KRITIS Ongoing Compliance: Laufende Pflichten für Betreiber kritischer Infrastrukturen

KRITIS-Betreiber müssen alle zwei Jahre gegenüber dem BSI nachweisen, dass sie angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen getroffen haben. Der Nachweis erfolgt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen, etwa nach ISO 27001 oder BSI IT-Grundschutz. ADVISORI unterstützt bei der Vorbereitung, Durchführung und Nachbereitung dieser Nachweise.

Erhebliche Störungen der IT-Systeme müssen unverzüglich, spätestens innerhalb von 24 Stunden, an das BSI gemeldet werden. Innerhalb von 72 Stunden ist ein detaillierter Bericht erforderlich. Mit NIS2 und dem KRITIS-Dachgesetz kommen zusätzlich Meldepflichten an das BBK für physische Sicherheitsvorfälle hinzu. Wir helfen Ihnen, klare Meldeprozesse zu etablieren und Fristen einzuhalten.

NIS2 erweitert den Kreis der betroffenen Unternehmen erheblich und verschärft die Anforderungen: Geschäftsführer haften persönlich für die Überwachung der Cybersicherheit, die Meldepflichten werden strenger, und es gelten höhere Bußgelder (bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes). Das KRITIS-Dachgesetz ergänzt dies um Anforderungen an die physische Sicherheit und verlangt eine Registrierung beim BBK bis Juli 2026.

Die Erstimplementierung richtet das ISMS, die technischen Schutzmaßnahmen und die Prozesse ein. Laufende Compliance umfasst dagegen die kontinuierliche Überwachung, regelmäßige Risikobewertungen, Anpassung an neue Bedrohungen und regulatorische Änderungen, Schulungen sowie die wiederkehrende Nachweisprüfung alle zwei Jahre. Ohne systematisches Ongoing-Compliance-Management entstehen Lücken, die bei der nächsten Prüfung auffallen.

Verstöße gegen KRITIS-Anforderungen können Bußgelder bis zu 2 Millionen Euro nach dem KRITIS-Dachgesetz nach sich ziehen. Unter NIS2 steigen die Strafen auf bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen. Zusätzlich drohen Reputationsschäden und, bei NIS2, die persönliche Haftung der Geschäftsführung.

Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder BSI IT-Grundschutz bildet das Rückgrat der laufenden KRITIS-Compliance. Es strukturiert Risikobewertungen, dokumentiert Maßnahmen, steuert Vorfallreaktionen und liefert den Rahmen für die §8a-Nachweisprüfung. Die kontinuierliche Pflege und Weiterentwicklung des ISMS ist entscheidend, um mit neuen Bedrohungen und Anforderungen Schritt zu halten.

ADVISORI bietet ein umfassendes Ongoing-Compliance-Paket: kontinuierliches Compliance-Monitoring, regelmäßige Gap-Analysen und Risikobewertungen, Vorbereitung und Begleitung der §8a-Nachweisprüfung, Unterstützung bei Meldepflichten, Schulungen für Mitarbeitende und die Anpassung Ihres ISMS an neue Anforderungen wie NIS2 und das KRITIS-Dachgesetz.

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) verpflichtet KRITIS-Betreiber seit Dezember 2025 zu regelmäßigen Cybersicherheitsschulungen für alle Mitarbeiter. Die Geschäftsleitung muss persönlich an Schulungen zu Risikomanagement und IT-Sicherheit teilnehmen, diese Pflicht ist nicht delegierbar. Zusätzlich fordert, 8a BSIG den Nachweis angemessener organisatorischer Vorkehrungen, zu denen Schulungsprogramme ausdrücklich zählen. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes.

Eine BSI-konforme KRITIS-Schulung umfasst: Erkennung von Phishing und Social Engineering, sicherer Umgang mit Zugangsdaten und Berechtigungen, Meldewege bei Sicherheitsvorfällen (Incident Response), branchenspezifische Bedrohungsszenarien für Ihren KRITIS-Sektor, physische Sicherheit in kritischen Bereichen sowie Grundlagen der NIS2-Compliance. Die Inhalte werden rollenspezifisch aufbereitet, Führungskräfte erhalten andere Schwerpunkte als operative Mitarbeiter oder IT-Fachkräfte.

KRITIS-Betreiber müssen alle zwei Jahre den Nachweis angemessener Sicherheitsvorkehrungen gegenüber dem BSI erbringen. In der Praxis bedeutet das: mindestens jährliche Pflichtschulungen für alle Mitarbeiter, quartalsweise Phishing-Simulationen zur Wirksamkeitskontrolle und anlassbezogene Schulungen bei neuen Bedrohungslagen oder nach Sicherheitsvorfällen. Kontinuierliche Awareness-Kampagnen mit monatlichen Kurzinhalten ergänzen die formalen Schulungen.

Eine KRITIS-Schulung ist ein strukturiertes Trainingsprogramm mit definierten Lernzielen, Teilnahmenachweis und Wissensüberprüfung, sie erfüllt die regulatorischen Anforderungen des BSI und der NIS2-Richtlinie. Eine Awareness-Kampagne ist eine begleitende Maßnahme, die das Sicherheitsbewusstsein im Arbeitsalltag wach hält: durch Poster, kurze Videos, simulierte Phishing-Mails oder interaktive Quizformate. Beide Elemente ergänzen sich und sind für KRITIS-Betreiber gemeinsam erforderlich.

Die Wirksamkeitsmessung erfolgt über mehrere Kennzahlen: Phishing-Simulationsraten (Klickrate vor und nach der Schulung), Ergebnisse von Wissenstests, Anzahl gemeldeter Sicherheitsvorfälle durch Mitarbeiter, durchschnittliche Reaktionszeit bei Incident-Meldungen und Audit-Ergebnisse bei der BSI-Prüfung. ADVISORI liefert ein Reporting-Dashboard mit diesen KPIs, damit Sie den Schulungsfortschritt gegenüber Auditoren und Geschäftsleitung nachweisen können.

Alle acht KRITIS-Sektoren (Energie, Wasser, Ernährung, IT und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung) haben grundlegende Schulungspflichten. Besonders strenge Anforderungen gelten im Gesundheitssektor (Patientensicherheit), im Energiesektor (OT-Sicherheit für Steuerungssysteme) und im Finanzsektor (BaFin-Anforderungen zusätzlich zu BSI). Unsere Schulungsinhalte werden sektorspezifisch angepasst.

Die Einführung eines KRITIS-Schulungsprogramms dauert typischerweise 4 bis 8 Wochen: Bedarfsanalyse und Konzeptentwicklung (1‑2 Wochen), Erstellung rollenspezifischer Inhalte (2‑3 Wochen), Pilotdurchführung und Anpassung (1‑2 Wochen), Rollout und Awareness-Kampagnenstart (1 Woche). Die Kosten richten sich nach Unternehmensgröße, Anzahl der Sektoren und gewünschtem Schulungsformat, kontaktieren Sie uns für ein individuelles Angebot.

Für die laufende Anpassung nennt das Gesetz keine feste Frist, maßgeblich ist, dass die Maßnahmen dem Stand der Technik entsprechen. Der Nachweis gegenüber dem BSI erfolgt im Zwei-Jahres-Rhythmus, wobei sich dieser durch das NIS2-Umsetzungsgesetz derzeit von §8a BSIG auf die neuen §§30 und 31 BSIG verlagert. In der Praxis üblich ist ein jährlicher Überprüfungszyklus, ergänzt um anlassbezogene Anpassungen. Wir verankern beide Ebenen in Ihrem ISMS.

Anlassbezogen wird angepasst bei neuen BSI-Warnungen oder Sicherheitshinweisen zu eingesetzten Produkten, bei eigenen oder branchennahen Sicherheitsvorfällen, bei wesentlichen Änderungen der IT-Architektur, bei neuen regulatorischen Vorgaben wie NIS2 oder dem KRITIS-Dachgesetz sowie bei Erkenntnissen aus Audits und Notfallübungen. Jeder dieser Auslöser sollte einen dokumentierten Prüf- und Entscheidungsschritt anstoßen.

Threat Intelligence ist nur dann wirksam, wenn sie an einen Entscheidungsprozess gekoppelt ist. Wir bewerten eingehende Informationen, BSI-Meldungen, CERT-Bund-Warnungen, sektorspezifische Quellen, nach Relevanz für Ihre konkreten Anlagen und leiten daraus priorisierte Maßnahmen ab. Entscheidend ist die Dokumentation: Welche Meldung führte zu welcher Anpassung? Diese Nachvollziehbarkeit erleichtert den Nachweis gegenüber dem BSI erheblich.