Fachfragen zu KRITIS und NIS-2

Ein KRITIS-Audit prüft strukturiert, ob Betreiber kritischer Anlagen ausreichende organisatorische und technische Sicherheitsmaßnahmen umgesetzt haben. Grundlage sind branchenspezifische Sicherheitsstandards und etablierte Normen wie ISO 27001. Der Nachweis gegenüber dem BSI folgt heute § 39 BSIG, früher § 8a BSIG. Durchgeführt wird es von einer unabhängigen prüfenden Stelle mit nachgewiesener Prüfverfahrenskompetenz. Wir bereiten Betreiber darauf vor.

Zuerst werden Scope und Prüfgegenstand festgelegt, relevante Dokumente analysiert und ein Auditplan erstellt. Es folgen Gespräche, Stichproben und technische Tests. Das Ergebnis mündet in einen Prüfbericht, den der Betreiber dem BSI einschließlich der aufgedeckten Sicherheitsmängel übermittelt.

Die Kosten hängen von Branche, Größe, Komplexität des Geltungsbereichs und Reifegrad des ISMS ab. Sie reichen von einem niedrigen fünfstelligen bis in den sechsstelligen Eurobereich. Gute Vorbereitung mit klarer Dokumentation senkt Aufwand und Kosten.

Zum Sektor Energie gehört die Versorgung mit Strom, Gas, Kraftstoff und Heizöl sowie Fernwärme, jeweils von der Erzeugung oder Förderung über Handel und Transport bis zur Verteilung.

Wortlaut BSI-KritisV

§ 2 Sektor Energie

(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Energie kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes: 1. die Versorgung der Allgemeinheit mit Elektrizität (Stromversorgung); 2. die Versorgung der Allgemeinheit mit Gas (Gasversorgung); 3. die Versorgung der Allgemeinheit mit Kraftstoff und Heizöl (Kraftstoff- und Heizölversorgung); 4. die Versorgung der Allgemeinheit mit Fernwärme (Fernwärmeversorgung). (2) Die Stromversorgung wird in den Bereichen Stromerzeugung, Stromhandel, Stromübertragung und Stromverteilung erbracht. (3) Die Gasversorgung wird in den Bereichen Gasförderung, Gashandel, Gastransport und Gasverteilung erbracht. (4) Die Kraftstoff- und Heizölversorgung wird in den Bereichen Erdölförderung, Produktenherstellung, Mineralölhandel, Öltransport und -lagerung sowie Kraftstoff- und Heizölverteilung erbracht. (5) Die Fernwärmeversorgung wird in den Bereichen Erzeugung von Fernwärme, Steuerung und Überwachung von Fernwärme sowie Verteilung von Fernwärme erbracht. (6) Im Sektor Energie sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 1 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 1 Teil 3 Spalte D erreichen oder überschreiten.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

Zum Sektor Transport und Verkehr gehört der Personen- und Güterverkehr: Luftverkehr, Eisenbahn, See- und Binnenschifffahrt, Straßenverkehr, öffentlicher Personennahverkehr und Logistik.

Wortlaut BSI-KritisV

§ 9 Sektor Transport und Verkehr

(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Transport und Verkehr die Versorgung der Allgemeinheit mit Leistungen zum Transport von Personen und Gütern (Personen- und Güterverkehr) kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes. (2) Der Personen- und Güterverkehr wird in den Bereichen Luftverkehr, Eisenbahnverkehr, See- und Binnenschifffahrt, Straßenverkehr, öffentlicher Personennahverkehr (ÖPNV) und Logistik sowie verkehrsträgerübergreifend erbracht. (3) Im Sektor Transport und Verkehr sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 7 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 7 Teil 3 Spalte D erreichen oder überschreiten.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

Zum Sektor Finanzwesen gehören Bargeldversorgung, kartengestützter und konventioneller Zahlungsverkehr sowie Handel, Verrechnung und Abwicklung von Wertpapier- und Derivatgeschäften.

Wortlaut BSI-KritisV

§ 7 Sektor Finanzwesen

(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Finanzwesen kritische Dienstleistungen im Sinne des § 56 Absatz 4 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes: 1. die Bargeldversorgung; 2. der kartengestützte Zahlungsverkehr; 3. der konventionelle Zahlungsverkehr; 4. der Handel mit Wertpapieren und Derivaten sowie die Verrechnung und die Abwicklung von Wertpapier- und Derivatgeschäften. (2) Die Bargeldversorgung wird in den Bereichen Autorisierung einer Abhebung, Einbringen in den Zahlungsverkehr, Belastung Kundenkonto und Bargeldlogistik erbracht. (3) Der kartengestützte Zahlungsverkehr wird bei kartengebundenen Zahlungsvorgängen im Sinne der Verordnung (EU) 2015/751 des Europäischen Parlaments und des Rates vom 29. April 2015 über Interbankenentgelte für kartengebundene Zahlungsvorgänge (ABl. L 123 vom 19.5.2015, S. 1) in den Bereichen Autorisierung, Einbringen in den Zahlungsverkehr sowie Belastung auf dem Konto des Zahlers und Gutschrift auf dem Konto des Zahlungsempfängers erbracht. (4) Der konventionelle Zahlungsverkehr wird bei Zahlungsvorgängen mittels Überweisung und Lastschrift im Sinne der Verordnung (EU) Nr. 260/2012 des Europäischen Parlaments und des Rates vom 14. März 2012 zur Festlegung der technischen Vorschriften und der Geschäftsanforderungen für Überweisungen und Lastschriften in Euro (ABl. L 94 vom 30.3.2012, S. 22) in den Bereichen Annahme einer Überweisung oder Lastschrift, Einbringen in den Zahlungsverkehr sowie Belastung und Gutschrift auf Kundenkonten erbracht. (5) Der Handel mit Wertpapieren und Derivaten sowie die Verrechnung und die Abwicklung von Wertpapier- und Derivatgeschäften wird in den Bereichen Einbringen von Aufträgen in den Handel, Ausführung des Handels und Bestandsführung für den Kunden sowie Verrechnung von Wertpapier- und Derivatgeschäften, Verbuchung Wertpapiere und Verbuchung Geld erbracht. (6) Im Sektor Finanzwesen sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 6 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 6 Teil 3 Spalte D erreichen oder überschreiten.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

Zum Sektor Sozialversicherung und Grundsicherung gehört die Auszahlung von Sozialversicherungsleistungen und von Leistungen zur Sicherung des Lebensunterhalts über die IT-Systeme der Bundesagentur für Arbeit.

Wortlaut BSI-KritisV

§ 8 Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitssuchende

(1) Leistungen der Sozialversicherung werden im Bereich Inanspruchnahme von Sozialversicherungsleistungen erbracht. Leistungen der Grundsicherung für Arbeitsuchende werden im Bereich der Inanspruchnahme von Leistungen, die der Sicherung des Lebensunterhalts dienen, mithilfe von IT-Systemen der Bundesagentur für Arbeit erbracht. (2) Im Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 9 Teil 2 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 9 Teil 2 Spalte D erreichen oder überschreiten.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

Zum Sektor Gesundheitswesen gehören die stationäre Versorgung in Krankenhäusern, lebenserhaltende Medizinprodukte, Arzneimittel sowie Blut- und Plasmakonzentrate und die Labordiagnostik.

Wortlaut BSI-KritisV

§ 6 Sektor Gesundheit

(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Gesundheit kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes: 1. die stationäre medizinische Versorgung; 2. die Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, die Verbrauchsgüter sind; 3. die Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten zur Anwendung im oder am menschlichen Körper; 4. die Laboratoriumsdiagnostik. (2) Die Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, die Verbrauchsgüter sind, wird in den Bereichen Herstellung und Abgabe erbracht. (3) Die Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten zur Anwendung im oder am menschlichen Körper wird in den Bereichen Herstellung, Vertrieb und Abgabe erbracht. (4) Im Sektor Gesundheit sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 5 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 5 Teil 3 Spalte D erreichen oder überschreiten.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

Zum Sektor Wasser gehören die Trinkwasserversorgung von der Gewinnung bis zur Verteilung und die Abwasserbeseitigung von der Kanalisation bis zur Einleitung in Gewässer.

Wortlaut BSI-KritisV

§ 3 Sektor Wasser

(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Wasser kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes: 1. die Versorgung der Allgemeinheit mit Trinkwasser (Trinkwasserversorgung); 2. die Beseitigung von Abwasser der Allgemeinheit (Abwasserbeseitigung). (2) Die Trinkwasserversorgung wird in den Bereichen Gewinnung, Aufbereitung, Verteilung sowie Steuerung und Überwachung von Trinkwasser erbracht. (3) Die Abwasserbeseitigung wird in den Bereichen Siedlungsentwässerung, Abwasserbehandlung und Gewässereinleitung sowie Steuerung und Überwachung erbracht. (4) Im Sektor Wasser sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 2 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 2 Teil 3 Spalte D erreichen oder überschreiten.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

Zum Sektor Ernährung gehört die Lebensmittelversorgung, also die Herstellung und Behandlung von Lebensmitteln sowie der Lebensmittelhandel.

Wortlaut BSI-KritisV

§ 4 Sektor Ernährung

(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Ernährung die Versorgung der Allgemeinheit mit Lebensmitteln (Lebensmittelversorgung) kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes. (2) Die Lebensmittelversorgung wird in den Bereichen Lebensmittelherstellung und -behandlung sowie Lebensmittelhandel erbracht. (3) Im Sektor Ernährung sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 3 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 3 Teil 3 Spalte D erreichen oder überschreiten.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

Zum Sektor Informationstechnik und Telekommunikation gehören Sprach- und Datenübertragung sowie Datenspeicherung und -verarbeitung, etwa in Rechenzentren, beim Hosting und bei Vertrauensdiensten.

Wortlaut BSI-KritisV

§ 5 Sektor Informationstechnik und Telekommunikation

(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Informationstechnik und Telekommunikation kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes: 1. die Sprach- und Datenübertragung; 2. die Datenspeicherung und -verarbeitung. (2) Die Sprach- und Datenübertragung wird in den Bereichen Zugang, Übertragung, Vermittlung und Steuerung erbracht. (3) Die Datenspeicherung und -verarbeitung wird in den Bereichen Housing, IT-Hosting und Vertrauensdienste erbracht. (4) Im Sektor Informationstechnik und Telekommunikation sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 4 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 4 Teil 3 Spalte D erreichen oder überschreiten.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

Der Sektor Weltraum ist mit dem KRITIS-Dachgesetz neu hinzugekommen. Das Gesetz nennt als kritische Dienstleistung den Betrieb von Bodeninfrastrukturen für weltraumgestützte Dienste, also etwa Bodenstationen für Satellitennavigation, Erdbeobachtung und Satellitenkommunikation. Welche Anlagen genau erfasst sind, legt erst die Rechtsverordnung nach § 4 Absatz 3 KRITISDachG fest. Sie war am 30.09.2026 noch nicht auf gesetze-im-internet.de veröffentlicht.

Wortlaut KRITISDachG

§ 3 Absatz 3 Satz 2

Für die kritische Dienstleistung des Betriebs von Bodeninfrastrukturen für die Erbringung weltraumgestützter Dienste im Sektor Weltraum wird das Bundesministerium für Forschung, Technologie und Raumfahrt ermächtigt, durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, eine oder mehrere zuständige Bundesbehörden festzulegen.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

Zum Sektor Siedlungsabfallentsorgung gehören das Sammeln und Befördern von Siedlungsabfällen sowie deren Verwertung und Beseitigung.

Wortlaut BSI-KritisV

§ 10 Sektor Siedlungsabfallentsorgung

(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Siedlungsabfallentsorgung die Entsorgung von Siedlungsabfällen kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes. (2) Die Siedlungsabfallentsorgung wird in den Bereichen „Abfallsammlung und -beförderung“ und „Abfallverwertung und -beseitigung“ erbracht. (3) Im Sektor Siedlungsabfallentsorgung sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 8 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 8 Teil 3 Spalte D erreichen oder überschreiten.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

KRITIS steht für kritische Infrastrukturen: Einrichtungen, deren Ausfall erhebliche Folgen für Versorgung, öffentliche Sicherheit oder Staat hätte, etwa in Energie, Wasser, Gesundheit oder Transport.

BSI steht für Bundesamt für Sicherheit in der Informationstechnik, die deutsche Bundesbehörde für IT- und Cybersicherheit.

BSIG ist das BSI-Gesetz, das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik. Es regelt unter anderem Registrierung, Meldepflichten, Risikomanagement und Nachweise für Betreiber kritischer Anlagen.

BBK steht für Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Gemeinsam mit dem BSI betreibt es die Meldestelle für erhebliche Sicherheitsvorfälle.

NIS-2 ist die zweite EU-Richtlinie zur Sicherheit von Netz- und Informationssystemen (Richtlinie (EU) 2022/2555). In Deutschland ist sie über das BSI-Gesetz umgesetzt.

DORA steht für Digital Operational Resilience Act, eine EU-Verordnung zur digitalen Betriebsstabilität von Finanzunternehmen und ihren IT-Dienstleistern.

ISO steht für International Organization for Standardization, die internationale Normungsorganisation. Für Informationssicherheit ist vor allem die Norm ISO/IEC 27001 maßgeblich.

ISMS steht für Informationssicherheitsmanagementsystem: Regeln, Prozesse und Verantwortlichkeiten, mit denen ein Unternehmen Informationssicherheit steuert und nachweist, etwa nach ISO 27001.

OT steht für Operational Technology, die Betriebstechnik, die physische Anlagen steuert und überwacht, etwa Leitsysteme in Kraftwerken oder Produktionsstraßen.

IIoT steht für Industrial Internet of Things, die Vernetzung von Maschinen, Sensoren und Anlagen in der Industrie.

PII steht für Personally Identifiable Information, also personenbezogene Daten. PII-Maskierung verhindert, dass solche Daten etwa in Logs sichtbar werden.

BPMN steht für Business Process Model and Notation, eine standardisierte Notation, um Geschäftsprozesse grafisch darzustellen.

RACI steht für Responsible, Accountable, Consulted, Informed. Die RACI-Matrix legt fest, wer eine Aufgabe erledigt, verantwortet, beiträgt oder informiert wird.

CI/CD steht für Continuous Integration und Continuous Delivery: Änderungen werden automatisch gebaut, getestet und nachvollziehbar ausgeliefert.

SBOM steht für Software Bill of Materials, eine vollständige Liste aller Komponenten und Abhängigkeiten einer Software.

SAST steht für Static Application Security Testing: Der Quellcode wird ohne Ausführung auf Sicherheitslücken geprüft.

DAST steht für Dynamic Application Security Testing: Die laufende Anwendung wird von außen gezielt angegriffen, um Schwachstellen zu finden.

OWASP steht für Open Worldwide Application Security Project, eine gemeinnützige Organisation für Anwendungssicherheit.

SAMM steht für Software Assurance Maturity Model. OWASP SAMM bewertet, wie reif die Sicherheitspraktiken in der Softwareentwicklung sind.

RBAC steht für Role-Based Access Control, rollenbasierte Zugriffskontrolle: Rechte hängen an Rollen, nicht an einzelnen Personen.

ReBAC steht für Relationship-Based Access Control: Zugriff ergibt sich aus Beziehungen, etwa „ist Mitglied von“ oder „ist Eigentümer von“.

FGA steht für Fine-Grained Authorization, fein granulare Autorisierung. OpenFGA ist eine Open-Source-Umsetzung davon.

OAuth2 steht für Open Authorization 2.0, ein Standard, mit dem Anwendungen Zugriff erhalten, ohne Passwörter weiterzugeben.

OIDC steht für OpenID Connect, eine Anmeldeschicht auf OAuth2 und die Grundlage für Single Sign-on.

JWT steht für JSON Web Token, ein signiertes Token, das Identität und Berechtigungen zwischen Systemen überträgt.

AD steht für Active Directory, den Verzeichnisdienst von Microsoft für Benutzer, Gruppen und Rechner.

OU steht für Organizational Unit, eine Organisationseinheit im Active Directory zum Gruppieren von Benutzern und Rechnern.

LDAP steht für Lightweight Directory Access Protocol, ein Protokoll zum Abfragen von Verzeichnisdiensten wie Active Directory.

TLS steht für Transport Layer Security, das Verschlüsselungsprotokoll für Datenübertragungen, zum Beispiel bei HTTPS.

AES steht für Advanced Encryption Standard. AES-256 verschlüsselt Daten mit einem 256-Bit-Schlüssel und gilt als Stand der Technik.

AWS steht für Amazon Web Services, die Cloud-Plattform von Amazon.

AKS steht für Azure Kubernetes Service, den verwalteten Kubernetes-Dienst von Microsoft Azure.

EKS steht für Amazon Elastic Kubernetes Service, den verwalteten Kubernetes-Dienst von AWS.

MSSQL steht für Microsoft SQL Server, ein relationales Datenbanksystem. SQL steht für Structured Query Language.

MQTT ist ein schlankes Nachrichtenprotokoll nach dem Publish-Subscribe-Prinzip, verbreitet im IoT. Ursprünglich stand es für MQ Telemetry Transport.

OPC UA steht für Open Platform Communications Unified Architecture, ein Standard für den sicheren Datenaustausch in der Industrieautomatisierung.

Zero Trust ist ein Sicherheitsprinzip nach dem Grundsatz „Niemals vertrauen, immer prüfen“: Kein Nutzer, Gerät oder Dienst gilt automatisch als vertrauenswürdig, auch nicht im eigenen Netz. Jeder Zugriff wird einzeln anhand von Identität, Gerätezustand und Berechtigung geprüft und nur so weit erlaubt wie nötig.

TLS-Verschlüsselung schützt Daten auf dem Übertragungsweg: Verbindungen zwischen Browser, Anwendungen und Servern werden mit TLS (Transport Layer Security) verschlüsselt und gegen Mitlesen und Manipulation gesichert. Empfohlen ist TLS 1.3, mindestens TLS 1.2.

Modbus ist ein weit verbreitetes Kommunikationsprotokoll der Industrieautomatisierung, über das Steuerungen, Sensoren und Leitsysteme Daten austauschen. Es wurde 1979 von Modicon eingeführt und kennt von Haus aus weder Verschlüsselung noch Authentifizierung. In KRITIS-Umgebungen muss es deshalb besonders abgeschirmt werden.

Microsoft Azure ist die Cloud-Plattform von Microsoft für Rechenleistung, Speicher, Datenbanken und Dienste wie Azure DevOps oder den Azure Kubernetes Service (AKS).

MySQL ist ein verbreitetes relationales Open-Source-Datenbanksystem, das heute von Oracle weiterentwickelt wird.

Angular ist ein Open-Source-Framework von Google für Webanwendungen im Browser, geschrieben in TypeScript.

.NET ist die Entwicklungsplattform von Microsoft für Anwendungen in Sprachen wie C#, lauffähig unter Windows, Linux und macOS. Der Punkt gehört zum Produktnamen, es ist keine Abkürzung.

React ist eine Open-Source-JavaScript-Bibliothek für Benutzeroberflächen im Browser, ursprünglich von Meta (Facebook) entwickelt. Oberflächen werden aus wiederverwendbaren Komponenten zusammengesetzt.

Keycloak ist eine Open-Source-Lösung für Identitäts- und Zugriffsverwaltung mit Single Sign-On. Sie unterstützt Standards wie OAuth2, OpenID Connect (OIDC) und SAML. Ursprünglich von Red Hat entwickelt, ist sie heute ein Projekt der Cloud Native Computing Foundation (CNCF).

Azure Key Vault ist ein Dienst von Microsoft Azure, der Schlüssel, Passwörter, Zugangsdaten und Zertifikate zentral und geschützt aufbewahrt, auf Wunsch in Hardware-Sicherheitsmodulen (HSM). Anwendungen holen sie zur Laufzeit ab, statt sie im Code oder in Konfigurationsdateien zu speichern.

Argon2id ist ein Verfahren zum sicheren Speichern von Passwörtern (Passwort-Hashing). Argon2 gewann 2015 die Password Hashing Competition und ist in RFC 9106 standardisiert. Weil es viel Arbeitsspeicher braucht, erschwert es massenhaftes Durchprobieren mit Grafikkarten.

OpenTelemetry ist ein offener Standard mit Werkzeugen der Cloud Native Computing Foundation (CNCF), um Traces, Metriken und Logs einheitlich zu erfassen. So lässt sich nachvollziehen, was in einer verteilten Anwendung passiert, ohne sich an einen Anbieter zu binden.

PII-Maskierung macht personenbezogene Daten wie Namen, E-Mail-Adressen oder Kontonummern unkenntlich, bevor sie in Logs, Traces oder Testdaten landen, etwa durch Platzhalter oder Pseudonyme. Das unterstützt Datenminimierung nach DSGVO.

SonarQube ist eine Plattform von SonarSource für statische Codeanalyse (SAST). Sie prüft Quellcode bei jedem Build auf Fehler, Sicherheitslücken und Wartbarkeitsprobleme und kann eine Auslieferung stoppen, wenn Qualitätsgrenzen verfehlt werden.

Trivy ist ein Open-Source-Scanner von Aqua Security. Er findet bekannte Schwachstellen und Fehlkonfigurationen in Container-Images, Abhängigkeiten, Git-Repositories und Infrastrukturcode und kann eine SBOM erzeugen.

Der Scope ist der festgelegte Prüf- und Geltungsbereich: welche Anlagen, Systeme, Standorte und Prozesse ein Audit oder Projekt umfasst.

Eine Gap-Analyse vergleicht den Ist-Zustand mit den Anforderungen, hier mit BSI-Gesetz und Stand der Technik, und zeigt, welche Lücken bis zum Nachweis zu schließen sind.

On-Premises heißt, dass Software und Infrastruktur im eigenen Rechenzentrum betrieben werden statt in einer öffentlichen Cloud.

Ein Commit ist eine gespeicherte, nachvollziehbare Änderung im Quellcode-Repository, etwa in Git. Er hält fest, wer was wann geändert hat.

Ein Pod ist die kleinste Einheit in Kubernetes: ein oder mehrere Container, die gemeinsam auf einem Rechner laufen und sich Netzwerk und Speicher teilen.

Pod Security legt in Kubernetes fest, was ein Pod darf, etwa ob er mit Administratorrechten läuft oder auf das Host-System zugreift. Kubernetes gibt dafür die Pod Security Standards mit den Stufen Privileged, Baseline und Restricted vor.

Das BSI-Gesetz (BSIG), amtlich „Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen“, gilt in der Fassung vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301). Mit ihm hat Deutschland die EU-Richtlinie NIS-2 umgesetzt. Es regelt die Aufgaben des BSI und die IT-Sicherheitspflichten für wichtige und besonders wichtige Einrichtungen sowie für Betreiber kritischer Anlagen.

Für Betreiber kritischer Anlagen zentral: • § 30 Risikomanagementmaßnahmen • § 31 Besondere Anforderungen, unter anderem Systeme zur Angriffserkennung • § 32 Meldepflichten • § 33 Registrierungspflicht • § 38 Pflichten der Geschäftsleitung • § 39 Nachweispflichten

Den Wortlaut dieser Paragraphen finden Sie in der Kategorie „Gesetze“.

Volltext: gesetze-im-internet.de/bsig_2025

Das KRITIS-Dachgesetz (KRITISDachG), amtlich „Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen“, stammt vom 11. März 2026 (BGBl. 2026 I Nr. 66). Es setzt die EU-Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen um und ergänzt das BSI-Gesetz: Das BSI-Gesetz regelt die IT-Sicherheit, das KRITIS-Dachgesetz den physischen Schutz und die Widerstandsfähigkeit der Anlagen. Zentrale Anlaufstelle ist das BBK (§ 3).

Wichtige Regelungen für Betreiber kritischer Anlagen: • § 4 Geltungsbereich und die zehn Sektoren • § 8 Registrierung kritischer Anlagen • § 12 Risikoanalyse und Risikobewertung des Betreibers • § 13 Resilienzpflichten und Resilienzplan • § 18 Meldewesen für Vorfälle • § 20 Umsetzungs- und Überwachungspflicht für Geschäftsleitungen

Volltext: gesetze-im-internet.de/kritisdachg

§ 30 Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen

(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren. (2) Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen: 1. Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik, 2. Bewältigung von Sicherheitsvorfällen, 3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement, 4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern, 5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen, 6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik, 7. grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik, 8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren, 9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen, 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. (3) Der von der Europäischen Kommission gemäß Artikel 21 Absatz 5 Unterabsatz 1 der NIS-2-Richtlinie erlassene Durchführungsrechtsakt zur Festlegung der technischen und methodischen Anforderungen an die in Absatz 1 genannten Maßnahmen in Bezug auf DNS-Diensteanbieter, Top Level Domain Name Registries, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter hat für die vorgenannten Einrichtungsarten Vorrang. (4) Sofern die Europäische Kommission einen Durchführungsrechtsakt gemäß Artikel 21 Absatz 5 Unterabsatz 2 der NIS-2-Richtlinie erlässt, in dem die technischen und methodischen Anforderungen sowie erforderlichenfalls die sektoralen Anforderungen der in Absatz 2 genannten Maßnahmen festgelegt werden, so gehen diese Anforderungen den in Absatz 2 genannten Maßnahmen vor, soweit sie diesen entgegenstehen. (5) Sofern die Durchführungsrechtsakte der Europäischen Kommission nach Artikel 21 Absatz 5 der NIS-2-Richtlinie keine abschließenden Bestimmungen über die technischen und methodischen Anforderungen sowie erforderlichenfalls über die sektoralen Anforderungen an die in Absatz 2 genannten Maßnahmen in Bezug auf besonders wichtige Einrichtungen und wichtige Einrichtungen enthalten, können diese Bestimmungen vom Bundesministerium des Innern im Benehmen mit den jeweils betroffenen Ressorts durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, unter Berücksichtigung der möglichen Folgen unzureichender Maßnahmen sowie der Bedeutung bestimmter Einrichtungen präzisiert und erweitert werden. (6) Besonders wichtige Einrichtungen und wichtige Einrichtungen dürfen durch Rechtsverordnung nach § 56 Absatz 3 bestimmte IKT-Produkte, IKT-Dienste und IKT-Prozesse nur verwenden, wenn diese über eine Cybersicherheitszertifizierung gemäß europäischer Schemata nach Artikel 49 der Verordnung (EU) 2019/881 verfügen. (7) Unbeschadet der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten dürfen der Austausch von Informationen nach § 6 oder die freiwillige Meldung nach § 5 nicht dazu führen, dass der meldenden Einrichtung zusätzliche Verpflichtungen auferlegt werden, die nicht für sie gegolten hätten, wenn sie die Meldung nicht übermittelt hätte. (8) Besonders wichtige Einrichtungen und ihre Branchenverbände können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen nach Absatz 1 vorschlagen. Diese vorgeschlagenen Sicherheitsstandards müssen Durchführungsrechtsakte der Europäischen Kommission so berücksichtigen, dass sie nicht im Widerspruch zu den dort genannten Anforderungen stehen sowie darin enthaltene Vorgaben nicht unterschritten werden. Das Bundesamt stellt auf Antrag fest, ob die vorgeschlagenen Sicherheitsstandards branchenspezifisch und geeignet sind, die Anforderungen nach Absatz 1 zu gewährleisten und veröffentlicht diese auf seiner Internetseite. Die Feststellung erfolgt 1. im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe; 2. im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes. Im Sektor Gesundheitswesen ist, soweit keine zuständige Aufsichtsbehörde des Bundes besteht, abweichend von Satz 4 Nummer 2 das Benehmen mit dem Bundesministerium für Gesundheit herzustellen. Aus Gründen des öffentlichen Interesses werden für die Feststellung keine Gebühren oder Auslagen für die Tätigkeit des Bundesamtes erhoben. (9) Betreiber kritischer Anlagen können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen in Bezug auf kritische Anlagen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 vorschlagen. Absatz 8 Satz 2 bis 6 gilt entsprechend.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

§ 31 Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen

(1) Für Betreiber kritischer Anlagen gelten für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Anlagen maßgeblich sind, im Vergleich zu anderen informationstechnischen Systemen, Komponenten und Prozessen besonders wichtiger Einrichtungen auch über das Schutzniveau dieser Einrichtungen hinausgehende Maßnahmen nach § 30 Absatz 1 Satz 1 als verhältnismäßig, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage steht. (2) Betreiber kritischer Anlagen sind verpflichtet, für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Anlagen maßgeblich sind, Systeme zur Angriffserkennung einzusetzen. Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen. Dabei soll der Stand der Technik eingehalten werden. Der hierfür erforderliche Aufwand soll nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage stehen.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

§ 32 Meldepflichten

(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte; 2. unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden; 3. auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen; 4. spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die Folgendes enthält: a) eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen; b) Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat; c) Angaben zu den getroffenen und laufenden Abhilfemaßnahmen; d) gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls. Die Verpflichtung nach Satz 1 gilt frühestens ab Einrichtung des Meldewegs. (2) Dauert der Sicherheitsvorfall zum in Absatz 1 Satz 1 Nummer 4 genannten Zeitpunkt noch an, legt die betreffende Einrichtung statt einer Abschlussmeldung zu diesem Zeitpunkt eine Fortschrittsmeldung vor. Die Abschlussmeldung ist dem Bundesamt nach abschließender Bearbeitung des Sicherheitsvorfalls durch die betreffende Einrichtung vorzulegen. (3) Betreiber kritischer Anlagen sind zusätzlich verpflichtet, Angaben zur Art der betroffenen Anlage und der kritischen Dienstleistung sowie zu den Auswirkungen des Sicherheitsvorfalls auf diese Dienstleistung zu übermitteln, wenn ein erheblicher Sicherheitsvorfall Auswirkungen auf die von ihnen betriebene kritische Anlage hat oder haben könnte. (4) Das Bundesamt legt die Einzelheiten zur Ausgestaltung des Meldeverfahrens und zur Konkretisierung der Meldungsinhalte nach Anhörung der betroffenen Betreiber und der betroffenen Wirtschaftsverbände im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest, soweit sie möglichen Durchführungsrechtsakten der Europäischen Kommission nicht widersprechen. Die Informationen nach Satz 1 werden durch das Bundesamt auf dessen Internetseite veröffentlicht. (5) Das Bundesamt stellt den zuständigen Aufsichtsbehörden des Bundes unverzüglich die bei ihm eingegangenen Meldungen zur Verfügung. (6) Das Bundesamt kann meldenden Einrichtungen nach Maßgabe des § 36 Absatz 1 Angebote zu deren Unterstützung bei der Behebung des Sicherheitsvorfalls machen.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

§ 33 Registrierungspflicht

(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: 1. Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer, 2. Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern, 3. relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche, 4. Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt, und 5. die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder. (2) Die Registrierung von kritischen Anlagen erfolgt gemäß § 8 des KRITIS-Dachgesetzes. (3) Die Registrierung von besonders wichtigen Einrichtungen und wichtigen Einrichtungen und Domain-Name-Registry-Diensteanbietern kann das Bundesamt im Einvernehmen mit den jeweils zuständigen Aufsichtsbehörden auch selbst vornehmen, wenn ihre Pflicht zur Registrierung nicht erfüllt wird. (4) Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung ihre Pflicht zur Registrierung nach Absatz 1 oder 2 nicht erfüllt, so hat diese Einrichtung dem Bundesamt auf Verlangen die aus Sicht des Bundesamtes für die Bewertung erforderlichen Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen und Auskunft zu erteilen, soweit nicht Geheimschutzinteressen oder überwiegende Sicherheitsinteressen entgegenstehen. (5) Wenn sich nach Absatz 1 zu übermittelnde Angaben ändern, sind diese Änderungen dem Bundesamt unverzüglich, spätestens jedoch binnen zwei Wochen ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis von der Änderung erhalten hat, zu übermitteln. (6) Das Bundesamt legt die Einzelheiten zur Ausgestaltung des Registrierungsverfahrens im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest. Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamtes.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

§ 38 Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen

(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten. (3) Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

§ 39 Nachweispflichten für Betreiber kritischer Anlagen

(1) Betreiber kritischer Anlagen haben die Umsetzung der Maßnahmen in Bezug auf kritische Anlagen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 zu einem vom Bundesamt im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe festgelegten Zeitpunkt, frühestens drei Jahre nachdem sie erstmals oder spätestens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre dem Bundesamt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen. Die Betreiber übermitteln dem Bundesamt die Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich Angaben über die dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei Sicherheitsmängeln die Vorlage eines geeigneten Mängelbeseitigungsplanes und im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel verlangen. Das Bundesamt kann die Vorlage eines geeigneten Nachweises über die erfolgte Mängelbeseitigung verlangen. (2) Das Bundesamt kann zur Ausgestaltung des Verfahrens der Prüfungen und Erbringung der Nachweise nach Absatz 1 folgende Anforderungen festlegen: 1. Anforderungen an die Art und Weise der Durchführung, 2. Anforderungen an die Geeignetheit der zu erbringenden Nachweise sowie 3. nach Anhörung der betroffenen Betreiber und Einrichtungen und der betroffenen Wirtschaftsverbände fachliche und organisatorische Anforderungen an die prüfenden Stellen im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamtes. (3) Abweichend von Absatz 1 Satz 1 legt das Bundesamt für Betreiber kritischer Anlagen, die bis zum Inkrafttreten dieses Gesetzes Betreiber Kritischer Infrastrukturen waren nach § 2 Absatz 10 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 12 des Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982) geändert worden ist, den Zeitpunkt der Nachweiserbringung auf frühestens drei Jahre nach Erbringung des letzten Nachweises nach § 8a Absatz 3 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 12 des Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982) geändert worden ist, fest. Betreiber kritischer Anlagen, die bis zum Inkrafttreten dieses Gesetzes Betreiber Kritischer Infrastrukturen waren, und deren Nachweisfrist nach § 8a Absatz 3 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 12 des Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982) geändert worden ist, innerhalb von zwölf Monaten nach Inkrafttreten dieses Gesetzes abgelaufen wäre, können in diesem Zeitraum einen Nachweis nach den bisher geltenden Vorgaben erbringen. (4) Die Verpflichtung nach Absatz 1 Satz 1 gilt nicht für Betreiber kritischer Anlagen, die auf Grundlage von § 5 Absatz 7 des KRITIS-Dachgesetzes als solche bestimmt wurden.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.

§ 8a Sicherheit in der Informationstechnik Kritischer Infrastrukturen

(1) Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens bis zum ersten Werktag, der darauf folgt, dass diese erstmalig oder erneut als Betreiber einer Kritischen Infrastruktur nach der Rechtsverordnung nach § 10 Absatz 1 gelten, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden. Organisatorische und technische Vorkehrungen sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Kritischen Infrastruktur steht. (1a) Die Verpflichtung nach Absatz 1 Satz 1, angemessene organisatorische und technische Vorkehrungen zu treffen, umfasst ab dem 1. Mai 2023 auch den Einsatz von Systemen zur Angriffserkennung. Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen. Absatz 1 Satz 2 und 3 gilt entsprechend. (2) Betreiber Kritischer Infrastrukturen und ihre Branchenverbände können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen nach den Absätzen 1 und 1a vorschlagen. Das Bundesamt stellt auf Antrag fest, ob diese geeignet sind, die Anforderungen nach den Absätzen 1 und 1a zu gewährleisten. Die Feststellung erfolgt 1. im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, 2. im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes. (3) Betreiber Kritischer Infrastrukturen haben die Erfüllung der Anforderungen nach den Absätzen 1 und 1a spätestens zwei Jahre nach dem in Absatz 1 genannten Zeitpunkt und anschließend alle zwei Jahre dem Bundesamt nachzuweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Die Betreiber übermitteln dem Bundesamt die Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei Sicherheitsmängeln im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel verlangen. (4) Das Bundesamt kann beim Betreiber Kritischer Infrastrukturen die Einhaltung der Anforderungen nach den Absätzen 1 und 1a überprüfen; es kann sich bei der Durchführung der Überprüfung eines qualifizierten unabhängigen Dritten bedienen. Der Betreiber Kritischer Infrastrukturen hat dem Bundesamt und den in dessen Auftrag handelnden Personen zum Zweck der Überprüfung das Betreten der Geschäfts- und Betriebsräume während der üblichen Betriebszeiten zu gestatten und auf Verlangen die in Betracht kommenden Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen, Auskunft zu erteilen und die erforderliche Unterstützung zu gewähren. Für die Überprüfung erhebt das Bundesamt Gebühren und Auslagen bei dem jeweiligen Betreiber Kritischer Infrastrukturen nur, sofern das Bundesamt auf Grund von Anhaltspunkten tätig geworden ist, die berechtigte Zweifel an der Einhaltung der Anforderungen nach den Absätzen 1 und 1a begründeten. (5) Das Bundesamt kann zur Ausgestaltung des Verfahrens der Sicherheitsaudits, Prüfungen und Zertifizierungen nach Absatz 3 Anforderungen an die Art und Weise der Durchführung, an die hierüber auszustellenden Nachweise sowie fachliche und organisatorische Anforderungen an die prüfende Stelle nach Anhörung von Vertretern der betroffenen Betreiber und der betroffenen Wirtschaftsverbände festlegen.

Außer Kraft seit 6. Dezember 2025, ersetzt durch §§ 30, 31 und 39 BSIG.

Wortlaut nach gesetze-im-internet.de, abgerufen am 30.09.2026.