KRITIS – auf den zweiten Blick

Das OpenKRITIS-Prüferforum 2027

Von Paul Weissmann am 9. September 2026

Das OpenKRITIS-Prüferforum 2027 für Prüfungen und Nachweise in NIS2 und KRITIS-Dachgesetz. Das Prüferforum findet am 18. März 2027 im Rheinland statt. Mit den neuen Gesetzen und vielen Änderungen in der Regulatorik gibt es viel zu prüfen und viele Neuerungen aus der prüferischen Praxis.

Zielgruppe sind Prüfer und Verantwortliche rund um Prüfungen von NIS2 und KRITIS-Dachgesetz, die sich über Erfahrungen und neue Ansätze für NIS2 & co. austauschen wollen. Prüfer und Behörden diskutieren aktuelle Themen rund um NIS2- und KRITIS-Prüfungen. Es gibt einen Call for Papers für Beiträge – spannende Vorträge sind in Arbeit, die Agenda wird im Spätherbst finalisiert.

Das OpenKRITIS-Prüferforum 2027 findet am 18. März 2027 ganztägig in Siegburg (Bonn) statt. Konferenzort ist das KSI in Siegburg, die Voranmeldung ist eröffnet.

Prüfkompetenz nach §39 BSIG

Von Paul Weissmann am 31. August 2026

Das Schulungskonzept des BSIs für KRITIS-Auditoren nach §39 BSIG wurde im August 2026 nach langer Überarbeitung publiziert. Das Konzept beinhaltet ein strukturiertes Vorgehen für KRITIS-Prüfungen unter NIS2 und dient mit Folien, Curriculum und Leitfaden der Schulung angehender KRITIS-Prüfenden nach § 39 BSIG.

Die nun – nach dem Community Draft von 2025 – bereitgestellten Unterlagen des BSI sollen es Schulungsanbietern und anderen interessierten Parteien ermöglichen, Schulungen für KRITIS-Prüfungen nach § 39 BSIG durchzuführen. Die anschließende Personenzertifizierung zur Anerkennung von Auditoren führt das BSI durch. Damit kann es hoffentlich bald neue Schulungen geben!

Qualifizierung von Personen zur Prüfkompetenz nach §39 BSIG

Schulungsfolien für die Durchführung der Schulung, Phasenmodell.
BSI ∙ PDF ∙ 333 Folien ∙ 31. August 2026

Curriculum zum Schulungskonzept KRITIS-Auditor

Rahmenbedingungen, Zeitplanung, Dauer und Struktur, Modulplan.
BSI ∙ PDF ∙ 5 Seiten ∙ 31. August 2026

Schulungsleitfaden zur Prüfkompetenz nach §39 BSIG

Leitfaden mit Hintergründen und Methodik der Schulung, zu den Folien.
BSI ∙ PDF ∙ 122 Seiten ∙ 31. August 2026

Selbsterklärung der Schulungsanbieter

Erklärung für Schulungsanbieter gegenüber dem BSI
BSI ∙ PDF ∙ 3 Folien ∙ 31. August 2026

Digital Sovereignty in France

Von Sandrine Neugart am 28. August 2026

French policymakers have long championed digital strategic autonomy. Long persuasive though vague, since 2026, the strategic intent has been crystallizing into first institutional structures – the Avant-Garde Initiatives. French public and private entities face new governmental frameworks to assess their dependencies, as well as regulations to comply with.

European capitals have been wary of strategic digital dependencies on the US ever since the Snowden revelations in 2013. With the return of an US administration willing to coerce Europe through its dependencies on America’s monopolistic, frontier technologies, concerns have multiplied.

With the new Digital Sovereignty Observatory (DSO) France established a dedicated structure to regularly survey public and private sector organizations and publish comprehensive statistics on critical dependencies across cloud, AI, data infrastructure, and software. Beyond that, the new entity, which sits under the Haut-commissariat à la Stratégie et au Plan, is mandated to provide decision-support tools for public and private procurement and to inform policy direction on digital sovereignty.

On the basis of the new Digital Resilience Index (IRN), a private-sector initiative, companies can be audited on their dependencies across eight dimensions: software, data, infrastructure, tech assets, internal skills, governance, shock resistance, and supply chain/extraterritorial exposure. Methodologically, it combines four quantitative independence metrics (national/European/extra-European scale) with qualitative review of contracts, suppliers, data localization, and vendor diversification.

France’s 2026 advances show a once-abstract ideological notion becoming concrete, pragmatic, and operational. This turn toward realism has given operators solid frameworks and useful tools, though initiatives remain mainly in a diagnostic phase. Overarching strategies and subsequent measures have yet to unfold, both nationally and at EU level, as they may increasingly intersect with cyber regulation.

Pas si vite. Quelle ironie: Although the self-styled architect of European digital and infrastructural sovereignty, Paris is one of the last countries lagging behind in operationalizing it. As France has not transposed the EU's NIS2 directive into national law via the loi résilience, the European Commission referred it to the Court of Justice of the EU on 8 July 2026.

OpenKRITIS Winter School 2026-2027

Von Paul Weissmann am 28. August 2026

Das OpenKRITIS-Schulungsprogramm im Winter 2026 – erstmalig auch in Nord- und Ostdeutschland: Sicherheit und Resilienz für regulierte Einrichtungen in der OpenKRITIS Winter School.

Die Winter School mit intensiven Kurzworkshops richtet sich an Verantwortliche bei regulierten Einrichtungen für NIS2, KRITIS und EnWG, die eine Einordnung und Erfahrungen in der Umsetzung von ISMS und BCMS suchen. In Kleingruppen von regulierten Unternehmen liegt der Schwerpunkt auf Interaktion und vielen Fragen aus dem Plenum.

Drohnen und KRITIS

Von Sandrine Neugart am 26. August 2026

Drohnen werden zu einem zunehmenden Sicherheitsrisiko – auch für Kritische Infrastrukturen. Bislang finden sie jedoch weder in der deutschen noch in der EU-Regulierung ausreichend Berücksichtigung. Es gibt am Markt zwar Lösungsansätze – was fehlt, ist der staatliche Rahmen: In der deutschen und EU-Regulierung gibt es keine klaren Fähigkeiten und Zuständigkeiten für Drohnen.

Praktisch erweisen sich die Sicherheitsvorkehrungen kritischer Anlagen gegenüber Drohnen oft als ausbaufähig. Maßnahmen wie Personenkontrolle, Videoüberwachung und die Platzierung sensibler Anlagenteile sind auf horizontale, nicht vertikale Bedrohungen aus der Luft ausgerichtet. Es bedarf daher einer Erweiterung des Schutzkonzepts: Prävention, Detektion, Bewertung und Reaktion.

An praktischen Lösungen mangelt es seitens des Marktes nicht: Zahlreiche neue Systeme zur Drohnendetektion sind verfügbar. Was fehlt, ist verbindliche staatliche Regulatorik, welche Fähigkeiten private Akteure überhaupt rechtssicher einsetzen dürfen, wo die Grenze zwischen Detektion und Abwehr liegt, und wie Verantwortung und Risiken zwischen Bund, Ländern und Betreibern aufgeteilt sind.

Seit Sommer 2026 gibt es mit den EU-CER-Guidelines erste Orientierung für Drohnen – in der Sektion C, Physical Protection Measures, finden Betreiber kritischer Einrichtungen Lösungsansätze.

Die OpenKRITIS-Konferenz 2026

Von Paul Weissmann am 11. August 2026

Unsere Konferenz für Kritische Infrastrukturen im Herbst 2026 – mit spannenden Vorträgen und Speakern auf der finalen Agenda. Im September 2026 findet die zweite OpenKRITIS-Konferenz für Betreiber und regulierte Unternehmen statt – im Rheinland. Ein Forum zum Austausch von Betreibern und Behörden über Erfahrungen in der Umsetzung von NIS2 und KRITIS.

1. Konferenz-Programm (PDF)

Die OpenKRITIS-Konferenz findet am 28. September 2026 ganztägig in Siegburg (Bonn) statt und richtet sich an regulierte Unternehmen und Behörden. Mit Raum für Networking und Impulsen für die eigene Arbeit in Kritischen Infrastrukturen. Konferenzort ist Siegburg, es gibt noch wenige Tickets.

Änderungen am BSIG und KRITIS-Dachgesetz

Von Paul Weissmann am 29. Juli 2026

Das BSI-Gesetz und KRITIS-Dachgesetz wurden im Juli 2026 im Zuge anderer Gesetzesänderungen angepasst, vor allem in Kleinigkeiten und Formalien. Im Bundesgesetzblatt, BGBl. Nr. 221 2026.

Änderungen am BSIG (NIS2) im Juli 2026:

• Anpassungen Definitionen, u.a. kritische Komponenten (korrekte Verweise §56)
• Leichte Anpassungen Registrierung §33, Korrektur der Aktualisierungen (Versorgungskennzahl)
  bis zum Inkrafttreten der neuen KRITIS-Verordnung gelten weiterhin die alten § 33 (2) und (5)
• Redaktionelles

Änderungen am KRITIS-Dachgesetz im Juli 2026:

• Anpassung von Definitionen in §2, Begriff der Anlagen und Präzisierung von IT und Software
• Anpassung der Registrierung in §8 mit (neu) Anlagenname und Verweisen
• Frist für die Registrierung nach §8 ist drei Monate, Wegfall 17. Juli 2026
• Festlegung Registrierungsverfahren vier Wochen nach Inkrafttreten KRITIS-Verordnung
• Vorlagen für Resilienzpläne durch das BBK nun acht Monate nach Inkrafttreten KRITIS-Verordnung

Also keine wesentlichen Änderungen, sondern eher ein Aufräumen und realistische Anpassung der teils schon verstrichenden Fristen zur Registrierung kritischer Anlagen und anderer Vorgaben.

EU CADA und digitale Souveränität

Von Paul Weissmann am 21. Juli 2026

Digitale Souveränität und Cloud-Nutzung in Kritischen Infrastrukturen: Der EU Cloud and AI Development Act (CADA) und NIS2. Anfang Juni hat die EU-Kommission mit dem Cloud and AI Development Act (CADA) einen Entwurf vorgelegt, der ein vierstufiges System europäischer Souveränitätsanforderungen für Cloud-Dienste vorsieht:

• Level 1: EU-Niederlassung, Daten in der EU und Sicherheitsanforderungen
• Level 2: Vorgaben zu Drittstaatenzugriffen, Support, Personal und Lieferketten
• Level 3: Starke EU-Kontrolle und Ausschluss bestimmter Drittstaaten
• Level 4: Hohe Anforderungen bis zur Kontrolle zentraler Software

Noch ist offen, welche Kriterien das Gesetzgebungsverfahren überstehen. Bis zur Verabschiedung, Umsetzung und möglichen nationalen Verpflichtungen dürfte es ein mehrjähriger und komplexer Prozess werden. Die neuen Maßstäbe könnten vor Inkrafttreten Beschaffungen beeinflussen.

Denn öffentliche Auftraggeber, Aufsichtsbehörden und Konzerne könnten die Assurance Levels bereits vor einer verbindlichen Anwendung als Referenz heranziehen. Betreiber und NIS2-Einrichtungen müssten dann womöglich erklären können, warum ein bestimmtes Cloud-Modell für sensible Daten, wesentliche Prozesse und Ausfallrisiken angemessen ist.

Der Gastbetrag von Jakob Nischan ordnet CADA, den BSI-Kriterienkatalog C3A und die möglichen Folgen für regulierte Organisationen ein.

CER Guidelines C/2026/3712

Von Paul Weissmann am 19. Juli 2026

Die CER Guidelines C/2026/3712 der Europäischen Kommission konkretisieren die Vorgaben der EU CER-Richtlinie für Resilience und Sicherheit bei Betreiber, die nach dem KRITIS-Dachgesetz-reguliert sind. Die CER Guidelines sind unverbindlich und enthalten sieben Domains mit Empfehlungen für Themen von Resilienz bis personeller Sicherheit.

Das OpenKRITIS Mapping der CER Guidelines gleich die 94 Anforderungen mit verschiedenen Standards und Vorgaben ab – ohne Anspruch auf Vollständigkeit: ISO 27001 und ISO 22301 für Informationssicherheit und Resilienz, das KRITIS-Dachgesetz mit den originalen CER-Vorgaben sowie als Vergleich die deutsche NIS2-Umsetzung im BSIG – mit guter Abdeckung.

Die CER Guidelines C/2026/3712 sind eine Empfehlung der Europäischen Kommission, mandatiert durch EU CER [to] further specify the technical, security and organisational measures that may be taken by critical entities. Als Konkretisierung der teils sehr verkürzten Vorgaben aus CER und dem KRITIS-Dachgesetz sind die Guidelines tatsächlich sehr hilfreich für die Umsetzung bei Betreibern.

Die Schweiz und NIS2

Von Sandrine Neugart am 16. Juli 2026

Die Schweiz ist an die Cyber-Anforderungen aus der EU-NIS2-Richtlinie nicht gebunden. Und dennoch: Trotz traditioneller regulatorischer Eigenständigkeit nähert sich die Schweiz den EU-Standards zunehmend an. Dies dürfte vor allem zwei Treiber haben.

Zum einen drängt die zunehmende Bedrohungslage die Schweiz zur Revision der Cyber-Regulierung und zu engerer Zusammenarbeit mit der EU. Zum anderen, und vermutlich entscheidender, ist es schlicht die Marktrealität: Wer 70% seiner Importe aus der EU bezieht und die Hälfte seiner Exporte dorthin verkauft, kann sich einen regulatorischen Alleingang kaum leisten.

Diese EU-Regulatorik bleibt für die Schweiz nicht folgenlos:

• Nationalen NIS2-Umsetzungsgesetze betreffen Tochtergesellschaften Schweizer Unternehmen.
• Schweizer Unternehmen der digitalen Infrastruktur fallen teils direkt unter NIS2 (Territorialität)
• NIS2 über die Lieferkette von EU-Unternehmen zu ihren Schweizer Dienstleistern.

Da die EU der grösste Handelspartner der Schweiz ist, übernehmen Schweizer Unternehmen oft aus Eigeninteresse an reibungsloser wirtschaftlicher Zusammenarbeit und einem einheitlichen Compliance-Modell ähnliche Standards wie ihre EU-Kunden – unabhängig von einer rechtlichen Pflicht. De facto werden also bereits Teile der Schweizer Wirtschaft passiv an EU-Vorgaben gebunden.

Es fällt auf, dass es im Cyber- und Resilienzbereich bislang vor allem der wirtschaftliche – und weniger der sicherheitspolitische – Integrationswille ist, der regulatorische Eigenständigkeit und Neutralität der Schweiz zunehmend überwindet und sie in die europäische Sicherheitsarchitektur einbindet.

OpenKRITIS-Kataloge Energie, KRITIS & Cloud

Von Paul Weissmann am 13. Juli 2026

Die OpenKRITIS-Kataloge O-Kat mit Vorgaben aus NIS2 und KRITIS für Cybersecurity und Resilienz. Gesamthafte Übersichten im O-Kat Energie für den Energiesektor, O-Kat Cloud für Cloud und MSP sowie O-Kat KRITIS für Betreiber kritischer Anlagen. Die Kataloge ersetzen nicht (kommende) formelle Regulierung sondern dienen als Gesamtübersicht für NIS2 in der Vorbereitung.

Die Kataloge enthalten jeweils etwa 50 Sicherheitsmaßnahmen und Pflichten aus dem BSIG NS und dem KRITIS-Dachgesetz DG sowie der NIS2-Durchführungsverordnung DVO. Durch das EnWG gibt es Ausnahmen und Abweichungen. Die Maßnahmen sind in die folgenden Gruppiert sortiert:

• REG Registrierung BSI und Kontaktstellen
• GOV Geschäftsleitung, Scope und Schulungen
• RM Risikomanagement, Assets, Analysen und Zonen
• ISMS ISO 27001 Managementsystem und Steuerung
• BCM Kontinuität, Krisen und Wiederherstellung
• NOT Meldungen und Störungen
• IT Sicherheit in der IT nach der DVO-EU, OT und ISO 27019
• HR Personalsicherheit und Schulungen
• PHY Perimeter, physische Sicherheit, Zugang
• PRO Einkauf und Lieferkette
• AUD Nachweise, Prüfungen und Zertifizierungen

Die OpenKRITIS-Kataloge O-Kat Energie sowie O-Kat Cloud und O-Kat KRITIS dienen zur Vorbereitung, für Analysen und Assessments bei Betreibern. Grundlage ist (auch) die NIS2-Durchführungsverordnung (EU) 2024/2690, die eine sinnvolle Abdeckung der NIS2-Anforderungen bietet, auch wenn sie formell nur im Sektor Digitale Infrastruktur verbindlich ist – für Energie und KRITIS als Übersicht.

Technische Sicherheit in NIS2

Von Paul Weissmann am 7. Juli 2026

EU NIS2 fordert von regulierten Unternehmen basierend auf dem eigenen Risikomanagement umfangreiche Maßnahmen für einen sicheren Betrieb in der IT und OT. Die notwendigen Maßnahmen zur Gewährleistung der IT- und OT-Sicherheit umfassen weite Teile der aktuellen Cybersecurity-Landschaft an Prozessen und Technologien.

NIS2 fordert von Einrichtungen umfangreiche IT- und OT-Sicherheit im Betrieb. Die Ausarbeitung führt Sicherheitsmaßnahmen anhand der NIS2-Anforderungen für Einrichtungen, zusätzlich dem KRITIS-Dachgesetz für Betreiber sowie der alten KRITIS-Anforderungen von RUN-KdA aus. Als Orientierung sind unten die Anforderungen der Durchführungsverordnung DVO (EU) aufgelistet.

Fünf Jahre OpenKRITIS und Gemeinnützigkeit

Von Paul Weissmann am 1. Juli 2026

Fünf Jahre OpenKRITIS. Ursprünglich als Hobby neben der Gründung einer eigenen Firma begonnen, hat OpenKRITIS einen langen Weg hinter sich – und einen eigenen Weg voraus. Noch zu Zeiten des IT-Sicherheitgesetz 2.0 in der Pandemie gestartet, gab es da schon Dutzende Referentenentwürfe mit Kontroversen und viel Redebedarf zur KRITIS-Regulierung (UNBÖFI anyone?).

Begonnen als Rahmen für Analysen, Strukturierungen und Ausarbeitungen von uns, haben wir es in den Folgejahren mit viel Arbeit geschafft, aus OpenKRITIS eine eigene Plattform zur Informationsvermittlung zu machen. Fünf Jahre und unzählige Besucher später ist OpenKRITIS nun eine eigene Person geworden: die OpenKRITIS gemeinnützige GmbH in Köln.

Nebem dem Kern der Webseite mittlerweile mit Webinaren, Schulungen, einer eigenen Konferenz, Betreiberforum und viel pro-Bono Beratung im Hintergrund. Es geht (weiter) um die Förderung der Wissenschaft, Forschung und Bildung. Und den Schutz Kritischer Infrastrukturen.

Danke an alle Menschen, die bei dem Weg bisher dabei waren!