Nexvyra

KRITIS-Nachweisverfahren nach § 39 BSIG – Dreijahresturnus, prüfende Stellen, GAiN und Personenzertifizierung In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-09-06 · letzte Prüfung: 2026-09-06 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Betreiber kritischer Anlagen müssen dem **BSI alle drei Jahre nachweisen**, dass sie die Risikomanagementmaßnahmen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 BSIG umgesetzt haben — durch **Sicherheitsaudits, Prüfungen oder Zertifizierungen** (§ 39 Absatz 1 Satz 1 BSIG). Den Zeitpunkt legt das BSI im Benehmen mit dem BBK fest, frühestens drei Jahre, nachdem eine Anlage erstmals als kritische Anlage gilt. Wie geprüft wird, regelt nicht das Gesetz, sondern das BSI: § 39 Absatz 2 BSIG erlaubt ihm, Anforderungen an Durchführung, Nachweisgeeignetheit und an die **prüfenden Stellen** festzulegen — veröffentlicht als „Grundsätzliche Anforderungen im Nachweisverfahren" (**GAiN**), aktuell **Version 2.2 vom 09.07.2026**. Neu ist die **Personenzertifizierung zum KRITIS-Auditor**: Das BSI hat sie am **31.08.2026** angekündigt. Künftig erkennt das BSI Nachweise nur noch an, wenn die **Prüfteamleitung** zertifiziert ist. Verbindlich wird das erst mit einem GAiN-Update, das das BSI **für Anfang 2027** ankündigt; danach läuft eine **Übergangsfrist von 18 Monaten**, in der Nachweise nach dem bisherigen Verfahren weiter akzeptiert werden. > **Rechtsstand:** § 39 BSIG ist geltendes Recht (BSIG vom 02.12.2025, BGBl. 2025 I Nr. 301, Textnachweis ab 06.12.2025; Standangabe „Geändert durch Art. 4 G v. 11.3.2026 I Nr. 66", Änderung durch Art. 8 Abs. 1 G v. 23.7.2026, BGBl. 2026 I Nr. 226, berücksichtigt — § 39 selbst ist unverändert). Die **Pflicht zur Personenzertifizierung** ist dagegen noch **nicht** in Kraft — sie entsteht erst mit Veröffentlichung des angekündigten GAiN-Updates und ist vom BSI lediglich für Anfang 2027 in Aussicht gestellt. Stand: 2026-09-06.

Kernfakten

PunktWert
Rechtsgrundlage Nachweispflicht§ 39 Absatz 1 Satz 1 BSIG [gesetze-im-internet.de, § 39 BSIG]
BetroffeneBetreiber kritischer Anlagen (gelten automatisch als besonders wichtige Einrichtung) [GAiN 2.2, Kap. 1]
NachweisgegenstandUmsetzung der Maßnahmen nach § 30 Abs. 1 Satz 1 i. V. m. § 31 Abs. 1 und 2 Satz 1 BSIG [§ 39 Abs. 1 Satz 1 BSIG]
NachweisformSicherheitsaudits, Prüfungen oder Zertifizierungen [§ 39 Abs. 1 Satz 1 BSIG]
Turnusalle drei Jahre [§ 39 Abs. 1 Satz 1 BSIG]
Erster Nachweiszeitpunktvom BSI im Benehmen mit dem BBK festgelegt; frühestens drei Jahre nach erstmaligem bzw. spätestens drei Jahre nach erneutem Gelten als Betreiber einer kritischen Anlage [§ 39 Abs. 1 Satz 1 BSIG]
ÜbermittlungspflichtErgebnisse der Audits/Prüfungen/Zertifizierungen einschließlich der aufgedeckten Sicherheitsmängel [§ 39 Abs. 1 Satz 2 BSIG]
Befugnisse des BSI bei MängelnVorlage der zugrunde gelegten Dokumentation, eines Mängelbeseitigungsplanes, Beseitigung der Mängel sowie Nachweis der Beseitigung [§ 39 Abs. 1 Sätze 3–5 BSIG]
Rechtsgrundlage der BSI-Anforderungen§ 39 Absatz 2 Satz 1 Nr. 1–3 BSIG; Festlegung durch öffentliche Mitteilung auf der Internetseite des BSI [§ 39 Abs. 2 Satz 2 BSIG]
Anforderungsdokument„Grundsätzliche Anforderungen im Nachweisverfahren (GAiN)", Version 2.2 vom 09.07.2026, „Finale Version nach Anhörung" [GAiN 2.2, Änderungshistorie]
Inkrafttreten GAiN 2.2mit ihrer Veröffentlichung; abweichend treten N.BG.01, N.BG.04, N.BG.07 und N.BG.08 zum 01.01.2027 in Kraft, N.BN.03 entfällt zum 01.01.2027 [GAiN 2.2, Kap. 4]
Prüfteammindestens zwei Prüfer; ein Mitglied wird als Leitung benannt [GAiN 2.2, Kap. 5 „Prüfteam"]
RotationLeitung des Prüfteams muss spätestens nach drei Prüfzyklen wechseln; die bisherige Prüfungsleitung darf Teil des Prüfteams bleiben [GAiN 2.2, P.UP.03]
Kompetenzbereiche des PrüfteamsAuditkompetenz, zusätzliche Prüfverfahrenskompetenz für § 39 BSIG, Informationssicherheits- inkl. IT-Sicherheitskompetenz, Sektor- und Branchenkompetenz [GAiN 2.2, P.UP.04]
4-Augen-Prinzipmindestens fünf Prüfungssachverhalte: Geltungsbereich, referenzierte Zertifikate, Risikoanalyse und Risikobehandlung, Mängelliste aus vorangegangener Prüfung, Vor-Ort-Prüfung [GAiN 2.2, D.4A.01]
Personenzertifizierung – AnkündigungBSI-Pressemeldung vom 31.08.2026 [bsi.bund.de, Meldung KRITIS-Personenzertifizierung]
Personenzertifizierung – werdie Prüfteamleitung (Audit-Teamleiter) [BSI-FAQ, „Wer im Prüfteam benötigt die Personenzertifizierung?"]
Personenzertifizierung – ab wann verbindlichmit einem GAiN-Update, dessen Veröffentlichung das BSI für Anfang 2027 beabsichtigt [BSI-FAQ]
Übergangsfrist18 Monate ab Inkrafttreten des GAiN-Updates [BSI-FAQ]
Gültigkeit des Zertifikats3 Jahre, danach Rezertifizierung [BSI-FAQ]
Rezertifizierungsantragfrühestens 6 Monate vor Ablauf, Eingang spätestens 6 Wochen vor Ablauf [BSI-FAQ]
Schulungsumfang6 Module, Mindestumfang 21 Zeitstunden zzgl. Pausen [BSI-FAQ]
Gültigkeit der Teilnahmebescheinigungbei Antragseingang nicht älter als 12 Monate [BSI-FAQ]
Gelistete Schulungsanbieter7 (Abruf 06.09.2026) [bsi.bund.de, Qualifizierung Prüfkompetenz]
Gebührennach BMIBGebV; bei erforderlicher Vor-Ort-Überwachung zusätzlich 963 € [BSI-FAQ]

Geltungsbereich

Die Nachweispflicht nach § 39 Absatz 1 BSIG trifft Betreiber kritischer Anlagen. Sie gelten nach dem novellierten BSIG automatisch auch als besonders wichtige Einrichtung, sodass die Risikomanagementmaßnahmen der §§ 30 und 31 BSIG auf sie Anwendung finden. Geprüft wird nicht das Unternehmen als Ganzes, sondern die kritische Anlage in ihrem dokumentierten Geltungsbereich (so die Geltungsbereichs-Definition in GAiN 2.2, Kap. 5). Das Prüfteam muss die kritische Anlage „in ihrer Gesamtheit, inklusive ihrer verschiedenen Standorte" hinreichend betrachten; die Bildung von Stichproben ist nur bei Anlagen, die aus mehreren Standorten bestehen, möglich und setzt eine nachvollziehbare Beschreibung der Stichprobenbildung voraus (GAiN 2.2, D.PA.03).

Adressat der GAiN-Anforderungen sind zugleich die prüfenden Stellen. Nach der GAiN-Definition ist das eine vom Betreiber beauftragte, fachlich qualifizierte und unabhängige natürliche oder juristische Person beziehungsweise Organisationseinheit, die ein Prüfteam zusammenstellt. Prüfende Stelle und alle Mitglieder des Prüfteams müssen gegenüber dem Betreiber unternehmensfremd sowie rechtlich und wirtschaftlich unabhängig sein; geteilte Unternehmens- oder Konzernstrukturen schließen eine Stelle aus (GAiN 2.2, P.UP.01).

Für Betreiber, die vor Inkrafttreten des novellierten BSIG bereits Betreiber Kritischer Infrastrukturen nach § 2 Absatz 10 BSIG 2009 waren, legt das BSI den Nachweiszeitpunkt abweichend fest: frühestens drei Jahre nach Erbringung des letzten Nachweises nach § 8a Absatz 3 BSIG a. F. (§ 39 Absatz 3 Satz 1 BSIG).

Ausnahmen

Häufige Fehler

Beispiel

Ein Wasserversorger gilt seit dem 01.04.2026 erstmals als Betreiber einer kritischen Anlage. Nach § 39 Absatz 1 Satz 1 BSIG kann das BSI den ersten Nachweiszeitpunkt frühestens auf den 01.04.2029 legen; anschließend ist alle drei Jahre erneut nachzuweisen.

Für die Prüfung beauftragt der Versorger eine externe prüfende Stelle. Deren Prüfteam besteht aus mindestens zwei Prüfern und muss in seiner Gesamtheit Audit-, Prüfverfahrens-, Informationssicherheits- sowie Sektor- und Branchenkompetenz abdecken (GAiN 2.2, P.UP.04). Geltungsbereich, referenzierte Zertifikate, Risikoanalyse, die alte Mängelliste und die Vor-Ort-Prüfung sind im 4-Augen-Prinzip zu prüfen (D.4A.01).

Liegt der Prüfzeitpunkt nach Inkrafttreten des angekündigten GAiN-Updates, muss die Prüfteamleitung über die Personenzertifizierung zum KRITIS-Auditor verfügen. Voraussetzung dafür ist unter anderem eine Teilnahmebescheinigung eines beim BSI gelisteten Schulungsanbieters, die bei Antragseingang nicht älter als zwölf Monate sein darf, sowie in den letzten acht Jahren mindestens fünf Jahre Berufserfahrung im Bereich IT, davon mindestens zwei Jahre im Bereich Informationssicherheit (BSI-FAQ). Das BSI strebt einen Prüfungstermin bis vier Wochen nach Antragseingang an; die Zertifikatsvergabe erfolgt circa sechs Wochen nach bestandener Prüfung.

Stand

Quellen

Letzte Änderung:
2026-09-06
Letzte Prüfung:
2026-09-06
In Kraft seit:
2025-12-06
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.