KRITIS Ongoing Compliance

KRITIS-Betreiber müssen alle zwei Jahre gegenüber dem BSI nachweisen, dass sie angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen getroffen haben. Der Nachweis erfolgt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen — etwa nach ISO 27001 oder BSI IT-Grundschutz. ADVISORI unterstützt bei der Vorbereitung, Durchführung und Nachbereitung dieser Nachweise.

Erhebliche Störungen der IT-Systeme müssen unverzüglich, spätestens innerhalb von

24 Stunden, an das BSI gemeldet werden. Innerhalb von

72 Stunden ist ein detaillierter Bericht erforderlich. Mit NIS 2 und dem KRITIS-Dachgesetz kommen zusätzlich Meldepflichten an das BBK für physische Sicherheitsvorfälle hinzu. Wir helfen Ihnen, klare Meldeprozesse zu etablieren und Fristen einzuhalten.

NIS 2 erweitert den Kreis der betroffenen Unternehmen erheblich und verschärft die Anforderungen: Geschäftsführer haften persönlich für die Überwachung der Cybersicherheit, die Meldepflichten werden strenger, und es gelten höhere Bußgelder (bis

10 Mio. Euro oder

2 % des weltweiten Jahresumsatzes). Das KRITIS-Dachgesetz ergänzt dies um Anforderungen an die physische Sicherheit und verlangt eine Registrierung beim BBK bis Juli 2026.

Die Erstimplementierung richtet das ISMS, die technischen Schutzmaßnahmen und die Prozesse ein. Laufende Compliance umfasst dagegen die kontinuierliche Überwachung, regelmäßige Risikobewertungen, Anpassung an neue Bedrohungen und regulatorische Änderungen, Schulungen sowie die wiederkehrende Nachweisprüfung alle zwei Jahre. Ohne systematisches Ongoing-Compliance-Management entstehen Lücken, die bei der nächsten Prüfung auffallen.

Verstöße gegen KRITIS-Anforderungen können Bußgelder bis zu

2 Millionen Euro nach dem KRITIS-Dachgesetz nach sich ziehen. Unter NIS 2 steigen die Strafen auf bis zu

10 Millionen Euro oder

2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen. Zusätzlich drohen Reputationsschäden und — bei NIS 2 — die persönliche Haftung der Geschäftsführung.

Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz bildet das Rückgrat der laufenden KRITIS-Compliance. Es strukturiert Risikobewertungen, dokumentiert Maßnahmen, steuert Vorfallreaktionen und liefert den Rahmen für die §8a-Nachweisprüfung. Die kontinuierliche Pflege und Weiterentwicklung des ISMS ist entscheidend, um mit neuen Bedrohungen und Anforderungen Schritt zu halten.

ADVISORI bietet ein umfassendes Ongoing-Compliance-Paket: kontinuierliches Compliance-Monitoring, regelmäßige Gap-Analysen und Risikobewertungen, Vorbereitung und Begleitung der §8a-Nachweisprüfung, Unterstützung bei Meldepflichten, Schulungen für Mitarbeitende und die Anpassung Ihres ISMS an neue Anforderungen wie NIS 2 und das KRITIS-Dachgesetz.