Kurzdefinition: Die KRITIS-Nachweispflicht verpflichtet Betreiber kritischer Anlagen, die Umsetzung ihrer Sicherheitsmaßnahmen regelmäßig gegenüber dem Bundesamt zu belegen. § 39 BSIG regelt Turnus und Verfahren. [N-BSIG-39]
Der Normwortlaut
§ 39 Abs. 1 BSIG bestimmt, dass Betreiber kritischer Anlagen die Umsetzung der Maßnahmen nach § 30 in Verbindung mit § 31 „durch Sicherheitsaudits, Prüfungen oder Zertifizierungen“ nachzuweisen haben — zu einem festgelegten Zeitpunkt, frühestens drei Jahre nach erstmaliger Einstufung, und „anschließend alle drei Jahre“. [N-BSIG-39]
Wie oft muss nachgewiesen werden?
Grundsätzlich im Drei-Jahres-Rhythmus, aber nicht schlicht ab Tag eins. Nach § 39 BSIG wird der erste Zeitpunkt vom Bundesamt im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe festgelegt; er liegt frühestens drei Jahre nach der erstmaligen Einstufung, anschließend gilt der Drei-Jahres-Turnus. Für frühere KRITIS-Betreiber und bestimmte KRITIS-DachG-Bestimmungen enthält § 39 Abs. 3 und 4 Sonderregeln. [N-BSIG-39]
Was ist nachzuweisen und wie?
Die Umsetzung der Maßnahmen durch unabhängige Prüfung. Der Nachweis erfolgt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen; die Ergebnisse einschließlich der aufgedeckten Sicherheitsmängel sind dem Bundesamt zu übermitteln. Das Bundesamt kann die Vorlage der Prüfdokumentation, eines Mängelbeseitigungsplans und eines Nachweises über die Beseitigung verlangen. [N-BSIG-39]
Wie unterscheidet sich das von der allgemeinen Nachweispflicht?
Es ist die KRITIS-spezifische Ausprägung. Während für besonders wichtige Einrichtungen allgemeine Nachweisregeln gelten, verlangt § 39 BSIG von Betreibern kritischer Anlagen einen turnusmäßigen, prüfungsgestützten Nachweis der erhöhten Maßnahmen nach § 31 BSIG. Die KRITIS-Nachweispflicht ist damit strenger und formalisierter. [N-BSIG-39] [N-BSIG-31]
Für den Übergang bestehen Sonderregeln: Nach § 39 Absatz 3 BSIG legt das Bundesamt abweichend von Absatz 1 Satz 1 für frühere Betreiber Kritischer Infrastrukturen den Nachweiszeitpunkt gesondert fest, und nach § 39 Absatz 4 BSIG gilt die Nachweispflicht nicht für Betreiber, die auf Grundlage des § 5 Absatz 7 des KRITIS-Dachgesetzes bestimmt wurden. [N-BSIG-39]
Auf welche Maßnahmen bezieht sich der Nachweis?
Auf die KRITIS-Maßnahmen. § 39 Abs. 1 BSIG verlangt den Nachweis über die Umsetzung der Maßnahmen nach § 30 in Verbindung mit § 31 BSIG — also die allgemeinen Risikomanagementmaßnahmen zusammen mit den KRITIS-Sonderpflichten, insbesondere den Systemen zur Angriffserkennung. [N-BSIG-39]
Was kann das Bundesamt bei aufgedeckten Mängeln verlangen?
Belege und Behebung. Das Bundesamt kann einen geeigneten Mängelbeseitigungsplan, die Beseitigung der Mängel und einen Nachweis über die erfolgte Beseitigung verlangen. Der Nachweis endet damit nicht mit der Vorlage des Audits, sondern reicht bis zur belegten Behebung. [N-BSIG-39]
Häufige Fehlannahmen
- „Ein einmaliger Nachweis genügt.“ Nein. Nach dem festgelegten Ersttermin ist der Nachweis grundsätzlich alle drei Jahre zu erbringen. [N-BSIG-39]
- „Eine Selbsterklärung reicht aus.“ Nein. Erforderlich sind Sicherheitsaudits, Prüfungen oder Zertifizierungen. [N-BSIG-39]
- „Aufgedeckte Mängel müssen nicht gemeldet werden.“ Doch. Die Ergebnisse einschließlich Mängel sind zu übermitteln. [N-BSIG-39]
- „Der Nachweisturnus ist wie früher zweijährig.“ Nein. Nach dem neuen BSIG ist der Nachweis grundsätzlich alle drei Jahre zu erbringen. [N-BSIG-39]
- „Nach der Meldung von Mängeln passiert nichts weiter.“ Nein. Das Bundesamt kann einen geeigneten Mängelbeseitigungsplan, die Beseitigung der Mängel und einen Nachweis darüber verlangen. [N-BSIG-39]
Was die Geschäftsleitung tun sollte
- Nachweiszyklus planen. Den Drei-Jahres-Turnus organisatorisch verankern.
- Prüfungen beauftragen. Sicherheitsaudits oder Zertifizierungen rechtzeitig durchführen.
- Mängel beheben. Aufgedeckte Sicherheitsmängel bearbeiten und belegen.
- Dokumentation vorhalten. Prüfunterlagen für das Bundesamt bereithalten.
Für die Geschäftsleitung
§ 39 BSIG macht die Umsetzung der KRITIS-Maßnahmen überprüfbar: Nach dem festgelegten Ersttermin ist sie grundsätzlich alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nachzuweisen, aufgedeckte Mängel inklusive. Für die Geschäftsleitung von KRITIS-Betreibern ist der turnusmäßige, dokumentierte Nachweis ein fester Bestandteil der Cyber-Compliance.
Quellen
- [N-BSIG-39] § 39 BSIG (Nachweispflichten für Betreiber kritischer Anlagen), Abs. 1 bis 4. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__39.html
- [N-BSIG-31] § 31 BSIG (Besondere Anforderungen an Betreiber kritischer Anlagen). Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__31.html
