KRITIS: Der BSI-Nachweis läuft jetzt auf zwei Ebenen.
Betreiber kritischer Anlagen gelten seit dem NIS2UmsuCG automatisch als besonders wichtige Einrichtung. Seit März 2026 verlangt zusätzlich das KRITIS-Dachgesetz den Nachweis physischer Resilienz.
KRITIS · BSIG § 30/31/39 · KRITIS-Dachgesetz
Cyber · BSIG (NIS2UmsuCG)
seit 6.12.2025
- Risikomanagement nach Stand der Technik (§ 30, § 31 BSIG)
- Nachweis gegenüber dem BSI alle 3 Jahre (§ 39 BSIG, vorher 2 Jahre)
- Gestufte Meldepflicht (§ 32): 24 h / 72 h / 1 Monat
- Bußgeldrahmen bis 10 Mio. €
Physisch · KRITIS-Dachgesetz
seit 6.3.2026
- All-Gefahren-Ansatz: Sabotage, Naturkatastrophen, Lieferkettenausfall
- Resilienzpläne verpflichtend: Notfallteams, Objektschutz, Ersatzversorgung
- Zutritt zu Leitwarten, Serverräumen, Technikbereichen wird Prüfgegenstand
Zum 6.12.2025 umnummeriert: Aus § 8a BSIG (Maßnahmen) wurden § 30 und § 31 BSIG, der Nachweis läuft jetzt über § 39 BSIG (alle 3 statt 2 Jahre), die Meldepflicht über § 32 BSIG. Verweist eure Dokumentation noch auf § 8a, reicht es, sie bei Gelegenheit zu aktualisieren.
Warum wir in KRITIS-Umgebungen anders testen
- SCADA/ICS-Systeme sind oft Jahrzehnte alt und nie für Netzanbindung gebaut – aggressive Scans sind hier tabu
- Klare Ausschlusszonen, enge Abstimmung mit dem Betrieb, sofortiger Abbruch bei unerwarteten Effekten
- Typische Findings: OT-Netz direkt aus der IT erreichbar, SCADA-Standardpasswort, Leitwarte ohne Badge-Kontrolle, VPN ohne MFA
9 KRITIS-Sektoren
Energie
Wasser & Abwasser
Gesundheit
Ernährung
Finanz- & Versicherungswesen
Transport & Verkehr
Digitale Infrastruktur & IKT
Staat & Verwaltung
Medien & Kultur
Regelschwellenwert 500.000 versorgte Personen (Anhang 2 BSI-KritisV). Stand 06/2026: 1.231 Betreiber, 2.180 kritische Anlagen.
1
Scoping & Risikoabstimmung
No-Go-Bereiche verbindlich festlegen.
2
Kontrollierte Testdurchführung
IT, OT, physisch – kritische Findings sofort.
3
BSI-konformer Bericht
Nachweisdokument nach § 39 BSIG.
