Praxisorientierte Einordnung zu KRITIS-Compliance: Vom Geltungsbereich zum prüffähigen Sicherheitsprogramm: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für KRITIS aufbauen.
KRITIS-Compliance ist seit Ende 2025 nicht mehr sinnvoll mit der alten Kurzformel „§ 8a BSIG plus Nachweis alle zwei Jahre“ zu beschreiben. Das neue BSI-Gesetz ordnet Betreiber kritischer Anlagen als besonders wichtige Einrichtungen ein, verbindet die allgemeinen NIS2-Risikomanagementpflichten mit zusätzlichen Anforderungen und verlagert die Nachweispflicht in § 39. Parallel ist seit März 2026 das KRITIS-Dachgesetz für die physische Resilienz in Kraft.
Ein belastbares Programm muss daher zuerst die betroffenen Rechtsträger, Einrichtungen, Anlagen und kritischen Dienstleistungen bestimmen. Danach werden Cyber- und physische Resilienz, Geschäftsleitungsverantwortung, Meldung, Registrierung, Angriffserkennung und prüffähige Nachweise in einem gemeinsamen Steuerungsmodell organisiert. Dieser Leitfaden beschreibt den Weg vom Scope bis zum wiederholbaren Nachweis.
Den aktuellen Rechtsrahmen richtig lesen
Das BSI-Gesetz 2025 setzt die NIS2-Richtlinie in deutsches Recht um und unterscheidet besonders wichtige sowie wichtige Einrichtungen. Betreiber kritischer Anlagen gelten nach § 28 Absatz 1 als besonders wichtige Einrichtungen. Für sie gelten die allgemeinen Risikomanagementmaßnahmen aus § 30 und die zusätzlichen KRITIS-Anforderungen aus § 31.
Das KRITIS-Dachgesetz ergänzt diese Cyberperspektive um physische Resilienz. Es ist am 17. März 2026 in Kraft getreten und enthält Begriffe, Betreiberbestimmung, Risikoanalysen, Resilienzmaßnahmen sowie Melde- und Nachweisstrukturen. Sektorspezifische Sonderregeln und Zuständigkeiten bleiben zusätzlich zu prüfen.
Schritt 1: Rechtsträger und Tätigkeiten erfassen
Die Prüfung beginnt nicht bei der Firewall, sondern bei der Unternehmensstruktur. Erfasst werden Gesellschaften, Niederlassungen, Beteiligungen, Betreiberrollen, Dienstleistungen und Sektoren. Verträge und Genehmigungen zeigen, welcher Rechtsträger eine Anlage tatsächlich betreibt und für die kritische Dienstleistung verantwortlich ist.
Ein Konzern kann mehrere unterschiedlich regulierte Einrichtungen enthalten. Gemeinsame IT oder zentrale Sicherheitsfunktionen ändern nicht automatisch die rechtliche Zuordnung. Das Compliance-Modell dokumentiert daher sowohl den verpflichteten Rechtsträger als auch konzerninterne Leistungserbringer und Abhängigkeiten.
Schritt 2: Kritische Anlagen bestimmen
Die BSI-Kritisverordnung konkretisiert Anlagenkategorien und Schwellenwerte nach Sektoren. Sie wurde zuletzt im Mai 2026 geändert. Betreiber müssen ihre realen Kapazitäten und Versorgungsleistungen den jeweiligen Definitionen zuordnen, statt nur Branche oder Mitarbeiterzahl zu betrachten.
Rechenweg, Datenquelle, Bezugszeitraum und Annahmen werden dokumentiert. Bei verteilten Anlagen, mehreren Standorten oder wechselnden Kapazitäten ist zu klären, ob Werte zusammenzurechnen sind. Eine belastbare Betroffenheitsakte ermöglicht die spätere Aktualisierung ohne vollständige Neuanalyse.
Schritt 3: NIS2-Einrichtungsstatus parallel prüfen
Auch wenn eine Anlage einen KRITIS-Schwellenwert nicht erreicht, kann das Unternehmen als besonders wichtige oder wichtige Einrichtung unter das BSI-Gesetz fallen. § 28 verbindet Einrichtungsarten der Anlagen 1 und 2 mit Größenkriterien und enthält Sonderfälle, die unabhängig von üblichen Schwellen greifen können.
Die Prüfung führt deshalb zwei Pfade: kritische Anlage und NIS2-Einrichtung. Das Ergebnis bestimmt Aufsicht, Registrierung, Risikomanagement, Meldeweg und Nachweisintensität. Ein alleiniger Blick in die BSI-Kritisverordnung kann Pflichten übersehen.
Schritt 4: Kritische Dienstleistung und Systemscope modellieren
Für Betreiber kritischer Anlagen sind jene informationstechnischen Systeme, Komponenten und Prozesse besonders relevant, die für die Funktionsfähigkeit der Anlage maßgeblich sind. Der Scope folgt also der Leistungserbringung und ihren Abhängigkeiten, nicht nur einem Organigramm oder einem bestehenden ISO-Zertifikat.
Prozessketten werden von Eingangsleistungen bis zur Versorgung modelliert. Dazu gehören OT, IT, Kommunikation, Identitäten, Fernwartung, Rechenzentrum, Cloud, Lieferanten, Personal und physische Infrastruktur. Kritische Übergabepunkte und Einzelfehler werden sichtbar, bevor Maßnahmen ausgewählt werden.
Schritt 5: Geschäftsleitung wirksam einbinden
§ 38 BSIG verpflichtet Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen zur Umsetzung und Überwachung der Risikomanagementmaßnahmen. Sie müssen regelmäßig an Schulungen teilnehmen, um Cyberrisiken und deren Auswirkungen auf die Dienste beurteilen zu können. Compliance ist damit keine delegierbare reine IT-Aufgabe.
Ein Governance-Modell legt Entscheidungsvorlagen, Berichtstakt, Eskalationsgrenzen und Risikoakzeptanz fest. Die Geschäftsleitung erhält Informationen zu Dienstbeeinträchtigung, Restrisiko, überfälligen Maßnahmen, Vorfällen und Nachweisbereitschaft. Beschlüsse und Überwachung werden nachvollziehbar dokumentiert.
Schritt 6: All-Gefahren-Risikomanagement etablieren
§ 30 verlangt geeignete, verhältnismäßige und wirksame technische sowie organisatorische Maßnahmen. Die Bewertung berücksichtigt Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit, Schwere sowie gesellschaftliche und wirtschaftliche Folgen. Die Einhaltung ist zu dokumentieren.
Die Risikoanalyse verbindet Cyberbedrohungen, Fehlbedienung, Lieferausfall, physische Ereignisse und organisatorische Schwächen mit Auswirkungen auf die kritische Dienstleistung. Für jede Maßnahme werden Schutzziel, Verantwortlicher, Termin, Wirksamkeitsnachweis und Restrisiko festgehalten. Ein generisches Unternehmensrisikoregister ohne Anlagenbezug reicht nicht.
Schritt 7: Den gesetzlichen Maßnahmenkatalog abdecken
§ 30 Absatz 2 nennt unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Schwachstellenmanagement, Bewertung der Wirksamkeit, Cyberhygiene, Kryptografie, Personalsicherheit, Zugriffskontrolle und Multi-Faktor-Authentisierung. Das Programm ordnet jedem Themenfeld konkrete Kontrollen zu.
Ein Mapping gegen ISO 27001, IT-Grundschutz oder einen Branchensicherheitsstandard kann Doppelarbeit vermeiden. Es darf jedoch nicht bei Kontrollnamen enden. Für die kritische Anlage muss nachvollziehbar sein, wie die Maßnahme umgesetzt, betrieben und auf Wirksamkeit geprüft wird.
Schritt 8: Höheres KRITIS-Schutzniveau begründen
Nach § 31 können für maßgebliche Systeme kritischer Anlagen Maßnahmen über das allgemeine Schutzniveau besonders wichtiger Einrichtungen hinaus verhältnismäßig sein, sofern der Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls steht. Die Kritikalität der Versorgung beeinflusst damit ausdrücklich die Angemessenheit.
Das Sicherheitsprogramm dokumentiert, wo Redundanz, Segmentierung, manuelle Rückfallebene, strengere Wiederanlaufziele oder zusätzliche Überwachung erforderlich sind. Kostenargumente werden gegen mögliche Versorgungsfolgen bewertet. So entsteht eine belastbare Begründung für Investitionen und Prioritäten.
Schritt 9: Systeme zur Angriffserkennung betreiben
Betreiber kritischer Anlagen müssen nach § 31 Absatz 2 Systeme zur Angriffserkennung für die maßgeblichen Systeme, Komponenten und Prozesse einsetzen. Geeignete Parameter und Merkmale des laufenden Betriebs sind kontinuierlich und automatisiert zu erfassen und auszuwerten. Die Systeme sollen Bedrohungen fortwährend identifizieren und geeignete Beseitigungsmaßnahmen unterstützen.
Ein SIEM-Lizenzvertrag allein erfüllt die Pflicht nicht. Quellenabdeckung, OT-Verträglichkeit, Use Cases, Alarmqualität, Personal, Reaktionszeit und Eskalation müssen praktisch funktionieren. Tests mit kontrollierten Szenarien belegen, ob relevante Aktivitäten erkannt, bewertet und bearbeitet werden.
Schritt 10: Physische Resilienz integrieren
Das KRITIS-Dachgesetz adressiert Risiken wie Naturgefahren, Sabotage, unbefugten Zutritt, Lieferausfälle und andere physische Störungen. Cyber- und physische Sicherheit dürfen deshalb nicht in getrennten Berichtswegen ohne gemeinsame Wirkungsanalyse verbleiben.
Ein integriertes Szenario betrachtet beispielsweise Stromausfall, Verlust von Telekommunikation, Ausfall eines Leitstands und gleichzeitigen Cyberangriff. Facility Management, Werkschutz, BCM, OT-Sicherheit, IT und Krisenmanagement entwickeln abgestimmte Prävention, Reaktion und Wiederherstellung.
Schritt 11: Registrierung und Kontaktdaten organisieren
Besonders wichtige und wichtige Einrichtungen müssen sich grundsätzlich spätestens drei Monate nach erstmaliger oder erneuter Einstufung registrieren. § 33 verlangt unter anderem Anschrift, Kontaktdaten, öffentliche IP-Adressbereiche und Angaben zur Einrichtungsart. Änderungen sind ebenfalls fristgerecht zu pflegen.
Ein verantwortlicher Prozess überwacht Betroffenheit und Registerdaten. Technische IP-Bereiche, Rufbereitschaft und Ansprechpartner verändern sich häufiger als Rechtsträgerdaten. Quartalsweise Kontrollen und Ereignistrigger verhindern, dass das BSI im Vorfall veraltete Kontaktinformationen vorfindet.
Schritt 12: Mehrstufige Vorfallmeldung vorbereiten
§ 32 sieht für erhebliche Sicherheitsvorfälle grundsätzlich eine frühe Erstmeldung binnen 24 Stunden, eine qualifizierte Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens nach einem Monat vor. Betreiber kritischer Anlagen übermitteln zusätzlich Angaben zur Anlage, kritischen Dienstleistung und möglichen Auswirkungen.
Der Prozess muss erkennen, wann ein Vorfall erheblich ist, wer die Uhr startet und welche Mindestinformationen verfügbar sind. Übungen testen Entscheidungsweg, gemeinsame Meldestelle, Datenschutz, Rechtsprüfung und Kommunikation. Die Pflicht gilt nach Gesetz frühestens ab Einrichtung des vorgesehenen Meldewegs; der aktuelle operative Stand wird laufend überprüft.
Schritt 13: Branchenspezifische Standards nutzen
Betreiber können branchenspezifische Sicherheitsstandards vorschlagen. Ein anerkannter B3S übersetzt gesetzliche Ziele in sektornahe Anforderungen und kann eine geeignete Prüfgrundlage sein. Er muss zur konkreten Anlage und zum aktuellen Bedrohungs- sowie Technikstand passen.
Das Unternehmen dokumentiert Anwendbarkeit, Abweichungen und ergänzende Maßnahmen. Ein B3S ist kein Freibrief für schematische Prüfung. Wo besondere Architektur oder Risiken nicht abgedeckt sind, wird die Prüfgrundlage erweitert.
Schritt 14: Nachweisstrategie frühzeitig festlegen
§ 39 verlangt von Betreibern kritischer Anlagen Nachweise durch Sicherheitsaudits, Prüfungen oder Zertifizierungen zu einem vom BSI festgelegten Zeitpunkt, frühestens drei Jahre nach erstmaliger und spätestens drei Jahre nach erneuter Betreiberstellung, anschließend alle drei Jahre. Übergangsregeln beziehen frühere Nachweise nach dem alten § 8a ein.
Der Betreiber plant Prüfgrundlage, Scope, Prüfstelle, Zeitraum und Vorprüfung lange vor der Frist. Das BSI kann Ergebnisse, Sicherheitsmängel, zugrunde liegende Dokumentation, Mängelbeseitigungsplan und Nachweis der Behebung verlangen. Prüffähigkeit muss daher im Betrieb entstehen, nicht erst in der Auditwoche.
Schritt 15: Nachweise als Kontrollkette gestalten
Ein Dokument beweist zunächst nur, dass ein Sollzustand beschrieben wurde. Prüffähige Compliance verbindet Anforderung, implementierte Kontrolle, verantwortliche Rolle, Betriebsnachweis und Wirksamkeitstest. Beispielsweise wird Patchmanagement durch Richtlinie, Anlageninventar, Messwerte, Stichprobe und Eskalation überfälliger Systeme belegt.
Das BSI stellt Orientierungshilfen, Formulare, die Reife- und Umsetzungsgradbewertung RUN sowie Anforderungen an das Nachweisverfahren bereit. Das Programm nutzt jeweils aktuelle Fassungen und dokumentiert, welche Prüfversion maßgeblich ist.
Schritt 16: Mängel steuerbar beseitigen
Feststellungen werden nach Auswirkung auf kritische Dienstleistung, Ausnutzbarkeit und Reichweite priorisiert. Jede Maßnahme erhält fachlichen Eigentümer, Budget, Termin, Abhängigkeiten und Akzeptanzkriterium. Kompensierende Maßnahmen sind befristet und werden auf Wirksamkeit überwacht.
Die Geschäftsleitung sieht kritische und überfällige Mängel in ihrem regulären Bericht. Nach Abschluss erfolgt ein Nachtest. So kann das Unternehmen gegenüber BSI und Prüfstelle nicht nur einen Plan, sondern eine belastbare Verbesserungskette vorlegen.
Ein 180-Tage-Aufbauplan
- In den ersten 30 Tagen Rechtsträger, Sektoren, Anlagen, Schwellenwerte und Sonderregeln bestimmen.
- Bis Tag 60 kritische Dienstleistungen, Systeme, physische Abhängigkeiten und Lieferanten modellieren.
- Bis Tag 90 Governance, Register, Meldeweg, Risikomethode und Kontrollmapping beschließen.
- Bis Tag 130 kritische Lücken schließen und Angriffserkennung sowie Krisenprozesse praktisch testen.
- Bis Tag 160 Nachweisakte, Stichproben und Mängelsteuerung aufbauen.
- Bis Tag 180 interne Readiness-Prüfung durchführen und Verbesserungsplan genehmigen.
Typische Programmfehler
Häufig wird nur die alte KRITIS-Anlagenprüfung fortgeschrieben und der parallele NIS2-Einrichtungsstatus übersehen. Andere Programme begrenzen den Scope auf zentrale IT, obwohl OT, Fernwartung, Personal und physische Infrastruktur für die Dienstleistung maßgeblich sind. Auch eine Zertifizierung wird manchmal mit dem gesetzlichen Nachweis gleichgesetzt, ohne Scope und BSI-Verfahrensanforderungen zu prüfen.
Ein weiterer Fehler ist die einmalige Projektorganisation bis zur Prüfung. Betroffenheit, Schwellenwerte, Anlagen, Lieferanten und Bedrohungen ändern sich kontinuierlich. Ein dauerhaftes Compliance-Management verbindet daher Rechtsmonitoring, Change-Prozess, Kennzahlen, Übungen und Managementüberwachung.
Fazit: KRITIS-Compliance ist ein Betriebsmodell
Ein prüffähiges Sicherheitsprogramm beginnt mit korrekter Betreiber- und Anlagenzuordnung und endet nicht beim Audit. Es verbindet Cyberrisikomanagement, höhere Schutzanforderungen kritischer Anlagen, Angriffserkennung, physische Resilienz, Registrierung, Vorfallmeldung, Geschäftsleitungsaufsicht und wiederkehrende Nachweise.
BlackMount unterstützt Betreiber bei der KRITIS-Compliance vom Betroffenheitscheck über Scope und Kontrollprogramm bis zur Nachweisvorbereitung. Dabei werden das aktuelle BSI-Gesetz, KRITIS-Dachgesetz, sektorale Vorgaben und vorhandene Managementsysteme in ein steuerbares Modell überführt.
