technical-measures-information-security-dqs-servers-cabinet-with-grid-door-and-lockable-door-handle

KRI­TIS-Prü­fung nach §8a BSIG



Nachweis an­ge­mes­se­ner IT-Si­cher­heit für kri­ti­sche In­fra­struk­tu­ren

Kri­ti­sche In­fra­struk­tu­ren (KRI­TIS) sind Or­ga­ni­sa­tio­nen und Ein­rich­tun­gen, die für das Funk­tio­nie­ren des Ge­mein­we­sens von zen­tra­ler Be­deu­tung sind. Kommt es zu Ausfällen oder er­heb­li­chen Beeinträchtigungen, können nach­hal­tig wirkende Versorgungsengpässe, Störungen der öffentlichen Si­cher­heit oder andere schwer­wie­gen­de Folgen ent­ste­hen.

Vor diesem Hin­ter­grund fordert das Bun­des­amt für Si­cher­heit in der In­for­ma­ti­ons­tech­nik (BSI), dass KRI­TIS-Be­trei­ber ihre Abhängigkeit von in­for­ma­ti­ons­tech­ni­schen Systemen sowie die damit ver­bun­de­nen Risiken sys­te­ma­tisch erfassen und be­wer­ten. Darüber hinaus müssen an­ge­mes­se­ne or­ga­ni­sa­to­ri­sche und tech­ni­sche Maßnahmen nach dem Stand der Technik um­ge­setzt werden, um die Verfügbarkeit, Integrität, Authentizität und Ver­trau­lich­keit der Systeme si­cher­zu­stel­len.

Die Um­set­zung und Wirk­sam­keit dieser Maßnahmen wird im Rahmen einer KRITIS-Prüfung nach §8a BSIG be­wer­tet. Die DQS führt diese Prüfungen auf Basis der jeweils gültigen re­gu­la­to­ri­schen Vorgaben durch.

BSI-konformer Nachweis umgesetzter IT-Sicherheitsmaßnahmen

Erfüllung gesetzlicher Anforderungen nach BSIG

Verbesserte Versorgungssicherheit Ihrer kritischen Dienstleistung

Erhöhte IT-Sicherheit durch Absicherung nach dem Stand der Technik

Wer darf zertifizieren

Kri­ti­sche In­fra­struk­tu­ren und be­trof­fe­ne Sektoren

Zu den kri­ti­schen In­fra­struk­tu­ren zählen unter anderem folgende Sek­to­ren:

  • En­er­gie
  • In­for­ma­ti­ons­tech­nik und Te­le­kom­mu­ni­ka­ti­on
  • Trans­port und Ver­kehr
  • Ge­sund­heit
  • Me­di­en und Kul­tur
  • Was­ser­ver- und -entsorgung
  • Ernährung
  • Finanz- und Ver­si­che­rungs­we­sen
  • Sied­lungs­ab­fall­ent­sor­gung
  • Staat und Ver­wal­tung

Un­ter­neh­men und Ein­rich­tun­gen, die die in der BSI-Kri­tis­ver­ord­nung de­fi­nier­ten Schwel­len­wer­te er­rei­chen oder überschreiten, gelten als Be­trei­ber kri­ti­scher In­fra­struk­tu­ren (KRI­TIS). Sie un­ter­lie­gen damit den ge­setz­li­chen Melde- und Nach­weis­pflich­ten nach dem Gesetz über das Bun­des­amt für Si­cher­heit in der In­for­ma­ti­ons­tech­nik (BSI-Gesetz/BSIG).

NIS2-Um­set­zungs­ge­setz: Neue An­for­de­run­gen seit Dezember 2025

Im Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft ge­tre­ten. Damit gelten die An­for­de­run­gen künftig nicht mehr nur für Be­trei­ber kri­ti­scher In­fra­struk­tu­ren (KRI­TIS), sondern auch für so­ge­nann­te „wichtige“ und „besonders wichtige Einrichtungen“. KRI­TIS-Be­trei­ber zählen dabei wei­ter­hin zu den be­son­ders wich­ti­gen Ein­rich­tun­gen.

Die Nach­weis­pflicht wurde im Zuge der ge­setz­li­chen An­pas­sun­gen von zwei auf drei Jahre verlängert. Für die Um­set­zung der neuen An­for­de­run­gen gilt eine Übergangsfrist von zwölf Monaten.

Für Fir­men, die von der Übergangsfrist be­trof­fen sind, gilt:

Nach ak­tu­el­lem Stand des Bun­des­amts für Si­cher­heit in der In­for­ma­ti­ons­tech­nik (BSI) vom 01.02.2026 gelten für be­trof­fe­ne Un­ter­neh­men folgende Übergangsregelungen:

  • Der Nachweis kann 2026  weiterhin zum bis­he­ri­gen Stichtag im Jahr 2026 eracht werden. Der dar­auf­fol­gen­de Nach­weis­stich­tag richtet sich jedoch bereits nach dem ak­tua­li­sier­ten Stich­tag, auch wenn sich daraus ein Zeitraum von mehr als drei Jahren er­gibt.
  • Al­ter­na­tiv kann der Nachweis erstmals zum neuen Stichtag im Jahr 2027 erbracht werden. In diesem Fall erfolgt der Nachweis auf Grund­la­ge der ak­tua­li­sier­ten Vorgaben des BSI.
Beschreibung Standard/Regelwerk

Wie erfolgt ein BSI-kon­for­mer Nachweis durch die DQS?

Der Nachweis für KRI­TIS-Be­trei­ber kann aktuell auf un­ter­schied­li­che Weise er­fol­gen. Grund­la­ge sind entweder vom BSI an­er­kann­te „Branchenspezifische Sicherheitsstandards“ (B3S) oder ge­eig­ne­te Normen, wie bei­spiels­wei­se ein Informationssicherheits-Managementsystem nach ISO 27001.

Ein wirk­sa­mes In­for­ma­ti­ons­si­cher­heits­ma­nage­ment schafft eine struk­tu­rier­te Grund­la­ge, , Si­cher­heits­ri­si­ken sys­te­ma­tisch zu bewerten und ge­eig­ne­te tech­ni­sche sowie or­ga­ni­sa­to­ri­sche Maßnahmen um­zu­set­zen.

Auditplanung

Was wird in der BSI-Nach­weis­prü­fung ge­prüft?

Im Rahmen der KRITIS-Prüfung werden der Rei­fe­grad der re­le­van­ten Ma­nage­ment­sys­te­me sowie der Um­set­zungs­grad der Maßnahmen be­wer­tet.

  • Rei­fe­grad des In­for­ma­ti­ons­si­cher­heits-Ma­nage­ment­sys­tems (ISMS)
  • Rei­fe­grad des Business Con­ti­nui­ty Ma­nage­ment Systems (BCMS)
  • Rei­fe­grad der Systeme zur An­griffs­er­ken­nung (SzA)
  • Um­set­zungs­grad or­ga­ni­sa­to­ri­scher Maßnahmen (OrgM)
  • Um­set­zungs­grad per­so­nel­ler Maßnahmen (PerM)
  • Um­set­zungs­grad phy­si­scher Maßnahmen (PhyM)
  • Um­set­zungs­grad tech­ni­scher Maßnahmen (TecM)
Prozessorientierung

Rei­fe­g­rad­fest­stel­lung gemäß BSI-Vor­ga­ben

Ge­gen­stand der Nachweisprüfung zur IT-Si­cher­heit ist die Be­wer­tung des Rei­fe­grads bzw. des Um­set­zungs­grads der Sicherheitsmaßnahmen. Ziel ist es, min­des­tens Rei­fe­grad 3 zu er­rei­chen.

Wird der er­for­der­li­che Rei­fe­grad nicht er­reicht, ist die Ursache als Mangel zu do­ku­men­tie­ren und ein Maßnahmenplan zu er­stel­len. Der Um­set­zungs­stand der Maßnahmen ist regelmäßig gegenüber dem BSI nach­zu­wei­sen. Wichtig dabei ist der Aspekt, dass sich Be­trei­ber Kri­ti­scher In­fra­struk­tu­ren kon­ti­nu­ier­lich ver­bes­sern.

Business28.png

Wie läuft eine BSI-kon­for­me KRI­TIS-Prü­fung nach §8a BSIG ab?

Der Ablauf der KRITIS-Nachweisprüfung richtet sich nach den jeweils gültigen Vorgaben des BSI und erfolgt in einem strukturierten Verfahren. Unser Angebot wird entsprechend den jeweils gültigen Vorgaben aufgebaut und mit den erforderlichen Auditaufwänden versehen. Die KRITIS-Prüfung erfolgt in der Regel in einem zweistufigen Verfahren.

Auf Wunsch kann die Nachweisprüfung mit einer Zertifizierung nach ISO 27001 kombiniert werden. In diesem Fall erhalten Sie zusätzlich ein akkreditiertes, weltweit anerkanntes Zertifikat der DQS.

In Stufe 1 werden der Geltungsbereich hinsichtlich seiner Eignung bewertet, die wesentlichen Dokumente geprüft sowie der Prüfplan abgestimmt und erstellt.

In Stufe 2 werden die weiteren Prüfschritte durchgeführt, insbesondere die Dokumentenprüfung sowie die Vor-Ort-Prüfung der Organisation, Prozesse und Technologien hinsichtlich der wirksamen Umsetzung der Maßnahmen.

Nach dem KRITIS-Audit werden die jeweils erforderlichen Dokumente zur Nachweiserbringung gegenüber dem BSI erstellt. Besonders hervorzuheben ist hierbei die Maßnahmenliste, in der identifizierte Abweichungen sowie deren Ursachen dokumentiert und geeignete Maßnahmen festgelegt werden. Die Maßnahmenplanung wird vor der Finalisierung der Nachweisdokumentation durch die DQS geprüft.

Banking13.png

Was kostet die KRI­TIS-Nach­weis­prü­fung?

Auch wenn die KRITIS-Prüfung nach struk­tu­rier­ten Vorgaben durchgeführt wird, hängen die Kosten von ver­schie­de­nen Faktoren ab. Maßgeblich ist unter anderem, ob bereits ein zer­ti­fi­zier­tes Ma­nage­ment­sys­tem eta­bliert und wirksam um­ge­setzt ist. Darüber hinaus be­ein­flus­sen die Größe und Komplexität Ihrer Or­ga­ni­sa­ti­on den Prüfaufwand und damit die Kosten. Eine pau­scha­le Angabe der Kosten ist daher nicht möglich. Gerne er­stel­len wir Ihnen ein in­di­vi­du­el­les Angebot auf Basis der je­wei­li­gen An­for­de­run­gen.

Business2.png

Was Sie von der DQS erwarten können

Kun­den­zen­trier­te Ex­zel­lenz: Sie als Kunde stehen im Mit­tel­punkt unseres Han­delns. Wir passen unsere Prozesse an Ihre spe­zi­fi­schen An­for­de­run­gen an – mit kurzen Re­ak­ti­ons­zei­ten, klarer Ori­en­tie­rung, voller Trans­pa­renz und maximal ef­fi­zi­en­ten Abläufen.

Stärkung pro­fes­sio­nel­ler Leis­tung: Die DQS unterstützt Ihr Un­ter­neh­men beim Wachs­tum, Markt­ein­tritt und der schnel­len Markteinführung Ihrer Produkte – mit Zer­ti­fi­zie­run­gen aller re­le­van­ten Stan­dards, einschließlich BSI-Nachweisprüfung, aus einer Hand.

Vor­aus­schau­en­des Den­ken: Die DQS geht über die reine Normkonformität hinaus und hilft Ihnen dabei, nach­hal­ti­ge Prak­ti­ken zu eta­blie­ren und Ihre Betriebsabläufe zu­kunfts­ori­en­tiert wei­ter­zu­ent­wi­ckeln.

Glo­ba­le Präsenz, lokale Ex­per­ti­se: Mit Stand­or­ten in 60 Ländern und tiefem Verständnis lokaler Vor­schrif­ten bieten wir Ihnen eine re­gi­ons­spe­zi­fi­sche Be­treu­ung – auch für den in­ter­na­tio­na­len Markt­zu­gang.

Kom­pe­tenz, auf die Sie sich ver­las­sen können: Mit vier Jahr­zehn­ten Er­fah­rung in der Zer­ti­fi­zie­rungs­bran­che setzt die DQS auf ein außergewöhnliches Team an Au­di­to­ren, das die Zukunft der Zer­ti­fi­zie­rung aktiv mit­ge­stal­tet.

Sebastian-Kasperowicz-bearbeitet.jpg

An­ge­bots­an­fra­ge

Ihr An­sprech­part­ner Se­bas­ti­an Kas­pe­ro­wicz

„Gerne er­stel­len wir Ihnen ein maßgeschneidertes Angebot für die KRITIS-Prüfung.“

Ihre Anfrage