Kritisch ist keine Meinung, es ist ein Schwellenwert. Wir machen Sie bereit.
Wer eine Schwelle der BSI-KritisV erreicht, betreibt eine kritische Anlage und trägt zwei Pflichten-Stapel gleichzeitig: die volle NIS2-Stufe unter dem BSIG und, seit 17.03.2026, die physischen Resilienzpflichten des KRITIS-Dachgesetzes. Dazu kommt der wiederkehrende Nachweis nach §39 BSIG (§8a Abs. 3 a.F.), alle drei Jahre, den nur eine qualifizierte prüfende Stelle erbringen darf. awedit scannt beide Stapel, schließt Lücken und begleitet Sie bis zur Übergabe. Den Nachweis erbringt die prüfende Stelle.
Der KRITIS-Check steckt im NIS2-Self-Check: eine Anlagenkennzahl genügt. Orientierung, kein Nachweis. Keine Rechtsberatung.
Zwei Uhren laufen, eine tickt schon lange.
Systeme zur Angriffserkennung (§31 BSIG) sind für Betreiber kritischer Anlagen Pflicht und Teil dessen, was der §39-Nachweis belegen muss.
Das KRITIS-Dachgesetz ist in Kraft: physische Resilienz, Personalsicherheit, Business Continuity und Krisenmanagement, unter Aufsicht von BBK und BSI.
Die §39-Nachweistermine laufen rollierend: ca. drei Jahre nach Ihrem letzten §8a-Nachweis setzt das BSI den nächsten an. Wer 2023 abgegeben hat, ist 2026 dran.
KI erkennt. Expert:innen entscheiden. Die prüfende Stelle attestiert.
KRITIS ist das C5-Muster in einem zweiten Regime: Readiness und Gap-Arbeit sind unser Feld, der Nachweis gehört der prüfenden Stelle. Wir bereiten das Dossier so vor, dass die Übergabe ein Schritt ist, kein Projekt.
- SCHRITT · 01Einstufung
Eine Anlagenkennzahl gegen die BSI-KritisV: Schwelle erreicht heißt kritische Anlage, automatisch höchste NIS2-Stufe plus KRITIS-Dachgesetz. Der Self-Check zeigt beide Stapel mit Fristen.
- SCHRITT · 02Scan
Der Cyber-Stapel (§30-Maßnahmen plus §31-Angriffserkennung) gegen einen echten Kontrollkatalog, die physische Resilienz gegen den Dachgesetz-Pflichtensatz. Expert:innen prüfen jeden Befund.
- SCHRITT · 03Übergabe
Ein nachweisfähiges §39-Dossier und die Begleitung bis zur qualifizierten prüfenden Stelle. Auf dem physischen Leg rüsten wir Sie für die Aufsicht von BBK und BSI.
KI erkennt. Expert:innen entscheiden. Die prüfende Stelle attestiert. Kein Werkzeug allein schafft Readiness, und ein KRITIS-Zertifikat existiert nicht.
Was KRITIS 2026 konkret heißt.
Die Punkte, an denen die meisten Betreiber beim ersten Durchgang hängen bleiben.
Ein Auslöser, zwei Pflichten-Stapel
Der Begriff der kritischen Anlage kommt aus der BSI-KritisV. Wer eine Schwelle erreicht, ist automatisch besonders wichtige Einrichtung nach BSIG (§28 Abs. 1 S. 1 Nr. 1) und zugleich Betreiber unter dem KRITIS-Dachgesetz. Zwei Behörden, zwei Stacks, ein Klassifizierungsereignis.
Die Schwellenwerte sind quantitativ
Der Regelschwellenwert sind 500.000 versorgte Personen, sektorspezifisch verfeinert: etwa 30.000 vollstationäre Fälle pro Jahr für Krankenhäuser. Eine neue KRITIS-Verordnung ist für 2026 in Arbeit und kann einzelne Schwellen verschieben. Unser Self-Check rechnet mit dem aktuellen Stand.
§31: Angriffserkennung, seit 2023
Systeme zur Angriffserkennung sind seit dem 01.05.2023 Pflicht: Protokollierung, Detektion, Reaktion. Für NIS2-Einrichtungen ohne KRITIS-Status ist das keine eigenständige harte Pflicht, für Betreiber kritischer Anlagen schon.
§39: der Nachweis, alle drei Jahre
Der Nachweis nach §39 BSIG (§8a Abs. 3 a.F.) ist der reservierte Akt dieser Lane: nur eine qualifizierte prüfende Stelle darf ihn erbringen, im 3-Jahres-Zyklus. Für Bestandsbetreiber setzt das BSI den Termin ab dem letzten §8a-Nachweis an. Die Termine laufen also bereits.
Das Dachgesetz: physisch, mit Fristenkette
Registrierung auf der gemeinsamen BBK/BSI-Plattform ab 17.07.2026, binnen drei Monaten nach Identifikation. Danach: Risikoanalyse binnen 9 Monaten, Resilienzmaßnahmen binnen 10 Monaten. Gemeint sind Zutrittskontrolle, Personalsicherheit, Business Continuity und Krisenmanagement, nicht nur IT.
Kein Zertifikat, Vorsicht bei Aussagen
Es gibt kein KRITIS-Zertifikat. Der §39-Output ist ein Nachweis, attestiert von einer prüfenden Stelle, oder nichts. Ein Self-Check-Ergebnis ist Orientierung, kein Nachweis.
Eine Kennzahl bis zur Einstufung.
Der KRITIS-Check ist Teil des NIS2-Self-Checks: Sektor wählen, Anlagenkennzahl eintragen, beide Pflichten-Stapel mit Fristen sehen. Kein Konto, kein Verkaufsgespräch.
Ein Self-Check-Ergebnis ist Orientierung, kein Nachweis. Den §39-Nachweis erbringt ausschließlich die qualifizierte prüfende Stelle.