Kritisch ist keine Meinung, es ist ein Schwellenwert. Wir machen Sie bereit.
Wer eine Schwelle der BSI-KritisV erreicht, betreibt eine kritische Anlage und trägt zwei Pflichten-Stapel gleichzeitig: die volle NIS2-Stufe unter dem BSIG und, seit 17.03.2026, die physischen Resilienzpflichten des KRITIS-Dachgesetzes. Dazu kommt der wiederkehrende Nachweis nach §39 BSIG (§8a Abs. 3 a.F.), alle drei Jahre, den nur eine qualifizierte prüfende Stelle erbringen darf. awedit scannt beide Stapel, schließt Lücken und begleitet Sie bis zur Übergabe. Den Nachweis erbringt die prüfende Stelle.
Der KRITIS-Check steckt im NIS2-Self-Check: eine Anlagenkennzahl genügt. Orientierung, kein Nachweis. Keine Rechtsberatung.
Zwei Uhren laufen, eine tickt schon lange.
Systeme zur Angriffserkennung (§31 BSIG) sind für Betreiber kritischer Anlagen Pflicht und Teil dessen, was der §39-Nachweis belegen muss.
Das KRITIS-Dachgesetz ist in Kraft: physische Resilienz, Personalsicherheit, Business Continuity und Krisenmanagement, unter Aufsicht von BBK und BSI.
Die §39-Nachweistermine laufen rollierend: ca. drei Jahre nach Ihrem letzten §8a-Nachweis setzt das BSI den nächsten an. Wer 2023 abgegeben hat, ist 2026 dran.
Expert:innen führen die Prüfung. KI beschleunigt sie. Die prüfende Stelle attestiert.
KRITIS ist das C5-Muster in einem zweiten Regime: Readiness und Gap-Arbeit sind unser Feld, der Nachweis gehört der prüfenden Stelle. Wir bereiten das Dossier so vor, dass die Übergabe ein Schritt ist, kein Projekt. Für Sie heißt das: ein Anbieter zu managen, ein übergabefertiges Dossier am Ende.
- SCHRITT · 01Einstufung
Eine Anlagenkennzahl gegen die BSI-KritisV: Schwelle erreicht heißt kritische Anlage, automatisch höchste NIS2-Stufe plus KRITIS-Dachgesetz. Der Self-Check zeigt beide Stapel mit Fristen.
- SCHRITT · 02Scan
Unsere Expert:innen prüfen den Cyber-Stapel (§30-Maßnahmen plus §31-Angriffserkennung) gegen einen echten Kontrollkatalog und die physische Resilienz gegen den Dachgesetz-Pflichtensatz. KI-Tooling beschleunigt jeden Durchgang, Expert:innen entscheiden jeden Befund.
- SCHRITT · 03Übergabe
Ein nachweisfähiges §39-Dossier und die Begleitung bis zur qualifizierten prüfenden Stelle. Auf der physischen Seite rüsten wir Sie für die Aufsicht von BBK und BSI.
Expert:innen führen die Prüfung, hochspezialisiertes KI-Tooling beschleunigt sie, die prüfende Stelle attestiert. Kein Werkzeug allein schafft Readiness, und ein KRITIS-Zertifikat existiert nicht.
Was KRITIS 2026 konkret heißt.
Die Punkte, an denen die meisten Betreiber beim ersten Durchgang hängen bleiben.
Ein Auslöser, zwei Pflichten-Stapel
Der Begriff der kritischen Anlage kommt aus der BSI-KritisV. Wer eine Schwelle erreicht, ist automatisch besonders wichtige Einrichtung nach BSIG (§28 Abs. 1 S. 1 Nr. 1) und zugleich Betreiber unter dem KRITIS-Dachgesetz. Zwei Behörden, zwei Stacks, ein Klassifizierungsereignis.
Die Schwellenwerte sind quantitativ
Der Regelschwellenwert sind 500.000 versorgte Personen, sektorspezifisch verfeinert: etwa 30.000 vollstationäre Fälle pro Jahr für Krankenhäuser. Eine neue KRITIS-Verordnung ist für 2026 in Arbeit und kann einzelne Schwellen verschieben. Unser Self-Check rechnet mit dem aktuellen Stand.
§31: Angriffserkennung, seit 2023
Systeme zur Angriffserkennung sind seit dem 01.05.2023 Pflicht: Protokollierung, Detektion, Reaktion. Für NIS2-Einrichtungen ohne KRITIS-Status ist das keine eigenständige harte Pflicht, für Betreiber kritischer Anlagen schon.
§39: der Nachweis, alle drei Jahre
Der Nachweis nach §39 BSIG (§8a Abs. 3 a.F.) ist der reservierte Akt dieser Lane: nur eine qualifizierte prüfende Stelle darf ihn erbringen, im 3-Jahres-Zyklus. Für Bestandsbetreiber setzt das BSI den Termin ab dem letzten §8a-Nachweis an. Die Termine laufen also bereits.
Das Dachgesetz: physisch, mit Fristenkette
Registrierung auf der gemeinsamen BBK/BSI-Plattform ab 17.07.2026, binnen drei Monaten nach Identifikation. Danach: Risikoanalyse binnen 9 Monaten, Resilienzmaßnahmen binnen 10 Monaten. Gemeint sind Zutrittskontrolle, Personalsicherheit, Business Continuity und Krisenmanagement, nicht nur IT.
Kein Zertifikat, Vorsicht bei Aussagen
Es gibt kein KRITIS-Zertifikat. Der §39-Output ist ein Nachweis, attestiert von einer prüfenden Stelle, oder nichts. Ein Self-Check-Ergebnis ist Orientierung, kein Nachweis.
Von der Einstufung zur Ruhe: vier Stufen.
- 01Self-Check
Kostenlos, sofort. Kauft Ihnen Klarheit: welche Pflichten gelten, wie dringend, wo die ersten Lücken liegen.
- 02Scanner + Report
Kauft Ihnen die Landkarte: expertengeprüfter Scan Ihres echten Produkts, priorisierter Report, den die nächste Stelle direkt übernimmt.
- 03Remediation
Kauft Ihnen den kürzesten Weg: wir schließen die Lücken mit Ihnen, bis Übergabe oder Unterschrift halten.
- 04Jahres-Zyklus
Kauft Ihnen Ruhe: der §39-Nachweis kommt per Gesetz alle drei Jahre wieder, die neue KritisV verschiebt Schwellen. Der Zyklus hält Ihr Dossier übergabefähig, Termin für Termin.
Eine Kennzahl bis zur Einstufung.
Der KRITIS-Check ist Teil des NIS2-Self-Checks: Sektor wählen, Anlagenkennzahl eintragen, beide Pflichten-Stapel mit Fristen sehen. Kein Konto, kein Verkaufsgespräch.
Ein Self-Check-Ergebnis ist Orientierung, kein Nachweis. Den §39-Nachweis erbringt ausschließlich die qualifizierte prüfende Stelle.
Gesundheitshaus mit Cloud-Diensten? C5 gehört in denselben Stack →