Von § 8a zu § 39 BSIG: Was sich am KRITIS-Nachweis geändert hat

Wer nach „§ 8a BSIG" sucht, sucht meist nach der KRITIS-Nachweisprüfung. Die Vorschrift gibt es unter dieser Nummer nicht mehr. Die Pflicht besteht fort — sie steht heute in § 39 BSIG, und der Prüfzyklus hat sich geändert.

Dieser Beitrag ordnet ein, was gleich geblieben ist, was sich verschoben hat und was Betreiber kritischer Anlagen daraus für ihre Terminplanung ableiten sollten.

Was sich an der Nummerierung geändert hat

Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde das BSIG gefasst. Dabei wurde nicht nur ergänzt, sondern durchnummeriert. Die Folge: Ein großer Teil der eingeführten Zitierweise stimmt nicht mehr.

| Alte Fassung | Neue Fassung | Gegenstand | | ----------------------- | -------------- | ------------------------------------------------ | | § 8a Abs. 1 BSIG a. F. | § 30 BSIG | Risikomanagement-Maßnahmen | | § 8a Abs. 3 BSIG a. F. | § 39 BSIG | Nachweispflicht für Betreiber kritischer Anlagen | | § 8a Abs. 1a BSIG a. F. | § 31 BSIG | Systeme zur Angriffserkennung | | § 8b BSIG a. F. | §§ 32 ff. BSIG | Meldepflichten |

Das BSI selbst führt seine Orientierungshilfe zu Nachweisen inzwischen unter der neuen Nummer und weist die alte in Klammern aus — ein Hinweis darauf, wie tief „§ 8a" im Sprachgebrauch der Branche sitzt.

Praktisch heißt das: Wenn in Ihren Richtlinien, Verträgen mit Prüfstellen oder internen Prozessbeschreibungen noch „§ 8a BSIG" steht, ist das nicht falsch im Sinne von unwirksam, aber es zeigt, dass die Dokumente seit Dezember 2025 nicht überarbeitet wurden. Im Audit ist das ein unnötiger Anhaltspunkt.

Die inhaltliche Änderung: zwei Jahre werden drei

Die für die Planung wichtigste Änderung steckt nicht in der Nummer, sondern im Turnus. Der Nachweis war bisher alle zwei Jahre zu erbringen. Nach § 39 BSIG sind es nun mindestens alle drei Jahre, gerechnet ab dem Zeitpunkt, zu dem ein Unternehmen erstmals oder erneut Betreiber einer kritischen Anlage wird.

Das ist eine spürbare Entlastung — aber keine, die automatisch eintritt.

Der Übergang ist der eigentliche Stolperstein

Wer bisher im Zweijahresrhythmus lief, hat einen Termin im Kalender, der aus der alten Systematik stammt. Für den Wechsel auf den neuen Rhythmus hat das BSI Übergangsregelungen veröffentlicht. Je nach Konstellation kommen zwei Wege in Betracht: den Nachweis noch zum bisherigen Termin einreichen und den Zyklus danach neu rechnen — oder direkt auf den neuen, späteren Termin gehen.

Welcher Weg gilt, hängt vom konkreten Datum der letzten Einreichung ab. Das ist keine Formalie: Zwischen beiden Varianten können mehr als zwölf Monate liegen, und davon hängt ab, ob ein Umsetzungsprojekt komfortabel oder unter Druck läuft.

Erster Schritt ist deshalb immer die kalendarische Einordnung: Wann wurde der letzte Nachweis eingereicht, welcher Termin ergibt sich daraus nach neuer Rechtslage, und wie viel Zeit bleibt tatsächlich.

Was die Prüfstelle sehen will

Der Nachweis ist kein freier Bericht. Die Orientierungshilfe des BSI gibt eine Struktur vor, an der sich prüfende Stellen orientieren. Vier Elemente entscheiden über die Verwertbarkeit:

Der Geltungsbereich. Welche Anlage, welche kritische Dienstleistung, welche Systeme und Prozesse gehören dazu — und was ausdrücklich nicht. Ein unscharfer Geltungsbereich ist der häufigste Grund für Rückfragen.

Die Prüfgrundlage. Gegen welchen Maßstab wurde geprüft: ein branchenspezifischer Sicherheitsstandard (B3S), sofern für Ihre Branche vorhanden und anerkannt, oder ein anderer nachvollziehbar hergeleiteter Maßstab.

Die Mängelliste. Festgestellte Abweichungen, einzeln benannt und bewertet. Eine Nachweisdokumentation ohne Mängel ist kein gutes Zeichen, sondern ein Hinweis auf zu geringe Prüftiefe.

Der Umsetzungsplan. Zu jedem Mangel eine Maßnahme, ein Verantwortlicher und eine Frist. Das ist der Teil, den Aufsicht und Prüfstelle beim nächsten Zyklus wieder hervorholen.

Was in der Praxis schiefgeht

Aus Projekten kennen wir vor allem vier Muster.

Zu spät angefangen. Der Nachweis wird als Termin behandelt, nicht als Ergebnis eines Prozesses. Drei Monate vorher beginnt die Suche nach Belegen — und dann fehlt der Restore-Test, das Berechtigungsreview oder der Übungsnachweis, weil ihn im laufenden Jahr niemand dokumentiert hat.

Geltungsbereich nachträglich verschoben. Wer den Scope erst im Projekt festlegt, verschiebt ihn unter Druck dorthin, wo die Belege gerade vollständig sind. Das fällt auf.

Nachweise ohne Wirksamkeitsbezug. Eine Richtlinie belegt, dass etwas geregelt ist. Sie belegt nicht, dass es funktioniert. Für die Wirksamkeit braucht es Stichproben, Tests, Protokolle — Dinge, die im Betrieb entstehen müssen, nicht in der Vorbereitung.

Angriffserkennung als Beschaffung behandelt. Die Pflicht nach § 31 BSIG ist mit einer SIEM-Lizenz nicht erfüllt. Gefragt ist, welche Szenarien erkannt werden, wer den Alarm sieht und was dann passiert — nachweislich getestet.

Und das KRITIS-Dachgesetz?

Es kommt hinzu, es ersetzt nichts. Das BSIG adressiert die Cybersicherheit, das KRITIS-Dachgesetz die physische Resilienz kritischer Anlagen — mit eigener Registrierung beim BBK, eigener Allgefahren-Risikoanalyse und einem Resilienzplan.

Ein Unterschied ist für die Planung wichtig: Das Dachgesetz kennt keinen festen Prüfturnus wie den Dreijahreszyklus des § 39 BSIG. Nachweise sind dort risikobasiert beziehungsweise auf behördliche Anforderung zu erbringen. Wer beide Regime getrennt aufsetzt, führt am Ende zwei Erhebungen über dieselben Anlagen.

Was jetzt zu tun ist

1. Termin ermitteln. Datum der letzten Einreichung heraussuchen und den nächsten Termin nach neuer Rechtslage bestimmen.
2. Zitierweise aktualisieren. In Richtlinien, Prozessbeschreibungen und Verträgen von § 8a auf § 39 umstellen.
3. Geltungsbereich festschreiben — vor dem Projekt, nicht während.
4. Wirksamkeitsnachweise einplanen. Restore-Tests, Berechtigungsreviews, Übungen und Tests der Angriffserkennung gehören in den Jahreskalender, nicht in die Nachweisvorbereitung.
5. Dachgesetz mitdenken, statt es als zweites Projekt zu starten.

Die verlängerte Frist ist eine Chance, den Nachweis zum Nebenprodukt eines geordneten Betriebs zu machen statt zur Kraftanstrengung alle paar Jahre. Genutzt wird sie nur von denen, die die gewonnene Zeit einplanen, statt sie verstreichen zu lassen.