Das Bundesamt für Sicherheit in der Informationstechnik hat am 9. Juli 2026 die Version 2.2 der „Grundsätzlichen Anforderungen im Nachweisverfahren“ – kurz GAiN – veröffentlicht. Die Neufassung passt das KRITIS-Nachweisverfahren an das novellierte BSI-Gesetz und die deutsche Umsetzung der NIS-2-Richtlinie an.
Für Betreiber kritischer Anlagen ist GAiN kein unverbindlicher Leitfaden. Das Dokument legt verpflichtende Anforderungen an die Durchführung der Nachweisprüfung, die einzureichenden Nachweise und die prüfende Stelle fest. Betreiber müssen deren Einhaltung sicherstellen und ihre externe oder interne prüfende Stelle entsprechend verpflichten.
Für Betreiber entstehen daraus konkrete Auswirkungen auf Prüfungsplanung, Prüfgrundlage, Auswahl des Prüfteams, Geltungsbereich, Umgang mit Sicherheitsmängeln und Anrechnung bereits bestehender Zertifikate.
Neuer gesetzlicher Bezugsrahmen
GAiN 2.2 bezieht sich nun auf § 39 BSIG. Betreiber kritischer Anlagen gelten zugleich als besonders wichtige Einrichtungen. Sie müssen die Umsetzung der Risikomanagementmaßnahmen nach §§ 30 und 31 BSIG in Bezug auf ihre kritischen Anlagen alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen gegenüber dem BSI nachweisen.
Die Anforderungen werden weiterhin drei Regelungsbereichen zugeordnet:
- D für die Durchführung der Prüfung,
- N für die Geeignetheit des Nachweises,
- P für die prüfende Stelle.
Die GAiN-Anforderungen sind in Verbindung mit weiteren BSI-Dokumenten zu lesen. Dazu gehören insbesondere die Orientierungshilfe zu Nachweisen und die Vorgaben zur Reife- und Umsetzungsgradbewertung im Rahmen der Nachweisprüfung – RUN.
GAiN 2.2 ist bereits in Kraft
Die aktualisierten Anforderungen sind grundsätzlich mit ihrer Veröffentlichung am 9. Juli 2026 in Kraft getreten. Betreiber kritischer Anlagen sollten die jeweils anwendbaren Anforderungen deshalb bereits bei laufenden und neu zu beauftragenden Nachweisprüfungen berücksichtigen.
Eine Ausnahme gilt für vier Anforderungen zur Verwendung bestehender Prüfungen und Zertifikate:
- N.BG.01,
- N.BG.04,
- N.BG.07,
- N.BG.08.
Diese Regelungen treten erst am 1. Januar 2027 in Kraft. Sie betreffen insbesondere die Prüfungsmethodik bestehender Zertifizierungen, die Aktualität der zugrunde liegenden Prüfung, zusätzlich erforderliche Maßnahmen und die Deckungsgleichheit der Geltungsbereiche.
1. Höhere Anforderungen an die Zusammensetzung des Prüfteams
GAiN 2.2 stellt klar, dass nicht nur die prüfende Stelle, sondern auch sämtliche Mitglieder des Prüfteams gegenüber dem Betreiber unternehmensfremd sowie rechtlich und wirtschaftlich unabhängig sein müssen.
Das Prüfteam muss in seiner Gesamtheit vier Kompetenzfelder abdecken:
- Auditkompetenz,
- zusätzliche Prüfverfahrenskompetenz für § 39 BSIG,
- Informationssicherheits- einschließlich IT-Sicherheitskompetenz,
- Sektor- und Branchenkompetenz.
Für Betreiber ist insbesondere die Branchenkompetenz von Bedeutung. Eine allgemeine Qualifikation für Informationssicherheitsaudits reicht nicht zwangsläufig aus, um Prozesse, die Informationstechnologie oder die branchenspezifischen besonderen Verfügbarkeitsanforderungen angemessen beurteilen zu können.
Die Prüfteamleitung muss spätestens nach drei Prüfzyklen wechseln. Die bisherige Leitung kann anschließend weiterhin als Mitglied des Prüfteams eingesetzt werden.
2. Besondere Voraussetzungen für die Interne Revision
GAiN 2.2 ermöglicht es weiterhin, die Interne Revision als prüfende Stelle einzusetzen. Sie wird von der grundsätzlich geforderten unternehmensfremden rechtlichen und wirtschaftlichen Unabhängigkeit ausgenommen, wenn ein angemessenes und wirksames Revisionssystem nachgewiesen werden kann.
Dafür ist ein Quality Assessment nach IDW PS 983 oder DIIR Revisionsstandard Nr. 3 erforderlich. Der Nachweis muss insbesondere
- eine positive Gesamtaussage zur Wirksamkeit enthalten,
- der Internen Revision eindeutig zugeordnet werden können,
- auf einem zum Abschluss der KRITIS-Prüfung höchstens fünf Jahre alten Quality Assessment beruhen und
- erkennen lassen, dass das Prüfungsteam die geforderten Kompetenzen abdeckt.
Fehlende Fachkompetenz kann gegebenenfalls durch interne oder externe Expertise ergänzt werden.
Für Konzerne mit einer leistungsfähigen Internen Revision eröffnet dies grundsätzlich eine prüfungsorganisatorische Option. Vor einer internen Durchführung müssen allerdings Ressourcen, Fachkompetenz, Unabhängigkeit innerhalb der Organisation und die Abgrenzung zu beratenden Tätigkeiten sorgfältig bewertet werden.
3. Die Prüfgrundlage muss mehrstufig aufgebaut sein
Eine der zentralen Neuerungen ist die ausführliche Regelung der Prüfgrundlage. Sie muss künftig vier Ebenen abdecken:
- Basisanforderungen der Informationssicherheit,
- spezifische KRITIS-Anforderungen,
- sektor- und branchenspezifische Anforderungen,
- betreiberspezifische Anforderungen und Risiken.
Als Basis können anerkannte internationale Sicherheitsstandards und Zertifizierungsschemata herangezogen werden. Ergänzend müssen jedoch die besonderen Anforderungen des BSIG, von GAiN und RUN sowie gegebenenfalls eines branchenspezifischen Sicherheitsstandards berücksichtigt werden.
Ein vom BSI als geeignet festgestellter branchenspezifischer Sicherheitsstandard darf ausdrücklich nicht alleinige Prüfgrundlage sein. Er kann lediglich einen Bestandteil der mehrschichtigen Prüfgrundlage bilden.
Erstellt der Betreiber die Prüfgrundlage selbst, muss das Prüfteam sie vor Beginn der Nachweisprüfung inhaltlich validieren. Die abschließende Verantwortung für Vollständigkeit, Widerspruchsfreiheit und Eignung liegt beim Prüfteam.
Für Betreiber kritischer Infrastrukturen bedeutet dies: Ein vorhandener B3S, ein ISO/IEC-27001-Kontrollkatalog oder ein unternehmensinterner Prüfkatalog ist für sich genommen nicht ausreichend. Die verschiedenen Anforderungsebenen müssen nachvollziehbar zusammengeführt und referenziert werden.
4. Sämtliche Themenbereiche müssen angemessen geprüft werden
Alle durch RUN vorgegebenen Themenbereiche müssen Gegenstand der Nachweisprüfung sein. Eine lediglich formale oder selektive Behandlung genügt nicht.
Für jeden Themenbereich sind eine zum Prüfobjekt passende Methode und eine angemessene Prüfdauer festzulegen. Bei kritischen Anlagen mit mehreren Standorten dürfen Stichproben gebildet werden. Ihre Auswahl muss jedoch nachvollziehbar beschrieben und risikoorientiert begründet werden.
Eine Prüfung der Konzernzentrale oder einer einzelnen Betriebsstätte kann nicht ohne Weiteres als repräsentativ für sämtliche Standorte gelten. Unterschiede bei Netzarchitektur, Informationstechnologie, lokalen Dienstleistern, Notfallorganisation oder technischen Betriebsmodellen müssen in der Stichprobenplanung berücksichtigt werden.
5. Einschränkung der Risikoakzeptanz und des Risikotransfers
GAiN 2.2 enthält eine weitreichende Vorgabe zum Umgang mit Risiken für die kritische Dienstleistung. Relevante Risiken dürfen nicht akzeptiert oder lediglich auf Dritte transferiert werden, wenn geeignete und wirksame technische oder organisatorische Maßnahmen möglich und verhältnismäßig sind.
Damit reicht es nicht aus, ein erhebliches Risiko durch Managemententscheidung formal zu akzeptieren oder vertraglich auf einen Dienstleister zu übertragen. Entscheidend bleibt, ob angemessene Schutzmaßnahmen verfügbar wären.
Für Betreiber kritischer Anlagen betrifft dies beispielsweise:
- veraltete, aber operativ unverzichtbare Systeme,
- unzureichend segmentierte Betriebsnetze,
- dauerhaft geöffnete Fernwartungszugänge,
- fehlende Redundanzen,
- nicht ausreichend kontrollierte Cloud- und IT-Dienstleister,
- bekannte Schwachstellen in eingesetzten Systemen und Komponenten.
Risikoakzeptanz bleibt damit eine begründungsbedürftige Ausnahme und darf nicht als Ersatz für realisierbare Sicherheitsmaßnahmen dienen.
6. Vier-Augen-Prinzip bleibt operativ anspruchsvoll
Bestimmte Prüfungssachverhalte müssen weiterhin im Vier-Augen-Prinzip untersucht werden. Dazu zählen insbesondere:
- die Festlegung des Geltungsbereichs,
- die Bewertung einbezogener Zertifikate,
- Risikoanalyse und Risikobehandlung,
- die Mängelliste der vorherigen Prüfung,
- wesentliche Vor-Ort-Prüfungen.
Es genügt nicht, wenn ein einzelner Prüfer die Prüfungshandlung durchführt und eine zweite Person lediglich den Bericht kontrolliert. Mindestens zwei hinreichend qualifizierte Prüfer müssen unmittelbar an der Beurteilung beteiligt sein.
Dies wirkt sich auf Prüfungsaufwand, Terminplanung und Vergütung aus. Entsprechende Ressourcen sollten bereits in Ausschreibung und Beauftragung realistisch eingeplant werden.
7. Prüfbericht und Stichproben müssen nachvollziehbarer werden
Der Prüfbericht muss ein eigenständiges, eindeutig bezeichnetes und versioniertes Dokument sein. Er muss unter anderem enthalten:
- Geltungsbereich und Prüfziel,
- Zeitpunkt, Ort und Dauer der Prüfung,
- prüfende Stelle und namentlich benanntes Prüfteam,
- sämtliche Prüfhandlungen,
- untersuchte Prüfobjekte,
- eingesetzte Prüfmethoden,
- Vorgehen bei der risikoorientierten Stichprobenauswahl.
Bei der Auswahl von Vor-Ort-Stichproben sind Prüfungsschwerpunkte und Ergebnisse der vorherigen Nachweisprüfung zu berücksichtigen. Eine schematische Wiederholung immer gleicher Standorte oder Systeme ohne dokumentierte Risikoorientierung dürfte damit schwer begründbar sein.
Das BSI kann zudem die vollständige zugrunde liegende Dokumentation verlangen. Dazu gehören der Prüfbericht und die vom Betreiber für die Prüfung bereitgestellten Unterlagen und Dateien. Betreiber benötigen deshalb eine geordnete, nachvollziehbare und langfristig verfügbare Prüfungsdokumentation.
8. Sicherheitsmängel werden eindeutig kategorisiert
Sicherheitsmängel dürfen nur noch einer von zwei Kategorien zugeordnet werden:
- schwerwiegender Sicherheitsmangel,
- geringfügiger Sicherheitsmangel.
Der Betreiber muss die Mängelliste um geeignete Maßnahmen und Umsetzungszeiträume ergänzen. Anschließend bewertet das Prüfteam,
- ob die Maßnahmen zur Mängelbeseitigung geeignet sind,
- ob die vorgesehenen Zeiträume angemessen sind und
- ob eine schnellere Umsetzung möglich wäre.
Hält die prüfende Stelle Maßnahmen oder Fristen für ungeeignet, muss sie dies in der Mängelliste dokumentieren.
Damit wird der Umsetzungsplan selbst zum prüfungsrelevanten Gegenstand. Allgemeine Aussagen wie „Behebung geplant“ oder sehr langfristige Zieltermine ohne belastbare Begründung genügen nicht.
9. Frühere Mängel werden systematisch weiterverfolgt
Bei Folgeprüfungen muss der Betreiber die Mängelliste und den Umsetzungsplan des vorherigen, vom BSI akzeptierten Nachweises vollständig und unverändert bereitstellen. Zusätzlich ist der aktuelle Umsetzungsstand jedes Mangels als
- „In Planung“,
- „In Umsetzung“ oder
- „Abgeschlossen“
zu kennzeichnen.
Das Prüfteam muss den Behebungsstand plausibilisieren. Nicht abgeschlossene Mängel werden in die neue Mängelliste übernommen und über eine besondere Kennzeichnung dauerhaft zurückverfolgbar gehalten.
Für das Management bedeutet dies: Offene Feststellungen verschwinden nicht mit Beginn eines neuen Prüfungszyklus. Ein konsistenter Maßnahmenverfolgungsprozess einschließlich Verantwortlichkeiten, Fristen, Nachweisen und Eskalationswegen ist erforderlich.
10. Höhere Anforderungen an Geltungsbereich und Netzstrukturplan
Die kritische Anlage, die maßgeblichen Prozesse sowie alle relevanten Systeme, Komponenten, Applikationen und Schnittstellen müssen nachvollziehbar beschrieben werden.
Der Netzstrukturplan muss unter anderem erkennen lassen:
- welche Systeme und Komponenten zum Geltungsbereich gehören,
- wo dessen Grenzen verlaufen,
- welche Kommunikations- und Wartungsschnittstellen bestehen,
- wie verschiedene Standorte angebunden sind,
- welche Dienstleistungen ausgelagert wurden,
- wo Netze getrennt oder segmentiert sind,
- welche Netzabschnitte und KRITIS-relevanten Komponenten durch Systeme zur Angriffserkennung überwacht werden.
Nicht überwachte Bereiche sind ausdrücklich zu kennzeichnen. Damit wird die Qualität des Netzstrukturplans zu einem wesentlichen Nachweisgegenstand und nicht nur zu einer technischen Anlage des Prüfberichts.
11. Bestehende Zertifikate ersetzen die KRITIS-Prüfung nicht
ISO/IEC-27001-Zertifikate, IT-Grundschutz-Zertifikate, C5-Testate und andere Prüfzertifikate können grundsätzlich als Bestandteile des Nachweises verwendet werden. Eine automatische Anrechnung erfolgt jedoch nicht.
Das Prüfteam muss unter anderem prüfen,
- ob Methodik, Stichproben und Wirksamkeitsprüfung den GAiN- und RUN-Anforderungen entsprechen,
- ob die KRITIS-Schutzziele durchgängig berücksichtigt wurden,
- ob relevante Kontrollen wirksam sind,
- ob der Geltungsbereich der Zertifizierung den KRITIS-Geltungsbereich vollständig erfasst,
- ob die letzte Prüfung im Zertifikatszeitraum bei Beginn der KRITIS-Prüfung höchstens zwölf Monate zurückliegt.
Die spezifischen KRITIS-Anforderungen müssen stets durch eine eigenständige Zusatzprüfung abgedeckt werden. Bestehende Zertifizierungen können den Aufwand reduzieren, ersetzen den gesetzlichen Nachweis aber nicht.
Die einschlägigen verschärften Anforderungen treten zum 1. Januar 2027 in Kraft.
Keine Personenzertifizierung in der vorliegenden GAiN-Fassung
GAiN 2.2 verlangt bereits eine zusätzliche Prüfverfahrenskompetenz für § 39 BSIG. Die im August 2026 angekündigte BSI-Personenzertifizierung für KRITIS-Auditorinnen und -Auditoren ist in der am 9. Juli 2026 veröffentlichten Fassung jedoch noch nicht als eigenständige Anforderung ausgestaltet.
Beide Regelungsentwicklungen müssen deshalb voneinander unterschieden werden:
- GAiN 2.2 enthält bereits verbindliche Anforderungen an Prüfung, Nachweis und Prüfteam.
- Die Personenzertifizierung wird über eine weitere Aktualisierung beziehungsweise Konkretisierung in das Nachweisverfahren integriert.
Betreiber sollten daher sowohl die bereits geltende GAiN-Fassung anwenden als auch die weiteren Veröffentlichungen des BSI zur Qualifizierung der Prüfteamleitung beobachten.
Was Betreiber jetzt konkret veranlassen sollten
Aus GAiN 2.2 ergibt sich ein kurzfristiges Arbeitsprogramm:
- Termin und regulatorische Grundlage der nächsten Nachweisprüfung prüfen.
- Verträge und Ausschreibungsunterlagen auf GAiN 2.2 umstellen.
- Unabhängigkeit und Kompetenzzusammensetzung des Prüfteams nachweisen lassen.
- Prüfgrundlage aus Basis-, KRITIS-, Branchen- und Betreiberanforderungen konsolidieren.
- Geltungsbereich und Netzstrukturplan aktualisieren.
- Standorte und Vor-Ort-Stichproben risikoorientiert planen.
- Alte Mängellisten und Maßnahmenstände vollständig aufbereiten.
- Risikoakzeptanzen und Risikotransfers kritisch überprüfen.
- Bestehende Zertifikate auf Aktualität, Umfang und Anrechenbarkeit untersuchen.
- Verantwortlichkeiten zwischen Informationssicherheit, IT, technischen Fachbereichen, Einkauf, Recht, Risikomanagement und Interner Revision festlegen.
Fazit
GAiN 2.2 entwickelt den KRITIS-Nachweis von einer weitgehend dokumentenorientierten Prüfung zu einem stärker standardisierten, risikoorientierten und auf Wirksamkeit ausgerichteten Verfahren weiter.
Für Betreiber liegt die größte Herausforderung nicht in einem einzelnen neuen Formular. Entscheidend ist die konsistente Verbindung von Geltungsbereich, Prüfgrundlage, Risikoanalyse, technischen Kontrollen, Standortauswahl, Mängelmanagement und belastbarer Prüfungsdokumentation.
Die zentrale Managementfrage lautet:
Können wir nachweisen, dass unser KRITIS-Prüfungsansatz die gesamte kritische Anlage, ihre wesentlichen Risiken und die tatsächliche Wirksamkeit der Sicherheitsmaßnahmen nach den aktuellen GAiN-Anforderungen abdeckt?
Wenn diese Frage nicht durchgängig mit belastbaren Unterlagen beantwortet werden kann, sollte die Vorbereitung der nächsten Nachweisprüfung nicht erst mit der Beauftragung der prüfenden Stelle beginnen.
Quelle: Bundesamt für Sicherheit in der Informationstechnik, „Grundsätzliche Anforderungen im Nachweisverfahren (GAiN) – Anforderungen gemäß § 39 Absatz 2 BSIG“, Version 2.2 vom 9. Juli 2026.
Hinweis: Der Beitrag stellt eine fachliche Einordnung dar und ersetzt keine rechtliche Prüfung oder Abstimmung mit dem BSI. Maßgeblich sind das BSIG sowie die jeweils aktuellen Veröffentlichungen, Formulare und Übergangsregelungen des BSI.