
Prozessorientierung

Rei­fe­g­rad­fest­stel­lung gemäß BSI-Vor­ga­ben

Ge­gen­stand der Nachweisprüfung zur IT-Si­cher­heit ist die Be­wer­tung des Rei­fe­grads bzw. des Um­set­zungs­grads der Sicherheitsmaßnahmen. Ziel ist es, min­des­tens Rei­fe­grad 3 zu er­rei­chen.

Wird der er­for­der­li­che Rei­fe­grad nicht er­reicht, ist die Ursache als Mangel zu do­ku­men­tie­ren und ein Maßnahmenplan zu er­stel­len. Der Um­set­zungs­stand der Maßnahmen ist regelmäßig gegenüber dem BSI nach­zu­wei­sen. Wichtig dabei ist der Aspekt, dass sich Be­trei­ber Kri­ti­scher In­fra­struk­tu­ren kon­ti­nu­ier­lich ver­bes­sern.

Business28.png

Wie läuft eine BSI-kon­for­me KRI­TIS-Prü­fung ab?

Der Ablauf der KRITIS-Nachweisprüfung richtet sich nach den jeweils gültigen Vorgaben des BSI und erfolgt in einem strukturierten Verfahren. Unser Angebot wird entsprechend den jeweils gültigen Vorgaben aufgebaut und mit den erforderlichen Auditaufwänden versehen. Die KRITIS-Prüfung erfolgt in der Regel in einem zweistufigen Verfahren.

Auf Wunsch kann die Nachweisprüfung mit einer Zertifizierung nach ISO 27001 kombiniert werden. In diesem Fall erhalten Sie zusätzlich ein akkreditiertes, weltweit anerkanntes Zertifikat der DQS.

In Stufe 1 werden der Geltungsbereich hinsichtlich seiner Eignung bewertet, die wesentlichen Dokumente geprüft sowie der Prüfplan abgestimmt und erstellt.

In Stufe 2 werden die weiteren Prüfschritte durchgeführt, insbesondere die Dokumentenprüfung sowie die Vor-Ort-Prüfung der Organisation, Prozesse und Technologien hinsichtlich der wirksamen Umsetzung der Maßnahmen.

Nach dem KRITIS-Audit werden die jeweils erforderlichen Dokumente zur Nachweiserbringung gegenüber dem BSI erstellt. Besonders hervorzuheben ist hierbei die Maßnahmenliste, in der identifizierte Abweichungen sowie deren Ursachen dokumentiert und geeignete Maßnahmen festgelegt werden. Die Maßnahmenplanung wird vor der Finalisierung der Nachweisdokumentation durch die DQS geprüft.

Banking13.png

Was kostet die KRI­TIS-Nach­weis­prü­fung?

Auch wenn die KRITIS-Prüfung nach struk­tu­rier­ten Vorgaben durchgeführt wird, hängen die Kosten von ver­schie­de­nen Faktoren ab. Maßgeblich ist unter anderem, ob bereits ein zer­ti­fi­zier­tes Ma­nage­ment­sys­tem eta­bliert und wirksam um­ge­setzt ist. Darüber hinaus be­ein­flus­sen die Größe und Komplexität Ihrer Or­ga­ni­sa­ti­on den Prüfaufwand und damit die Kosten. Eine pau­scha­le Angabe der Kosten ist daher nicht möglich. Gerne er­stel­len wir Ihnen ein in­di­vi­du­el­les Angebot auf Basis der je­wei­li­gen An­for­de­run­gen.

Business2.png

Was Sie von der DQS erwarten können

Kun­den­zen­trier­te Ex­zel­lenz: Sie als Kunde stehen im Mit­tel­punkt unseres Han­delns. Wir passen unsere Prozesse an Ihre spe­zi­fi­schen An­for­de­run­gen an – mit kurzen Re­ak­ti­ons­zei­ten, klarer Ori­en­tie­rung, voller Trans­pa­renz und maximal ef­fi­zi­en­ten Abläufen.

Stärkung pro­fes­sio­nel­ler Leis­tung: Die DQS unterstützt Ihr Un­ter­neh­men beim Wachs­tum, Markt­ein­tritt und der schnel­len Markteinführung Ihrer Produkte – mit Zer­ti­fi­zie­run­gen aller re­le­van­ten Stan­dards, einschließlich BSI-Nachweisprüfung, aus einer Hand.

Vor­aus­schau­en­des Den­ken: Die DQS geht über die reine Normkonformität hinaus und hilft Ihnen dabei, nach­hal­ti­ge Prak­ti­ken zu eta­blie­ren und Ihre Betriebsabläufe zu­kunfts­ori­en­tiert wei­ter­zu­ent­wi­ckeln.

Glo­ba­le Präsenz, lokale Ex­per­ti­se: Mit Stand­or­ten in 60 Ländern und tiefem Verständnis lokaler Vor­schrif­ten bieten wir Ihnen eine re­gi­ons­spe­zi­fi­sche Be­treu­ung – auch für den in­ter­na­tio­na­len Markt­zu­gang.

Kom­pe­tenz, auf die Sie sich ver­las­sen können: Mit vier Jahr­zehn­ten Er­fah­rung in der Zer­ti­fi­zie­rungs­bran­che setzt die DQS auf ein außergewöhnliches Team an Au­di­to­ren, das die Zukunft der Zer­ti­fi­zie­rung aktiv mit­ge­stal­tet.

Sebastian-Kasperowicz-bearbeitet.jpg

An­ge­bots­an­fra­ge

Ihr An­sprech­part­ner Se­bas­ti­an Kas­pe­ro­wicz

„Gerne er­stel­len wir Ihnen ein maßgeschneidertes Angebot für die KRITIS-Prüfung.“

Ihre Anfrage