BSIG Sicherheit für Kritische Infrastrukturen

Nach § 8a Abs. 3 BSIG müssen KRITIS-Betreiber dem BSI mindestens alle zwei Jahre nachweisen, dass sie angemessene Sicherheitsvorkehrungen nach dem Stand der Technik umgesetzt haben. Der Nachweis erfolgt typischerweise über Audits, Prüfungen oder Zertifizierungen – Penetrationstests sind ein wichtiger technischer Baustein.

Maßgeblich sind die Sektoren und Schwellenwerte der BSI-Kritisverordnung (BSI-KritisV). Wird ein Schwellenwert (z.B. versorgte Personen, Anlagengröße) überschritten, gilt die Anlage als Kritische Infrastruktur. In unserer Erstberatung helfen wir bei der Einordnung.

NIS2 erweitert den Kreis der regulierten Unternehmen deutlich über die klassischen KRITIS hinaus. In Deutschland werden die NIS2-Anforderungen über das NIS2-Umsetzungsgesetz in das BSIG integriert. Viele Betreiber müssen daher künftig sowohl KRITIS- als auch NIS2-Pflichten erfüllen.

Das BSIG verlangt Maßnahmen „nach dem Stand der Technik". Penetrationstests sind die etablierte Methode, um die Wirksamkeit dieser Maßnahmen technisch zu belegen und Schwachstellen vor Angreifern zu finden – und damit ein zentraler Bestandteil eines belastbaren Nachweises.

Das BSI kann die Beseitigung von Sicherheitsmängeln anordnen und Verstöße mit Bußgeldern ahnden. Wichtiger noch: Ohne wirksame Maßnahmen steigt das reale Risiko von Ausfällen kritischer Versorgung erheblich - mit Folgen für Versorgungssicherheit, Haftung und öffentliche Wahrnehmung.

Die BSI-Kritisverordnung legt je Sektor und Anlagenart eigene Schwellenwerte fest. Als Orientierung dient der Regelschwellenwert von 500.000 versorgten Personen, umgerechnet in sektorspezifische Größen wie erzeugte Strommenge, transportierte Passagiere oder abgerechnete Fälle. Entscheidend ist immer die konkrete Anlage, nicht die Unternehmensgröße. Wir ordnen Ihre Anlagen im Erstgespräch ein.

Ja. § 8a Abs. 1a BSIG verpflichtet Betreiber zum Einsatz von Systemen zur Angriffserkennung, die Bedrohungen fortlaufend erkennen, protokollieren und behandeln. Im Nachweis müssen Sie darlegen, wie diese Systeme arbeiten und wie die Alarme verarbeitet werden. Wir prüfen im Penetrationstest zugleich, ob Ihre Erkennung die simulierten Angriffe tatsächlich meldet.

Zuerst grenzen wir die für die kritische Dienstleistung relevanten Systeme ab und legen Testfenster sowie Eskalationswege fest. Danach prüfen unsere Pentester Ihre Systeme manuell, einschließlich der Übergänge zwischen Büronetz und Steuerungstechnik. Jedes Finding ordnen wir im Bericht der betroffenen kritischen Dienstleistung zu, damit es direkt in den Nachweis nach § 8a einfließen kann.

Nein, wenn er richtig geplant ist. Wir stimmen Testfenster, Intensität und eine jederzeit erreichbare Abbruchmöglichkeit vorab mit Ihnen ab. Prozessnahe und Steuerungssysteme testen wir bewusst zurückhaltend, in Abstimmung mit Ihrer Betriebsführung und, wo sinnvoll, gegen Testumgebungen statt gegen die Produktivanlage.

Ein manueller Penetrationstest wird individuell nach Aufwand kalkuliert und liegt meist zwischen 4.000 und 20.000 EUR, abhängig von Standorten, Netzsegmenten und Anwendungen im Prüfumfang. Für den Einstieg genügt ein automatisierter Schwachstellenscan ab 1.499 EUR. Teurer wird es bei KRITIS-Betreibern vor allem dann, wenn OT-Netze und Fernwartungszugänge mitgeprüft werden, weil dort nur in abgestimmten Wartungsfenstern getestet werden darf.

Im Fokus stehen die Systeme, von denen die kritische Dienstleistung abhängt: extern erreichbare Zugänge und VPN, Fernwartung, Leitstands- und Büronetz, die Übergänge zwischen IT und OT, zentrale Verzeichnisdienste wie Active Directory sowie Web-Anwendungen und Schnittstellen zu Partnern und Behörden.