BSIG · KRITIS-Dachgesetz · Nachweis nach § 39
Nach § 28 BSIG gelten Betreiber kritischer Anlagen als besonders wichtige Einrichtungen. Dazu kommt seit März 2026 die physische Resilienz aus dem KRITIS-Dachgesetz. Wir prüfen beides in einem abgestimmten Durchgang und dokumentieren es so, dass der Bericht als Nachweis taugt.
Physical, Infrastruktur, OT und Active Directory in einem abgestimmten Test. Jedes Finding mit Paragraf, Schweregrad und Maßnahme.
Der zehnte Sektor nach § 4 Abs. 1 KRITIS-Dachgesetz ist der Weltraum. Ob eine Anlage als kritisch gilt, hängt von anlagenspezifischen Schwellenwerten ab. Sie leiten sich alle vom Regelschwellenwert 500.000 versorgter Personen ab, die Werte je Anlagenart stehen in den Anhängen 1 bis 9 der BSI-KritisV. Stand Juni 2026 sind beim BSI 1.231 Betreiber mit 2.180 kritischen Anlagen registriert.
Das NIS2UmsuCG hat das BSIG zum 6. Dezember 2025 neu strukturiert und umnummeriert. Inhaltlich bauen die neuen Paragrafen auf der bisherigen Systematik auf, wurden aber verschärft: Nachweisintervall drei statt zwei Jahre, präzisierte Meldefristen, Bußgeldrahmen bis 10 Mio. €. Lag eure bisherige Nachweisfrist innerhalb von zwölf Monaten nach Inkrafttreten, gilt einmalig noch die alte Frist.
§ 30 und § 31 BSIG verpflichten Betreiber kritischer Anlagen zu angemessenen technischen und organisatorischen Maßnahmen nach dem Stand der Technik. Der Penetrationstest ist das anerkannte Instrument für den Nachweis nach § 39 BSIG.
Systeme nach dem Stand der Technik absichern (§ 30 Abs. 1, § 31 BSIG).
Infra, Physical, ADNachweis gegenüber dem BSI alle drei Jahre (§ 39 BSIG). Der Bericht ist dafür ein zentrales Dokument.
alle ModuleGestufte Meldung nach § 32 BSIG. Dafür muss die eigene Angriffsfläche bekannt sein.
OSINT, InfrastrukturServerräume, Leitwarten und Technikbereiche sind nach § 31 BSIG besonders schützenswert, seit März 2026 zusätzlich Teil der Resilienzpläne.
PhysicalSegmentierung von IT und OT, Firewall-Regeln, privilegierte Zugänge: hält das Netz als Barriere nach § 30 BSIG stand?
InfrastrukturSocial Engineering ist einer der häufigsten Einstiegspunkte und ebenfalls Teil der Maßnahmen nach § 30 BSIG.
Social EngineeringUmfang und kritische Systeme abgegrenzt.
Öffentliche Quellen, Netzwerk-Footprinting.
Manuelle Tests, eng mit dem Betrieb getaktet.
Schweregrad und Wirkung auf den Betrieb.
Maßnahmenplan und Nachweis nach § 39 BSIG.
Beispiele aus Berichten, keine Kennzahlen eines konkreten Kunden. Im Bericht steht zu jedem Finding der Paragraf, der Schweregrad und die empfohlene Maßnahme.
Im kostenlosen Erstgespräch klären wir in 30 Minuten eure Umgebung und den Scope. Danach bekommt ihr ein Festpreisangebot.
