Neue GAiN-Vorgaben und Nachweisprozesse

Von Paul Weissmann am 31. März 2025

Mit aktualisierten GAiN-Vorgaben für KRITIS-Prüfungen vereinfacht das BSI den Nachweisprozess ab April 2025 teils deutlich. Die GAiN-Vorgaben 2.1 legen einige Anforderungen an KRITIS-Prüfungen expliziter fest und vereinfachen dafür den Umfang der Nachweise und Anlagen.

Grundlegende Änderungen an den Nachweisen ab April 2025:

• Der Geltungsbereich (PD.A) muss nur noch bei Erstprüfungen eingereicht werden
• Der Prüfplan (PD.B) muss nicht mehr regulär eingereicht werden
• Die Prüfkompetenz und Nachweise dafür (PS.A) verbleiben bei der prüfenden Stelle
• Neue allgemeine Anforderungen zur Abdeckung aller KRITIS-Themen in Prüfungen, Stichproben, Standorte und Risiko-Management (D.PA.01 bis 05)

Der Umfang der einzureichenden KRITIS-Nachweise und Formulare verringert sich damit deutlich.

Parallel dazu stellt das BSI die Einreichung der Nachweise auf ein Online-Format im MIP um, dem Melde- und Informationsportal. Die Informationen der Formulare KI und P werden nun von Betreibern direkt online im MIP eingetragen und Nachweise hochgeladen. Damit entfällt größtenteils die Einreichtung der einzelnen PDF-Formulare für KRITIS und EnWG.

KRITIS und NIS2 für Prüfer: DIIR

Von Paul Weissmann am 18. März 2025

Die Landschaft von KRITIS-Audits wird sich mit NIS2 deutlich verändern: mehr Sicherheitsmaßnahmen und größerer Scope. Aber: da die neuen Gesetze NIS2-Umsetzung und KRITIS-Dachgesetz noch nicht in Kraft sind, aktuell noch Prüfungen nach alter Regulierung nach §8a BSIG. Darüber haben wir am 17. März bei den Digitalen Tagen des DIIR gesprochen – die Folien sind nun online.

Neben Scope und Cybersecurity-Maßnahmen verändern sich auch die Anforderungen an KRITIS-Prüfungen: formelle GAiN-Vorgaben und RUN-Reifegrade erweitern die Prüfmethodik, die in neuen Schulungen (hoffentlich) bald gelernt werden kann. Viele gute Diskussionen zu Prüfungen in der Übergangszeit und Betroffenheit – die Folien gibt es hier und beim DIIR.

KRITIS in Zahlen – Reifegrade bei Betreibern

Von Paul Weissmann am 18. Februar 2025

Das BSI veröffentlich seit 2024 KRITIS in Zahlen – Auswertungen zu Betreibern, Anlagen und Reifegrade in Deutschland. Die Zahlen zeigen die Bundessicht auf Kritische Infrastrukturen und werden quartalsweise vom BSI aktualisiert mit Reifegraden pro Sektor.

Die Zahlen wurden im Februar aktualisiert zum Stand Dezember 2024: Es gibt neue Betreiber und mehr Reifegrade, aber inhaltlich wenig Änderungen. Ende 2024 gab es 1.132 Betreiber mit 2.095 KRITIS-Anlagen mit nur leicht veränderten Reifegraden im ISMS, BCMS und SzA. In einzelnen Sektoren und Bereichen sind aber viele Werte (Prüfungen) dazugekommen.

Der KRITIS-Sektor Gesundheit ist nach wie vor überall das Schlusslicht (⌀ 2,2 und dreimal Reifegrad 1), aber auch andere Sektoren haben Reifegrade mit Nachholbedarf. Alle Werte im Detail finden sich beim BSI. Mit RUN und weiteren Bereichen wird es ab April 2025 interessant.
Keine Gewähr auf Vollständigkeit oder Korrektheit der Auswertung oben.

NIS2 verspätet sich – und nun? Folien von Webinar

Von Paul Weissmann am 17. Februar 2025

Die NIS2-Umsetzung in Deutschland verspätet sich – irgendwann 2025 anstatt Oktober 2024 tritt das deutsche Gesetz in Kraft. Was bedeutet das für die vielen neuen und alten Betreiber? Gibt es eine Übergangsphase? Im OpenKRITIS-Webinar am 13. Februar haben wir diese Fragen mit knapp 100 Teilnehmern diskutiert. Die Folien vom Webinar sind nun Online.

Reifegrade in der Umsetzung (RUN)

Von Paul Weissmann am 11. Februar 2025

Das BSI definiert seit 2025 mit der Reife- und Umsetzungsgradbewertung (RUN) verbindliche Reifegrade und Maßnahmen für KRITIS-Betreiber. Betreiber sollten sich in der Umsetzung von Cybersecurity daran orientieren, damit Prüfer in KRITIS-Prüfungen den Reifegrad von Managementsystemen und Maßnahmen nach RUN feststellen können.

Es gibt fünf Reifegrade und Umsetzungsgrade für Cybersecurity, die das BSI in den RUN-Vorgaben definiert hat: Managementsysteme (Reife) und Maßnahmen (Umsetzung).

Nr	Reifegrad ISMS, BCMS	Umsetzungsgrad SzA, OrgM, PersM, PhyM, TecM
1	Geplant	Ohne Maßnahmenumsetzung
2	Gesteuert	Einzelmaßnahmen, Teildurchführung
3	Etabliert	Maßnahmen umgesetzt, Prozessdurchführung
4	Messbar	Maßnahmen umgesetzt, plus Messbarkeit
5	Kontinuierlich verbessert	Maßnahmen umgesetzt, plus Verbesserung

Mit RUN hat das BSI zusätzlich Reifegraden einzelne KRITIS-Maßnahmen aus der Konkretisierung der Anforderungen (KdA) und Angriffserkennung (OH SzA) zugeordnet. Das OpenKRITIS Reifegrade-Mapping listet nun erstmalig alle relevanten KRITIS-Anforderungen pro Reifegrad mit den einzelnen Maßnahmen auf – damit wird das Mindestniveau pro Reifegrad vom BSI übersichtlicher.

Konkretisierung der Anforderungen

Von Paul Weissmann am 10. Februar 2025

Der BSI-Katalog Konkretisierung der Anforderungen (KdA) definiert als quasi-Standard für Betreiber Kritischer Infrastrukturen grundlegende Cybersecurity-Anforderungen. Die KdA basiert auf dem C5 Cloud Security Standard und wird von KRITIS-Betreibern und KRITIS-Prüfern genutzt. Das BSI hat 2024 die Anforderungen für Angriffserkennung (SzA) und Reifegrade (RUN) mit der KdA integriert.

Kategorie	Beschreibung	Kontrollen
ISMS	Management-System für Informationssicherheit	21
BCM und Notfall-Management	Business Continuity Management und IT-Notfallmanagement	4
Risiko und Assets	Risiko-Management und Asset-Management	12
KRITIS	KRITIS-Organisation und Meldestelle.	2
Technologie	Technische Maßnahmen IT	36
Angriffserkennung	Systeme zur Angriffserkennung.	13
IAM	Berechtigungen	7
Gebäude	Physische Sicherheit	6
Lieferanten	Externe	2
Angriffserkennung	Logging, Detektion, Reaktion	35

Das OpenKRITIS-Mapping der Konkretisierung der Anforderungen ordnet die 135 KRITIS-Anforderungen aktuellen Cybersecurity-Standards zu und wurde 2025 an die neuen BSI-Vorgaben angepasst:

• Neu NIS2-Anforderungen mit einzelnen Anforderungen aus dem EU NIS2 Implementing Act
• Neu Umsetzungsgrad (RUN): Mindestniveau nach BSI RUN-Vorgaben mit Reifegraden
• ISO/IEC 27001:2022: Informations­sicherheit der ISO 27001 Annex A Kontrollen.
• BSI C5:2020: Aktualisierter BSI Cloud Security Standard mit Neuerungen.

OpenKRITIS Winter School im März 2025

Von Paul Weissmann am 20. Januar 2025

Die OpenKRITIS Winter School 2025 richtet sich mit Kurzworkshops an Verantwortliche für einen Einstieg in die NIS2- und KRITIS-Regulierung. In halbtägigen Seminaren führen wir durch die Regulierung – mit Schwerpunkt auf Interaktion und vielen Fragen aus dem Plenum. Die Workshops in Kleingruppen mit Unternehmen werden online von OpenKRITIS durchgeführt.

ID	Thema	Plätze	Termin
W25.1	NIS2 und KRITIS-Betroffenheit – und nun? Roadmap zu NIS2 für regulierte Einrichtungen mit Erfahrung. In NIS2 und KRITIS sind viele Sektoren, Dienstleistungen, Produkte und Unternehmen betroffen – mit noch mehr Anforderungen. Wir erarbeiten die eigene Betroffenheit und neue Security-Pflichten.	6	25. Februar 2025 9:30-12:30 online
W25.2	Erste Schritte für Einsteiger in NIS2 und KRITISBasic Einführung in NIS2 und KRITIS für Einsteiger ohne Vorkenntnisse. Spezieller Kurs für Unternehmen, die noch keine Vorkenntnisse in NIS2 und KRITIS besitzen. Wir erarbeiten auf der grünen Wiese Grundlagen der Regulierung, Betroffenheit und Pflichten.	6	4. März 2025 9:30-12:30 online
W25.3	NIS2 im Energiesektor: BSI, BNetzA & EnWG Mit NIS2 bleibt mehrfache Regulierung im Energiesektor erhalten. Betreiber von Netzen und Anlagen fallen neben KRITIS und NIS2 unter EnWG und viele neue BNetzA-Sicherheits­kataloge. Was gilt nun wo? Wir besprechen Wege und Lösungen im Energiesektor.	6	14. März 2025 9:30-12:30 online
W25.4	Cloud und IT-Provider in NIS2 und EU Implementing Act Viele IT-Firmen werden mit NIS2 in der EU besonders reguliert. Spezielle Vorgaben und spezielle Betroffenheit für Cloud, Internet und Systemhäuser: EU-Territorialität und EU Implementing Act. Wir beleuchten den Umgang mit Betroffenheit und EU-Vorgaben.	6	25. März 2025 9:30-12:30 online
W25.5	German Critical Infrastructure: KRITIS and NIS2 Introduction to German KRITIS and NIS2 regulation. Regulations and requirements for Critical Infrastructures can be complex for companies with German subsidiaries and clients. We dive into scoping, requirements and practical next steps.	6	1. April 2025 9:30-12:30 online

RUN-Anforderungen für KRITIS-Prüfungen ab 2025

Von Paul Weissmann am 14. Januar 2025

Das BSI hat neue Prüfvorgaben für KRITIS-Prüfungen ab dem 1. April 2025 veröffentlicht. Mit den »RUN«-Vorgaben müssen Reife- und Umsetzungsgrade bei Betreibern erhoben werden. RUN, die Reife- und Umsetzungsgradbewertung im Rahmen der Nachweisprüfung, bringt viele neue und zusätzliche Anforderungen für KRITIS-Prüfer ab 2025.

RUN definiert jeweils fünf Reifegrade und fünf Umsetzungsgrade, um die Reife von Managementsystemen und den Umsetzungsstand von Maßnahmen durch Prüfer bewerten zu lassen:

• Informationssicherheit (ISMS)
• Business Continuity (BCMS)
• Organisatorische Maßnahmen (OrgM)
• Personenbezogene Maßnahmen (PerM)
• Physische Maßnahmen (PhyM)
• Technische Maßnahmen (TecM)
• Angriffserkennung (SzA)

Die Reifegrade von ISMS und BCMS sind detailliert ausdefiniert und dienen zur Orientierung für Prüfer in der Bewertung. Die Umsetzungsgrade von OrgM bis TecM sind allgemeiner formuliert und orientieren sich an der Angrifferkennung (SzA). Zusätzlich ist ein Mapping der Maßnahmen der Konkretisierung der Anforderungen (100-Punkte) auf die Umsetzungsgrade vorhanden.

Die neuen RUN-Vorgaben sind für Prüfungen mit Einreichung ab 1. April 2025 anzuwenden, und bedeuten zusätzliche Schritte in der Vorbereitung und Durchführung von KRITIS-Prüfungen.

NIS2-Umsetzungsgesetz: Letzter Entwurf 2024

Von Hanna Lurz am 19. Dezember 2024

Es gibt einen neuen Referentenentwurf vom NIS2-Umsetzungsgesetz, vom 29. November 2024. Das Gesetz sollte 2024 in Kraft treten, verzögert sich aber sicherlich bis Mitte 2025.

Der November-Entwurf 2024 enhält noch folgende Änderungen:

• Definition kritischer Komponenten wurde von §2 Nr. 23 BSIG-E in die Rechtsverordnung nach §56 (7) verlagert, Angaben zum Einsatz kritischer Komponenten müssen bei der Registrierung gemacht werden §33 (2)
• Die Untersagung des Einsatzes kritischer Komponenten nach §41 wurde inhaltlich stark verändert mit analogen Änderungen in TKG und EnWG
• Die noch offenen KRITIS-Rechtsverordnungen sollen mit Anhörung der betroffenen Wirtschaftsverbände sowie Vertretern der Wissenschaft ausgestaltet werden §56
• Energiesektor: Neue Kategorie von Betreibern digitaler Energiediensten, die analog zu Netz- und Anlagenbetreibern mit IT-Sicherheitskatalog reguliert werden §5c (3)
• Unabhängigeres BSI: Stärkung der fachlichen Unabhängigkeit des BSI §1, jährliche Zielvereinbarung zwischen BMI und BSI, § 58 (3) jährlicher Bericht des BSI an den zuständigen Ausschuss über fachliche Unabhängigkeit und Einzelweisungen.
• Bundes-CISO: Die BSI-Leitung wird Bundes-CISO, operativ unabhängig und weisungsfrei, mit umfassenden Befugnissen zur Umsetzung von Verbesserungsvorschlägen oder zur Abwendung oder Behebung von Sicherheitsvorfällen in der Bundesverwaltung §48
• Neuer Artikel 8 zur Änderung der BSI-Kritisverordnung
• KRITIS-Verordnung: Bisherige Schwellenwerte werden nicht angepasst, kleinere sprachliche Anpassungen in den bestehenden Sektoren
• KRITIS-Verordnung: Aufnahme der digitalen Energiedienste analog zum EnWG
• KRITIS-Verordnung: Versicherungsleistungen werden aus Sektor Finanzwesen herausgenommen und zu einem neuer Sektor umstrukturiert: "Sozialversicherungsträger sowie Grundsicherung für Arbeitssuchende" mit Anlagenkategorien und Schwellenwerten in Anhang 9 (mit den bisherigen Versicherungsleistungen)

KRITIS-Dachgesetz: Neuer Entwurf November 2024

Von Paul Weissmann am 7. November 2024

Vom KRITIS-Dachgesetz, das von Betreiber kritischer Anlagen Maßnahmen zur Resilienz fordern wird, gibt es einen Regierungsentwurf. Seit dem letzten April-Entwurf haben sich im KRITIS-Dachgesetz viele Kleinigkeiten geändert. Das Gesetz sollte 2024 in Kraft treten, verzögert sich sicherlich bis Mitte 2025.

Das KRITIS-Dachgesetz enthält viele sinnvolle Forderung nach Resilienzmaßnahmen, BCM und Krisenmanagement bei Betreibern. Der verabschiedete November-Entwurf mit folgenden Änderungen:

• Die KRITIS-Sektoren wurden ein weiteres Mail umbenannt und umstrukturiert; weitestgehend aber nicht ganz deckungsgleich mit NIS2
• Der Sektor Versicherungen wurde entfernt, nur Sozialversicherungen bleiben übrig
• Die Zuständigkeit von Bundesbehörden wurden (wieder) angepasst
• Teilweise Kürzung der Resilienz-Maßnahmen, u.a. Personalsicherheit
• Änderungen bei Nachweisen und Verfahren: Das BBK prüft nicht nur bei Zweifeln
• Anpassung der Haftungsregeln für Geschäftsleitungen
• Anpassung der Bußgelder (Reduktion auf 500 Tsd.) und weniger Tatbestände
• Eine Menge Formalien und Textanpassungen

Vieles bleibt nach wie vor offen – und muss in Rechtsverordnungen (KRITIS-Verordnung) und Katalogen angepasst werden.

Orientierungshilfe Angriffserkennung 2024

Von Paul Weissmann am 30. Oktober 2024

Die Anforderungen der Orientierungshilfe für Angriffserkennung des BSI wurden im Sommer 2024 in die KRITIS-Anforderungen Konkretisierung der Maßnahmen integriert. Im lange überfälligen Schritt wurden die SzA-Anforderungen für Protokollierung, Detektion und Reaktion an die bestehenden 100 KRITIS-Anforderungen angefügt.

Die 35 Maßnahmen von BSI-101 bis BSI-135 fassen die Anforderungen für Angriffserkennung thematisch in der Konkretisierung für Betreiber und Prüfer zusammen. MUSS und SOLL-Anforderungen sind teilweise getrennt, teilweise zusammen.

ID	Kapitel	Thema	Anforderungen
SZA-A	Kap 1.2	Allgemeine Rahmenbedingungen	5	MUSS
SZA-P	BSI-101 bis BSI-103	Protokollierung und Logging	3 2	MUSS SOLL
SZA-D	BSI-104 bis BSI-116	Detektion und Vorfälle	13 3	MUSS SOLL
SZA-R	BSI-117 bis BSI-135	Reaktion auf Vorfälle	8 15	MUSS SOLL

Inhaltlich hat sich in der Angriffserkennung zwischen Orientierungshilfe von 2022 und der Konkretisierung der Maßnahmen von 2024 nicht viel geändert:

• Struktur angepasst, Nummerierung mit eigenen IDs (101 bis 135)
• Grundschutz-Referenzen einzeln zugeordnet, teilweise C5 (2016) Referenzen
• Themen sind leider teilweise sehr umfassend gebündelt (vor allem Protokollierung)
• MUSS/SOLL-Anforderungen teils sehr vermischt, SOLL-Anforderungen teils auch einzeln
• Kein Hinweis auf Reifegrad-Einstufung

Das OpenKRITIS-Mapping der Orientierungshilfe SzA zu C5 und ISO 27001 ordnet den einzelnen Anforderungen relevante Kontrollen für Angriffsserkennung der C5 und ISO-Standards zu.

Finaler Implementing Act Internet und IT

Von Hanna Lurz am 24. Oktober 2024

Für Internet und IT-Provider gibt es zwei verpflichtende Implementing Acts der EU, die Vorfallsmeldungen und Sicherheitsmaßnahmen aus EU NIS2 konkretisieren. Beide wurden im Oktober final veröffentlicht – der Annex konkretisiert für Internet-Provider in vielen Controls die Cybersecurity-Maßnahmen aus NIS2 Art. 21 bzw. §30 und hat Vorrang vor diesen.

Das NIS2 Implementing Act Mapping ordnet die einzelnen Kontrollen ISO 27001 und C5 zu. Im Abgleich zum Entwurf von Juli 2024 haben sich im Oktober einige Änderungen ergeben:

• Sehr wenig materielle und inhaltliche Änderungen: Die Sicherheitsanforderungen sind größtenteils erhalten geblieben, die Zuordnungen zu C5 und ISO 27001 ebenfalls
• Leichte Kürzungen einzelner Unterpunkte: Risk Owner wurden entfernt, Detail-Zuständigkeiten vom Management etwas geschärft
• Mehr Ermessensspielraum in der Umsetzung durch Einfügen von where appropriate bei vielen Einzelkontrollen und bestimmten Technologien
• Einige Querverweise zwischen den Anforderungen wurden aufgenommen
• Konkretisierungen von Begriffen wie Data und Information und von Review-Zyklen
• Formelle Anpassungen und leichte Änderung der Struktur und Nummerierung

Der Implementing Act ist weiterhin eine hilfreiche Schablone zur Konkretisierung von NIS2-Maßnahmen, auch wenn die Anforderungen normativ nur für bestimmte Provider verbindlich ist.

Schulung Prüfverfahrenskompetenz Community Draft

Von Paul Weissmann am 22. Oktober 2024

Das BSI hat die neue Schulung für KRITIS-Prüfer zur §8a (1) Prüfverfahrenskompetenz als Community Draft vorgestellt. Die Schulung für KRITIS-Prüfer wurde nach den Erfahrungen der letzten Jahre neu konzipiert, um die Qualität der Prüfungen und Nachweise zu erhöhen. Die Prüfung umfasst im aktuellen Draft für KRITIS-Anlagen und Betreiber Kritischer Anlagen:

• Grundlagen Kritischer Infrastrukturen
• Prüfvorgehen und Planung
• Grundlagenprüfung, Angemessenheits- und Wirksamkeitsprüfung
• Berichtswesen, Mängel

Das BSI sammelt zum Community Draft der Schulungsunterlagen (PDF, 301 Folien) und Schulungsleitfaden (PDF, 126 Seiten) Feedback. Weitere Entscheidungen zum weiteren Vorgehen müssen noch getroffen werden, wie Übergangsfristen, Anpassung weiterer Dokumente, Personenzertifizierung, neue NIS2-Aspekte).

Webseite des BSI mit Informationen und Unterlagen:
Weiterentwicklung der Prüfverfahrenskompetenz nach § 8a Absatz 3 BSIG