KRITIS-Resilienz: NIS-2, KRITIS-Dachgesetz und BSI-Grundschutz im B2B-Check

Über viele Jahre hinweg bewegte sich die Regulierung kritischer Infrastrukturen in Deutschland in einem überschaubaren Rahmen. Nur rund 1.800 Großbetreiber aus Sektoren wie Energie, Wasser, Ernährung, Finanzwesen oder Gesundheit überschritten den klassischen Schwellenwert der BSI-Kritisverordnung (BSI-KritisV) von 500.000 versorgten Personen. Wer unterhalb dieser statistischen Marke blieb, behandelte industrielle Informationssicherheit oft als nachgelagerte Aufgabe des technischen Anlagenbetriebs.

Mit dem Inkrafttreten der europäischen NIS-2-Richtlinie (EU 2022/2555), ihrer nationalen Umsetzung im BSI-Gesetz sowie dem flankierenden KRITIS-Dachgesetz auf Basis der europäischen CER-Richtlinie (EU 2022/2557) hat sich diese Komfortzone endgültig aufgelöst. Der Kreis der unmittelbar regulierten Unternehmen weitet sich in Deutschland schlagartig auf rund 30.000 besonders wichtige und wichtige Einrichtungen aus, während die Anforderungen aus dem IT-Sicherheitsgesetz 2.0 tief in die Lieferketten hineinwirken.

Für CIOs, CISOs und technische Vorstände entsteht dadurch eine fundamental neue Steuerungsaufgabe. Erstmals verknüpft der Gesetzgeber die digitale Netz- und Informationssicherheit untrennbar mit der physischen Resilienz von Betriebsstätten und der persönlichen Organhaftung der Geschäftsleitung. Dieser Leitfaden analysiert die regulatorischen und technischen Anforderungen im Detail und zeigt, wie Betreiber ihre IT- und OT-Architekturen prüfungssicher nach BSI-Grundschutz und IEC 62443 härten.

Strukturelle Verwundbarkeiten in gewachsenen IT/OT-Infrastrukturen

Eine schonungslose Bestandsaufnahme in gewachsenen Industrie-, Versorgungs- und Klinikbetrieben offenbart immer wieder ähnliche architektonische Schwachstellen. Die gravierendste Verwundbarkeit resultiert aus der fortschreitenden Konvergenz von betrieblicher Informationstechnik (IT) und operativer Steuerungstechnik (Operational Technology, OT). Wo früher physikalisch getrennte serielle Feldbusse arbeiteten, vernetzen heute Ethernet-basierte Protokolle die Fertigungs- und Leittechnik direkt mit kaufmännischen ERP- und MES-Systemen.

Fehlen an diesen Übergabepunkten mehrstufige industrielle Demilitarisierte Zonen (IDMZ) oder unidirektionale Sicherheitsgateways, entsteht ein direkter Angriffsvektor vom Büro-Arbeitsplatz bis zur speicherprogrammierbaren Steuerung (SPS). Ein einziger kompromittierter Windows-Client in der Verwaltung genügt dann, damit Ransomware-Gruppen oder staatliche Akteure lateral in das Prozessnetz vordringen und Turbinensteuerungen, Pumpenwerke oder klinische Medizintechnik lahmlegen.

Als zweites Einfallstor erweisen sich regelmäßig die weitverzweigten Lieferketten und Fernwartungszugänge. Kritische Anlagen sind im laufenden Betrieb auf dutzende spezialisierte Maschinenbauer, Software-Zulieferer und externe Wartungstechniker angewiesen. In zahlreichen Bestandsnetzen existieren noch immer dauerhaft geschaltete VPN-Tunnel ohne starke Mehrfaktor-Authentifizierung (MFA) und ohne lückenlose Sitzungsaufzeichnung, über die ein kompromittierter Subunternehmer ungehindert auf das Herzstück der Anlage zugreifen kann.

Hinzu kommt in vielen Organisationen eine gefährliche Lücke zwischen dokumentierter Papier-Compliance und realer Wiederanlauffähigkeit. Viele Notfallhandbücher wurden primär für das Bestehen eines Audits verfasst, aber niemals unter realen Stressbedingungen wie einem vollständigen WAN-Ausfall geübt. Wie Sie belastbare Wiederherstellungsprozesse für hybride Umgebungen aufbauen, beleuchtet unser Leitfaden für Disaster-Recovery-Konzepte in kritischen Infrastrukturen.

Ergänzende Architektur-Analysen und technische Entscheidungsmatrizen für Ihre IT-Planung finden Sie in unseren weiterführenden Leitartikeln zu Schwachstellenanalyse im Enterprise-Einsatz sowie zu Post-Quantum-Kryptografie im Enterprise-Einsatz.

Regulatorische Dreifaltigkeit: NIS-2, KRITIS-Dachgesetz und § 8a BSIG im Zusammenspiel

Um kostspielige Doppelarbeiten bei der Umsetzung zu vermeiden, müssen Vorstände und Compliance-Verantwortliche die drei zentralen Säulen der aktuellen Gesetzgebung als zusammenhängendes Gesamtsystem begreifen. Während das bisherige BSI-Gesetz vor allem die IT-Sicherheit der größten Versorger adressierte, schaffen NIS-2 und das KRITIS-Dachgesetz einen synchronisierten Rechtsrahmen für digitale und physische Betriebsfähigkeit.

Das Herzstück für Betreiber klassischer kritischer Anlagen bleibt § 8a des BSI-Gesetzes (BSIG), verschärft durch das IT-Sicherheitsgesetz 2.0. Es verpflichtet Betreiber nicht nur dazu, angemessene organisatorische und technische Vorkehrungen nach dem aktuellen Stand der Technik zu treffen, sondern schreibt seit dem 1. Mai 2023 gemäß § 8a Absatz 1a BSIG auch den verbindlichen Einsatz von Systemen zur Angriffserkennung (SzA) im laufenden Wirkbetrieb vor.

Die Einhaltung dieser Vorgaben darf nicht lediglich intern behauptet werden, sondern ist dem Bundesamt für Sicherheit in der Informationstechnik (BSI) in einem strengen Rhythmus von mindestens zwei Jahren durch unabhängige Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen. Werden dabei gravierende Mängel festgestellt, kann das BSI verbindliche Anordnungen zur Mängelbeseitigung treffen und empfindliche Bußgelder verhängen.

Parallel dazu hebt die europäische NIS-2-Richtlinie (umgesetzt durch das deutsche NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, NIS2UmsuCG) das Haftungs- und Meldeniveau auf eine neue Stufe. Die Richtlinie beseitigt das alte Ermessen bei der Unternehmensgröße und führt die Größenklassenregel (Size-Cap-Rule) ein, wodurch mittlere und große Unternehmen in 18 definierten Wirtschaftssektoren automatisch unter das Gesetz fallen.

Besonders brisant für die Vorstandsetage ist die persönliche Organhaftung: Nach den neuen Vorgaben müssen Geschäftsleiter die Risikomanagementmaßnahmen persönlich billigen, deren Umsetzung überwachen und regelmäßig an spezialisierten Cybersicherheits-Schulungen teilnehmen. Eine haftungsbefreiende Delegation dieser Verantwortung auf den CISO oder externe Berater ist gesetzlich ausgeschlossen; welche Pflichten daraus im Detail folgen, zeigt unser Enterprise-Leitfaden zur persönlichen Vorstandshaftung unter NIS-2.

Komplettiert wird dieses Regelwerk durch das KRITIS-Dachgesetz (KRITIS-DachG), das die europäische CER-Richtlinie (Critical Entities Resilience Directive) in deutsches Recht überführt. Während das BSI die digitale Flanke überwacht, koordiniert das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) unter dem KRITIS-Dachgesetz den physischen Schutz in elf Kernsektoren nach dem All-Hazards-Prinzip gegen Sabotage, Extremwetter, Naturkatastrophen und langanhaltende Stromausfälle.

Wie der direkte Vergleich in der Matrix verdeutlicht, laufen die Melde- und Nachweispflichten beider Gesetzeswerke im Ernstfall parallel. Ein physischer Sabotageakt an einem Glasfaser-Verteiler oder einem Umspannwerk löst sowohl Meldepflichten nach dem KRITIS-Dachgesetz als auch digitale Störungsmeldungen nach BSIG aus, weshalb beide Meldewege in einer gemeinsamen Leitstelle zusammenlaufen müssen.

Technischer Deep-Dive: IT/OT-Segmentierung nach IEC 62443 und Angriffserkennung (SzA)

Die zentrale technische Herausforderung für KRITIS-Architekten besteht darin, die gegensätzlichen Schutzziele von Büro-IT und industrieller OT unter einem gemeinsamen Sicherheitsdach zu vereinen. Während in der klassischen Unternehmens-IT die Vertraulichkeit (Confidentiality) vor Integrität und Verfügbarkeit rangiert, gilt in der Prozessleittechnik eine umgekehrte Priorität: Verfügbarkeit (Availability) und physische Betriebssicherheit stehen an oberster Stelle.

Eine speicherprogrammierbare Steuerung im Kraftwerk oder ein Patientenmonitor auf der Intensivstation darf weder durch einen fehlerhaften Antiviren-Scan blockiert noch durch einen ungeplanten Patch-Neustart unterbrochen werden. Als international anerkannter Referenzstandard für dieses Spannungsfeld hat sich die Normenreihe IEC 62443 in Verbindung mit den IND-Bausteinen des BSI IT-Grundschutz-Kompendiums etabliert.

Zonen, Conduits und optische Daten-Dioden im Purdue-Modell

IEC 62443 strukturiert industrielle Anlagen nach dem erweiterten Purdue Enterprise Reference Architecture (PERA) Modell in strikt voneinander getrennte Sicherheitszonen (Zones) und kontrollierte Kommunikationskanäle (Conduits). Auf den untersten Ebenen (Level 0 bis Level 2) befinden sich Sensoren, Aktoren, Feldsteuerungen (SPS/PLC) sowie lokale SCADA-Systeme, während Level 3 die Produktionssteuerung (MES) und Level 4 bis 5 die klassische Unternehmens-IT abbilden.

Zwischen Level 3 und Level 4 muss zwingend eine mehrschichtige industrielle Demilitarisierte Zone (IDMZ, Level 3.5) eingezogen werden, die jeglichen direkten Netzwerkverkehr zwischen Office-Netz und Anlagensteuerung unterbindet. Innerhalb der OT-Ebenen werden zusätzlich funktionale Zellen gebildet, die über industrielle Next-Generation-Firewalls oder dynamische Mikrosegmentierung auf Netzwerk- und Port-Ebene gegeneinander abgeschottet sind.

Für besonders schutzbedürftige Sicherheitszonen (Security Level 3 und 4 nach IEC 62443), wie etwa Netzleitstellen oder Wasserwerke, reicht eine softwarebasierte Firewall-Regel jedoch nicht aus. Hier setzen führende KRITIS-Architekturen auf hardwarebasierte, optische Daten-Dioden: Eine Leuchtdiode (LED) auf der OT-Sendeseite überträgt Telemetrie- und Historiendaten über einen kurzen Glasfaserleiter an einen Fotodetektor in der IDMZ.

Da in Gegenrichtung physikalisch weder eine Lichtquelle noch ein Rückkanal existiert, ist ein digitaler Einbruch aus dem Unternehmensnetzwerk oder dem Internet in das Prozessnetz nach den Gesetzen der Physik ausgeschlossen. Gleichzeitig erhalten Auswertungssysteme in der Unternehmens-IT weiterhin alle erforderlichen Messwerte für vorausschauende Wartung und regulatorisches Reporting in Echtzeit.

„Physische Sicherheit und Cybersicherheit dürfen in kritischen Infrastrukturen niemals getrennt geplant werden: Ein gehärtetes SCADA-Netzwerk verliert seinen Wert, sobald ein ungesicherter Verteilerschrank oder eine zentrale Cloud-Abhängigkeit den Betrieb im Ernstfall blockiert.“

Wo für Fernwartungszwecke dennoch ein gesteuerter Zugriff in eine OT-Zone unverzichtbar ist, erfolgt dieser ausschließlich über dedizierte Sprungserver (Jump Hosts) in der IDMZ mit Privileged Access Management (PAM). Externe Techniker authentifizieren sich über phishing-resistente FIDO2-Hardware-Token, erhalten erst nach manueller Freigabe durch den Schichtleiter ein zeitlich befristetes Sitzungsfenster und werden per lückenlosem Video- und Protokoll-Mitschnitt überwacht.

Systeme zur Angriffserkennung (SzA) nach § 8a Absatz 1a BSIG

Die zweite große architektonische Säule bildet die gesetzliche Pflicht zum Einsatz von Systemen zur Angriffserkennung (SzA) gemäß § 8a Absatz 1a BSIG und der dazugehörigen BSI-Orientierungshilfe. Ein prüffähiges SzA beschränkt sich nicht auf klassische Signatur-Virenscanner am E-Mail-Gateway, sondern verlangt eine kontinuierliche, verhaltensbasierte Erfassung und Korrelation von Datenströmen innerhalb der gesamten kritischen Dienstleistung.

In industriellen OT-Netzen scheiden aktive Schwachstellenscanner meist aus, da unerwartete Netzwerkpakete ältere SPS-Baugruppen zum Absturz bringen können. Deshalb kommt hier passives Network Detection and Response (NDR) zum Einsatz: Über rückwirkungsfreie Netzwerk-TAPs oder SPAN-Ports an den Industrie-Switches wird der gesamte Datenverkehr gespiegelt und mittels Deep Packet Inspection (DPI) für Industrieprotokolle wie Modbus/TCP, PROFINET, IEC 60870-5-104, DNP3 und OPC UA analysiert.

Das Erkennungssystem erlernt in einer Baseline-Phase die regulären Kommunikationsmuster und schlägt sofort Alarm, wenn beispielsweise ein Engineering-Rechner außerhalb eines genehmigten Wartungsfensters einen Firmware-Download-Befehl (Function Code) an eine Steuerung sendet. Diese OT-Alarme werden zusammen mit den Endpoint-Telemetriedaten der IT-Systeme in einem zentralen SIEM und einem 24/7 besetzten Security Operations Center (SOC) korreliert, um die strenge 24-Stunden-Meldefrist an das BSI einzuhalten.

Physische Resilienz, Air-Gapped Recovery und Schwarzstartfähigkeit

Unter dem KRITIS-Dachgesetz und dem BSI-Kriterienkatalog C5 müssen diese digitalen Abwehrmechanismen durch eine kompromisslose physische Härtung und Wiederanlaufplanung ergänzt werden. Auf baulicher Ebene bedeutet dies für Rechenzentren, Umspannwerke und Leitwarten einen mehrstufigen Perimeterschutz mit Video-Sensorik, Einbruchmeldeanlagen nach VdS-Standard, Vereinzelungsschleusen mit biometrischer Zutrittskontrolle sowie geodivers geführten Glasfasertrassen.

Gleichzeitig muss die Notstromversorgung (USV-Batterieanlagen kombiniert mit Netzersatzanlagen) auf eine reale Mindestautonomie von 72 Stunden unter Volllast inklusive gesicherter Kraftstoffbevorratung vor Ort ausgelegt sein. Auf digitaler Seite korrespondiert damit die Anforderung der Schwarzstartfähigkeit (Black-Start Capability): Selbst nach einem zerstörerischen Cyberangriff oder einem überregionalen Stromausfall muss der Betreiber seine Kernsysteme ohne externe Hilfe von Grund auf hochfahren können.

Dafür benötigen Unternehmen unveränderbare Backup-Tresore (Immutable Storage im WORM-Modus) sowie physisch oder logisch vom Produktionsnetz getrennte Air-Gapped-Wiederherstellungsumgebungen. In dieser isolierten Notfallzone liegen sämtliche Gold-Images, SPS-Steuerungsprogramme, Netzwerkkonfigurationen, kryptografischen Schlüssel und ein unabhängiges Notfall-Active-Directory bereit, sodass der Wiederanlauf vollkommen autark ohne Internetverbindung oder US-Cloud-Backend gelingt.

Einen umfassenden Überblick über alle weiterführenden Sicherheitsdossiers und Zero-Trust-Referenzmodelle bietet unser zentrales Dossier zur Cyber-Resilienz und Zero-Trust-Architektur.

Vollkostenrechnung über 60 Monate: Was KRITIS-Compliance real kostet und einspart

In vielen Budgetrunden wird die Umsetzung von NIS-2, § 8a BSIG und KRITIS-Dachgesetz zunächst als reine regulatorische Kostenbelastung wahrgenommen. Eine fundierte Total-Cost-of-Ownership-Rechnung (TCO^*) über fünf Jahre (60 Monate) zeigt jedoch, dass eine sauber strukturierte Sicherheitsarchitektur die wirtschaftlichen Existenzrisiken eines ungeplanten Anlagenstillstands zu einem Bruchteil der potenziellen Schadenssumme absichert.

Betrachten wir als repräsentatives Referenzmodell einen mittelgroßen regionalen Energie- oder Wasserversorger bzw. einen industriellen Produktionsbetrieb mit zwei zentralen Rechenzentrumsstandorten, 25 dezentralen Außenstationen (etwa Umspannwerke, Pumpwerke oder Fertigungslinien) und rund 800 vernetzten IT- und OT-Endpunkten. Für den initialen Architekturumbau im ersten Jahr fällt ein einmaliges CAPEX-Investitionsbudget von rund 480.000 Euro an.

Dieses Initialbudget gliedert sich in rund 190.000 Euro für industrielle Firewalls, optische Daten-Dioden und Netzwerk-TAPs zur IEC-62443-Zonentrennung, 140.000 Euro für passive OT-Sensoren und SIEM-Integration zur Angriffserkennung (SzA), 90.000 Euro für ein unveränderbares Air-Gapped-Backup-System samt FIDO2-PAM-Fernwartungslösung sowie 60.000 Euro für die initiale Gap-Analyse und das erste Vor-Audit.

Im laufenden Betrieb über 60 Monate entstehen jährliche OPEX-Kosten von rund 135.000 Euro für das 24/7-Managed-SOC/SIEM-Monitoring, Lizenzpflege und regelmäßige Schwarzstart-Übungen sowie durchschnittlich 45.000 Euro pro Jahr (90.000 Euro alle zwei Jahre) für die gesetzlich vorgeschriebenen § 8a BSIG-Nachweisprüfungen durch zertifizierte Prüfgesellschaften. Über fünf Jahre summieren sich die Gesamtkosten (CAPEX plus OPEX) damit auf exakt 1,38 Millionen Euro.

Stellt man dieser Investition das reale Schadenspotenzial gegenüber, kippt die kaufmännische Bewertung sofort ins Positive. Allein die durch den Nachweis von SzA, Air-Gapped-Backups und IT/OT-Trennung erzielbare Prämienreduktion bei der betrieblichen Cyber- und Betriebsunterbrechungsversicherung spart über fünf Jahre durchschnittlich 250.000 bis 350.000 Euro ein, sofern ohne diese Maßnahmen überhaupt noch eine Police gezeichnet wird.

Vor allem aber verhindert die Architektur kritische Versorgungs- oder Produktionsausfälle, die im KRITIS-Umfeld durchschnittliche Tagesschäden zwischen 1,5 und 8 Millionen Euro verursachen, und schützt Unternehmen sowie Vorstand vor behördlichen Bußgeldern von bis zu 10 Millionen Euro. Ein einziger abgewehrter Ransomware-Übergriff aus dem Office-Netz in die Leittechnik amortisiert das gesamte Fünfjahresbudget mehrfach.

Die Make-or-Buy Sourcing-Weiche für souveräne KRITIS-Architekturen

Angesichts des akuten Fachkräftemangels bei spezialisierten OT-Sicherheitsingenieuren und SOC-Analysten stellt sich für jeden KRITIS-Betreiber die strategische Frage nach der optimalen Fertigungstiefe. Da kritische Infrastrukturen im Krisenfall nicht von außereuropäischen Jurisdiktionen oder dem US CLOUD Act abhängig sein dürfen, haben sich in der europäischen Praxis drei souveräne Betriebsmodelle bewährt.

Erstens (Eigenes Inhouse-OT-CDC): Große Übertragungsnetzbetreiber, Verbundunternehmen und Klinikkonzerne mit mehr als 2.000 Beschäftigten bauen ein eigenes Cyber Defense Center (CDC) auf Basis europäischer Open-Source- und BSI-zertifizierter Komponenten auf. Alle SIEM-, NDR- und PAM-Systeme laufen vollständig in eigenen, baulich gehärteten Rechenzentren unter ausschließlicher Kontrolle des eigenen Sicherheitspersonals.

Zweitens (Souveräne Community Cloud): Stadtwerke, regionale Wasserversorger, Krankenhäuser und mittelständische KRITIS-Zulieferer bündeln ihre Ressourcen in sektoralen Einkaufs- und Betriebsgemeinschaften. Wie kommunale und regionale Betreiber über eine gemeinsame, nach dem Sovereign Cloud Stack (SCS) und BSI C5 zertifizierte Community Cloud im regionalen Verbund hochverfügbare Failover-Rechenzentren und ein gemeinsames 24/7-Branchen-SOC finanzieren, zeigt unser vertiefender Architektur-Leitfaden.

Drittens (Europäisches Co-Managed-SOC): Unternehmen, die ihre physische Anlagen- und Netzwerkinfrastruktur vor Ort selbst verwalten, lagern die 24/7-Echtzeitüberwachung ihrer Systeme zur Angriffserkennung (SzA) an ISO-27001- und BSI-zertifizierte Managed Security Service Provider (MSSP) mit Sitz und Gerichtsstand in Deutschland aus. Wichtig ist hierbei die vertragliche Hoheit über alle Rohdaten, Playbooks und lokalen Not-Aus-Schalter.

Unabhängig vom gewählten Betriebsmodell sollte der Einkauf bei jeder Neubeschaffung von Steuerungs- und Netzwerkkomponenten verbindlich eine maschinenlesbare Software Bill of Materials (SBOM) nach CycloneDX- oder SPDX-Standard verlangen. Nur wer genau weiß, welche Programmbibliotheken in seinen Routern und Steuerungen verbaut sind, kann bei neu bekannt werdenden Zero-Day-Schwachstellen binnen Stunden gezielt gegensteuern.

Der 4-Phasen-Umsetzungsfahrplan: In 12 Monaten zur vollen Prüfungsreife

Um die vielfältigen Anforderungen aus NIS-2, § 8a BSIG und dem KRITIS-Dachgesetz ohne Überlastung der Betriebsteams in die Praxis zu überführen, empfiehlt sich ein gestuftes Zwölfmonatsprogramm. Entscheidend ist dabei, technische Netzwerktrennung und organisatorische Governance eng miteinander zu verzahnen.

Phase 1 (Monat 1 bis 2): Betroffenheits-Triage, Asset-Inventur und Gap-Analyse

Zu Beginn ermittelt ein interdisziplinäres Team aus IT, OT-Betriebsleitung und Recht den exakten Geltungsbereich (Scope) der kritischen Dienstleistung nach BSI-KritisV, NIS2UmsuCG und KRITIS-Dachgesetz. Parallel erfolgt eine automatisierte, rückwirkungsfreie Inventarisierung sämtlicher IT- und OT-Assets inklusive aller bestehenden Fernwartungszugänge sowie ein systematischer Soll-Ist-Abgleich gegen das BSI IT-Grundschutz-Kompendium und die Norm IEC 62443.

Phase 2 (Monat 3 bis 6): Physische Härtung, IEC-62443-Zonenbau und PAM-Rollout

In der zweiten Phase wird die Netzwerktopologie physisch und logisch entflochten: Das Team errichtet die industrielle DMZ (Level 3.5), installiert optische Daten-Dioden vor hochkritischen Steuerungszonen und ersetzt direkte Lieferanten-VPNs durch einen zentralen FIDO2-gesicherten PAM-Jump-Host. Gleichzeitig werden die baulichen Zutrittskontrollen, Kamerasysteme und die 72-Stunden-Notstromautarkie der kritischen Betriebsstandorte auf den Stand des KRITIS-Dachgesetzes gebracht.

Phase 3 (Monat 7 bis 9): Inbetriebnahme der Angriffserkennung (SzA) und Schwarzstart-Test

Nun werden die passiven OT-Netzwerksensoren an den Spiegelports der Industrie-Switches aktiviert, auf die spezifischen Anlagenprotokolle (Modbus, PROFINET, OPC UA) kalibriert und mit dem 24/7-SIEM/SOC gekoppelt. Parallel richtet das Infrastruktur-Team die unveränderbaren Air-Gapped-Backup-Tresore ein und führt eine unangekündigte Schwarzstart- und Inselbetriebsübung durch, während die Geschäftsleitung ihre gesetzliche Pflichtschulung absolviert.

Phase 4 (Monat 10 bis 12): Unabhängiges § 8a BSIG-Audit und kontinuierliche Validierung

Im letzten Quartal begleitet eine unabhängige, vom BSI anerkannte Prüfgesellschaft das formale Sicherheitsaudit nach § 8a Absatz 3 BSIG bzw. ISO/IEC 27001 auf Basis von IT-Grundschutz. Nach erfolgreicher Einreichung der Prüfberichte beim BSI und der Registrierung der Resilienzpläne beim BBK geht das Programm in den regulären zweijährigen Prüf- und Verbesserungszyklus über.

Fünf Kontrollfragen für Vorstand und IT-Leitung zur KRITIS-Resilienz

1. Ist unser Unternehmen durch die Wegfall-Regeln von NIS-2 erstmals direkt reguliert?

Prüfen Sie gemeinsam mit Ihrer Rechtsabteilung nicht nur die klassischen Schwellenwerte der BSI-Kritisverordnung, sondern auch die erweiterte Sektorenliste und die Größenklassenregel (ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz) des NIS-2-Umsetzungsgesetzes. Viele mittelständische Zulieferer, Maschinenbauer, Chemiebetriebe und Entsorger unterliegen nun erstmals den unmittelbaren Melde- und Risikomanagementpflichten.

2. Können unsere OT-Steuerungsanlagen bei einem Totalausfall der Unternehmens-IT autark weiterlaufen?

Verlangen Sie von Ihrer technischen Leitung den praktischen Nachweis, dass beim Kappen sämtlicher Verbindungen zum Office-Netzwerk und zum Internet alle kritischen Versorgungs- und Produktionsprozesse im sicheren Inselbetrieb weiterlaufen. Wenn Ihre Leittechnik für den Schichtbetrieb auf zentrale Cloud-Logins oder Server im Büronetzwerk angewiesen ist, besteht akuter Handlungsbedarf nach IEC 62443.

3. Überwachen unsere Systeme zur Angriffserkennung (SzA) auch die tiefen Feldbus- und OT-Protokolle?

Ein SIEM-System, das lediglich Windows-Ereignisprotokolle und Perimeter-Firewalls auswertet, fällt im strengen § 8a BSIG-Audit regelmäßig durch. Stellen Sie sicher, dass Ihre Angriffserkennung mittels passiver Deep Packet Inspection auch unautorisierte Steuerbefehle und Parameteränderungen auf Ebene von PROFINET, Modbus, IEC 104 oder OPC UA in Echtzeit erkennt.

4. Wie stellen wir sicher, dass die 24-Stunden-Frühwarnung ans BSI auch am Wochenende funktioniert?

Da signifikante Sicherheitsvorfälle selten während der regulären Bürozeiten am Dienstagvormittag eintreten, muss die Meldekette vom technischen SOC-Analysten über den CISO bis zur Freigabe durch den Bereitschaftsvorstand rund um die Uhr definiert sein. Halten Sie vorbereitete Melde-Templates für das BSI- und BBK-Meldeportal auch in physisch ausgedruckter Form für den Fall bereit, dass Ihre eigenen Kommunikationssysteme betroffen sind.

5. Haben alle Mitglieder der Geschäftsleitung ihre persönliche Risiko-Freigabe und Schulung dokumentiert?

Um im Schadensfall dem Vorwurf des Organisationsverschuldens und der persönlichen Organhaftung zu begegnen, müssen Vorstandsbeschlüsse zur IT/OT-Sicherheitsstrategie, Budgetfreigaben sowie die Teilnahme an anerkannten NIS-2-Geschäftsleitungsschulungen lückenlos und revisionssicher im Compliance-Archiv protokolliert werden.

Strategisches Fazit: Vom reaktiven Audit-Druck zur souveränen Betriebsfestigkeit

Das gleichzeitige Greifen von NIS-2, dem KRITIS-Dachgesetz und den verschärften Prüfanforderungen nach § 8a BSIG markiert eine Zäsur für die europäische Wirtschaft. Kritische Infrastrukturen und ihre wesentlichen Zulieferer können Sicherheit nicht länger als nachgelagerte IT-Aufgabe behandeln, sondern müssen digitale Abwehrfähigkeit und physischen Anlagenschutz als untrennbare Einheit steuern.

Vorstände und CIOs, die jetzt konsequent in eine saubere IT/OT-Zonentrennung nach IEC 62443, rückwirkungsfreie Systeme zur Angriffserkennung und souveräne Schwarzstart-Architekturen ohne außereuropäische Cloud-Abhängigkeiten investieren, schützen weit mehr als nur ihre persönliche Haftungsbilanz. Sie sichern die operative Handlungsfähigkeit ihres Unternehmens unter extremen Krisenbedingungen und schaffen einen dauerhaften Vertrauensvorsprung im regulierten B2B-Markt.

Häufig gestellte Fragen (FAQ) zu KRITIS-Resilienz, NIS-2 und KRITIS-Dachgesetz