--- title: "KRITIS-Nachweisverfahren nach § 39 BSIG – Dreijahresturnus, prüfende Stellen, GAiN und Personenzertifizierung" slug: "kritis-nachweisverfahren-39-bsig" domaine: "datenschutz" valid_from: "2025-12-06" valid_to: null last_reviewed: "2026-09-06" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/kritis-nachweisverfahren-39-bsig.md wikidata_subjects: [] factcheck_status: "ok" --- # KRITIS-Nachweisverfahren nach § 39 BSIG – Dreijahresturnus, prüfende Stellen, GAiN und Personenzertifizierung ## Kurzantwort Betreiber kritischer Anlagen müssen dem **BSI alle drei Jahre nachweisen**, dass sie die Risikomanagementmaßnahmen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 BSIG umgesetzt haben — durch **Sicherheitsaudits, Prüfungen oder Zertifizierungen** (§ 39 Absatz 1 Satz 1 BSIG). Den Zeitpunkt legt das BSI im Benehmen mit dem BBK fest, frühestens drei Jahre, nachdem eine Anlage erstmals als kritische Anlage gilt. Wie geprüft wird, regelt nicht das Gesetz, sondern das BSI: § 39 Absatz 2 BSIG erlaubt ihm, Anforderungen an Durchführung, Nachweisgeeignetheit und an die **prüfenden Stellen** festzulegen — veröffentlicht als „Grundsätzliche Anforderungen im Nachweisverfahren" (**GAiN**), aktuell **Version 2.2 vom 09.07.2026**. Neu ist die **Personenzertifizierung zum KRITIS-Auditor**: Das BSI hat sie am **31.08.2026** angekündigt. Künftig erkennt das BSI Nachweise nur noch an, wenn die **Prüfteamleitung** zertifiziert ist. Verbindlich wird das erst mit einem GAiN-Update, das das BSI **für Anfang 2027** ankündigt; danach läuft eine **Übergangsfrist von 18 Monaten**, in der Nachweise nach dem bisherigen Verfahren weiter akzeptiert werden. > **Rechtsstand:** § 39 BSIG ist geltendes Recht (BSIG vom 02.12.2025, BGBl. 2025 I Nr. 301, Textnachweis ab 06.12.2025; Standangabe „Geändert durch Art. 4 G v. 11.3.2026 I Nr. 66", Änderung durch Art. 8 Abs. 1 G v. 23.7.2026, BGBl. 2026 I Nr. 226, berücksichtigt — § 39 selbst ist unverändert). Die **Pflicht zur Personenzertifizierung** ist dagegen noch **nicht** in Kraft — sie entsteht erst mit Veröffentlichung des angekündigten GAiN-Updates und ist vom BSI lediglich für Anfang 2027 in Aussicht gestellt. Stand: 2026-09-06. ## Kernfakten | Punkt | Wert | |---|---| | Rechtsgrundlage Nachweispflicht | § 39 Absatz 1 Satz 1 BSIG [gesetze-im-internet.de, § 39 BSIG] | | Betroffene | Betreiber kritischer Anlagen (gelten automatisch als besonders wichtige Einrichtung) [GAiN 2.2, Kap. 1] | | Nachweisgegenstand | Umsetzung der Maßnahmen nach § 30 Abs. 1 Satz 1 i. V. m. § 31 Abs. 1 und 2 Satz 1 BSIG [§ 39 Abs. 1 Satz 1 BSIG] | | Nachweisform | Sicherheitsaudits, Prüfungen oder Zertifizierungen [§ 39 Abs. 1 Satz 1 BSIG] | | Turnus | alle drei Jahre [§ 39 Abs. 1 Satz 1 BSIG] | | Erster Nachweiszeitpunkt | vom BSI im Benehmen mit dem BBK festgelegt; frühestens drei Jahre nach erstmaligem bzw. spätestens drei Jahre nach erneutem Gelten als Betreiber einer kritischen Anlage [§ 39 Abs. 1 Satz 1 BSIG] | | Übermittlungspflicht | Ergebnisse der Audits/Prüfungen/Zertifizierungen einschließlich der aufgedeckten Sicherheitsmängel [§ 39 Abs. 1 Satz 2 BSIG] | | Befugnisse des BSI bei Mängeln | Vorlage der zugrunde gelegten Dokumentation, eines Mängelbeseitigungsplanes, Beseitigung der Mängel sowie Nachweis der Beseitigung [§ 39 Abs. 1 Sätze 3–5 BSIG] | | Rechtsgrundlage der BSI-Anforderungen | § 39 Absatz 2 Satz 1 Nr. 1–3 BSIG; Festlegung durch öffentliche Mitteilung auf der Internetseite des BSI [§ 39 Abs. 2 Satz 2 BSIG] | | Anforderungsdokument | „Grundsätzliche Anforderungen im Nachweisverfahren (GAiN)", Version 2.2 vom 09.07.2026, „Finale Version nach Anhörung" [GAiN 2.2, Änderungshistorie] | | Inkrafttreten GAiN 2.2 | mit ihrer Veröffentlichung; abweichend treten N.BG.01, N.BG.04, N.BG.07 und N.BG.08 zum 01.01.2027 in Kraft, N.BN.03 entfällt zum 01.01.2027 [GAiN 2.2, Kap. 4] | | Prüfteam | mindestens zwei Prüfer; ein Mitglied wird als Leitung benannt [GAiN 2.2, Kap. 5 „Prüfteam"] | | Rotation | Leitung des Prüfteams muss spätestens nach drei Prüfzyklen wechseln; die bisherige Prüfungsleitung darf Teil des Prüfteams bleiben [GAiN 2.2, P.UP.03] | | Kompetenzbereiche des Prüfteams | Auditkompetenz, zusätzliche Prüfverfahrenskompetenz für § 39 BSIG, Informationssicherheits- inkl. IT-Sicherheitskompetenz, Sektor- und Branchenkompetenz [GAiN 2.2, P.UP.04] | | 4-Augen-Prinzip | mindestens fünf Prüfungssachverhalte: Geltungsbereich, referenzierte Zertifikate, Risikoanalyse und Risikobehandlung, Mängelliste aus vorangegangener Prüfung, Vor-Ort-Prüfung [GAiN 2.2, D.4A.01] | | Personenzertifizierung – Ankündigung | BSI-Pressemeldung vom 31.08.2026 [bsi.bund.de, Meldung KRITIS-Personenzertifizierung] | | Personenzertifizierung – wer | die Prüfteamleitung (Audit-Teamleiter) [BSI-FAQ, „Wer im Prüfteam benötigt die Personenzertifizierung?"] | | Personenzertifizierung – ab wann verbindlich | mit einem GAiN-Update, dessen Veröffentlichung das BSI für Anfang 2027 beabsichtigt [BSI-FAQ] | | Übergangsfrist | 18 Monate ab Inkrafttreten des GAiN-Updates [BSI-FAQ] | | Gültigkeit des Zertifikats | 3 Jahre, danach Rezertifizierung [BSI-FAQ] | | Rezertifizierungsantrag | frühestens 6 Monate vor Ablauf, Eingang spätestens 6 Wochen vor Ablauf [BSI-FAQ] | | Schulungsumfang | 6 Module, Mindestumfang 21 Zeitstunden zzgl. Pausen [BSI-FAQ] | | Gültigkeit der Teilnahmebescheinigung | bei Antragseingang nicht älter als 12 Monate [BSI-FAQ] | | Gelistete Schulungsanbieter | 7 (Abruf 06.09.2026) [bsi.bund.de, Qualifizierung Prüfkompetenz] | | Gebühren | nach BMIBGebV; bei erforderlicher Vor-Ort-Überwachung zusätzlich 963 € [BSI-FAQ] | ## Geltungsbereich Die Nachweispflicht nach § 39 Absatz 1 BSIG trifft **Betreiber kritischer Anlagen**. Sie gelten nach dem novellierten BSIG automatisch auch als besonders wichtige Einrichtung, sodass die Risikomanagementmaßnahmen der §§ 30 und 31 BSIG auf sie Anwendung finden. Geprüft wird nicht das Unternehmen als Ganzes, sondern die **kritische Anlage** in ihrem dokumentierten Geltungsbereich (so die Geltungsbereichs-Definition in GAiN 2.2, Kap. 5). Das Prüfteam muss die kritische Anlage „in ihrer Gesamtheit, inklusive ihrer verschiedenen Standorte" hinreichend betrachten; die Bildung von Stichproben ist nur **bei Anlagen, die aus mehreren Standorten bestehen**, möglich und setzt eine nachvollziehbare Beschreibung der Stichprobenbildung voraus (GAiN 2.2, D.PA.03). Adressat der GAiN-Anforderungen sind zugleich die **prüfenden Stellen**. Nach der GAiN-Definition ist das eine vom Betreiber beauftragte, fachlich qualifizierte und unabhängige natürliche oder juristische Person beziehungsweise Organisationseinheit, die ein Prüfteam zusammenstellt. Prüfende Stelle und alle Mitglieder des Prüfteams müssen gegenüber dem Betreiber **unternehmensfremd sowie rechtlich und wirtschaftlich unabhängig** sein; geteilte Unternehmens- oder Konzernstrukturen schließen eine Stelle aus (GAiN 2.2, P.UP.01). Für Betreiber, die vor Inkrafttreten des novellierten BSIG bereits Betreiber Kritischer Infrastrukturen nach § 2 Absatz 10 BSIG 2009 waren, legt das BSI den Nachweiszeitpunkt abweichend fest: **frühestens drei Jahre nach Erbringung des letzten Nachweises nach § 8a Absatz 3 BSIG a. F.** (§ 39 Absatz 3 Satz 1 BSIG). ## Ausnahmen - **Bestimmung über das KRITIS-Dachgesetz:** Die Nachweispflicht nach § 39 Absatz 1 Satz 1 BSIG gilt **nicht** für Betreiber kritischer Anlagen, die auf Grundlage von § 5 Absatz 7 des KRITIS-Dachgesetzes als solche bestimmt wurden (§ 39 Absatz 4 BSIG). - **Alt-Betreiber mit auslaufender Frist:** Betreiber, deren Nachweisfrist nach § 8a Absatz 3 BSIG a. F. innerhalb von zwölf Monaten nach Inkrafttreten des Gesetzes abgelaufen wäre, können in diesem Zeitraum einen Nachweis **nach den bisher geltenden Vorgaben** erbringen (§ 39 Absatz 3 Satz 2 BSIG). - **Interne Revision als prüfende Stelle:** Abweichend vom Unabhängigkeitsgebot dürfen Interne Revisionen als prüfende Stelle handeln, wenn sie ein angemessenes und wirksames Revisionssystem sowie die Wirksamkeit der Internen Revision durch Einhaltung der Global Internal Audit Standards des Institute of Internal Auditors (IIA) sicherstellen und nachweisen (GAiN 2.2, P.IR.01). Der Nachweis erfolgt nach N.IR.01 durch ein Quality Assessment nach IDW PS 983 oder DIIR Revisionsstandard Nr. 3, das bei Prüfungsabschluss nicht länger als fünf Jahre zurückliegen darf. - **Nachweise als besonders wichtige Einrichtung:** Audits, Prüfungen oder Zertifizierungen nach § 61 Absatz 1 beziehungsweise Nachweise nach § 61 Absatz 3 BSIG sind **kein grundsätzlicher Bestandteil** des Nachweises nach § 39 Absatz 1 BSIG; eine freiwillige Einbeziehung ist möglich, soweit die GAiN-Anforderungen erfüllt sind (GAiN 2.2, D.PA.06). ## Häufige Fehler - **Die Personenzertifizierung wird für bereits verpflichtend gehalten.** Sie ist es nicht. Nach der BSI-FAQ wird sie erst „mit einem Update der Anforderungen gemäß § 39 Absatz 2 BSIG" verbindlich, dessen Veröffentlichung das BSI für Anfang 2027 beabsichtigt — und selbst dann folgt eine Übergangsfrist von 18 Monaten. - **Die alte Prüfverfahrenskompetenz wird als Ersatz angesehen.** Das BSI erkennt die bisherige Schulung zur Prüfverfahrenskompetenz nach § 8a Absatz 3 BSIG a. F. **nicht** für die Personenzertifizierung an; Schulung und Prüfung sind vollständig neu zu durchlaufen (BSI-FAQ). - **Alle Prüfer sollen zertifiziert werden.** Erforderlich ist die Zertifizierung nach der BSI-FAQ nur für den **Audit-Teamleiter**, nicht für jedes Mitglied des Prüfteams. - **Ein ISO/IEC-27001-Zertifikat wird mit dem KRITIS-Nachweis gleichgesetzt.** Bestehende Prüfungen und Zertifikate können nach GAiN 2.2 (Kap. 3.6) einbezogen werden, ersetzen den Nachweis nach § 39 Absatz 1 BSIG aber nicht; Sicherheitsmängel aus vorangegangenen Prüfungen, die für die kritische Dienstleistung relevant sind, müssen in die Mängelliste übernommen werden (GAiN 2.2, Kap. 3.7, D.AM.04). - **Ein Nachweis ohne Mängel gilt als „fertig".** Auch dann verlangt die GAiN eine ausdrückliche Angabe in Anlage PE.A, dass keine Sicherheitsmängel vorhanden sind (GAiN 2.2, N.BN.07). - **Der Zeitpunkt wird selbst gewählt.** Den Nachweiszeitpunkt legt das BSI im Benehmen mit dem BBK fest (§ 39 Absatz 1 Satz 1 BSIG); der Dreijahresturnus knüpft daran an, nicht an ein frei gewähltes Datum des Betreibers. ## Beispiel Ein Wasserversorger gilt seit dem 01.04.2026 erstmals als Betreiber einer kritischen Anlage. Nach § 39 Absatz 1 Satz 1 BSIG kann das BSI den ersten Nachweiszeitpunkt **frühestens auf den 01.04.2029** legen; anschließend ist alle drei Jahre erneut nachzuweisen. Für die Prüfung beauftragt der Versorger eine externe prüfende Stelle. Deren Prüfteam besteht aus mindestens zwei Prüfern und muss in seiner Gesamtheit Audit-, Prüfverfahrens-, Informationssicherheits- sowie Sektor- und Branchenkompetenz abdecken (GAiN 2.2, P.UP.04). Geltungsbereich, referenzierte Zertifikate, Risikoanalyse, die alte Mängelliste und die Vor-Ort-Prüfung sind im 4-Augen-Prinzip zu prüfen (D.4A.01). Liegt der Prüfzeitpunkt nach Inkrafttreten des angekündigten GAiN-Updates, muss die **Prüfteamleitung** über die Personenzertifizierung zum KRITIS-Auditor verfügen. Voraussetzung dafür ist unter anderem eine Teilnahmebescheinigung eines beim BSI gelisteten Schulungsanbieters, die bei Antragseingang nicht älter als zwölf Monate sein darf, sowie in den letzten acht Jahren mindestens fünf Jahre Berufserfahrung im Bereich IT, davon mindestens zwei Jahre im Bereich Informationssicherheit (BSI-FAQ). Das BSI strebt einen Prüfungstermin **bis vier Wochen nach Antragseingang** an; die Zertifikatsvergabe erfolgt **circa sechs Wochen nach bestandener Prüfung**. ## Stand - Stand: 2026-09-06 - Gültig ab: 2025-12-06 - Status: aktuell - Quellenautorität: A - Lizenz: CC BY 4.0 ## Quellen - § 39 BSIG – Nachweispflichten für Betreiber kritischer Anlagen, gesetze-im-internet.de: https://www.gesetze-im-internet.de/bsig_2025/__39.html - § 30 BSIG – Risikomanagementmaßnahmen, gesetze-im-internet.de: https://www.gesetze-im-internet.de/bsig_2025/__30.html - § 31 BSIG – Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen, gesetze-im-internet.de: https://www.gesetze-im-internet.de/bsig_2025/__31.html - BSI-Gesetz, Inhaltsverzeichnis und Standangabe, gesetze-im-internet.de: https://www.gesetze-im-internet.de/bsig_2025/index.html - BSI, Grundsätzliche Anforderungen im Nachweisverfahren (GAiN), Version 2.2 vom 09.07.2026 (PDF): https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/anforderungen_gain_22.pdf?__blob=publicationFile&v=4 - BSI, Qualifizierung von Personen zur Prüfkompetenz nach § 39 Abs. 2 BSIG: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/Kritische-Infrastrukturen/Qualifizierung-Pruefkompetenz/qualifizierung-pruefkompetenz_node.html - BSI, FAQ zur Personenzertifizierung von KRITIS-Auditoren: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/Kritische-Infrastrukturen/KRITIS-FAQ/FAQ-qualifizierung-pruefkompetenz/faq-qualifizierung-pruefkompetenz_node.html - BSI-Pressemeldung vom 31.08.2026, BSI führt verpflichtende Personenzertifizierung für KRITIS-Auditorinnen und -Auditoren ein: https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/2026/KRITIS_Personenzertifizierung_260831.html - BSI, Fragen und Antworten zu Nachweisen gemäß § 39 BSIG: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/Kritische-Infrastrukturen/KRITIS-FAQ/FAQ-zu-Nachweisen/faq-zu-nachweisen_node.html ## Stand - Letzte Änderung: 2026-09-06 - Letzte Prüfung: 2026-09-06 - In Kraft seit: 2025-12-06 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0