Betreiber kritischer Anlagen müssen dem BSI alle drei Jahre nachweisen, dass ihre Sicherheitsmaßnahmen dem BSI-Gesetz entsprechen (§ 39 BSIG). Kritische Anlagen sind Anlagen, die für die Versorgung der Bevölkerung wichtig sind. Die Prüfung übernimmt eine unabhängige prüfende Stelle. Die Regeln dafür stehen im BSI-Dokument „Grundsätzliche Anforderungen im Nachweisverfahren“ (GAiN), verbindlich in Version 2.2 vom Juli 2026. Welchen Standard der Betreiber zugrunde legt, bleibt ihm überlassen: B3S, ISO 27001, IT-Grundschutz oder Stand der Technik. Der Beitrag spricht Betreiber direkt an. Als Dienstleister eines Betreibers sehen Sie, wofür Ihr Kunde Ihre Unterlagen braucht.
Was das Gesetz verlangt
Bis Dezember 2025 stand die Nachweispflicht in § 8a Abs. 3 BSIG und galt alle zwei Jahre. Seit dem 6. Dezember 2025 steht sie in § 39 BSIG und gilt alle drei Jahre. Den Zeitpunkt legt das BSI fest, frühestens drei Jahre nach der Registrierung als Betreiber.
… frühestens drei Jahre nachdem sie erstmals oder spätestens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre …
Nachzuweisen sind die Sicherheitsmaßnahmen nach § 30 und § 31 BSIG (§ 30 Abs. 1 in Verbindung mit § 31 Abs. 1 und 2). § 31 verlangt von Betreibern kritischer Anlagen mehr als § 30: ein höheres Schutzniveau und Systeme zur Angriffserkennung. Das sind technische Werkzeuge und Abläufe, mit denen Sie Angriffe auf Ihre Systeme erkennen.
Den Nachweis erbringen Sie durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Alle aufgedeckten Mängel teilen Sie dem BSI mit. Das BSI kann einen Plan verlangen, wie Sie die Mängel beseitigen.
Für Betreiber, die schon nach altem Recht nachweispflichtig waren, gilt eine Übergangsregel. Ist ihr Nachweis binnen zwölf Monaten nach Inkrafttreten fällig, dürfen sie noch nach altem Recht nachweisen oder den neuen, vom BSI mitgeteilten Termin wählen (§ 39 Abs. 3 BSIG).
Welcher Standard gilt
Das Gesetz schreibt keinen bestimmten Standard vor, sondern den Stand der Technik. Sie haben drei Wege, ihn zu belegen.
- Branchenspezifischer Sicherheitsstandard (B3S). Ein Branchenverband erarbeitet ihn, das BSI prüft seine Eignung. Gibt es für Ihre Branche einen B3S, ist er der einfachste Maßstab. Das BSI führt eine Liste.
- ISO/IEC 27001. Ein Zertifikat kann Teil des Nachweises sein. Dafür müssen die Bedingungen der GAiN erfüllt sein, und die Prüfung darf nicht älter als zwölf Monate sein. Der Geltungsbereich des Zertifikats muss die kritische Anlage abdecken.
- IT-Grundschutz. Das ist die Methodik des BSI für Informationssicherheit. Ein Zertifikat nach ISO 27001 auf Basis IT-Grundschutz wird ebenso anerkannt.
Egal welcher Weg: Der Prüfer bewertet zusätzlich die KRITIS-Punkte, die kein ISO-Audit abdeckt. Dazu gehören die Abgrenzung der Anlage, die Systeme zur Angriffserkennung und das Notfallmanagement (BCMS).
Der Ablauf
| Schritt | Inhalt | Wer |
|---|---|---|
| 1 Geltungsbereich festlegen | Welche Anlage, welche Systeme, welche Standorte. Beschreibung in Anlage PD.A bei der Erstprüfung | Betreiber |
| 2 Prüfgrundlage wählen | B3S, ISO 27001, IT-Grundschutz oder eigener Katalog. Beschreibung in Anlage PD.C | Betreiber mit prüfender Stelle |
| 3 Prüfung | Dokumentenprüfung, Interviews, Begehung vor Ort. Die prüfende Stelle bewertet ISMS, BCMS, Angriffserkennung und Maßnahmen nach Reife- und Umsetzungsgrad (RUN) | Prüfende Stelle |
| 4 Mängelliste | Alle Feststellungen in der BSI-Vorlage (Excel, Version 1.4). PDF ist unzulässig | Prüfende Stelle |
| 5 Einreichung | Formulare KI und P, Anlagen, Mängelliste über das Melde- und Informationsportal des BSI | Betreiber |
| 6 Nachforderung | Das BSI kann den Prüfbericht und einen Mängelbeseitigungsplan verlangen | BSI |
Die prüfende Stelle ist die Organisation, die Ihren Nachweis prüft. Sie muss erklären, dass sie dafür geeignet ist. DAkkS-akkreditierte Zertifizierungsstellen für ISO 27001 gelten als geeignet. Ihre Prüfer belegen die zusätzliche Kompetenz für das Prüfverfahren mit einer Selbsterklärung.
Was häufig beanstandet wird
Aus unserer Prüfungspraxis, ohne Anspruch auf Vollständigkeit:
- Der Geltungsbereich deckt die Anlage nicht vollständig ab. Ein Beispiel: Ein Dienstleister betreibt die Hälfte der Systeme und wurde nicht geprüft.
- Die Risikoanalyse betrachtet die Informationssicherheit, nicht die Versorgung. KRITIS fragt aber, was passiert, wenn die Versorgung ausfällt.
- Das Notfallmanagement existiert als Konzept, aber ohne Business-Impact-Analyse und ohne Übung. Die Business-Impact-Analyse ermittelt, welche Prozesse wie schnell wieder laufen müssen.
- Systeme zur Angriffserkennung sind gekauft, aber Protokollquellen und Abläufe für die Reaktion fehlen.
- Mängel aus dem letzten Nachweis sind noch offen.
Das BSI stellt klar: Sicherheitsmängel lassen sich in der Regel nicht akzeptieren oder übertragen. Sie müssen behoben werden. Mängel vor der Einreichung zu schließen, ist ausdrücklich erlaubt und lohnt sich.
Zeitplan rückwärts vom Nachweistermin
- 12 Monate vorher: Geltungsbereich und Prüfgrundlage festlegen, prüfende Stelle beauftragen.
- 9 Monate vorher: Probeprüfung, Mängelliste intern.
- 6 Monate vorher: Mängel schließen, BIA und Übung nachholen.
- 3 Monate vorher: Prüfung durch die prüfende Stelle.
- Termin: Einreichung über das Portal.