KRITIS Readiness Assessment: Wie bereit ist Ihre Organisation?

Ein KRITIS Readiness Assessment bewertet systematisch, wie gut Ihre Organisation auf die gesetzlichen Anforderungen zum Schutz kritischer Infrastrukturen vorbereitet ist. Es ist insbesondere dann sinnvoll, wenn Sie erstmals als KRITIS-Betreiber identifiziert wurden, vor einem §8a-Nachweis stehen, das KRITIS-Dachgesetz oder NIS2 neue Anforderungen an Ihre Organisation stellt, oder Sie nach einer Übernahme oder Umstrukturierung Ihren Compliance-Status neu bewerten müssen. ADVISORI prüft dabei technische Maßnahmen, organisatorische Prozesse und Dokumentation gegen BSI-Vorgaben und branchenspezifische Standards.

Das Assessment prüft Ihre Compliance gegen alle relevanten regulatorischen Vorgaben: BSI-Gesetz (§8a BSIG) und IT-Sicherheitsgesetz 2.0, KRITIS-Dachgesetz (CER-Richtlinie), sektorspezifische Anforderungen wie EnWG, DORA oder Telekommunikationsgesetz, branchenspezifische Sicherheitsstandards (B3S), BSI IT-Grundschutz und ISO 27001/27002, sowie die Anforderungen an Systeme zur Angriffserkennung (SzA). Darüber hinaus bewerten wir physische Sicherheitsmaßnahmen, die mit dem KRITIS-Dachgesetz erstmals verbindlich geregelt werden.

Ein Readiness Assessment ist eine vorbereitende Bewertung, die Ihren aktuellen Reifegrad ermittelt und Lücken identifiziert, bevor ein formaler Nachweis fällig wird. Der §8a-Nachweis hingegen ist die gesetzlich vorgeschriebene Prüfung durch qualifizierte Prüfer, deren Ergebnis an das BSI übermittelt wird. Das Readiness Assessment gibt Ihnen die Möglichkeit, Schwachstellen frühzeitig zu beheben und sich gezielt auf den Nachweis vorzubereiten, anstatt bei der Prüfung mit Mängeln konfrontiert zu werden.

Die Dauer hängt von der Größe und Komplexität Ihrer Organisation ab. Für ein einzelnes Werk oder eine überschaubare Infrastruktur rechnen wir mit vier bis sechs Wochen. Bei komplexen Organisationen mit mehreren Standorten, vernetzten OT-Systemen oder mehreren KRITIS-Sektoren kann das Assessment acht bis zwölf Wochen dauern. Wir stimmen Interviewtermine und Dokumentenanfragen eng mit Ihren Teams ab, um den Aufwand für Ihr Tagesgeschäft gering zu halten.

Das KRITIS-Dachgesetz setzt die europäische CER-Richtlinie (2022/2557) in deutsches Recht um und erweitert den Fokus deutlich über IT-Sicherheit hinaus: Physische Sicherheit wie Zugangskontrollen und Sabotageprävention wird erstmals verbindlich geregelt, der Kreis betroffener Sektoren und Betreiber wird ausgeweitet, Risikoanalysen müssen umfassender durchgeführt und dokumentiert werden, und Resilienzpläne einschließlich Wiederherstellungsmaßnahmen werden Pflicht. Bestehende KRITIS-Betreiber müssen ihre Sicherheitskonzepte entsprechend ergänzen.

Ja, wir begleiten Sie durchgängig von der Bewertung bis zur nachgewiesenen Compliance. Nach dem Assessment unterstützen wir bei der Implementierung priorisierter Maßnahmen, der Einführung oder Erweiterung eines ISMS nach ISO 27001, der Entwicklung von Notfall- und Business-Continuity-Konzepten, der Vorbereitung auf §8a-Nachweise und behördliche Prüfungen sowie bei der Schulung Ihrer Mitarbeiter in KRITIS-relevanten Themen.

Ein KRITIS-Notfallkonzept nach BSI-Standard 200‑4 umfasst mehrere Kernbestandteile: eine Business-Impact-Analyse (BIA) zur Identifikation kritischer Geschäftsprozesse, eine Risikoanalyse der relevanten Bedrohungsszenarien, dokumentierte Wiederanlaufpläne mit definierten Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO), Krisenkommunikationspläne für interne und externe Stakeholder sowie ein Übungsprogramm mit regelmäßigen Tests. Der BSI-Standard 200‑4 sieht dabei ein dreistufiges Modell vor: Reaktiv-BCMS, Aufbau-BCMS und Standard-BCMS, sodass Organisationen schrittweise ein vollständiges Business Continuity Management aufbauen können.

Das KRITIS-Dachgesetz sieht folgende Zeitvorgaben vor: Die Registrierung als kritische Anlage muss bis Juli 2026 erfolgen. Anschließend haben Betreiber etwa 9 Monate für die Durchführung einer vollständigen Risikoanalyse und weitere 10 Monate für die Umsetzung der daraus abgeleiteten Maßnahmen, einschließlich der Notfallkonzepte. Die Resilienzpläne müssen regelmäßig aktualisiert und bei wesentlichen Änderungen der Bedrohungslage überarbeitet werden. ADVISORI empfiehlt, frühzeitig mit dem Aufbau zu beginnen, da die Erstellung belastbarer Notfallkonzepte erfahrungsgemäß 6 bis 12 Monate in Anspruch nimmt.

Die Ressourcenplanung im Business Continuity Management geht über die reine Budgetplanung hinaus: Sie erfasst systematisch alle Ressourcen, die für die Aufrechterhaltung kritischer Dienstleistungen im Notfall benötigt werden. Das umfasst Personal mit Schlüsselkompetenzen und deren Vertretungsregelungen, technische Ausweichkapazitäten und Redundanzen, Kommunikationsinfrastruktur für den Krisenstab, Verträge mit Notfalldienstleistern und Lieferanten sowie Lagerbestände kritischer Ersatzteile. Die Herausforderung liegt darin, die richtige Balance zwischen Vorhaltekosten und Wiederherstellungsgeschwindigkeit zu finden. ADVISORI nutzt datengestützte Modelle, um diese Abwägung für jeden KRITIS-Sektor individuell zu optimieren.

Die NIS2-Richtlinie erweitert die Anforderungen an das Notfallmanagement für KRITIS-Betreiber erheblich. Sie fordert unter anderem Maßnahmen zur Bewältigung von Sicherheitsvorfällen (Incident Handling), Business-Continuity-Management einschließlich Backup-Management und Disaster Recovery sowie Krisenmanagement-Verfahren. Zudem verschärft NIS2 die Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden mit einer vollständigen Meldung an das BSI gemeldet werden. ADVISORI integriert die NIS2-Anforderungen nahtlos in bestehende Notfallkonzepte und stellt sicher, dass beide Regelwerke parallel erfüllt werden.

Der BSI-Standard 200‑4 und das KRITIS-Dachgesetz verlangen regelmäßige Überprüfungen und Übungen. In der Praxis bedeutet das: mindestens jährliche Notfallübungen mit verschiedenen Szenarien (Tabletop-Übungen, funktionale Tests und Vollübungen im Wechsel), eine anlassbezogene Überarbeitung bei organisatorischen Veränderungen, neuen Bedrohungen oder nach tatsächlichen Vorfällen sowie eine formale Überprüfung der gesamten Notfalldokumentation mindestens alle zwei Jahre. ADVISORI begleitet die Konzeption und Durchführung von Übungen und unterstützt bei der systematischen Auswertung, damit erkannte Schwachstellen direkt in verbesserte Notfallkonzepte einfließen.