Nexvyra

← Alle News · Behörden · Ereignis: 2026-08-31 · Publiziert: 2026-09-01

BSI macht Personenzertifizierung für KRITIS-Auditoren verpflichtend – Schulungskonzept nach § 39 Abs. 2 BSIG veröffentlicht

Kurzmeldung

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 31. August 2026 Informationen zum Schulungskonzept für KRITIS-Auditoren veröffentlicht und damit den ersten Schritt zur Einführung einer verpflichtenden Personenzertifizierung nach § 39 Abs. 2 BSIG getan. Betroffen sind Auditorinnen und Auditoren, die im Rahmen der Nachweisprüfung kritischer Anlagen die Prüfteamleitung übernehmen. Verpflichtend wird die Zertifizierung laut BSI nach Inkrafttreten der überarbeiteten „Grundsätzlichen Anforderungen im Nachweisverfahren" (GAiN) – voraussichtlich Anfang 2027.

Kernfakten

PunktWert
Datum2026-08-31 (Veröffentlichung des Schulungskonzepts)
Gericht/InstitutionBundesamt für Sicherheit in der Informationstechnik (BSI), KRITIS-Büro
AktenzeichenCurriculum und Schulungskonzept „KRITIS-Auditor"; Kurz-URL bsi.bund.de/dok/kritis-auditor
Rechtsgrundlage§ 39 Abs. 2 BSIG (fachliche und organisatorische Anforderungen an prüfende Stellen), Nachweise nach § 39 Abs. 1 BSIG
AdressatenKRITIS-Auditoren mit Prüfteamleitung; Anbieter von Auditoren-Schulungen; Betreiber kritischer Anlagen
WirkungZertifizierungspflicht mit Inkrafttreten der überarbeiteten GAiN, voraussichtlich Anfang 2027

Was das bedeutet

Nach § 39 Abs. 1 BSIG müssen Betreiber kritischer Anlagen dem BSI nachweisen, dass sie die geforderten Sicherheitsmaßnahmen umgesetzt haben. § 39 Abs. 2 BSIG erlaubt dem BSI, fachliche und organisatorische Anforderungen an die prüfenden Stellen festzulegen. Auf dieser Grundlage stellt das BSI nun Anforderungen an die Qualifikation derjenigen Auditorinnen und Auditoren, die ein Prüfteam leiten.

Der vom BSI beschriebene Weg zur Zertifizierung umfasst vier Stufen: Erwerb von Grundkenntnissen im Selbststudium, Schulung bei einem qualifizierten Schulungsanbieter, Nachweis von Praxiserfahrung und Prüfung beim BSI sowie die abschließende Zertifizierung, die zur Nachweisprüfung nach § 39 Abs. 1 BSIG berechtigt.

Für Schulungsanbieter stellt das BSI ein Curriculum bereit, dessen Inhalte und Themen verbindlich umzusetzen sind; auf Nachfrage gibt es zusätzlich ein Schulungskonzept aus Master-Foliensatz, Schulungsleitfaden und Übungsaufgaben. Wer solche Schulungen anbieten will, muss gegenüber dem KRITIS-Büro des BSI eine Selbsterklärung über die fachliche Qualifikation seiner Trainer abgeben; auf Wunsch listet das BSI den Anbieter anschließend. Die Anbieterliste ist derzeit noch leer – erste Registrierungen erwartet das BSI kurzfristig.

Für Betreiber kritischer Anlagen bedeutet die Neuerung, dass sie ab Inkrafttreten der überarbeiteten GAiN bei der Auswahl der prüfenden Stelle darauf achten müssen, dass die Prüfteamleitung personenzertifiziert ist. Ein konkretes Datum für die Zertifizierungspflicht nennt das BSI bislang nicht; es bleibt bei der Angabe „voraussichtlich Anfang 2027". Prüfende Stellen sollten die Qualifizierung ihrer Prüfteamleitungen entsprechend einplanen.

Für vertiefte Information

Quelle

Stand