KRITIS-Pentest: Sicherheit für kritische Infrastrukturen
Betreiber kritischer Infrastrukturen stehen im Fadenkreuz professioneller, teils staatlich gelenkter Angreifer. Das BSI-Gesetz in der Fassung des NIS2UmsuCG schreibt regelmäßige Sicherheitsprüfungen nach dem Stand der Technik vor, seit März 2026 kommt das KRITIS-Dachgesetz mit dem physischen Schutz dazu. Wir führen die dafür nötigen Penetrationstests durch: strukturiert, dokumentiert und auf die besonderen Anforderungen von KRITIS-Umgebungen ausgelegt.
Unser Bericht dokumentiert die Erfüllung der Anforderungen aus § 30 und § 31 BSIG (bis Dezember 2025: § 8a BSIG), direkt nutzbar für den Nachweis nach § 39 BSIG sowie für interne und externe Audits.
02IT- und OT-Sicherheit im Blick
KRITIS-Umgebungen verbinden klassische IT mit industriellen Steuerungssystemen. Wir verstehen beide Welten und testen entsprechend sensibel.
03Keine Betriebsunterbrechung
Klare Scope-Grenzen, lückenlose Protokollierung, sofortiger Abbruch bei unerwarteten Auswirkungen. Euer Betrieb bleibt jederzeit geschützt.
04Maßnahmenplan nach Priorität
Jedes Finding mit konkreter Handlungsempfehlung, priorisiert nach Risiko und Umsetzbarkeit in eurem Betriebsumfeld.
Unser Abschlussbericht ist für BSI-Audits, interne Nachweispflichten und die Geschäftsführung geeignet.
Seit Ende 2025 hat sich die rechtliche Grundlage für KRITIS-Betreiber grundlegend verändert. Zwei Reformen greifen ineinander und bringen verschärfte Anforderungen. Beide sind auf dieser Seite bereits eingearbeitet.
Zwei Gesetze, ein Ziel: Cyber- und physische Sicherheit für KRITIS
Cybersicherheit
BSIG in der Fassung des NIS2UmsuCG
Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz grundlegend neu strukturiert und umnummeriert. Betreiber kritischer Anlagen gelten seitdem nach § 28 BSIG stets als 'besonders wichtige Einrichtungen' und müssen sämtliche NIS2-Grundpflichten erfüllen: Risikomanagementmaßnahmen nach dem Stand der Technik (§ 30, § 31 BSIG), gestufte Meldepflichten bei erheblichen Sicherheitsvorfällen (§ 32 BSIG) und einen regelmäßigen Nachweis gegenüber dem BSI (§ 39 BSIG).
Physische Resilienz
Das KRITIS-Dachgesetz
Während das BSIG die IT- und OT-Sicherheit adressiert, regelt das neue KRITIS-Dachgesetz erstmals bundeseinheitlich den physischen Schutz kritischer Anlagen. Der Bundestag hat das Gesetz am 29. Januar 2026 beschlossen, der Bundesrat stimmte am 6. März 2026 zu. Seither ist es in Kraft. Im Zentrum steht ein All-Gefahren-Ansatz: Betreiber werden Resilienzpläne vorlegen müssen, die Sabotage, Naturkatastrophen und Lieferkettenausfälle gleichermaßen berücksichtigen, inklusive Notfallteams, Objektschutz und Ersatzversorgung.
seit 12/2025NIS2UmsuCG in Kraft: BSIG umnummeriert, Bußgeldrahmen bis 10 Mio. € scharfgeschaltet
29.01.2026Bundestag beschließt das KRITIS-Dachgesetz
06.03.2026Bundesrat stimmt zu, Gesetz wird verkündet
seit 03/2026KRITIS-Dachgesetz in Kraft: Resilienzpläne folgen, sobald die Rechtsverordnung festlegt, welche Anlagen als kritisch gelten
02Betroffene KRITIS-Sektoren
Gilt KRITIS für euer Unternehmen?
Das KRITIS-Dachgesetz zählt in § 4 Abs. 1 zehn Sektoren auf; neben den hier gezeigten gehört auch der Weltraum dazu. Ob eine Anlage konkret als kritisch gilt, hängt von anlagenspezifischen Schwellenwerten ab, die sich alle vom selben Regelschwellenwert ableiten: 500.000 versorgte Personen. Für jede Anlagenart wird der geschätzte mittlere Jahresbedarf pro Kopf ermittelt und mit diesem Faktor multipliziert; die genauen Werte je Sektor stehen in Anhang 2 der BSI-KritisV. Stand Juni 2026 sind beim BSI 1.231 Betreiber mit 2.180 kritischen Anlagen registriert. Ein Betreiber führt dabei häufig mehrere Anlagen, teils in unterschiedlichen Sektoren.
Regelschwellenwert500.000versorgte Personen
abgeleiteter Schwellenwert je Anlagenart
01Energie (Strom, Gas, Öl, Fernwärme)
02Wasser & Abwasser
03Gesundheit (Krankenhäuser, Labore)
04Ernährung (Produktion, Handel)
05Finanz- & Versicherungswesen
06Transport & Verkehr
07Digitale Infrastruktur & IKT
08Siedlungsabfallentsorgung
09Sozialversicherung & Grundsicherung
Warum KRITIS besonders im Fokus steht
Angriffe auf kritische Infrastrukturen verfolgen geopolitische Ziele: staatliche Akteure sind hier aktiver als in anderen Branchen
OT-Systeme (SCADA, ICS) sind oft jahrzehntealt und wurden nie für Netzwerkverbindungen ausgelegt, klassische IT-Sicherheitskonzepte greifen hier nicht
Ein erfolgreicher Angriff kann Daten und die physische Versorgung der Bevölkerung gleichermaßen gefährden
Ransomware-Gruppen haben KRITIS-Betreiber explizit als lukratives Ziel identifiziert
03Gesetzliche Grundlagen
Was fordert das BSI-Gesetz von KRITIS-Betreibern?
§ 30 und § 31 BSIG (bis Dezember 2025: § 8a BSIG) verpflichten Betreiber kritischer Anlagen zur Umsetzung angemessener technischer und organisatorischer Maßnahmen nach dem Stand der Technik. Ein Penetrationstest ist das anerkannte Instrument zum Nachweis nach § 39 BSIG.
§ 30/31 BSIG
Angemessene Schutzmaßnahmen
Betreiber kritischer Anlagen müssen ihre Systeme nach dem Stand der Technik absichern (§ 30 Abs. 1, § 31 BSIG). Ein Pentest belegt, dass diese Anforderung ernst genommen wird.
Infra, Physical, AD Pentest
§ 39 BSIG
Regelmäßige Überprüfung
Seit Inkrafttreten des NIS2UmsuCG sind die Sicherheitsmaßnahmen alle drei statt wie zuvor zwei Jahre gegenüber dem BSI nachzuweisen (§ 39 BSIG). Ein Pentest-Bericht ist ein zentrales Nachweisdokument dafür.
Alle Pentest-Module
§ 32 BSIG
Meldepflicht bei Störungen
§ 32 BSIG verlangt eine gestufte Meldung erheblicher Sicherheitsvorfälle: Frühwarnung binnen 24 Stunden, Vorfallmeldung binnen 72 Stunden, Abschlussmeldung nach spätestens einem Monat. Dafür muss die eigene Angriffsfläche bekannt sein. Ein Pentest schafft diese Transparenz.
Vorfall
24 h
72 h
1 Monat
OSINT, Infra-Pentest
§ 31 BSIG
Zugangs- und Zutrittskontrolle
Physische Zugänge zu Serverräumen, Leitwarten und Technikbereichen sind nach § 31 BSIG besonders schützenswert und seit März 2026 zusätzlich Teil der Resilienzpläne nach dem KRITIS-Dachgesetz. Wir testen, ob diese Kontrollen standhalten.
Physical Pentest
§ 30 BSIG
Netzwerk- und Systemsicherheit
Segmentierung von IT und OT, Firewall-Konfigurationen, privilegierte Zugänge: wir prüfen, ob euer Netzwerk die in § 30 BSIG geforderte echte Barriere darstellt.
Infrastruktur-Pentest
§ 30 BSIG
Mitarbeitersensibilisierung
Social Engineering ist einer der häufigsten Einstiegspunkte. Wir testen, wie gut eure Mitarbeiter Manipulationsversuche erkennen und abwehren (ebenfalls Teil der Risikomanagementmaßnahmen nach § 30 BSIG).
Social Engineering
04Unser Vorgehen
Wie läuft ein KRITIS-Pentest ab?
KRITIS-Pentests erfordern besondere Sorgfalt: klare Scope-Definitionen, enge Abstimmung mit dem Betrieb und lückenlose Dokumentation für den BSI-Nachweis.
01
Scoping & Risikoabstimmung
Gemeinsame Definition des Testumfangs unter Berücksichtigung betriebskritischer Systeme. Ausschlusszonen und No-Go-Bereiche werden verbindlich festgelegt.
02
Reconnaissance & Angriffsplanung
Informationssammlung über öffentlich zugängliche Quellen, Netzwerk-Footprinting und Planung realistischer Angriffspfade auf eure Umgebung.
03
Kontrollierte Testdurchführung
Manuelle Tests nach vereinbartem Scope. Wir arbeiten eng mit euren Betriebsverantwortlichen zusammen und kommunizieren kritische Findings sofort.
04
Analyse & Risikobewertung
Bewertung jedes Findings nach technischem Schweregrad und operativem Business Impact, mit Fokus auf die Besonderheiten eurer KRITIS-Umgebung.
05
BSI-konformer Abschlussbericht
Vollständige Dokumentation aller Findings mit Handlungsempfehlungen, Management-Summary und BSI-Nachweisdokumentation gemäß § 39 BSIG.
Leitwarte: Direktzugang ohne Badge-Kontrolle§ 31 BSIG
OT-Netzwerk direkt aus IT erreichbar§ 30 BSIG
Phishing: hoher Anteil der Mitarbeiter anfällig (Beispielwert)§ 30 BSIG
SCADA-System: Standardpasswort aktiv§ 30 BSIG
VPN: Keine MFA für Remote-Zugang§ 30 BSIG
5 Findings: Maßnahmenplan inklusiveNachweis nach § 39 BSIG
Beispielhafte Darstellung – keine echten Kundendaten.
05Relevante Pentest-Module
Welche Tests brauchen KRITIS-Betreiber?
KRITIS-Umgebungen haben besondere Anforderungen. Diese drei Module decken die kritischsten Angriffsvektoren ab und liefern den stärksten BSI-Nachweis.
Zutritt
Physical Pentest
Leitwarten, Serverräume, Technikbereiche: physischer Zugang ist bei KRITIS-Betreibern oft der unterschätzte Angriffsvektor, seit dem KRITIS-Dachgesetz auch explizit Teil der geforderten Resilienzpläne. Wir prüfen, ob eure Zugangskontrollen standhalten.
IT/OT-Segmentierung, SCADA-Zugänge, Firewall-Konfigurationen, privilegierte Konten: wir testen das Netzwerk ganzheitlich, mit besonderer Rücksicht auf betriebskritische Systeme.
§ 30 und § 31 BSIG (bis zum Inkrafttreten des NIS2UmsuCG im Dezember 2025: § 8a BSIG) verpflichten Betreiber kritischer Anlagen, gegenüber dem BSI nachzuweisen, dass sie angemessene technische und organisatorische Maßnahmen umgesetzt haben, seit der Reform alle drei statt zuvor zwei Jahre (§ 39 BSIG). Ein Penetrationstest ist das anerkannte Instrument für diesen Nachweis.
Technisch sind viele Methoden identisch: Der Unterschied liegt in der Vorbereitung, der Sensibilität der Durchführung und dem Reporting. Bei KRITIS-Betreibern müssen betriebskritische Systeme besonders sorgfältig abgegrenzt werden. OT-Systeme erfordern ein anderes Vorgehen als klassische IT, und seit dem KRITIS-Dachgesetz spielt zusätzlich die physische Resilienz eine größere Rolle im Reporting.
Ja, aber mit besonderer Vorsicht. OT-Systeme sind oft empfindlicher als klassische IT und dürfen nicht durch aggressive Testmethoden destabilisiert werden. Wir definieren gemeinsam klare Grenzen und koordinieren den Test eng mit eurem Betriebspersonal.
Das lässt sich pauschal nicht sagen. KRITIS-Umgebungen unterscheiden sich erheblich: je nach Sektor, Anlagegröße, IT/OT-Verhältnis und gewünschtem Testumfang variiert der Aufwand stark. Nach einem kostenlosen Erstgespräch erhaltet ihr ein transparentes Festpreisangebot.
Das BSI schreibt einen Nachweis inzwischen alle drei Jahre vor (§ 39 BSIG). Vor der NIS2UmsuCG-Reform waren es zwei Jahre. Wir empfehlen zusätzlich Tests nach wesentlichen Änderungen an eurer IT- oder OT-Infrastruktur sowie nach sicherheitsrelevanten Vorfällen.
Das BSIG definiert neun kritische Sektoren: Energie, Wasser, Ernährung, IKT, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Staat und Verwaltung sowie Medien und Kultur. Stand Juni 2026 sind 1.231 Betreiber mit 2.180 Anlagen beim BSI registriert; ob ein Betreiber konkret KRITIS-pflichtig ist, hängt von anlagenspezifischen Schwellenwerten ab, die alle auf dem Regelschwellenwert von 500.000 versorgten Personen basieren (Anhang 2 BSI-KritisV).
Das KRITIS-Dachgesetz wurde am 29. Januar 2026 vom Bundestag beschlossen, der Bundesrat stimmte am 6. März 2026 zu, seither ist es in Kraft. Anders als das BSIG/NIS2UmsuCG, das die IT- und OT-Sicherheit regelt, verfolgt das Dachgesetz einen All-Gefahren-Ansatz für die physische Resilienz: Sabotage, Naturkatastrophen, Lieferkettenausfälle. Betreiber kritischer Anlagen müssen künftig Resilienzpläne vorlegen, unter anderem zu Notfallteams, Objektschutz und Ersatzversorgung. Für unsere Pentests bedeutet das: physische Zugangskontrollen zu Leitwarten, Serverräumen und Technikbereichen rücken noch stärker in den Fokus, weil sie jetzt gleich zwei Gesetzen genügen müssen.
Mit dem NIS2UmsuCG wurde das BSIG zum 6. Dezember 2025 neu strukturiert und umnummeriert. Aus § 8a BSIG (Maßnahmen) wurden § 30 und § 31 BSIG, aus § 8a Abs. 3 BSIG (Nachweis) wurde § 39 BSIG, aus § 8b BSIG (Meldepflicht) wurde § 32 BSIG. Inhaltlich bauen die neuen Paragraphen auf der bisherigen Systematik auf, wurden aber verschärft: Das Nachweisintervall wurde von zwei auf drei Jahre verlängert, die Meldefristen (24 Stunden Frühwarnung, 72 Stunden Vorfallmeldung, ein Monat Abschlussmeldung) präzisiert und die Bußgeldrahmen auf bis zu 10 Millionen Euro angehoben. Unterlagen, die noch § 8a BSIG referenzieren, solltet ihr bei nächster Gelegenheit aktualisieren.
Bereit für euren KRITIS-Pentest?
In 30 Minuten besprechen wir eure KRITIS-Umgebung, klären den Scope und ihr erhaltet ein unverbindliches, kostenloses Angebot.
