Betreiber kritischer Anlagen

KRITIS-Beratung

Zwei Gesetze, ein Betreiber: BSIG für die Cybersicherheit, KRITIS-Dachgesetz für die physische Resilienz. Wir führen beides in einem Vorgehen zusammen.

Ihre Vorteile

Was KRITIS-Betreiber wirklich brauchen

Nicht die Erklärung des Gesetzes, sondern der Nachweis, der die Prüfung besteht

Beide Regime in einem Vorgehen

BSIG für die Cybersicherheit, KRITIS-Dachgesetz für die physische Resilienz. Eine Erhebung, ein Risikobild, zwei saubere Nachweisstränge.

Betroffenheit belastbar geklärt

Ob eine Anlage die Schwellenwerte überschreitet, ist eine Rechenaufgabe mit Versorgungszahlen — kein Bauchgefühl. Auch ein begründetes Nein ist ein Nachweis.

Nachweise, die die Prüfstelle akzeptiert

Wir arbeiten entlang dessen, was die BSI-Orientierungshilfe verlangt — Geltungsbereich, Mängelliste, Umsetzungsplan statt freier Berichtsform.

Ein Krisenstab, nicht zwei

Cyber-Lage und physische Störung laufen über dieselbe Struktur. Zwei parallele Krisenstäbe blockieren sich im Ernstfall gegenseitig.

IT und Leittechnik

Kritische Anlagen sind selten reine IT. Segmentierung, Rückwirkungsfreiheit und Zonenmodell gehören von Anfang an ins Konzept.

Unabhängig von der Prüfstelle

Wir bereiten vor und begleiten. Die Nachweisprüfung selbst führt eine unabhängige Stelle durch — wer beides macht, hat einen Interessenkonflikt.

Die Ausgangslage

Doppelt reguliert, meist doppelt bearbeitet

Wer eine kritische Anlage betreibt, steht seit Ende 2025 unter dem neu gefassten BSIG und seit März 2026 zusätzlich unter dem KRITIS-Dachgesetz. Das eine regelt die Cybersicherheit der Einrichtung, das andere die physische Resilienz der Anlage. Beide verlangen Risikoanalysen, Maßnahmen, Meldewege und Nachweise.

In der Praxis werden daraus zwei Projekte: zwei Erhebungen bei denselben Fachbereichen, zwei Risikoregister mit unterschiedlichen Maßstäben, im schlimmsten Fall zwei Krisenstäbe. Das kostet doppelt und wird im Ernstfall gefährlich, wenn unklar ist, welcher Prozess greift.

Zusammenführen lässt sich mehr, als die meisten annehmen: die Erhebung von Anlagen, Prozessen und Abhängigkeiten, die Krisenorganisation und die Evidenzstruktur. Getrennt bleibt nur, was die Behörden getrennt erwarten — die jeweilige Risikoanalyse, der Resilienzplan als eigenes Dokument und die beiden Meldewege.

Diese Erfahrung stammt aus Mandaten bei Betreibern kritischer Anlagen — einschließlich der Arbeit mit branchenspezifischen Sicherheitsstandards als Prüfgrundlage. Wir wissen daher, worauf prüfende Stellen achten, wo ein B3S den eigenen Anlagentyp nur teilweise abdeckt und wann sich ein eigener, hergeleiteter Prüfmaßstab eher lohnt.

Leistungsbereiche

Was wir abdecken

Von der Schwellenwertprüfung bis zum Nachweis im Dreijahreszyklus

Betroffenheit & Anlagenabgrenzung

Schwellenwertprüfung je Anlage, Abgrenzung der kritischen Dienstleistung und Verhältnis zur NIS2-Einstufung der Einrichtung.

Registrierung

Registrierung beim BSI und — bei Betroffenheit vom Dachgesetz — beim BBK, inklusive der benötigten Angaben und Kontaktstellen.

Nachweise nach § 39 BSIG

Vorbereitung des Nachweises im Dreijahreszyklus: Geltungsbereich, Prüfgrundlage, Mängelliste und Umsetzungsplan.

B3S und Branchenstandards

Anwendung branchenspezifischer Sicherheitsstandards, wo sie vorliegen — statt einen eigenen Prüfmaßstab zu erfinden.

Allgefahren-Risikoanalyse

Naturgefahren, Sabotage, Versorgungsausfall, Personalausfall und technisches Versagen gemeinsam betrachtet, wie das Dachgesetz es verlangt.

Resilienzplan

Maßnahmen mit dokumentierter Erwägung und Bezug zur Risikoanalyse — keine Maßnahmenliste ohne Begründung.

Angriffserkennung nach § 31 BSIG

Für Betreiber kritischer Anlagen verpflichtend: Anwendungsfälle, Datenquellen, Betriebsmodell und Wirksamkeitsnachweis.

Meldewesen

Cyber-Meldungen an das BSI und Störungsmeldungen nach Dachgesetz — mit geklärter Zuständigkeit, bevor der Ernstfall eintritt.

Leistungsumfang

Was wir liefern

Dokumentierte Betroffenheits- und Schwellenwertprüfung je Anlage
Abgeschlossene Registrierung bei BSI und, wo einschlägig, beim BBK
Prüffähige Nachweisdokumentation entlang der BSI-Orientierungshilfe
Mängelliste mit Umsetzungsplan, Fristen und Verantwortlichen
Allgefahren-Risikoanalyse mit nachvollziehbarer Bewertungslogik
Resilienzplan mit begründeten Maßnahmen
Integriertes Krisen- und Meldekonzept für Cyber- und physische Lagen
Nachweis der Wirksamkeit der Angriffserkennung

Der Ablauf

So arbeiten wir

Betroffenheit klären

Welche Anlagen überschreiten die Schwellenwerte, welche kritische Dienstleistung ist der Bezugspunkt, wie verhält sich das zur NIS2-Einstufung.

Registrieren

Registrierungen vorbereiten und einreichen, Kontaktstellen benennen, Fristen dokumentieren.

Standortbestimmung

Abgleich des Ist-Zustands gegen § 30 und § 31 BSIG, gegen den einschlägigen B3S und gegen die Resilienzpflichten des Dachgesetzes.

Lücken schließen

Priorisierte Umsetzung — organisatorisch und technisch, in IT wie Leittechnik, mit laufender Evidenzführung.

Nachweis vorbereiten

Dokumentation in prüffähige Form bringen, Stichproben vorwegnehmen, Mängelliste und Umsetzungsplan abstimmen.

Zyklus halten

Der Nachweis ist alle drei Jahre fällig, die Resilienzpflichten laufen dauerhaft. Wir halten den Takt zwischen den Terminen.

FAQ

Häufige Fragen

Gilt § 8a BSIG noch?

Nicht mehr in dieser Nummerierung. Mit dem Inkrafttreten des neu gefassten BSIG sind die Nachweispflichten für Betreiber kritischer Anlagen in § 39 BSIG geregelt; § 8a BSIG ist die alte Fassung. Inhaltlich besteht die Nachweispflicht fort, der Zyklus wurde jedoch von zwei auf drei Jahre verlängert. Das BSI hat seine Orientierungshilfe entsprechend überarbeitet.

Wie oft müssen wir den Nachweis erbringen?

Mindestens alle drei Jahre. Für den Übergang von der alten Zweijahres- auf die neue Dreijahresfrist hat das BSI Regelungen veröffentlicht — je nach bisherigem Termin kann der nächste Nachweis noch zum alten Datum oder erst zum neuen erbracht werden. Welche Variante für Sie gilt, klären wir zu Beginn, weil davon die gesamte Projektplanung abhängt.

Wir sind KRITIS-Betreiber — brauchen wir NIS2 trotzdem?

Ja. Betreiber kritischer Anlagen gelten zugleich als besonders wichtige Einrichtung nach BSIG und unterliegen damit dem vollen Pflichtenkatalog, einschließlich Registrierung, Risikomanagement nach § 30 und Meldepflichten. Die Nachweispflicht nach § 39 kommt obendrauf, sie ersetzt nichts.

Was ändert das KRITIS-Dachgesetz für uns?

Es tritt neben das BSIG und adressiert die physische Resilienz Ihrer kritischen Anlagen: Registrierung beim BBK, Allgefahren-Risikoanalyse, Resilienzplan und Nachweise. Anders als beim BSIG gibt es dort keinen festen Prüfturnus — Nachweise sind risikobasiert beziehungsweise auf behördliche Anforderung zu erbringen.

Können Sie die Nachweisprüfung selbst durchführen?

Nein, und das ist Absicht. Die Prüfung erfolgt durch eine unabhängige prüfende Stelle. Wer die Umsetzung berät und anschließend prüft, hat einen Interessenkonflikt, den die Aufsicht zu Recht nicht akzeptiert. Wir bereiten vor, begleiten die Prüfung und arbeiten die Feststellungen ab.

Was passiert, wenn wir den Nachweis nicht rechtzeitig erbringen?

Die Verletzung der Nachweispflicht ist bußgeldbewehrt, und das BSI kann die Beseitigung von Mängeln anordnen. Praktisch relevanter ist meist der Aufwand: Wer erst kurz vor dem Termin beginnt, sammelt Nachweise unter Zeitdruck zusammen — genau dabei entstehen die Lücken, die die Prüfstelle findet.

Weitere Leistungen

Den Nachweistermin nicht dem Zufall überlassen

Sagen Sie uns, wann Ihr letzter Nachweis eingereicht wurde. Daraus ergibt sich der nächste Termin — und wie viel Zeit tatsächlich bleibt.

KRITIS-Beratung anfragen