Vertrauen ist gut, KRITIS ist Pflicht
Was das neue Prüfregime für Betreiber kritischer Anlagen bedeutet – zehn Einsichten aus einem Schulungspaket für KRITIS-Prüfer
Strom kommt aus der Steckdose, Wasser aus dem Hahn, und das Krankenhaus hat geöffnet. Dass es dabei bleibt, hält der Bürger für selbstverständlich – der Gesetzgeber nicht mehr. Denn die Lage ist ungemütlich: Ransomware-Banden erpressen inzwischen mit Verschlüsselung und Datenklau im Doppelpack. Laut Bundeskriminalamt richteten sich rund 80 Prozent der angezeigten Angriffe gegen kleine und mittlere Unternehmen, und die Angreifer lassen sich neuerdings von KI-Werkzeugen zur Hand gehen.[^1] Wer eine kritische Anlage betreibt, ein Wasserwerk, ein Rechenzentrum, eine Kläranlage, der versorgt nicht nur Kunden, sondern das Gemeinwesen. Und wer das Gemeinwesen versorgt, bekommt Besuch vom Prüfer.
Wie dieser Besuch abläuft, lässt sich in einem bemerkenswerten Dokument nachlesen: einem Schulungspaket von 333 Folien, mit dem Prüfer die Prüfkompetenz nach § 39 Absatz 2 BSIG erwerben. Sechs Module, von den gesetzlichen Grundlagen bis zum Prüfbericht. Gedacht ist es für die Zunft der KRITIS-Auditoren. Lesen sollten es aber vor allem jene, die geprüft werden. Denn wer weiß, wonach der Prüfer sucht, weiß auch, was ihm selbst um die Ohren fliegen kann. Zehn Einsichten aus diesem Paket, geordnet nach dem Lauf der Dinge: erst die Betroffenheit, dann die Pflichten, dann die Prüfung.
Zwei Gesetze, ein Ziel
Zunächst das Fundament. Die alte Rede von den „Kritischen Infrastrukturen“ ist Rechtsgeschichte, das Gesetz spricht heute von kritischen Anlagen, und es regiert im Doppel. Das novellierte BSI-Gesetz, seit Dezember 2025 durch das NIS-2-Umsetzungsgesetz in Kraft, kümmert sich um die Informationssicherheit.[^2] Das KRITIS-Dachgesetz, das die europäische CER-Richtlinie umsetzt, kümmert sich um die physische Widerstandskraft – Zäune, Notstrom, Personal.[^3] Dahinter stehen zwei EU-Richtlinien, NIS-2 und CER, die den Rahmen vorgeben.[^4] Wer also glaubt, mit einer sauberen IT sei die Sache erledigt, hat die Hälfte der Hausaufgaben übersehen. Der Ausfall kommt nicht immer durch das Netzwerkkabel. Manchmal kommt er durch die Tür.
Wer drin ist, entscheidet die Rechenaufgabe
Ob ein Unternehmen betroffen ist, entscheidet keine Behörde per Brief, sondern eine Rechenaufgabe, die das Unternehmen selbst lösen muss. Die KRITIS-Verordnung legt je Sektor Anlagenkategorien, Bemessungskriterien und Schwellenwerte fest, orientiert an 500.000 versorgten Personen. Wer drüber liegt, ist Betreiber einer kritischen Anlage – und zwar ab dem Tag der Überschreitung, nicht ab dem Tag, an dem es jemand bemerkt. Dazu kommen zwei weitere Klassen, die besonders wichtigen und die wichtigen Einrichtungen, in die Unternehmen schon ab 50 Mitarbeitern oder zehn Millionen Euro Umsatz hineinwachsen können. Allein durch NIS-2 sind nach den Schulungsunterlagen rund 29.000 Unternehmen neu in die Regulierung gerutscht. Viele davon wissen es vermutlich noch nicht. Das BSI bietet für Zweifelnde eine anonyme Betroffenheitsprüfung im Netz an – ein Selbsttest mit unverbindlichem Ergebnis, aber verbindlichen Konsequenzen, falls er positiv ausfällt.[^5]
Die Uhr läuft, ob man hinsieht oder nicht
Mit der Überschreitung des Schwellenwerts beginnt ein Terminplan, den man kennen sollte. Registrierung beim BSI binnen drei Monaten, Risikomanagementmaßnahmen sofort, Resilienzmaßnahmen nach dem Dachgesetz zehn Monate nach der Registrierung. Die erste Nachweisprüfung folgt nach drei Jahren – und dann wieder alle drei Jahre, bis zum Ruhestand der Anlage. Dazwischen liegt die jährliche Schwellenwertprüfung, fällig bis zum 31. März. Und wenn es kracht, gilt der Meldetakt des § 32 BSIG: Frühwarnung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussbericht spätestens nach einem Monat. Wohlgemerkt: nicht jede Störung ist meldepflichtig. Spam, erkannte Viren und kaputte Festplatten gehören zum Betrieb wie das Amen zur Kirche. Meldepflichtig wird es, wenn eine Störung die kritische Dienstleistung gefährden könnte – der ICE, der nur noch 30 fährt, das Wasser, das keine Trinkwasserqualität mehr hat.
Der Prüfer kommt nicht als Feind
Und die Prüfung selbst? Sie folgt einem Phasenmodell: Grundlagenprüfung, Angemessenheitsprüfung, Wirksamkeitsprüfung, Ergebnis. Die Schulung vergleicht das mit Fundament, Rohbau, Innenausbau und Bauabnahme. Geprüft wird nach Reife- und Umsetzungsgraden, mit Stichproben von etwa zehn Prozent der Grundgesamtheit, durch ein Team von mindestens zwei zertifizierten, unabhängigen Prüfern. Am Ende steht kein Siegel fürs Briefpapier, denn ein KRITIS-Zertifikat gibt es schlicht nicht. Am Ende steht eine Mängelliste. Und das ist so gewollt, denn die Schulung sagt es mit erfrischender Offenheit: Mängelfreiheit ist nicht die Erwartungshaltung. Ein Betreiber ohne einen einzigen Mangel ist dem BSI vermutlich verdächtiger als einer mit einer ordentlich geführten Liste samt Umsetzungsplan.
Die zehn Einsichten im Einzelnen
1. KRITIS ist Selbstveranlagung, keine Ernennung. Niemand schreibt dem Wasserwerk, dass es kritisch ist. Der Betreiber muss jährlich selbst rechnen, ob seine Anlagen die Schwellenwerte der KRITIS-Verordnung reißen – und die Rechnung dokumentieren, auch wenn er knapp darunter liegt. Wer die Analyse verschlampt, ist trotzdem betroffen, nur eben unregistriert. Das kostet bis zu eine Million Euro.
2. Cyber ist nur die halbe Miete. BSIG und KRITIS-Dachgesetz greifen ineinander: hier Informationssicherheit und Systeme zur Angriffserkennung, dort Risikoanalysen alle vier Jahre, physischer Schutz und Resilienzplan. Wer nur den CISO losschickt und den Werkschutz vergisst, erfüllt die Hälfte von zwei Gesetzen – also keines.
3. Die Betroffenheit kommt in drei Stufen, die Pflichten auch. Wichtige Einrichtungen, besonders wichtige Einrichtungen, Betreiber kritischer Anlagen – mit jeder Stufe wachsen die Anforderungen, von den Grundpflichten bis zu Nachweispflicht und Angriffserkennung. Die Einstiegsstufe beginnt früher, als viele denken: 50 Mitarbeiter oder zehn Millionen Umsatz im richtigen Sektor genügen.
4. Die Fristen sind ein Fahrplan, kein Vorschlag. Drei Monate für die Registrierung, zehn Monate für Resilienzmaßnahmen, drei Jahre bis zur ersten Nachweisprüfung, dann der Drei-Jahres-Rhythmus. Wer erst beim Brief vom BSI anfängt zu planen, plant zu spät – eine Wirksamkeitsprüfung will Maßnahmen sehen, die über einen Zeitraum gelebt wurden, nicht ein Konzept von letzter Woche.
5. Die Geschäftsleitung sitzt selbst auf der Schulbank – und im Risiko. Nach § 38 BSIG muss die Leitung die Risikomanagementmaßnahmen umsetzen, überwachen und regelmäßig Schulungen besuchen. Delegieren lässt sich die Arbeit, die Verantwortung nicht: Bei schuldhaften Pflichtverletzungen haftet die Geschäftsleitung ihrer eigenen Einrichtung gegenüber. Das Thema gehört damit auf die Tagesordnung des Vorstands, nicht in die Ablage der IT-Abteilung.
6. Der Meldetakt ist sportlich: 24 Stunden, 72 Stunden, ein Monat. Wer erst im Ernstfall überlegt, wer eigentlich melden darf und über welches Portal, verliert die ersten 24 Stunden mit Zuständigkeitsklärung. Meldewege, Kontaktstelle und Formulare gehören eingerichtet und geprobt, bevor es brennt. Das BSI-Portal kennt sogar die Testmeldung.
7. „Stand der Technik“ ist keine Checkliste, sondern eine Einzelfallentscheidung. Der Begriff stammt aus der Drei-Stufen-Theorie des Bundesverfassungsgerichts von 1978 und lässt sich nach BSI-Auskunft nicht allgemeingültig festschreiben. Konkretisiert wird er über Normen, Orientierungshilfen und branchenspezifische Sicherheitsstandards. Die B3S sind allerdings freiwillig und taugen allein nicht als Prüfgrundlage. Wer Checklisten abhakt, statt Risiken zu bewerten, prüft am Gesetz vorbei.
8. Das ISO-27001-Zertifikat ist ein Baustein, kein Freifahrtschein. Es kann die Angemessenheit belegen, nicht die Wirksamkeit; die zugrunde liegende Prüfung darf höchstens zwölf Monate alt sein, und jedes Delta bei Geltungsbereich, Zeitraum oder Maßnahmen muss die KRITIS-Prüfung selbst abdecken. Wer sein Zertifikat für den Nachweis hält, verwechselt den Rohbau mit dem bezugsfertigen Haus.
9. Geprüft wird das Gelebte, nicht das Geschriebene. Das Phasenmodell trennt sauber: Erst wird das Design der Prozesse auf Angemessenheit geprüft, dann ihre Wirksamkeit über die Zeit – mit Stichproben, Interviews und Nachweisen aus dem Betrieb. Ein Richtlinienordner, der seit zwei Jahren niemanden mehr gesehen hat, fällt spätestens in Phase drei auf.
10. Mängel sind normal – der Umgang mit ihnen ist die Prüfung. Abweichungen werden in schwerwiegend, geringfügig und Empfehlung sortiert, mit konkretem Behebungsdatum und Umsetzungsstand in Prozent, und bei der Folgeprüfung schaut der Prüfer zuerst auf die Altlasten. Teuer wird nicht der Mangel, sondern das Ignorieren: Bußgelder reichen je nach Verstoß bis zu zehn Millionen Euro oder zwei Prozent des Jahresumsatzes. Und bei wiederholten Ungereimtheiten prüft das BSI selbst nach – auf Kosten des Betreibers.
Was am Ende bleibt
Man kann über Regulierung trefflich schimpfen, und bei 159 Einzelanforderungen allein im EU-Durchführungsrechtsakt für digitale Dienste liegt der Stoßseufzer nahe.[^6] Doch der Kern des Prüfregimes ist vernünftiger, als sein Papierberg vermuten lässt. Es verlangt nichts, was ein ordentlicher Betreiber nicht ohnehin wollen sollte: seine Anlage kennen, seine Risiken beziffern, seine Maßnahmen leben und seine Fehler aufschreiben. Die Schulung der Prüfer bringt es auf einen Satz, den man sich einrahmen kann: Ein dynamischer und angepasster Sicherheitsprozess ist wichtiger als eine reine Zertifizierung. Wer seine Anlage kennt, hat vom Prüfer wenig zu befürchten. Wer sie nicht kennt, erfährt es besser vom Prüfer als vom Angreifer.
---
Quellen und Fußnoten
[^1]: BSI: Die Lage der IT-Sicherheit in Deutschland (Lageberichte, u. a. 2025) – https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html
[^2]: BSI-Gesetz (BSIG) in der Fassung des NIS-2-Umsetzungsgesetzes – https://www.gesetze-im-internet.de/bsig_2025/; zum Inkrafttreten: BSI-Pressemitteilung vom 05.12.2025 – https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251205_NIS-2-Umsetzungsgesetz_in_Kraft.html
[^3]: KRITIS-Dachgesetz (KRITISDachG) – https://www.gesetze-im-internet.de/kritisdachg/
[^4]: Richtlinie (EU) 2022/2555 (NIS-2) – https://eur-lex.europa.eu/eli/dir/2022/2555/oj/deu; Richtlinie (EU) 2022/2557 (CER) – https://eur-lex.europa.eu/eli/dir/2022/2557/oj/deu
[^5]: BSI: NIS-2-Betroffenheitsprüfung (anonymer Selbsttest) – https://www.bsi.bund.de/dok/nis-2-betroffenheitspruefung
[^6]: Durchführungsverordnung (EU) 2024/2690 zur Konkretisierung der Risikomanagement- und Meldeanforderungen für bestimmte digitale Einrichtungen – https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj/deu
*Alle übrigen Angaben (Fristen, Schwellenwerte, Mängelkategorien, Phasenmodell, Formulare) folgen dem Schulungspaket „Qualifizierung von Personen zur Prüfkompetenz nach § 39 Absatz 2 BSIG“ (Stand August 2026) sowie den dort zitierten BSI-Dokumenten, insbesondere den „Grundsätzlichen Anforderungen im Nachweisverfahren“ (GAiN) und der Orientierungshilfe zu Nachweisen – https://www.bsi.bund.de/dok/ohnachweise.*