Anforderungen an KRITIS-Prüfungen (GAiN)
Das BSI hat 2023 verbindliche Anforderungen für KRITIS-Prüfungen veröffentlicht. Die Grundsätzlichen Anforderungen im Nachweisverfahren (GAiN) basieren auf §8a (5) BSIG und definieren BSI-Vorgaben für KRITIS-Prüfungen nun normativ. Erwartungen und Parameter für Prüfungen werden damit klarer und vor allem gesetzlich verbindlich – und ist größtenteils durch die KRITIS-Prüfer umzusetzen.
Die Anforderungen bestimmen verbindliche Vorgaben zur Durchführung der Prüfung (D), zu einzureichenden Nachweisen (N) und zu prüfenden Stellen (P). Die Vorgaben sind teilweise neu und machen bestehende BSI-Dokumente und Orientierungshilfen für Prüfungen verbindlich. Einige Anforderungen waren ab 2023 gültig, andere müssen ab 2024 umgesetzt werden.
| Bereich | Anforderung | Frist | ID |
|---|---|---|---|
| Prüfung | Vier-Augen-Prinzip: Vorgehen und Dokumentation | 2024 | D.4A.01, D.4A.02 |
| Vorige Prüfungen und alte Mängel | 2023 | D.AM.01, N.AM.01 N.AM.02, N.AM.03 |
|
| Prüfung alte Mängel und aktueller Umsetzungsplan | 2024 | D.AM.02, D.AM.03 D.PE.12 |
|
| Prüfende Stellen | Unabhängigkeit und objektives Vorgehen | 2023 | P.UP.01, P.UP.02 |
| Nachweis Unabhängigkeit Prüfteam | 2023 | N.UP.01 | |
| Interne Revisionen | 2023 | P.IR.01, N.IR.01 | |
| Berichtswesen | Prüfbericht als eigenes Dokument mit vielen Vorgaben | 2023 | D.PE.01, D.PE.02 D.PE.03, D.PE.04 D.PE.05, D.PE.06 D.PE.10 |
| Prüfschritte und Stichproben erklären | 2024 | D.PE.07, D.PE.08 D.PE.09 |
|
| Bericht an Betreiber und ggf. BSI | 2023 | N.PE.01, D.PE.11 | |
| Nachweise | Verbindliche Nutzung der BSI-Vorlagen, auf deutsch | 2023 | N.BN.01, N.BN.02 |
| Nutzung der Nachweisdokumente KI und P | 2023 | N.BN.03, N.BN.04 | |
| Einreichung mit allen geforderten Anlagen | 2023 | N.BN.05, N.BN.06, N.BN.07, N.BN.08 N.BN.09, N.BN.10 |
|
| Geltungsbereich | Anforderungen (G) an Geltungsbereich verbindlich | 2023 | N.DG.01 |
| Anforderungen (N) an Netzstrukturplan verbindlich | 2023 | N.DG.02 |
Anforderungen nach §8a (5) BSIG
Anforderungen an die Prüfung
Für die Durchführung von Prüfungen und speziell einigen Prüfschritten gibt es verbindliche Anforderungen an die Prüfer: das Vier-Augen-Prinzip und der Umgang mit der Mängelliste und Altmängeln.
Vier-Augen
Bestimmte Prüfbereiche und Schritte von KRITIS-Prüfungen müssen in einem 4-Augen-Prinzip
durchgeführt werden.
- Vorgehen: Entsprechende Themen müssen durch zwei oder mehr Prüfer geprüft werden, die unabhängig voneinander qualifiziert sind, zu eigenständigen Einschätzungen kommen und das betreffende Thema
unmittelbar
prüfen. Werden Themen aufgeteilt, muss das einer Qualitätskontrolle unterliegen; einzelne Prüfer dürfen nicht mehr als ⅔ zeitlichen Anteil prüfen. (D.4A.02) 2024 - Prüfungsbereiche: In folgenden Themenfeldern und Bereichen von KRITIS-Prüfungen muss das Vier-Augen-Prinzip eingesetzt werden: (D.4A.01) 2024
- Geltungsbereich
- Referenzierte Zertifikate wie ISO/IEC 27001 und deren Abdeckung, Eignung und Relevanz für den KRITIS-Geltungsbereich
- Vorgehen zur Risikoanalyse und -behandlung
- Prüfung der vorigen Mängelliste
- Vor-Ort Prüfungen (Inaugenscheinnahme, Begehung, Beobachtung)
- Dokumentation: Themen, die im Vier-Augen-Prinzip geprüft wurden, müsen im Prüfplan gekennzeichnet werden, inklusive der Prüfer und zeitlichen Aufteilung. (N.4A.01) 2024
Mängelliste
Der Umgang mit Altmängeln aus früheren KRITIS-Prüfungen wird genauer reglementiert.
- Vorige Prüfungen: Betreiber müssen Prüfer über frühere Prüfungen unterrichten. (D.AM.01)
- Prüfung alter Mängel: Betreiber müssen Prüfer über den Status alter Mängel unterrichten; Prüfer müssen den aktuellen Umsetzungsstand der alten Mängelliste prüfen und plausibilisieren. (D.AM.02, D.AM.03) 2024
- Prüfung aktueller Umsetzungsplan: Der Umsetzungsplan der aktuellen Mängelliste muss dem Prüfer zur Verfügung gestellt werden. Prüfer müssen dann die Eignung der geplanten Maßnahmen beurteilen und dies dokumentieren. (D.PE.12) 2024
- Nachweis: Die Art der Prüfung (Erst-/Folgeprüfung) und falls relevant die Bestätigung der Überprüfung voriger Mängel inkl. aktuellem Umsetzungsstatus sind in die aktuellen Nachweise aufzunehmen. Nicht abgeschlossene Altmängel sind in die aktuelle Mängelliste aufzunehmen. (N.AM.01, N.AM.02, N.AM.03)
Anforderungen an prüfende Stellen
Einige Vorgaben zu den Prüfern und prüfenden Stellen werden verbindlich gemacht – vor allem zu Formalien und Unabhängigkeit.
- Unabhängigkeit: Die prüfende Stelle und das Prüfteam müssen gegenüber dem Betreiber unternehmensfremd und rechtlich/wirtschaftlich unabhängig sein und bei der Prüfung objektiv vorgehen. (P.UP.01, P.UP.02, N.UP.01)
- Interne Revisionen dürfen als prüfende Stelle und Prüfer handeln, wenn ein wirksames Revisionssystem vorliegt und die Wirksamkeit durch Einhaltung der IIA-Standards und durch ein Quality Assessment (QA) nach IDW PS 983 oder DIIR Revisionsstandard Nr. 3 nachgewiesen wird. (P.IR.01, N.IR.01)
Anforderungen an das Berichtswesen
Das Berichtswesen und die Einreichung von Nachweisen wird formeller konkretisiert, sowohl im Prüfbericht der Prüfer als auch den offiziellen Nachweisdokumenten.
Prüfbericht
- Prüfbericht: Prüfer müssen die Ergebnisse der KRITIS-Prüfung in einem Prüfbericht als eigenständiges Dokument darlegen. Der Bericht muss sowohl strukturiert und frei von Widersprüchen sein, als auch nachvollziehbare Ergebnisse enthalten. (D.PE.01, D.PE.02, D.PE.04)
- Formalien: Der Bericht muss in deutsch oder englisch verfasst und klar versioniert und bezeichnet sein. (D.PE.03, D.PE.05)
- Informationen: Der Bericht muss mindestens den Geltungsbereich, das Prüfziel, die Zeiten der Prüfung und die Prüfer / prüfende Stelle dokumentieren. (D.PE.06)
- Prüfschritte: Alle Prüfschritte müssen im Bericht nachvollziehbar dokumentiert werden – orientiert am Prüfplan. Der Bericht muss insbesondere Informationen zu den Prüfobjekten und Prüfmethoden umfassen. (D.PE.07) 2024
- Stichproben: Prüfer müssen die Auswahl von Stichproben in der Prüfung erklären und bestätigen, dass sich die Stichproben von der vorigen Prüfung unterscheiden. Die Betreiber müssen den Prüfern deshalb Informationen zu früheren Stichproben und deren Auswahl zur Verfügung stellen. (D.PE.08, D.PE.09)
- Mängel: Der Prüfbericht muss die Liste der Sicherheitsmängel enthalten. (D.PE.10)
- Betreiber: Prüfer müssen Betreibern den Prüfbericht zur Verfügung stellen. Auf Nachfrage ist der Bericht vom Betreiber dem BSI mit Anhängen zu übermitteln. (N.PE.01, D.PE.11)
Nachweise und Formulare
Die vorhandenen Vorlagen vom BSI zur Nachweiserbringung sind nun verbindlich zu nutzen, die Inhalte müssen in deutscher Sprache dokumentiert werden. (N.BN.01, N.BN.02)
- Nachweisdokument KI und Nachweisdokument P zur Dokumentation der Kritischen Infrastruktur und Prüfung (N.BN.03, N.BN.04)
- Der Nachweis muss die Anlage PD.A (Geltungsbereich) enthalten (N.BN.05)
- Der Nachweis muss die Anlage PD.B (Prüfplan) und Anlage PE.A (Mängelliste und Umsetzungsplan) enthalten (N.BN.06, N.BN.07)
- Der Nachweis muss die Anlage PD.C (Prüfgrundlage) enthalten (N.BN.09)
- Der Nachweis muss die Anlage PS.A (Nachweis Kompentenz) enthalten (N.BN.08)
- Bei Zusatzprüfungen muss die Anlage PD.B (Prüfplan) abgedeckte Themen und Prüfmethodik erklären (N.BN.10)
Anforderungen an den Geltungsbereich
Die Anforderungen an die Dokumentation des Geltungsbereiches und Netzstrukturplan aus der Orientierungshilfe für Nachweise (OH-N) des BSI sind nun nach §8a (5) BSIG auch verbindlich.
- Geltungsbereich: Die Dokumentation als Anlage PD.A zum Nachweisdokument P muss die G-Kriterien erfüllen. (N.DG.01)
- Netzstrukturplan: Die Dokumentation vom NSP als Teil der Anlage PD.A zum Nachweisdokument P muss die N-Kriterien erfüllen. (N.DG.02)
Fristen und Umsetzung
Die meisten Anforderungen sind ab 1. Juni 2023, einige ab 1. Januar 2024 verbindlich:
- Vier-Augen Prinzip (D.4A.01, D.4A.02, N.4A.01) 2024
- Prüfschritte (D.PE.07, D.PE.12) 2024
- Mängelliste Prüfung Altmängel (D.AM.02, D.AM.03) 2024
- Interne Revision: QA nach IDW oder DIIR (N.IR.01) 2024
- Alle anderen 2023
Weitere und neue Vorgaben zur Durchführungen von Prüfungen sind zukünftig möglich – auch parallel zur NIS2-Umsetzung in Deutschland.
Weitere Informationen
Quellen
- Anforderungen nach §8a Absatz 5 BSIG Grundsätzliche Anforderungen im Nachweisverfahren (GAiN), Bundesamt für Sicherheit in der Informationstechnik, 12.05.2023
Formulare
- Dokumente zur Nachweiserbringung nach § 8a Absatz 3 BSIG, alle KRITIS-Nachweise und Nachweise, Bundesamt für Sicherheit in der Informationstechnik, o.D.