Die Kosten hängen von den verschiedensten Faktoren ab und setzen sich insbesondere aus den folgenden Komponenten zusammen:

• Prüfung auf Eignung des Geltungsbereichs
• Festlegung der Prüfgrundlage
• Erstellung des Prüfplans
• Dokumentenprüfung (Angemessenheitsprüfung Ihres ISMS)
• Site-Visit (Wirksamkeitsprüfung Ihres ISMS)
• Dokumentation der Ergebnisse

Weitere Faktoren, welche die Kosten beeinflussen, sind beispielweise auch die Größe und Komplexität einer Organisation, u. a. in Verbindung mit der Anzahl der rechtlichen Einheiten und der kritischen Anlagen, Anzahl der Standorte und damit auch der Grad eines jeweils zentralisierten oder dezentralisierten ISMS.

Weitere Komponenten stellen die gesetzlichen und regulatorischen Anforderungen dar, welche in den letzten Jahren sukzessive gestiegen sind. Beispielsweise sind seit dem 01.05.2023 die Systeme zur Angriffserkennung (SzA) gemäß der „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ zu prüfen. Darüber hinaus wurden vom BSI die sog. GAiN („Anforderungen nach § 8a Abs. 5 BSIG – Grundsätzliche Anforderungen im Nachweisverfahren“) festgelegt.

Eine Vielzahl an Prüfgrundlagen ist möglich, sofern diese geeignet sind, die Erfüllung von § 8a Abs. 1 BSIG nachzuweisen.

Der KRITIS-Betreiber wählt in Abstimmung mit der prüfenden Stelle die Prüfgrundlage. Die Beschreibung der Prüfgrundlage ist eine Erläuterung, wie/woraus sich die Prüfgrundlage zusammensetzt. Dazu gehören:

• eine Erklärung, welche branchenspezifische Sicherheitsstandards (B3S) bzw. Regelwerke werden als Grundlage verwendet werden,
• eine Erläuterung wie die branchenspezifischen Themen abgedeckt werden und
• eine Ausführung, die deutlich werden lässt, dass die Prüfgrundlage den Stand der Technik für die zu prüfende Kritische Infrastruktur sinnvoll und vollständig abdeckt.

Eine Prüfung kann dabei unter Verwendung eines branchenspezifischen Sicherheitsstandards (B3S) oder ohne Verwendung eines B3S erfolgen. Es sei aber bereits gesagt, dass es nicht für alle Sektoren/Bereiche einen entsprechenden B3S gibt. Die Beschreibung der Prüfgrundlage muss nach den Vorgaben des BSI erfolgen, d. h. als Anlage PD.C, die Teil des Nachweisdokuments P ist.

Betreiber Kritischer Infrastrukturen (KRITIS) müssen gemäß der BSI-Kritisverordnung jährlich prüfen, ob ihre Anlagen nachweispflichtig sind. Bis zum 31. März sollte geprüft werden, ob Anlagen im vergangenen Kalenderjahr die Schwellenwerte gemäß BSI-Kritisverordnung überschritten haben. Bei einer Überschreitung gilt die Anlage ab dem 01. April als kritische Dienstleistung. Die Anlage ist somit nachweispflichtig und sollte umgehend beim BSI registriert werden.

Die Registrierung als kritische Infrastruktur beim BSI erfolgt über das Melde- und Informationsportal (MIP) des BSI. Der KRITIS-Betreiber muss eine Kontaktstelle hinterlegen, welche gemäß § 8b Abs. 3 BSIG 24/7 erreichbar sein muss.

Betreiber einer Kritischen Infrastruktur im Sinne von § 2 Abs. 10 BSIG haben alle zwei Jahre einen Nachweis über ihre Kritischen Anlagen zu erbringen. Ab Zeitpunkt der Registrierung haben Sie somit in der Regel maximal zwei Jahre Zeit die Anforderungen umzusetzen, sofern Ihnen das BSI keine andere Frist mitteilt.

Hierzu lässt sich keine allgemeine Aussage treffen. Wir empfehlen, dies direkt mit dem BSI abzustimmen.

Das BSI stellt für KRITIS-Prüfungen Vorlagen zur Verfügung, welche auch von uns im Rahmen der Prüfung genutzt werden.

Von Ihnen ist das Nachweisdokument KI sowie eine Beschreibung und grafische Darstellung des Geltungsbereichs in einem Netz-/Anlagenplan (Anlage PD.A) auszufüllen bzw. zu erstellen und abzugeben.

Von uns erhalten Sie die folgenden Dokumente:

• Nachweisdokument P
• Anlage PD.B: Dokumentation des Prüfablaufs
• Anlage PD.C: Beschreibung der Prüfgrundlage
• Anlage PE.A: Liste der Sicherheitsmängel inklusive Umsetzungsplan zur Behebung der Mängel
• Anlage PS.A: Nachweis über die zusätzliche Prüfverfahrenskompetenz für § 8a BSIG für: a) einen Mitarbeiter der Prüfstelle b) mindestens ein Mitglied des Prüfteams
• Optional: Selbsterklärung zur Eignung der prüfenden Stelle

Ja, Sie können ein solches kombiniertes Audit vornehmen. Wichtig ist in diesem Zusammenhang der Geltungsbereich. Dies bedeutet, dass der KRITIS-Geltungsbereich idealerweise mindestens den Geltungsbereich Ihrer ISO/IEC 27001-Zertifizierung vollumfänglich umfasst, so dass die möglichen Synergien genutzt werden können. Gleichzeitig muss der Geltungsbereich die betriebenen Anlagen nach BSI-Kritisverordnung umfassen. Darüber hinaus sind KRITIS-Prüfungen umfassender, da zusätzliche Anforderungen gestellt werden (bspw. SzA-Prüfung seit dem 01. März 2023) bzw. auch zusätzliche Prüfaspekte für die kritische Dienstleistung berücksichtigt werden müssen.

Um KRITIS-Prüfungen vornehmen zu können, muss das Prüfteam über Kompetenzen in den folgenden Bereichen verfügen:

• Zusätzliche Prüfverfahrenskompetenz für § 8a BSIG
• Auditkompetenz
• IT-Sicherheitskompetenz bzw. Informationssicherheitskompetenz
• Branchenkompetenz

Ein Auditor muss nicht allein über alle Kompetenzen verfügen, die geeignete Zusammenstellung eines Prüfteams mit der Abdeckung aller Kompetenzbereiche ist ausreichend.

Das BSI hat dazu ein Dokument veröffentlicht, das sog. „Anforderungen nach § 8a Ab. 5 BSIG – Grundsätzliche Anforderungen im Nachweisverfahren (GAiN)“. In diesem sind die Vorgaben für die Dokumentation des Geltungsbereiches nachzulesen.

Ja, Sie können Ihr bestehendes Zertifikat verwenden, sofern vom BSI festgelegte Rahmenbedingungen eingehalten wurden.

Ein wesentlicher Part betrifft den Geltungsbereich, da der relevante Geltungsbereich Ihrer Zertifizierung nicht automatisch dem Geltungsbereich von KRITIS entsprechen muss.

Insgesamt hat das BSI sechs Prüfaspekte festgelegt, welche von der prüfenden Stelle auf deren Einhaltung der KRITIS-Vorgaben geprüft und entsprechend dokumentiert werden. Die Dokumentation muss mit dem ISO/IEC 27001-Zertifikat eingereicht werden. Die relevanten Prüfaspekte sind:

• Abgrenzung Geltungsbereich: Der Geltungsbereich des Zertifikats muss die unter KRITIS fallenden Anlagen umfassen.
• Erweiterter Geltungsbereich: Der Geltungsbereich muss auf ausgelagerte Bereiche erweitert und eine umfassende Sicherheitsbetrachtung aus KRITIS-Sicht durchgeführt werden.
• Berücksichtigung der KRITIS-Schutzziele: Die Aufrechterhaltung der Versorgungssicherheit der Bevölkerung ist das höchste Anliegen bei der Informationssicherheitsrisikobehandlung. Die hiervon abgeleiteten KRITIS-Schutzziele Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität müssen aufgenommen werden.
• KRITIS IT-Schutzbedarf: Die Schutzziele Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität müssen in Bezug auf die Aufrechterhaltung der kritischen Dienstleistung bewertet werden. Im Fokus steht dabei das Ausmaß eines Risikos auf die Allgemeinheit und nicht nur auf die eigene Organisation.
• Umgang mit Risiken: Auch hier sind Risiken mit einem erweiterten Fokus auf das Ausmaß eines Risikos für die Allgemeinheit zu bewerten.
• Maßnahmenumsetzung: Alle für die Aufrechterhaltung der kritischen Dienstleistung erforderlichen Maßnahmen müssen im Rahmen der Risikobehandlung umgesetzt sein, da sie sonst als Sicherheitsmangel zählen und dokumentiert werden müssen. Eine Umsetzungsplanung ist für diese Maßnahmen nicht ausreichend.

Die Anwendung eines existierenden ISO/IEC 27001-Zertifikats bzw. ISO 27001 auf Basis von IT-Grundschutz-Zertifikats und die Einhaltung der Anforderungen der weiteren Prüfaspekte sind in der Anlage PD.2 zu dokumentieren.