KRITIS-Beratung

Q: Wie oft müssen wir Nachweise erbringen?

Alle drei Jahre. Nach § 39 BSIG ist der erste Nachweis frühestens drei Jahre nach dem Zeitpunkt fällig, zu dem Sie erstmals als Betreiber einer kritischen Anlage gelten, danach im Dreijahresrhythmus. Für Betreiber, die es bereits vor dem 6. Dezember 2025 waren, legt das BSI den ersten Termin gesondert fest.

Q: Womit weisen wir die Umsetzung nach?

Über die Nachweisdokumente des BSI: Formular KI mit den Angaben zur kritischen An-lage und Formular P mit den Angaben zur Prüfung, jeweils nach § 39 Abs. 1 BSIG, nebst Anlagen. Die prüfende Stelle muss zusätzliche Prüfverfahrenskompetenz nachweisen.

Q: Was ist ein B3S, und brauchen wir einen?

Ein branchenspezifischer Sicherheitsstandard konkretisiert die Anforderungen für einen Sektor. Nach § 30 Abs. 8 BSIG können besonders wichtige Einrichtungen und ihre Branchenverbände solche Standards vorschlagen; das BSI stellt die Eignung auf Antrag fest. Ein B3S ist eine Möglichkeit, kein Muss.

Q: Dürfen Sie beurteilen, ob wir betroffen sind?

Wir ordnen Sektor, kritische Dienstleistung und Versorgungsgrad ein und prüfen die Schwellenwerte, das ist fachliche Bewertung, keine Rechtsberatung. Fragen zu Unternehmenskonstrukten, Haftungsregelungen oder zur rechtlichen Auslegung im Einzelfall gehören zu einer Anwältin oder einem Anwalt.

Sicherheit und Compliance für kritische Infrastrukturen nach dem aktuellen BSIG

Betreiben Sie kritische Dienstleistungen? Dann unterliegen Sie den verschärften Anforderungen der NIS2-Umsetzung und des BSIG.

Die Einhaltung der Regulierung ist nicht nur Pflicht – sie ist entscheidend für Ihre Zulassung als Dienstleister, Ihre Marktstellung und die Vermeidung von Bußgeldern.

Wir unterstützen Sie dabei, alle gesetzlichen Anforderungen effizient umzusetzen und gegenüber Behörden und Prüfern sicher nachzuweisen.

Gehören Sie zu den betroffenen Einrichtungen?

Betroffen sind Unternehmen aus Sektoren wie:

Energie (Strom, Gas, Mineralöl)
Wasser (Trinkwasserversorgung, Abwasserentsorgung)
Ernährung (Lebensmittelproduktion und -handel)
Gesundheit (medizinische Versorgung, Labore, Pharma)
Informationstechnik und Telekommunikation
Finanz- und Versicherungswesen
Transport und Verkehr
Siedlungsabfallentsorgung
Weltrauminfrastruktur

Entscheidend ist, ob Sie definierte Schwellenwerte überschreiten und kritische Dienstleistungen erbringen. Wir helfen Ihnen, Ihre Betroffenheit schnell und zuverlässig zu bewerten.

Ihre Pflichten als KRITIS-Betreiber nach BSIG

Als Betreiber kritischer Infrastrukturen sind Sie dazu verpflichtet, angemessene technische und organisatorische Maßnahmen (ToMs) zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit Ihrer informationstechnischen Systeme, Komponenten und Prozesse umzusetzen.
Zusätzlich gilt:

Sie müssen die Umsetzung dieser Maßnahmen mindestens alle zwei Jahre nachweisen.
Der Nachweis erfolgt gegenüber dem BSI über definierte Dokumente (z. B. Formular KI, Formular P).
Die Meldepflichten des BSIG einhalten.

Unsere KRITIS-Beratung: strukturiert zur erfolgreichen Prüfung

Wir begleiten Sie von der ersten Analyse bis zum erfolgreichen Nachweis:

Betroffenheitsanalyse im Sinne des aktuellen BSIG (inkl. NIS-2-Kontext)
Schwellenwertprüfung und Einordnung als besonders wichtige oder wichtige Einrichtung
Gap-Analyse gegenüber BSIG, BSI-KritisV und branchenspezifischen Sicherheitsstandards (B3S)
Aufbau oder Optimierung eines ISMS (ISO 27001, IT-Grundschutz) als Basis für die Nachweispflichten
Risikoanalysen und Schutzbedarfsfeststellungen
Umsetzung der erforderlichen technischen und organisatorischen Maßnahmen
Vorbereitung auf die KRITIS-Prüfung inklusive Dokumentation für das BSI
Begleitung durch den gesamten Nachweisprozess gemäß BSIG

Unser Fokus: eine pragmatische, auditfähige Umsetzung, die sowohl regulatorisch sauber als auch operativ tragfähig ist.

Typische Handlungsfelder im KRITIS-Umfeld

Wir unterstützen Sie gezielt in zentralen Sicherheitsbereichen:

Governance und Sicherheitsorganisation
Risikomanagement und Notfallmanagement
Detektion und Behandlung von Sicherheitsvorfällen
Absicherung von IT- und OT-Systemen
Dienstleister- und Lieferkettenmanagement
Security Awareness und Schulung Ihrer Mitarbeitenden
Dokumentation und Reporting für Behörden

Warum abat?

Mit abat setzen Sie auf fundierte Erfahrung im KRITIS-Umfeld:

ISO-27001-Auditoren
Nachgewiesene zusätzliche Prüfverfahrenskompetenz gemäß BSIG
Langjährige Erfahrung in regulierten und KRITIS-nahen Branchen
Praxisorientierter Ansatz mit Fokus auf Auditfähigkeit und Effizienz

Wir kennen die Anforderungen des BSI, der Prüfstellen und der aktuellen Gesetzgebung – und wissen, wie Sie diese sicher erfüllen.

Jetzt starten

Klären Sie schnell und zuverlässig, ob und in welchem Umfang Ihr Unternehmen unter das aktuelle BSIG und die KRITIS-Regulierung fällt – und setzen Sie die Anforderungen effizient um.

FAQs

Sind wir Betreiber einer kritischen Anlage?

Entscheidend sind zwei Fragen: Erbringen Sie eine kritische Dienstleistung in einem der geregelten Sektoren, und überschreiten Sie die Schwellenwerte der KRITIS-Verordnung? Die Einordnung nehmen wir gemeinsam mit Ihnen vor, Sektorzugehörigkeit, kritische Dienstleistung und Versorgungsgrad prüfen wir dabei getrennt.

Wie oft müssen wir Nachweise erbringen?

Womit weisen wir die Umsetzung nach?

Was ist ein B3S, und brauchen wir einen?

Dürfen Sie beurteilen, ob wir betroffen sind?

TISAX^® ist eine eingetragene Marke der ENX Association. Mit der Nennung der Marke TISAX^® ist keine Aussage des Markeninhabers zur Geeignetheit der hier beworbenen Leistungen verbunden. Die ausschließliche inhaltliche Verantwortung für die Webseite und die hier vorgestellten Leistungen liegen bei abat.

Unsere Kunden im Bereich protect

Unser Podcast ISMS X-Plain

Die neue ISA 2027: Was sich für TISAX ändert

Was bringt die neue ISA 2027 der ENX Association? Neue Controls kommen nicht dazu – dafür wird der Katalog verbindlicher: Aus Beispielen in Klammern werden eigenständige Anforderungen. In dieser Folge von ISMS X-Plain ordnen Alena und Nick die wichtigsten Neuerungen ein: jährlicher Release im Sommer, überarbeitete Prototypenschutz-Labels und eine risikobasierte Steuerung der Lieferanten. Dazu: ab…

jetzt anhören

Übersicht aller Folgen

Unser Expert*innenwissen

Podcast:

Die neue ISA 2027: Was sich für TISAX ändert

mehr

Blog:

Supply Chain Angriffe auf SAP: Wie Sie Ihre Entwicklungs-Pipelines vor „Mini Shai-Hulud“ schützen

Vier offizielle SAP NPM-Pakete wurden kompromittiert und der Schadcode lief bereits beim npm install, noch bevor Entwickler*innen eine eigene Zeile Code schrieben. Die Kampagne „Mini Shai-Hulud" zeigt, wie raffiniert Supply Chain Angriffe auf…

mehr

Überblick Expert*innenwissen

Norma

Studentin

abat ist für mich als Studentin die Möglichkeit, in einem sympathischen Team einen ersten Einblick ins Berufsleben zu erhalten.

Saskia

ISMS Consultant
Bremen

abat ist für mich: Spaß, spannende Projekte - tolle Kunden und Kollegen gepackt in eine respektvolle und vertrauensvolle Atmosphäre mit viel Platz zur stetigen Weiterentwicklung!

Nick

ISMS Consultant

Eine nahtlose Einbindung in das bestehende Kundengeschäft verbunden mit einer offenen Feedback-Kultur: Fruchtbarer Boden für meine Entwicklung. Nicht nur fachlich, sondern auch persönlich.

Natascha

ISMS Consultant
Bremen

abat bedeutet für mich: Freiraum bei allen Aufgaben, dazu eine harmonische, konstruktive Zusammenarbeit im Team und hervorragende Weiterbildungsmöglichkeiten.