{
    "slug": "kritis-nachweisverfahren-39-bsig",
    "titre": "KRITIS-Nachweisverfahren nach § 39 BSIG – Dreijahresturnus, prüfende Stellen, GAiN und Personenzertifizierung",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Betreiber kritischer Anlagen müssen dem BSI alle drei Jahre nachweisen, dass sie die Risikomanagementmaßnahmen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 BSIG umgesetzt haben — durch Sicherheitsaudits, Prüfungen oder Zertifizierungen (§ 39 Absatz 1 Satz 1 BSIG).",
    "resume_court": "Betreiber kritischer Anlagen müssen dem **BSI alle drei Jahre nachweisen**, dass sie die Risikomanagementmaßnahmen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 BSIG umgesetzt haben — durch **Sicherheitsaudits, Prüfungen oder Zertifizierungen** (§ 39 Absatz 1 Satz 1 BSIG). Den Zeitpunkt legt das BSI im Benehmen mit dem BBK fest, frühestens drei Jahre, nachdem eine Anlage erstmals als kritische Anlage gilt.\n\nWie geprüft wird, regelt nicht das Gesetz, sondern das BSI: § 39 Absatz 2 BSIG erlaubt ihm, Anforderungen an Durchführung, Nachweisgeeignetheit und an die **prüfenden Stellen** festzulegen — veröffentlicht als „Grundsätzliche Anforderungen im Nachweisverfahren\u0022 (**GAiN**), aktuell **Version 2.2 vom 09.07.2026**.\n\nNeu ist die **Personenzertifizierung zum KRITIS-Auditor**: Das BSI hat sie am **31.08.2026** angekündigt. Künftig erkennt das BSI Nachweise nur noch an, wenn die **Prüfteamleitung** zertifiziert ist. Verbindlich wird das erst mit einem GAiN-Update, das das BSI **für Anfang 2027** ankündigt; danach läuft eine **Übergangsfrist von 18 Monaten**, in der Nachweise nach dem bisherigen Verfahren weiter akzeptiert werden.\n\n\u003E **Rechtsstand:** § 39 BSIG ist geltendes Recht (BSIG vom 02.12.2025, BGBl. 2025 I Nr. 301, Textnachweis ab 06.12.2025; Standangabe „Geändert durch Art. 4 G v. 11.3.2026 I Nr. 66\u0022, Änderung durch Art. 8 Abs. 1 G v. 23.7.2026, BGBl. 2026 I Nr. 226, berücksichtigt — § 39 selbst ist unverändert). Die **Pflicht zur Personenzertifizierung** ist dagegen noch **nicht** in Kraft — sie entsteht erst mit Veröffentlichung des angekündigten GAiN-Updates und ist vom BSI lediglich für Anfang 2027 in Aussicht gestellt. Stand: 2026-09-06.",
    "faits": [
        {
            "point": "Rechtsgrundlage Nachweispflicht",
            "valeur": "§ 39 Absatz 1 Satz 1 BSIG [gesetze-im-internet.de, § 39 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Betroffene",
            "valeur": "Betreiber kritischer Anlagen (gelten automatisch als besonders wichtige Einrichtung) [GAiN 2.2, Kap. 1]",
            "autorite": "A"
        },
        {
            "point": "Nachweisgegenstand",
            "valeur": "Umsetzung der Maßnahmen nach § 30 Abs. 1 Satz 1 i. V. m. § 31 Abs. 1 und 2 Satz 1 BSIG [§ 39 Abs. 1 Satz 1 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Nachweisform",
            "valeur": "Sicherheitsaudits, Prüfungen oder Zertifizierungen [§ 39 Abs. 1 Satz 1 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Turnus",
            "valeur": "alle drei Jahre [§ 39 Abs. 1 Satz 1 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Erster Nachweiszeitpunkt",
            "valeur": "vom BSI im Benehmen mit dem BBK festgelegt; frühestens drei Jahre nach erstmaligem bzw. spätestens drei Jahre nach erneutem Gelten als Betreiber einer kritischen Anlage [§ 39 Abs. 1 Satz 1 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Übermittlungspflicht",
            "valeur": "Ergebnisse der Audits/Prüfungen/Zertifizierungen einschließlich der aufgedeckten Sicherheitsmängel [§ 39 Abs. 1 Satz 2 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Befugnisse des BSI bei Mängeln",
            "valeur": "Vorlage der zugrunde gelegten Dokumentation, eines Mängelbeseitigungsplanes, Beseitigung der Mängel sowie Nachweis der Beseitigung [§ 39 Abs. 1 Sätze 3–5 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Rechtsgrundlage der BSI-Anforderungen",
            "valeur": "§ 39 Absatz 2 Satz 1 Nr. 1–3 BSIG; Festlegung durch öffentliche Mitteilung auf der Internetseite des BSI [§ 39 Abs. 2 Satz 2 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Anforderungsdokument",
            "valeur": "„Grundsätzliche Anforderungen im Nachweisverfahren (GAiN)\u0022, Version 2.2 vom 09.07.2026, „Finale Version nach Anhörung\u0022 [GAiN 2.2, Änderungshistorie]",
            "autorite": "A"
        },
        {
            "point": "Inkrafttreten GAiN 2.2",
            "valeur": "mit ihrer Veröffentlichung; abweichend treten N.BG.01, N.BG.04, N.BG.07 und N.BG.08 zum 01.01.2027 in Kraft, N.BN.03 entfällt zum 01.01.2027 [GAiN 2.2, Kap. 4]",
            "autorite": "A"
        },
        {
            "point": "Prüfteam",
            "valeur": "mindestens zwei Prüfer; ein Mitglied wird als Leitung benannt [GAiN 2.2, Kap. 5 „Prüfteam\u0022]",
            "autorite": "A"
        },
        {
            "point": "Rotation",
            "valeur": "Leitung des Prüfteams muss spätestens nach drei Prüfzyklen wechseln; die bisherige Prüfungsleitung darf Teil des Prüfteams bleiben [GAiN 2.2, P.UP.03]",
            "autorite": "A"
        },
        {
            "point": "Kompetenzbereiche des Prüfteams",
            "valeur": "Auditkompetenz, zusätzliche Prüfverfahrenskompetenz für § 39 BSIG, Informationssicherheits- inkl. IT-Sicherheitskompetenz, Sektor- und Branchenkompetenz [GAiN 2.2, P.UP.04]",
            "autorite": "A"
        },
        {
            "point": "4-Augen-Prinzip",
            "valeur": "mindestens fünf Prüfungssachverhalte: Geltungsbereich, referenzierte Zertifikate, Risikoanalyse und Risikobehandlung, Mängelliste aus vorangegangener Prüfung, Vor-Ort-Prüfung [GAiN 2.2, D.4A.01]",
            "autorite": "A"
        },
        {
            "point": "Personenzertifizierung – Ankündigung",
            "valeur": "BSI-Pressemeldung vom 31.08.2026 [bsi.bund.de, Meldung KRITIS-Personenzertifizierung]",
            "autorite": "A"
        },
        {
            "point": "Personenzertifizierung – wer",
            "valeur": "die Prüfteamleitung (Audit-Teamleiter) [BSI-FAQ, „Wer im Prüfteam benötigt die Personenzertifizierung?\u0022]",
            "autorite": "A"
        },
        {
            "point": "Personenzertifizierung – ab wann verbindlich",
            "valeur": "mit einem GAiN-Update, dessen Veröffentlichung das BSI für Anfang 2027 beabsichtigt [BSI-FAQ]",
            "autorite": "A"
        },
        {
            "point": "Übergangsfrist",
            "valeur": "18 Monate ab Inkrafttreten des GAiN-Updates [BSI-FAQ]",
            "autorite": "A"
        },
        {
            "point": "Gültigkeit des Zertifikats",
            "valeur": "3 Jahre, danach Rezertifizierung [BSI-FAQ]",
            "autorite": "A"
        },
        {
            "point": "Rezertifizierungsantrag",
            "valeur": "frühestens 6 Monate vor Ablauf, Eingang spätestens 6 Wochen vor Ablauf [BSI-FAQ]",
            "autorite": "A"
        },
        {
            "point": "Schulungsumfang",
            "valeur": "6 Module, Mindestumfang 21 Zeitstunden zzgl. Pausen [BSI-FAQ]",
            "autorite": "A"
        },
        {
            "point": "Gültigkeit der Teilnahmebescheinigung",
            "valeur": "bei Antragseingang nicht älter als 12 Monate [BSI-FAQ]",
            "autorite": "A"
        },
        {
            "point": "Gelistete Schulungsanbieter",
            "valeur": "7 (Abruf 06.09.2026) [bsi.bund.de, Qualifizierung Prüfkompetenz]",
            "autorite": "A"
        },
        {
            "point": "Gebühren",
            "valeur": "nach BMIBGebV; bei erforderlicher Vor-Ort-Überwachung zusätzlich 963 € [BSI-FAQ]",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "§ 39 BSIG – Nachweispflichten für Betreiber kritischer Anlagen, gesetze-im-internet.de",
            "url": "https://www.gesetze-im-internet.de/bsig_2025/__39.html",
            "autorite": "A"
        },
        {
            "titre": "§ 30 BSIG – Risikomanagementmaßnahmen, gesetze-im-internet.de",
            "url": "https://www.gesetze-im-internet.de/bsig_2025/__30.html",
            "autorite": "A"
        },
        {
            "titre": "§ 31 BSIG – Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen, gesetze-im-internet.de",
            "url": "https://www.gesetze-im-internet.de/bsig_2025/__31.html",
            "autorite": "A"
        },
        {
            "titre": "BSI-Gesetz, Inhaltsverzeichnis und Standangabe, gesetze-im-internet.de",
            "url": "https://www.gesetze-im-internet.de/bsig_2025/index.html",
            "autorite": "A"
        },
        {
            "titre": "BSI, Grundsätzliche Anforderungen im Nachweisverfahren (GAiN), Version 2.2 vom 09.07.2026 (PDF)",
            "url": "https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/anforderungen_gain_22.pdf?__blob=publicationFile\u0026v=4",
            "autorite": "A"
        },
        {
            "titre": "BSI, Qualifizierung von Personen zur Prüfkompetenz nach § 39 Abs. 2 BSIG",
            "url": "https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/Kritische-Infrastrukturen/Qualifizierung-Pruefkompetenz/qualifizierung-pruefkompetenz_node.html",
            "autorite": "A"
        },
        {
            "titre": "BSI, FAQ zur Personenzertifizierung von KRITIS-Auditoren",
            "url": "https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/Kritische-Infrastrukturen/KRITIS-FAQ/FAQ-qualifizierung-pruefkompetenz/faq-qualifizierung-pruefkompetenz_node.html",
            "autorite": "A"
        },
        {
            "titre": "BSI-Pressemeldung vom 31.08.2026, BSI führt verpflichtende Personenzertifizierung für KRITIS-Auditorinnen und -Auditoren ein",
            "url": "https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/2026/KRITIS_Personenzertifizierung_260831.html",
            "autorite": "A"
        },
        {
            "titre": "BSI, Fragen und Antworten zu Nachweisen gemäß § 39 BSIG",
            "url": "https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/Kritische-Infrastrukturen/KRITIS-FAQ/FAQ-zu-Nachweisen/faq-zu-nachweisen_node.html",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt KRITIS-Nachweisverfahren nach § 39 BSIG – Dreijahresturnus, prüfende Stellen, GAiN und Personenzertifizierung?",
            "reponse": "Betreiber kritischer Anlagen müssen dem BSI alle drei Jahre nachweisen, dass sie die Risikomanagementmaßnahmen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 BSIG umgesetzt haben — durch Sicherheitsaudits, Prüfungen oder Zertifizierungen (§ 39 Absatz 1 Satz 1 BSIG)."
        },
        {
            "question": "Für wen gilt KRITIS-Nachweisverfahren nach § 39 BSIG?",
            "reponse": "Die Nachweispflicht nach § 39 Absatz 1 BSIG trifft Betreiber kritischer Anlagen. Sie gelten nach dem novellierten BSIG automatisch auch als besonders wichtige Einrichtung, sodass die Risikomanagementmaßnahmen der §§ 30 und 31 BSIG auf sie Anwendung finden."
        },
        {
            "question": "Gibt es Ausnahmen bei KRITIS-Nachweisverfahren nach § 39 BSIG?",
            "reponse": "Bestimmung über das KRITIS-Dachgesetz: Die Nachweispflicht nach § 39 Absatz 1 Satz 1 BSIG gilt nicht für Betreiber kritischer Anlagen, die auf Grundlage von § 5 Absatz 7 des KRITIS-Dachgesetzes als solche bestimmt wurden (§ 39 Absatz 4 BSIG). Alt-Betreiber mit auslaufender Frist: Betreiber, deren Nachweisfrist nach § 8a Absatz 3 BSIG a. F."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei KRITIS-Nachweisverfahren nach § 39 BSIG?",
            "reponse": "Die Personenzertifizierung wird für bereits verpflichtend gehalten. Sie ist es nicht. Nach der BSI-FAQ wird sie erst „mit einem Update der Anforderungen gemäß § 39 Absatz 2 BSIG\u0022 verbindlich, dessen Veröffentlichung das BSI für Anfang 2027 beabsichtigt — und selbst dann folgt eine Übergangsfrist von 18 Monaten. Die alte Prüfverfahrenskompetenz wird als Ersatz angesehen."
        },
        {
            "question": "Wie sieht ein Praxisbeispiel für KRITIS-Nachweisverfahren nach § 39 BSIG aus?",
            "reponse": "Ein Wasserversorger gilt seit dem 01.04.2026 erstmals als Betreiber einer kritischen Anlage. Nach § 39 Absatz 1 Satz 1 BSIG kann das BSI den ersten Nachweiszeitpunkt frühestens auf den 01.04.2029 legen; anschließend ist alle drei Jahre erneut nachzuweisen. Für die Prüfung beauftragt der Versorger eine externe prüfende Stelle."
        }
    ],
    "wikidata": [
        "Q60607370",
        "Q373338",
        "Q257906",
        "Q130213702"
    ],
    "valid_from": "2025-12-06",
    "valid_to": null,
    "derniere_revision": "2026-09-06",
    "derniere_verification": "2026-09-06",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/kritis-nachweisverfahren-39-bsig"
}