Scope, Registrierung, Meldewege und Sicherheitsnachweise praxisnah etablieren. Für Betreiber kritischer Infrastrukturen nach NIS2UmsuCG und KRITIS-DachG.
Betreiber kritischer Infrastrukturen unterliegen einem doppelten Pflichtrahmen: Das NIS2UmsuCG setzt die EU-NIS2-Richtlinie um und regelt Cybersicherheitspflichten für wesentliche und wichtige Einrichtungen. Das KRITIS-DachG (seit Juni 2024) setzt daneben die EU-CER-Richtlinie um und adressiert die physische Resilienz kritischer Anlagen.
Wer die Schwellenwerte in einem der KRITIS-Sektoren überschreitet, muss sich beim BSI registrieren, angemessene Sicherheitsmaßnahmen nach Stand der Technik umsetzen und dies alle zwei Jahre nachweisen: durch Audits, Prüfungen oder Zertifizierungen. Daneben besteht eine Meldepflicht für erhebliche Sicherheitsvorfälle.
Neben ISO 27001 existieren für viele KRITIS-Sektoren vom BSI anerkannte Branchenspezifische Sicherheitsstandards (B3S), die von Branchenverbänden entwickelt wurden. Ein B3S definiert konkrete, sektorspezifische Anforderungen und kann als Nachweisgrundlage gegenüber dem BSI dienen. Viele B3S bauen dabei explizit auf ISO 27001 auf. Wer bereits zertifiziert ist, deckt einen Großteil der Anforderungen bereits ab und reduziert den Aufwand für den KRITIS-Nachweis erheblich.
Unser Ansatz: Wir prüfen, ob für Ihren Sektor ein anerkannter B3S vorliegt, welche ISO-27001-Controls Sie bereits abdecken, und planen den effizientesten Weg zum BSI-Nachweis: via B3S-Audit, ISO-Zertifizierung oder kombiniertem Ansatz.
Sektorzuordnung, Schwellenwerte und Registrierungspflicht klären.
Stand der Technik, B3S und NIS2UmsuCG-Anforderungen abgleichen.
Sicherheitsmaßnahmen implementieren und dokumentieren.
Auditbegleitung und Nachweisführung gegenüber dem BSI: via B3S, ISO 27001 oder kombiniert.
Sprechen Sie uns an. Wir klären Ihre Betroffenheit und strukturieren die Umsetzung.
Erstgespräch buchen