{"id":1584,"date":"2026-07-09T14:58:00","date_gmt":"2026-07-09T12:58:00","guid":{"rendered":"https:\/\/wittjen.org\/wordpress\/app\/?p=1584"},"modified":"2026-10-24T23:14:46","modified_gmt":"2026-10-24T21:14:46","slug":"gain-2-2-kritis-nachweisverfahren-kritis","status":"publish","type":"post","link":"https:\/\/wittjen.org\/wordpress\/app\/gain-2-2-kritis-nachweisverfahren-kritis\/","title":{"rendered":"GAiN 2.2: Neue Anforderungen an KRITIS-Nachweise \u2013 was Betreiber jetzt umsetzen m\u00fcssen"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik hat am 9. Juli 2026 die Version 2.2 der \u201eGrunds\u00e4tzlichen Anforderungen im Nachweisverfahren\u201c \u2013 kurz GAiN \u2013 ver\u00f6ffentlicht. Die Neufassung passt das KRITIS-Nachweisverfahren an das novellierte BSI-Gesetz und die deutsche Umsetzung der NIS-2-Richtlinie an.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Betreiber kritischer Anlagen ist GAiN kein unverbindlicher Leitfaden. Das Dokument legt verpflichtende Anforderungen an die Durchf\u00fchrung der Nachweispr\u00fcfung, die einzureichenden Nachweise und die pr\u00fcfende Stelle fest. Betreiber m\u00fcssen deren Einhaltung sicherstellen und ihre externe oder interne pr\u00fcfende Stelle entsprechend verpflichten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Betreiber entstehen daraus konkrete Auswirkungen auf Pr\u00fcfungsplanung, Pr\u00fcfgrundlage, Auswahl des Pr\u00fcfteams, Geltungsbereich, Umgang mit Sicherheitsm\u00e4ngeln und Anrechnung bereits bestehender Zertifikate.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Neuer gesetzlicher Bezugsrahmen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">GAiN 2.2 bezieht sich nun auf \u00a7 39 BSIG. Betreiber kritischer Anlagen gelten zugleich als besonders wichtige Einrichtungen. Sie m\u00fcssen die Umsetzung der Risikomanagementma\u00dfnahmen nach \u00a7\u00a7 30 und 31 BSIG in Bezug auf ihre kritischen Anlagen alle drei Jahre durch Sicherheitsaudits, Pr\u00fcfungen oder Zertifizierungen gegen\u00fcber dem BSI nachweisen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Anforderungen werden weiterhin drei Regelungsbereichen zugeordnet:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>D<\/strong> f\u00fcr die Durchf\u00fchrung der Pr\u00fcfung,<\/li>\n\n\n\n<li><strong>N<\/strong> f\u00fcr die Geeignetheit des Nachweises,<\/li>\n\n\n\n<li><strong>P<\/strong> f\u00fcr die pr\u00fcfende Stelle.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die GAiN-Anforderungen sind in Verbindung mit weiteren BSI-Dokumenten zu lesen. Dazu geh\u00f6ren insbesondere die Orientierungshilfe zu Nachweisen und die Vorgaben zur Reife- und Umsetzungsgradbewertung im Rahmen der Nachweispr\u00fcfung \u2013 RUN.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">GAiN 2.2 ist bereits in Kraft<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die aktualisierten Anforderungen sind grunds\u00e4tzlich mit ihrer Ver\u00f6ffentlichung am 9. Juli 2026 in Kraft getreten. Betreiber kritischer Anlagen sollten die jeweils anwendbaren Anforderungen deshalb bereits bei laufenden und neu zu beauftragenden Nachweispr\u00fcfungen ber\u00fccksichtigen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eine Ausnahme gilt f\u00fcr vier Anforderungen zur Verwendung bestehender Pr\u00fcfungen und Zertifikate:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>N.BG.01,<\/li>\n\n\n\n<li>N.BG.04,<\/li>\n\n\n\n<li>N.BG.07,<\/li>\n\n\n\n<li>N.BG.08.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Diese Regelungen treten erst am 1. Januar 2027 in Kraft. Sie betreffen insbesondere die Pr\u00fcfungsmethodik bestehender Zertifizierungen, die Aktualit\u00e4t der zugrunde liegenden Pr\u00fcfung, zus\u00e4tzlich erforderliche Ma\u00dfnahmen und die Deckungsgleichheit der Geltungsbereiche.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">1. H\u00f6here Anforderungen an die Zusammensetzung des Pr\u00fcfteams<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">GAiN 2.2 stellt klar, dass nicht nur die pr\u00fcfende Stelle, sondern auch s\u00e4mtliche Mitglieder des Pr\u00fcfteams gegen\u00fcber dem Betreiber unternehmensfremd sowie rechtlich und wirtschaftlich unabh\u00e4ngig sein m\u00fcssen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das Pr\u00fcfteam muss in seiner Gesamtheit vier Kompetenzfelder abdecken:<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li>Auditkompetenz,<\/li>\n\n\n\n<li>zus\u00e4tzliche Pr\u00fcfverfahrenskompetenz f\u00fcr \u00a7 39 BSIG,<\/li>\n\n\n\n<li>Informationssicherheits- einschlie\u00dflich IT-Sicherheitskompetenz,<\/li>\n\n\n\n<li>Sektor- und Branchenkompetenz.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Betreiber ist insbesondere die Branchenkompetenz von Bedeutung. Eine allgemeine Qualifikation f\u00fcr Informationssicherheitsaudits reicht nicht zwangsl\u00e4ufig aus, um Prozesse, die Informationstechnologie oder die branchenspezifischen besonderen Verf\u00fcgbarkeitsanforderungen angemessen beurteilen zu k\u00f6nnen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Pr\u00fcfteamleitung muss sp\u00e4testens nach drei Pr\u00fcfzyklen wechseln. Die bisherige Leitung kann anschlie\u00dfend weiterhin als Mitglied des Pr\u00fcfteams eingesetzt werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">2. Besondere Voraussetzungen f\u00fcr die Interne Revision<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">GAiN 2.2 erm\u00f6glicht es weiterhin, die Interne Revision als pr\u00fcfende Stelle einzusetzen. Sie wird von der grunds\u00e4tzlich geforderten unternehmensfremden rechtlichen und wirtschaftlichen Unabh\u00e4ngigkeit ausgenommen, wenn ein angemessenes und wirksames Revisionssystem nachgewiesen werden kann.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Daf\u00fcr ist ein Quality Assessment nach IDW PS 983 oder DIIR Revisionsstandard Nr. 3 erforderlich. Der Nachweis muss insbesondere<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>eine positive Gesamtaussage zur Wirksamkeit enthalten,<\/li>\n\n\n\n<li>der Internen Revision eindeutig zugeordnet werden k\u00f6nnen,<\/li>\n\n\n\n<li>auf einem zum Abschluss der KRITIS-Pr\u00fcfung h\u00f6chstens f\u00fcnf Jahre alten Quality Assessment beruhen und<\/li>\n\n\n\n<li>erkennen lassen, dass das Pr\u00fcfungsteam die geforderten Kompetenzen abdeckt.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Fehlende Fachkompetenz kann gegebenenfalls durch interne oder externe Expertise erg\u00e4nzt werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Konzerne mit einer leistungsf\u00e4higen Internen Revision er\u00f6ffnet dies grunds\u00e4tzlich eine pr\u00fcfungsorganisatorische Option. Vor einer internen Durchf\u00fchrung m\u00fcssen allerdings Ressourcen, Fachkompetenz, Unabh\u00e4ngigkeit innerhalb der Organisation und die Abgrenzung zu beratenden T\u00e4tigkeiten sorgf\u00e4ltig bewertet werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">3. Die Pr\u00fcfgrundlage muss mehrstufig aufgebaut sein<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Eine der zentralen Neuerungen ist die ausf\u00fchrliche Regelung der Pr\u00fcfgrundlage. Sie muss k\u00fcnftig vier Ebenen abdecken:<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li>Basisanforderungen der Informationssicherheit,<\/li>\n\n\n\n<li>spezifische KRITIS-Anforderungen,<\/li>\n\n\n\n<li>sektor- und branchenspezifische Anforderungen,<\/li>\n\n\n\n<li>betreiberspezifische Anforderungen und Risiken.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Als Basis k\u00f6nnen anerkannte internationale Sicherheitsstandards und Zertifizierungsschemata herangezogen werden. Erg\u00e4nzend m\u00fcssen jedoch die besonderen Anforderungen des BSIG, von GAiN und RUN sowie gegebenenfalls eines branchenspezifischen Sicherheitsstandards ber\u00fccksichtigt werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ein vom BSI als geeignet festgestellter branchenspezifischer Sicherheitsstandard darf ausdr\u00fccklich nicht alleinige Pr\u00fcfgrundlage sein. Er kann lediglich einen Bestandteil der mehrschichtigen Pr\u00fcfgrundlage bilden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Erstellt der Betreiber die Pr\u00fcfgrundlage selbst, muss das Pr\u00fcfteam sie vor Beginn der Nachweispr\u00fcfung inhaltlich validieren. Die abschlie\u00dfende Verantwortung f\u00fcr Vollst\u00e4ndigkeit, Widerspruchsfreiheit und Eignung liegt beim Pr\u00fcfteam.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Betreiber kritischer Infrastrukturen bedeutet dies: Ein vorhandener B3S, ein ISO\/IEC-27001-Kontrollkatalog oder ein unternehmensinterner Pr\u00fcfkatalog ist f\u00fcr sich genommen nicht ausreichend. Die verschiedenen Anforderungsebenen m\u00fcssen nachvollziehbar zusammengef\u00fchrt und referenziert werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">4. S\u00e4mtliche Themenbereiche m\u00fcssen angemessen gepr\u00fcft werden<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Alle durch RUN vorgegebenen Themenbereiche m\u00fcssen Gegenstand der Nachweispr\u00fcfung sein. Eine lediglich formale oder selektive Behandlung gen\u00fcgt nicht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr jeden Themenbereich sind eine zum Pr\u00fcfobjekt passende Methode und eine angemessene Pr\u00fcfdauer festzulegen. Bei kritischen Anlagen mit mehreren Standorten d\u00fcrfen Stichproben gebildet werden. Ihre Auswahl muss jedoch nachvollziehbar beschrieben und risikoorientiert begr\u00fcndet werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eine Pr\u00fcfung der Konzernzentrale oder einer einzelnen Betriebsst\u00e4tte kann nicht ohne Weiteres als repr\u00e4sentativ f\u00fcr s\u00e4mtliche Standorte gelten. Unterschiede bei Netzarchitektur, Informationstechnologie, lokalen Dienstleistern, Notfallorganisation oder technischen Betriebsmodellen m\u00fcssen in der Stichprobenplanung ber\u00fccksichtigt werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">5. Einschr\u00e4nkung der Risikoakzeptanz und des Risikotransfers<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">GAiN 2.2 enth\u00e4lt eine weitreichende Vorgabe zum Umgang mit Risiken f\u00fcr die kritische Dienstleistung. Relevante Risiken d\u00fcrfen nicht akzeptiert oder lediglich auf Dritte transferiert werden, wenn geeignete und wirksame technische oder organisatorische Ma\u00dfnahmen m\u00f6glich und verh\u00e4ltnism\u00e4\u00dfig sind.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Damit reicht es nicht aus, ein erhebliches Risiko durch Managemententscheidung formal zu akzeptieren oder vertraglich auf einen Dienstleister zu \u00fcbertragen. Entscheidend bleibt, ob angemessene Schutzma\u00dfnahmen verf\u00fcgbar w\u00e4ren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Betreiber kritischer Anlagen betrifft dies beispielsweise:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>veraltete, aber operativ unverzichtbare Systeme,<\/li>\n\n\n\n<li>unzureichend segmentierte Betriebsnetze,<\/li>\n\n\n\n<li>dauerhaft ge\u00f6ffnete Fernwartungszug\u00e4nge,<\/li>\n\n\n\n<li>fehlende Redundanzen,<\/li>\n\n\n\n<li>nicht ausreichend kontrollierte Cloud- und IT-Dienstleister,<\/li>\n\n\n\n<li>bekannte Schwachstellen in eingesetzten Systemen und Komponenten.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Risikoakzeptanz bleibt damit eine begr\u00fcndungsbed\u00fcrftige Ausnahme und darf nicht als Ersatz f\u00fcr realisierbare Sicherheitsma\u00dfnahmen dienen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">6. Vier-Augen-Prinzip bleibt operativ anspruchsvoll<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Bestimmte Pr\u00fcfungssachverhalte m\u00fcssen weiterhin im Vier-Augen-Prinzip untersucht werden. Dazu z\u00e4hlen insbesondere:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>die Festlegung des Geltungsbereichs,<\/li>\n\n\n\n<li>die Bewertung einbezogener Zertifikate,<\/li>\n\n\n\n<li>Risikoanalyse und Risikobehandlung,<\/li>\n\n\n\n<li>die M\u00e4ngelliste der vorherigen Pr\u00fcfung,<\/li>\n\n\n\n<li>wesentliche Vor-Ort-Pr\u00fcfungen.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Es gen\u00fcgt nicht, wenn ein einzelner Pr\u00fcfer die Pr\u00fcfungshandlung durchf\u00fchrt und eine zweite Person lediglich den Bericht kontrolliert. Mindestens zwei hinreichend qualifizierte Pr\u00fcfer m\u00fcssen unmittelbar an der Beurteilung beteiligt sein.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dies wirkt sich auf Pr\u00fcfungsaufwand, Terminplanung und Verg\u00fctung aus. Entsprechende Ressourcen sollten bereits in Ausschreibung und Beauftragung realistisch eingeplant werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">7. Pr\u00fcfbericht und Stichproben m\u00fcssen nachvollziehbarer werden<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Der Pr\u00fcfbericht muss ein eigenst\u00e4ndiges, eindeutig bezeichnetes und versioniertes Dokument sein. Er muss unter anderem enthalten:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Geltungsbereich und Pr\u00fcfziel,<\/li>\n\n\n\n<li>Zeitpunkt, Ort und Dauer der Pr\u00fcfung,<\/li>\n\n\n\n<li>pr\u00fcfende Stelle und namentlich benanntes Pr\u00fcfteam,<\/li>\n\n\n\n<li>s\u00e4mtliche Pr\u00fcfhandlungen,<\/li>\n\n\n\n<li>untersuchte Pr\u00fcfobjekte,<\/li>\n\n\n\n<li>eingesetzte Pr\u00fcfmethoden,<\/li>\n\n\n\n<li>Vorgehen bei der risikoorientierten Stichprobenauswahl.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Bei der Auswahl von Vor-Ort-Stichproben sind Pr\u00fcfungsschwerpunkte und Ergebnisse der vorherigen Nachweispr\u00fcfung zu ber\u00fccksichtigen. Eine schematische Wiederholung immer gleicher Standorte oder Systeme ohne dokumentierte Risikoorientierung d\u00fcrfte damit schwer begr\u00fcndbar sein.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das BSI kann zudem die vollst\u00e4ndige zugrunde liegende Dokumentation verlangen. Dazu geh\u00f6ren der Pr\u00fcfbericht und die vom Betreiber f\u00fcr die Pr\u00fcfung bereitgestellten Unterlagen und Dateien. Betreiber ben\u00f6tigen deshalb eine geordnete, nachvollziehbare und langfristig verf\u00fcgbare Pr\u00fcfungsdokumentation.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">8. Sicherheitsm\u00e4ngel werden eindeutig kategorisiert<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Sicherheitsm\u00e4ngel d\u00fcrfen nur noch einer von zwei Kategorien zugeordnet werden:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>schwerwiegender Sicherheitsmangel,<\/li>\n\n\n\n<li>geringf\u00fcgiger Sicherheitsmangel.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Der Betreiber muss die M\u00e4ngelliste um geeignete Ma\u00dfnahmen und Umsetzungszeitr\u00e4ume erg\u00e4nzen. Anschlie\u00dfend bewertet das Pr\u00fcfteam,<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>ob die Ma\u00dfnahmen zur M\u00e4ngelbeseitigung geeignet sind,<\/li>\n\n\n\n<li>ob die vorgesehenen Zeitr\u00e4ume angemessen sind und<\/li>\n\n\n\n<li>ob eine schnellere Umsetzung m\u00f6glich w\u00e4re.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">H\u00e4lt die pr\u00fcfende Stelle Ma\u00dfnahmen oder Fristen f\u00fcr ungeeignet, muss sie dies in der M\u00e4ngelliste dokumentieren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Damit wird der Umsetzungsplan selbst zum pr\u00fcfungsrelevanten Gegenstand. Allgemeine Aussagen wie \u201eBehebung geplant\u201c oder sehr langfristige Zieltermine ohne belastbare Begr\u00fcndung gen\u00fcgen nicht.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">9. Fr\u00fchere M\u00e4ngel werden systematisch weiterverfolgt<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Bei Folgepr\u00fcfungen muss der Betreiber die M\u00e4ngelliste und den Umsetzungsplan des vorherigen, vom BSI akzeptierten Nachweises vollst\u00e4ndig und unver\u00e4ndert bereitstellen. Zus\u00e4tzlich ist der aktuelle Umsetzungsstand jedes Mangels als<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>\u201eIn Planung\u201c,<\/li>\n\n\n\n<li>\u201eIn Umsetzung\u201c oder<\/li>\n\n\n\n<li>\u201eAbgeschlossen\u201c<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">zu kennzeichnen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das Pr\u00fcfteam muss den Behebungsstand plausibilisieren. Nicht abgeschlossene M\u00e4ngel werden in die neue M\u00e4ngelliste \u00fcbernommen und \u00fcber eine besondere Kennzeichnung dauerhaft zur\u00fcckverfolgbar gehalten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr das Management bedeutet dies: Offene Feststellungen verschwinden nicht mit Beginn eines neuen Pr\u00fcfungszyklus. Ein konsistenter Ma\u00dfnahmenverfolgungsprozess einschlie\u00dflich Verantwortlichkeiten, Fristen, Nachweisen und Eskalationswegen ist erforderlich.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">10. H\u00f6here Anforderungen an Geltungsbereich und Netzstrukturplan<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die kritische Anlage, die ma\u00dfgeblichen Prozesse sowie alle relevanten Systeme, Komponenten, Applikationen und Schnittstellen m\u00fcssen nachvollziehbar beschrieben werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der Netzstrukturplan muss unter anderem erkennen lassen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>welche Systeme und Komponenten zum Geltungsbereich geh\u00f6ren,<\/li>\n\n\n\n<li>wo dessen Grenzen verlaufen,<\/li>\n\n\n\n<li>welche Kommunikations- und Wartungsschnittstellen bestehen,<\/li>\n\n\n\n<li>wie verschiedene Standorte angebunden sind,<\/li>\n\n\n\n<li>welche Dienstleistungen ausgelagert wurden,<\/li>\n\n\n\n<li>wo Netze getrennt oder segmentiert sind,<\/li>\n\n\n\n<li>welche Netzabschnitte und KRITIS-relevanten Komponenten durch Systeme zur Angriffserkennung \u00fcberwacht werden.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Nicht \u00fcberwachte Bereiche sind ausdr\u00fccklich zu kennzeichnen. Damit wird die Qualit\u00e4t des Netzstrukturplans zu einem wesentlichen Nachweisgegenstand und nicht nur zu einer technischen Anlage des Pr\u00fcfberichts.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">11. Bestehende Zertifikate ersetzen die KRITIS-Pr\u00fcfung nicht<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">ISO\/IEC-27001-Zertifikate, IT-Grundschutz-Zertifikate, C5-Testate und andere Pr\u00fcfzertifikate k\u00f6nnen grunds\u00e4tzlich als Bestandteile des Nachweises verwendet werden. Eine automatische Anrechnung erfolgt jedoch nicht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das Pr\u00fcfteam muss unter anderem pr\u00fcfen,<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>ob Methodik, Stichproben und Wirksamkeitspr\u00fcfung den GAiN- und RUN-Anforderungen entsprechen,<\/li>\n\n\n\n<li>ob die KRITIS-Schutzziele durchg\u00e4ngig ber\u00fccksichtigt wurden,<\/li>\n\n\n\n<li>ob relevante Kontrollen wirksam sind,<\/li>\n\n\n\n<li>ob der Geltungsbereich der Zertifizierung den KRITIS-Geltungsbereich vollst\u00e4ndig erfasst,<\/li>\n\n\n\n<li>ob die letzte Pr\u00fcfung im Zertifikatszeitraum bei Beginn der KRITIS-Pr\u00fcfung h\u00f6chstens zw\u00f6lf Monate zur\u00fcckliegt.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die spezifischen KRITIS-Anforderungen m\u00fcssen stets durch eine eigenst\u00e4ndige Zusatzpr\u00fcfung abgedeckt werden. Bestehende Zertifizierungen k\u00f6nnen den Aufwand reduzieren, ersetzen den gesetzlichen Nachweis aber nicht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die einschl\u00e4gigen versch\u00e4rften Anforderungen treten zum 1. Januar 2027 in Kraft.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Keine Personenzertifizierung in der vorliegenden GAiN-Fassung<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">GAiN 2.2 verlangt bereits eine zus\u00e4tzliche Pr\u00fcfverfahrenskompetenz f\u00fcr \u00a7 39 BSIG. Die im August 2026 angek\u00fcndigte BSI-Personenzertifizierung f\u00fcr KRITIS-Auditorinnen und -Auditoren ist in der am 9. Juli 2026 ver\u00f6ffentlichten Fassung jedoch noch nicht als eigenst\u00e4ndige Anforderung ausgestaltet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Beide Regelungsentwicklungen m\u00fcssen deshalb voneinander unterschieden werden:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>GAiN 2.2 enth\u00e4lt bereits verbindliche Anforderungen an Pr\u00fcfung, Nachweis und Pr\u00fcfteam.<\/li>\n\n\n\n<li>Die Personenzertifizierung wird \u00fcber eine weitere Aktualisierung beziehungsweise Konkretisierung in das Nachweisverfahren integriert.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Betreiber sollten daher sowohl die bereits geltende GAiN-Fassung anwenden als auch die weiteren Ver\u00f6ffentlichungen des BSI zur Qualifizierung der Pr\u00fcfteamleitung beobachten.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Was Betreiber jetzt konkret veranlassen sollten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aus GAiN 2.2 ergibt sich ein kurzfristiges Arbeitsprogramm:<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li>Termin und regulatorische Grundlage der n\u00e4chsten Nachweispr\u00fcfung pr\u00fcfen.<\/li>\n\n\n\n<li>Vertr\u00e4ge und Ausschreibungsunterlagen auf GAiN 2.2 umstellen.<\/li>\n\n\n\n<li>Unabh\u00e4ngigkeit und Kompetenzzusammensetzung des Pr\u00fcfteams nachweisen lassen.<\/li>\n\n\n\n<li>Pr\u00fcfgrundlage aus Basis-, KRITIS-, Branchen- und Betreiberanforderungen konsolidieren.<\/li>\n\n\n\n<li>Geltungsbereich und Netzstrukturplan aktualisieren.<\/li>\n\n\n\n<li>Standorte und Vor-Ort-Stichproben risikoorientiert planen.<\/li>\n\n\n\n<li>Alte M\u00e4ngellisten und Ma\u00dfnahmenst\u00e4nde vollst\u00e4ndig aufbereiten.<\/li>\n\n\n\n<li>Risikoakzeptanzen und Risikotransfers kritisch \u00fcberpr\u00fcfen.<\/li>\n\n\n\n<li>Bestehende Zertifikate auf Aktualit\u00e4t, Umfang und Anrechenbarkeit untersuchen.<\/li>\n\n\n\n<li>Verantwortlichkeiten zwischen Informationssicherheit, IT, technischen Fachbereichen, Einkauf, Recht, Risikomanagement und Interner Revision festlegen.<\/li>\n<\/ol>\n\n\n\n<h2 class=\"wp-block-heading\">Fazit<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">GAiN 2.2 entwickelt den KRITIS-Nachweis von einer weitgehend dokumentenorientierten Pr\u00fcfung zu einem st\u00e4rker standardisierten, risikoorientierten und auf Wirksamkeit ausgerichteten Verfahren weiter.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Betreiber liegt die gr\u00f6\u00dfte Herausforderung nicht in einem einzelnen neuen Formular. Entscheidend ist die konsistente Verbindung von Geltungsbereich, Pr\u00fcfgrundlage, Risikoanalyse, technischen Kontrollen, Standortauswahl, M\u00e4ngelmanagement und belastbarer Pr\u00fcfungsdokumentation.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die zentrale Managementfrage lautet:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\">K\u00f6nnen wir nachweisen, dass unser KRITIS-Pr\u00fcfungsansatz die gesamte kritische Anlage, ihre wesentlichen Risiken und die tats\u00e4chliche Wirksamkeit der Sicherheitsma\u00dfnahmen nach den aktuellen GAiN-Anforderungen abdeckt?<\/p>\n<\/blockquote>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn diese Frage nicht durchg\u00e4ngig mit belastbaren Unterlagen beantwortet werden kann, sollte die Vorbereitung der n\u00e4chsten Nachweispr\u00fcfung nicht erst mit der Beauftragung der pr\u00fcfenden Stelle beginnen.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Quelle:<\/strong> Bundesamt f\u00fcr Sicherheit in der Informationstechnik, \u201eGrunds\u00e4tzliche Anforderungen im Nachweisverfahren (GAiN) \u2013 Anforderungen gem\u00e4\u00df \u00a7 39 Absatz 2 BSIG\u201c, Version 2.2 vom 9. Juli 2026.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Hinweis:<\/strong> Der Beitrag stellt eine fachliche Einordnung dar und ersetzt keine rechtliche Pr\u00fcfung oder Abstimmung mit dem BSI. Ma\u00dfgeblich sind das BSIG sowie die jeweils aktuellen Ver\u00f6ffentlichungen, Formulare und \u00dcbergangsregelungen des BSI.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>GAiN 2.2 versch\u00e4rft und konkretisiert das KRITIS-Nachweisverfahren. Was Betreiber kritischer Infrastrukturen zu Pr\u00fcfgrundlage, Pr\u00fcfteam, Geltungsbereich, M\u00e4ngeln und bestehenden Zertifikaten jetzt umsetzen m\u00fcssen.<\/p>\n","protected":false},"author":4,"featured_media":1635,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10,15],"tags":[],"class_list":["post-1584","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-informationssicherheit-cybersecurity","category-kritis"],"_links":{"self":[{"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/posts\/1584","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/comments?post=1584"}],"version-history":[{"count":6,"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/posts\/1584\/revisions"}],"predecessor-version":[{"id":1620,"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/posts\/1584\/revisions\/1620"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/media\/1635"}],"wp:attachment":[{"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/media?parent=1584"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/categories?post=1584"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/wittjen.org\/wordpress\/app\/wp-json\/wp\/v2\/tags?post=1584"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}