KRITIS Beratung und Nachweisführung
KRITIS Beratung für Betreiber kritischer Infrastrukturen
Kritische Infrastrukturen sichern Leistungen, auf die Bevölkerung, Wirtschaft und Staat angewiesen sind. Wir unterstützen Betreiber kritischer Anlagen dabei, Informationssicherheit, Nachweise, Angriffserkennung, BCM und Prüfungsbereitschaft strukturiert aufzubauen.
Regulierte Sicherheit
Kritische Dienstleistungen nachvollziehbar schützen
KRITIS-Betreiber stehen unter besonderem Erwartungsdruck. Geschäftsführung, IT-Leitung, CISO, Informationssicherheitsbeauftragte und Compliance-Verantwortliche müssen nachweisen können, dass kritische Dienstleistungen angemessen geschützt, Risiken bewertet und Maßnahmen wirksam umgesetzt werden.
Die Anforderungen betreffen nicht nur einzelne technische Systeme. Entscheidend ist das Zusammenspiel aus Scope, Anlagenbezug, ISMS, Risikomanagement, Lieferantensteuerung, Angriffserkennung, Notfallvorsorge, technischer Sicherheit und prüffähiger Dokumentation.
Wir begleiten Organisationen aus regulierten Branchen bei der Einordnung, Umsetzung und Weiterentwicklung. Dazu gehören KRITIS-Betreiber, KRITIS-nahe Organisationen, öffentliche Auftraggeber, Gesundheitswesen, Energie- und Wasserversorgung, IT- und Telekommunikationsanbieter, Finanzumfelder, Transport und Verkehr sowie Dienstleister mit kritischen Kundenanforderungen.
Früh Klarheit schaffen
Typische Herausforderungen für KRITIS-Betreiber
Viele Organisationen wissen, dass sie regulatorisch relevant sind, können ihre konkrete Betroffenheit aber noch nicht sicher abgrenzen. Häufig fehlen eindeutige Verantwortlichkeiten, aktuelle Schwellenwertprüfungen, vollständige Nachweise oder eine belastbare Verbindung zwischen ISMS-Dokumentation und operativer IT-Sicherheit.
Typische Pain Points sind
unklare KRITIS- oder NIS2-Betroffenheit
fehlender oder unscharfer Anlagen- und Scope-Bezug
verteilte oder nicht auditfähige Dokumentation
Prüf- und Nachweisdruck durch regulatorische Anforderungen, Kunden oder interne Revision
fehlende Nachweise für technische und organisatorische Maßnahmen
offene Fragen zu Angriffserkennung, Logging, SIEM oder SOC
knappe Ressourcen im ISMS- und IT-Betrieb
unklare Rollen zwischen Geschäftsführung, ISB, IT, Fachbereichen und Dienstleistern
fehlende Verbindung von BCM, Incident Response und Informationssicherheit
zu wenig Transparenz über Kosten, Risiken, Fortschritt und Prioritäten
Ihr Ausgangspunkt
Wo stehen Sie aktuell?
Orientierung und Betroffenheitsprüfung
Einstufung klären
Sie möchten wissen, ob Ihre Organisation unter KRITIS fällt oder ob zusätzlich NIS2, branchenspezifische Sicherheitsstandards oder das KRITIS-Dachgesetz relevant sind. Wir prüfen Sektor, kritische Dienstleistung, Anlagenbezug, Schwellenwerte und regulatorische Anschlussfragen.
Aufbau und Umsetzung
Struktur aufbauen
Sie benötigen ein ISMS, das KRITIS-Anforderungen, ISO 27001, IT-Grundschutz oder B3S sinnvoll verbindet. Wir unterstützen bei Rollen, Prozessen, Risikomanagement, Maßnahmenplanung, Nachweisen und Projektsteuerung.
Prüfungs- und Auditvorbereitung
Nachweise schärfen
Sie bereiten einen regulatorischen Nachweis, ein Kundenaudit, ein internes Audit oder eine Managemententscheidung vor. Wir prüfen Dokumentation, Scope, Evidenzen, Maßnahmenstatus und typische Feststellungspunkte.
Weiterentwicklung und Betrieb
Wirksam pflegen
Sie möchten vorhandene Sicherheitsstrukturen stabilisieren, aktualisieren oder in den Betrieb überführen. Wir helfen bei Reviews, kontinuierlicher Verbesserung, Schulungen, technischen Prüfungen und der Verbindung von ISMS, BCM und Incident Response.
Direkt klären
Persönliche Einordnung Ihrer Ausgangslage
Ihr Ansprechpartner
Michael Zitzler
Vice President Sales Operations
+49 89 3090488-0
Kurz eingeordnet
Häufige Entscheidungsfragen zu KRITIS
Entscheidend ist nicht allein die Branchenzugehörigkeit. Relevant sind Sektor, kritische Dienstleistung, konkrete Anlage oder Anlagenteil und der jeweilige Schwellenwert der BSI-Kritisverordnung. Die Prüfung sollte deshalb immer anlagenbezogen erfolgen.
KRITIS-Betreiber sind regelmäßig auch im NIS2-Kontext zu betrachten. Zusätzlich fallen durch NIS2 viele Organisationen unter Cybersicherheitspflichten, die bisher nicht als KRITIS-Betreiber eingestuft waren. Betroffenheit, Registrierung, Risikomanagement und Meldeprozesse sollten gemeinsam bewertet werden.
ISO 27001 ist ein starkes Fundament, ersetzt aber nicht automatisch alle KRITIS-spezifischen Anforderungen. Scope, kritische Dienstleistung, Anlagenbezug, Angriffserkennung, Meldeprozesse, Nachweise und regulatorische Anforderungen müssen zusätzlich betrachtet werden.
KRITIS, NIS2 und physische Resilienz entwickeln sich weiter. Mit dem KRITIS-Dachgesetz rückt neben Cybersicherheit auch die ganzheitliche Resilienz kritischer Anlagen stärker in den Fokus. Betreiber sollten Cyber-, Betriebs- und Notfallanforderungen gemeinsam betrachten.
Von der Pflicht zur Prüffähigkeit
Wie wir KRITIS-Betreiber unterstützen
Wir beraten, schulen und auditieren nach Standards des BSI sowie nach der internationalen Normenreihe ISO 27000. Darüber hinaus gehören B3S, KRITIS, TISAX®, VDA-ISA und C5 Cloud-Computing zu den Beratungsexpertisen. Die Verbindung aus ISMS-Beratung, Auditpraxis, technischer Sicherheitsbewertung, Schulung und Projektbegleitung hilft dabei, Anforderungen nicht nur zu dokumentieren, sondern in der Organisation wirksam zu verankern.
KRITIS-Betroffenheitsprüfung
Scope- und Anlagenabgrenzung
Gap-Analyse und Standortbestimmung
ISMS-Aufbau und ISMS-Weiterentwicklung
Nachweisführung und Prüfungsvorbereitung
Umsetzung von Anforderungen nach ISO 27001, IT-Grundschutz oder B3S
Risikomanagement und Maßnahmenplanung
Business Continuity Management und Notfallmanagement
Lieferantenmanagement
Awareness und Schulungen
Systeme zur Angriffserkennung
Penetrationstests und technische Sicherheitsbewertungen
interne Audits und Auditvorbereitung
Begleitung externer Prüfungen
optionaler externer Informationssicherheitsbeauftragter
Ergebnis
Eine nachvollziehbare Grundlage für Management, IT, ISB, Fachbereiche, Prüfer und Kunden. Verantwortlichkeiten, Risiken, Maßnahmen und Nachweise werden so strukturiert, dass sie im Audit belastbar und im Betrieb handhabbar bleiben.
Klarer Einstieg
Der passende Einstieg für Ihre Ausgangslage
KRITIS-Projekte sollten mit einer belastbaren Einordnung starten. Erst wenn Betroffenheit, Scope, Anlagenbezug, Reifegrad und Zielbild geklärt sind, lassen sich Aufwand, Maßnahmen und Nachweise realistisch planen.
Penetrationstest
Technische Wirksamkeit prüfen
Für KRITIS-Betreiber und regulierte Organisationen, die technische Sicherheitsmaßnahmen überprüfen und prüffähig dokumentieren möchten.
Leistungsumfang:
Kick-off und Zieldefinition
Scope- und Risikoabstimmung
Technische Prüfung je nach Umgebung
Ergebnisbericht
Management Summary
Maßnahmenempfehlungen
Optionaler Retest
Ergebnis
Sie erhalten eine nachvollziehbare technische Bewertung mit priorisierten Maßnahmen für IT-Betrieb, Management und Nachweisführung.
KRITIS Audit
Standortbestimmung und Maßnahmenplan
Für Organisationen, die ihre KRITIS-Betroffenheit, ihren aktuellen Sicherheitsstand oder ihre Vorbereitung auf eine Prüfung strukturiert bewerten möchten.
Leistungsumfang:
Kick-off
Prüfung der Ausgangslage
Betrachtung von Scope, kritischer Dienstleistung und Anlagenbezug
Analyse relevanter KRITIS-Anforderungen
Bewertung von ISMS, Risiken, Maßnahmen und Nachweisen
Management Summary
Priorisierte Handlungsempfehlungen
Ergebnis
Sie erhalten eine belastbare Standortbestimmung mit klaren Handlungsfeldern für Management, IT, ISB und Projektteam.
Regulierte Sektoren
Für wen die KRITIS-Beratung besonders sinnvoll ist
Die Beratung eignet sich für Betreiber kritischer Anlagen, KRITIS-nahe Organisationen und Unternehmen mit erhöhten Nachweis- oder Auditpflichten. Besonders relevant ist sie für Energie, Wasser, Gesundheit, IT und Telekommunikation, Finanzwesen, Transport und Verkehr, Ernährung, Entsorgung, öffentliche Auftraggeber, IT-Dienstleister und Organisationen mit komplexen Lieferketten oder kritischen Kundenanforderungen.
Regulatorik aktuell einordnen
BSIG, NIS2 und KRITIS-Anforderungen zusammen betrachten
Für Betreiber kritischer Anlagen sowie weitere besonders wichtige und wichtige Einrichtungen gelten besondere Anforderungen an Informationssicherheit und Cyberresilienz. Dazu zählen unter anderem Risikomanagementmaßnahmen, Registrierung, Meldewege sowie je nach Einordnung zusätzliche Nachweis- und Prüfpflichten.
Das KRITIS-Dachgesetz ergänzt diese Anforderungen um die physische Resilienz kritischer Anlagen. Damit rücken auch BCM, Krisenorganisation, physische Sicherheit und Abhängigkeiten stärker in den Fokus.
Welche Anforderungen konkret gelten, hängt von Tätigkeit, Einrichtungsart, Größe und den jeweils maßgeblichen Kriterien ab. Deshalb sollte die eigene Betroffenheit zunächst strukturiert eingeordnet werden.
Angriffserkennung als prüfrelevanter Sicherheitsbaustein
KRITIS-Betreiber müssen Angriffe erkennen, bewerten und angemessen darauf reagieren können. Dafür reicht ein einzelnes Tool meist nicht aus. Entscheidend ist das Zusammenspiel aus Protokollierung, Detektion, Alarmierung, Reaktion, Verantwortlichkeiten und Nachweisführung.
Wir unterstützen bei der Bewertung bestehender Logging- und Monitoring-Strukturen, bei der Ableitung eines Zielbilds für Angriffserkennung und bei der Verbindung von SIEM-, SOC- und Detection-Konzepten mit Incident Response, BCM und Auditfähigkeit.
Typische Arbeitspakete sind:
Analyse vorhandener Protokollierung und Monitoring-Strukturen
Abgleich mit Anforderungen an Angriffserkennung
Definition relevanter Use Cases und Alarmierungslogiken
Prüfung von Eskalationswegen und Reaktionsprozessen
Bewertung von Nachweisen für Audits und Prüfungen
Verbindung mit Incident Response und Notfallmanagement
Angriffe erkennen
Technische Risiken und Wirksamkeit prüfen
Technische Sicherheitsbewertungen und Penetrationstests gezielt einsetzen
KRITIS-Betreiber müssen angemessene organisatorische und technische Maßnahmen nicht nur umsetzen, sondern deren Wirksamkeit nachvollziehbar bewerten und nachweisen. Ergänzende technische Prüfungen helfen dabei, Fehlkonfigurationen, Schwachstellen und unzureichend wirksame Kontrollen in besonders relevanten Systemen und Prozessen frühzeitig zu erkennen.
Technische Sicherheitsbewertungen untersuchen beispielsweise Netzwerkarchitekturen, Firewall-Regelwerke, Zugriffskontrollen, Konfigurationen und technische Betriebsprozesse. Penetrationstests gehen darüber hinaus und prüfen mit kontrollierten aktiven Testmethoden, ob Schwachstellen praktisch ausgenutzt und konkrete Angriffspfade aufgebaut werden können.
Welche Prüfart, Prüftiefe und Frequenz angemessen sind, richtet sich nach kritischer Dienstleistung, Anlagen- und Systembezug, Schutzbedarf, Exposition, Risikolage und dem konkreten Nachweiskonzept. Die Ergebnisse können in Risikoanalyse, Maßnahmenpriorisierung, Wirksamkeitskontrolle, regulatorische Nachweise und den kontinuierlichen Verbesserungsprozess einfließen.
Technische Sicherheitsbewertungen
Bewerten Sie ausgewählte Architekturen, Konfigurationen, Regelwerke und technische Betriebsprozesse und leiten Sie priorisierte Verbesserungsmaßnahmen ab.
Penetrationstests
Angriffspfade praktisch prüfen
Prüfen Sie mit kontrollierten Testmethoden, ob Schwachstellen in ausgewählten Systemen praktisch ausgenutzt und konkrete Angriffspfade aufgebaut werden können.
Nachweise handhabbar machen
Dokumentation, Methoden und Tools sinnvoll verbinden
KRITIS-Projekte benötigen eine saubere Verbindung aus Methodik, Dokumentation und operativer Umsetzbarkeit. Wir arbeiten je nach Organisation toolgestützt oder toolunabhängig. Möglich sind unter anderem verinice, fuentis Suite, HiScout, R2C_GRC oder vergleichbare ISMS- und GRC-Strukturen.
Wichtig ist, dass die Dokumentation nicht nur für die Prüfung erstellt wird. Sie muss Rollen, Risiken, Maßnahmen, Verantwortlichkeiten und Nachweise so abbilden, dass sie im Betrieb gepflegt und in Management-Reviews genutzt werden kann.
Dauerhaft wirksam
KRITIS-Sicherheit im Betrieb verankern
Nach Projektabschluss beginnt die eigentliche Bewährungsprobe. Risiken ändern sich, Dienstleister wechseln, Systeme werden angepasst und regulatorische Anforderungen entwickeln sich weiter. Deshalb sollten Reviews, Maßnahmenverfolgung, Awareness, technische Prüfungen und Managementkommunikation dauerhaft eingeplant werden.
Wir können Organisationen bei kontinuierlicher Pflege, internen Audits, Schulungen, Nachweisführung, technischer Sicherheitsbewertung und optionaler externer ISB-Unterstützung begleiten. Ziel ist ein ISMS, das nicht nur eingeführt, sondern nachvollziehbar betrieben und verbessert wird.
Prüfbereitschaft planen
Klären Sie Ihre KRITIS-Ausgangslage frühzeitig
Ob Betroffenheitsprüfung, KRITIS Audit, ISMS-Aufbau, Angriffserkennung oder technische Sicherheitsbewertung: Der sinnvolle nächste Schritt ist eine realistische Einordnung von Scope, Pflichten, Reifegrad und Aufwand.
KI sicher einordnen
KRITIS und KI: neue Anforderungen strukturiert bewerten
KI kann für Kritische Infrastrukturen relevant sein, zum Beispiel für Anomalieerkennung, Prognosen, Wartung, Kapazitätsplanung, Automatisierung, Lagebilder, Wissensmanagement oder Unterstützung im Security Operations Center.
Für KRITIS-Betreiber ist entscheidend, ob KI-Anwendungen Datenflüsse, Rollen, Berechtigungen, Betriebsprozesse, Nachweise oder kritische Dienstleistungen beeinflussen. Besonders sorgfältig zu prüfen sind KI-Systeme, die als Sicherheitskomponenten im Management oder Betrieb kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Versorgung mit Wasser, Gas, Wärme oder Strom eingesetzt werden.
Welche KI-Anwendungen werden bereits genutzt oder geplant?
Welche Daten, Prozesse, Systeme, Dienste oder Rollen sind betroffen?
Welche Risiken entstehen durch Eingaben, Ausgaben, Modelle, Schnittstellen oder Automatisierung?
Welche Risiken entstehen durch Eingaben, Ausgaben, Modelle, Schnittstellen oder Automatisierung?
Wie lässt sich KI-Governance mit ISMS, Datenschutz, Risikomanagement, NIS2 und Betrieb verbinden?
Erprobte Umsetzung
Erfahrung aus Informationssicherheit, Audits und Betrieb
Seit 1996 haben wir mehr als 2.000 ISMS-Projekte umgesetzt, über 500 Audits und Zertifizierungen begleitet und stellen für mehr als 100 Organisationen den Informationssicherheitsbeauftragten.
Diese Erfahrung ist besonders für KRITIS-Projekte relevant, weil regulatorische Anforderungen, technische Wirksamkeit und organisatorische Umsetzbarkeit zusammengebracht werden müssen. Neben ISO-27001-Lead-Auditoren und -Lead-Implementern stehen technische Experten aus dem IT-Service-Bereich zur Verfügung. So wird die Lücke zwischen Informationssicherheit und IT-Betrieb geschlossen.
Strukturiert vorgehen
Von der Einordnung bis zur prüffähigen Umsetzung
Betroffenheit und Scope klären
Wir prüfen Sektor, kritische Dienstleistung, Anlagenbezug, Schwellenwerte und regulatorische Anschlussfragen.
Standort bestimmen
Wir bewerten vorhandene Sicherheitsprozesse, Dokumentation, technische Maßnahmen und Nachweise.
Zielbild entwickeln
Wir definieren gemeinsam ISMS-Struktur, Rollen, Verantwortlichkeiten, Maßnahmenplan und Prioritäten.
Umsetzung begleiten
Wir unterstützen bei Workshops, Dokumentation, technischen Maßnahmen, Angriffserkennung, BCM, Lieferantenmanagement und Awareness.
Prüfung vorbereiten
Wir bereiten interne Audits, externe Prüfungen, Nachweiseinreichung und Managementkommunikation vor.
Betrieb stabilisieren
Wir helfen, das ISMS dauerhaft zu betreiben, zu verbessern und regulatorische Änderungen im Blick zu behalten.
Verhalten und Nachweise verbinden
Security Awareness als KRITIS-Maßnahme
Awareness übersetzt Sicherheitsziele, Risiken und Richtlinien in verständliches Verhalten. Zielgruppen, Inhalte, Formate, Zuständigkeiten und geeignete Wirksamkeitsnachweise sollten aus dem ISMS abgeleitet, dokumentiert und regelmäßig bewertet werden.
Wissen und Handlungssicherheit
Schulungen und Workshops
Die Formate ergänzen Beratung und Umsetzung dort, wo Management, Fachbereiche oder verantwortliche Rollen gemeinsames Wissen und konkrete Arbeitsergebnisse benötigen.
Fachkompetenz
KRITIS-Auditor (BSI)
Methodische Wissen, um Sicherheitsmaßnahmen kritischer Anlagen fundiert zu prüfen, Verbesserungspotenziale zu erkennen und belastbare Prüfungsergebnisse zu erarbeiten.
Verantwortung übernehmen
ISO Informationssicherheitsbeauftragte(r) mit TÜV Rheinland geprüfter Qualifikation
Für Personen, die ISO-Anforderungen fachlich koordinieren oder künftig eine Rolle in der Informationssicherheitsorganisation übernehmen.
Know-how erwerben
NIS2 Plus – NIS2 & KRITIS gemeinsam denken
In unserer NIS2+-Schulung erhalten Sie einen Überblick über die Grundlagen und Anforderungen im Bereich kritischer Infrastrukturen & des NIS2-Umsetzungsgesetzes.
Sinnvolle Ergänzungen
Weiterführende Leistungen
ISMS-Aufbau und Weiterentwicklung
Struktur und Nachweise
Bauen Sie ein Informationssicherheitsmanagement auf, das regulatorische Anforderungen, Risiken, Maßnahmen und Nachweise nachvollziehbar verbindet.
ISO 27001
Standard als Fundament
Nutzen Sie ISO 27001 als belastbare Grundlage für Sicherheitsprozesse, Rollen, Risikomanagement und Auditfähigkeit.
IT-Grundschutz
BSI-Methodik
Für öffentliche Auftraggeber und stark regulierte Organisationen kann IT-Grundschutz eine geeignete Basis für strukturierte Sicherheitskonzepte sein.
NIS2
Regulatorische Erweiterung
Prüfen Sie zusätzliche Pflichten für Registrierung, Risikomanagement, Meldeprozesse und Geschäftsleitungsverantwortung.
BCM / Notfallmanagement
Resilienz und Wiederanlauf
Machen Sie kritische Prozesse, Abhängigkeiten und Wiederanlaufziele sichtbar und prüffähig.
Incident Response
Vorfälle beherrschen
Definieren Sie Meldewege, Eskalation, Analyse, Eindämmung und Wiederanlauf, bevor ein Sicherheitsvorfall zum Krisenfall wird.
Penetration Testing
Technische Wirksamkeit
Prüfen Sie realistisch, wie belastbar Ihre Systeme, Schnittstellen und Netzwerke gegen Angriffe sind.
Kurz beantwortet
Häufig gestellte Fragen
KRITIS steht für Kritische Infrastrukturen. Gemeint sind Organisationen, Einrichtungen oder Anlagen mit hoher Bedeutung für das Gemeinwesen, deren Ausfall erhebliche Versorgungsengpässe oder Störungen verursachen kann.
Entscheidend sind Sektor, kritische Dienstleistung, Anlagenkategorie und Schwellenwert. Die reine Branchenzugehörigkeit reicht nicht aus. Die konkrete Prüfung sollte anlagenbezogen erfolgen.
Zu prüfen sind insbesondere Energie, Wasser, Gesundheit, IT und Telekommunikation, Transport und Verkehr, Finanzwesen, Ernährung, Entsorgung sowie im NIS2-Kontext weitere Sektoren wie digitale Dienste, IKT-Dienste, öffentliche Verwaltung, Weltraum, Chemie, verarbeitendes Gewerbe und Forschung.
Zentrale Pflichten betreffen Registrierung, Kontaktstelle, Meldung erheblicher Sicherheitsvorfälle, angemessene Sicherheitsmaßnahmen, Angriffserkennung, Nachweise und regelmäßige Überprüfung.
Betreiber kritischer Anlagen müssen gegenüber der zuständigen Aufsicht regelmäßig nachweisen, dass angemessene technische und organisatorische Maßnahmen umgesetzt wurden. Wir unterstützen bei der Vorbereitung der erforderlichen Nachweise und begleiten die Prüfung.
ISO 27001 kann eine sehr gute Grundlage sein. Für KRITIS müssen jedoch Scope, kritische Dienstleistung, Anlagenbezug, Nachweise und spezifische Anforderungen zusätzlich geprüft werden.
Sie erfassen sicherheitsrelevante Ereignisse, unterstützen die Erkennung von Angriffen und helfen bei Bewertung, Alarmierung, Reaktion und Nachweisführung.
KRITIS-Betreiber müssen angemessene Sicherheitsmaßnahmen überprüfen und nachweisen. Penetrationstests sind dafür häufig ein sinnvoller Baustein. Umfang und Frequenz hängen von Scope, Risiko und Nachweiskonzept ab.
Das KRITIS-Dachgesetz stärkt die physische und organisatorische Resilienz kritischer Anlagen. Betreiber sollten Cybersicherheit, BCM, Krisenmanagement, physische Sicherheit und Dienstleistersteuerung zusammen betrachten.
Ja, in bestimmten Fällen. KI-Systeme können im Kontext kritischer Infrastruktur als Hochrisiko-KI gelten, wenn sie als Sicherheitskomponenten im Management oder Betrieb bestimmter kritischer Infrastrukturen eingesetzt werden.
Nächsten Schritt klären
Bereiten Sie Ihre KRITIS-Anforderungen strukturiert vor
Sie möchten wissen, ob Ihre Organisation betroffen ist, welche Nachweise erforderlich sind oder wie Sie regulatorische Prüfungen, NIS2-Anforderungen, Angriffserkennung oder BCM sinnvoll vorbereiten? Wir ordnen Ihre Ausgangslage ein und zeigen die nächsten Schritte auf.