KRITIS:
Nachweise, Angriffserkennung und Krisenkommunikation für Betreiber kritischer Anlagen
Welche Pflichten gelten für KRITIS-Betreiber heute?
Die IT-Pflichten stehen im BSI-Gesetz in der Fassung seit 6. Dezember 2025. Betreiber kritischer Anlagen registrieren sich beim BSI (§ 33), setzen die Mindestmaßnahmen nach § 30 um, melden erhebliche Sicherheitsvorfälle in drei Stufen innerhalb von 24 Stunden, innerhalb von 72 Stunden und nach einem Monat (§ 32) und weisen die Umsetzung gegenüber dem BSI nach (§ 39).
Das KRITIS-Dachgesetz kommt hinzu, regelt aber vor allem die physische Resilienz. Eine Registrierungspflicht danach besteht derzeit noch nicht: Laut Bundesamt für Bevölkerungsschutz und Katastrophenhilfe ist die Rechtsverordnung zur Bestimmung kritischer Anlagen noch in Erarbeitung und Abstimmung (BBK, FAQ zum KRITIS-Dachgesetz). Risikoanalyse und Resilienzmaßnahmen werden erstmals neun bzw. zehn Monate nach der Registrierung fällig. Was das BSI-Gesetz im Einzelnen verlangt, zeigt unsere Seite zur NIS2-Richtlinie mit einem Readiness-Check.
Wie weisen Sie den Zustand Ihrer mobilen Geräte nach?
Mit Daten aus dem laufenden Betrieb statt mit Stichproben. ISEC7 SPHERE übernimmt herstellerübergreifendes Monitoring und Management für UEM-Landschaften, auch wenn mehrere UEM-Systeme parallel laufen, und zeigt Patch-Stand und bekannte Schwachstellen der Geräte.
Betreibt ISEC7 die mobile Umgebung als Managed Mobility Services, erhalten Sie Berichte zu Betrieb, Patch-Stand und Vorfällen, die in Ihre Nachweisführung eingehen. Die Pflichten nach dem BSI-Gesetz lassen sich damit nicht auslagern; sie bleiben bei Ihrer Einrichtung. Wer BlackBerry UEM aus der Cloud nutzen will, ohne dass Hersteller oder Drittanbieter Zugriff erhalten, findet das in der Sovereign Cloud, die ISEC7 in Deutschland hostet und betreibt. Mehr zu ISEC7 SPHERE
Wer erkennt Angriffe, wenn Sie kein eigenes SOC betreiben?
Ein externes Security Operations Center, das Ihre Systeme rund um die Uhr überwacht. Bei der Nachweisprüfung nach § 39 BSIG liegt der größte Nachholbedarf der Betreiber laut BSI bei den Systemen zur Angriffserkennung (BSI-Magazin 2026/01 und BSI-Monatsbericht Juli 2026).
ISEC7 erbringt Managed Detection and Response mit einem 24/7/365-SOC über den Partner Arctic Wolf. Arctic Wolf betreibt das SOC, nach eigener Angabe in Frankfurt, bewertet Alarme und meldet bestätigte Vorfälle mit Handlungsempfehlung. ISEC7 bindet Ihre mobile Landschaft an die Erkennung an. Die Empfehlungen setzen Sie selbst um oder wir: Patches, Konfigurationen und Richtlinien im UEM. Ob ein Vorfall erheblich ist und gemeldet wird, entscheidet Ihr Haus. Mehr zu Endpoint Security
Wie telefoniert der Krisenstab verschlüsselt?
§ 30 Abs. 2 Satz 2 Nr. 10 BSIG nennt unter den Mindestmaßnahmen „gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung“. Für Telefonie auf dem Smartphone betreibt ISEC7 den Service ISEC7 MANAGED SECURE VOICE, einen Managed Service für verschlüsselte mobile Telefonie auf Apple- und Samsung-Geräten.
Der Service setzt auf SecuVOICE von Secusmart auf, für das das BSI eine Einsatzerlaubnis bis VS-NfD erteilt hat (BSI-VSA-11057, SecuVOICE für iOS und Android, Version 6.x, befristet bis 31.08.2027). Secusmart ist Hersteller der App, ISEC7 betreibt den Service. Ende zu Ende verschlüsselt sind Gespräche zwischen SecuVOICE-Nutzern; Gespräche zu beliebigen Anschlüssen (Breakout) sind nur bis zur Bundesinfrastruktur verschlüsselt. Eingestufte Inhalte gehören deshalb nicht in Breakout-Gespräche.
Weil Kryptomaterial des Bundes zum Einsatz kommt, liefern wir den Service ausschließlich an deutsche Unternehmen und Behörden. Das Abonnement beginnt ab 25 Nutzern. Registerangaben nach BSI-Schrift 7164, geprüft am 8. Oktober 2026. Mehr zu ISEC7 MANAGED SECURE VOICE
Häufige Fragen zu KRITIS
Muss ich mich nach dem KRITIS-Dachgesetz schon registrieren?
Nein, derzeit nicht. Laut Bundesamt für Bevölkerungsschutz und Katastrophenhilfe besteht noch keine Registrierungspflicht auf Grundlage des KRITIS-Dachgesetzes, weil die Rechtsverordnung zur Bestimmung kritischer Anlagen noch in Erarbeitung und Abstimmung ist. Risikoanalyse und Resilienzmaßnahmen werden erstmals neun bzw. zehn Monate nach der Registrierung fällig. Die Registrierung beim BSI nach § 33 BSIG ist davon unabhängig.
Was ist der Unterschied zwischen KRITIS-Dachgesetz und BSI-Gesetz?
Das BSI-Gesetz regelt die IT-Sicherheit: Risikomanagement, Meldepflichten und Nachweise gegenüber dem BSI. Das KRITIS-Dachgesetz regelt vor allem die physische Resilienz kritischer Anlagen. Ein Betreiber kann unter beide Gesetze fallen, die Pflichten und Fristen laufen aber getrennt.
Was verlangt § 30 BSIG bei der Kommunikation?
§ 30 Abs. 2 Satz 2 Nr. 10 BSIG verlangt die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. Welche Lösung angemessen ist, bewertet die Einrichtung nach Risikoexposition, Größe und Umsetzungskosten.
Kann ich die Pflichten nach dem BSI-Gesetz an einen Dienstleister auslagern?
Nein. Ein Dienstleister kann Betrieb, Überwachung und Berichte übernehmen, die Pflichten bleiben aber bei der Einrichtung. Die Geschäftsleitung ist nach § 38 BSIG für die Umsetzung der Risikomanagementmaßnahmen verantwortlich, und die Meldung erheblicher Vorfälle bleibt Sache der Einrichtung.
Wie schnell muss ein erheblicher Sicherheitsvorfall gemeldet werden?
Nach § 32 BSIG in drei Stufen: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis, eine Meldung innerhalb von 72 Stunden mit einer ersten Bewertung, darunter Schweregrad und Kompromittierungsindikatoren, und eine Abschlussmeldung nach einem Monat. Für die 72-Stunden-Meldung brauchen Sie also bereits ausgewertete Protokolldaten.
Wer betreibt das SOC, wenn ich Managed Detection and Response über ISEC7 beziehe?
Arctic Wolf. Das Security Operations Center betreibt Arctic Wolf nach eigener Angabe in Frankfurt, eröffnet im November 2021. ISEC7 bindet Ihre mobile Landschaft an die Erkennung an und behebt gefundene Schwachstellen in Ihrem System, wenn Sie das wünschen.
Wo haben KRITIS-Betreiber laut BSI den größten Nachholbedarf?
Bei den Systemen zur Angriffserkennung. Das BSI bewertet bei der Nachweisprüfung nach § 39 BSIG die Reifegrade von ISMS, BCMS und Angriffserkennung; die Angriffserkennung schneidet am schwächsten ab. Die meisten Störungsmeldungen kommen aus dem Sektor Informationstechnik und Telekommunikation (BSI-Magazin 2026/01 und BSI-Monatsbericht Juli 2026).
Können Betreiber außerhalb Deutschlands ISEC7 MANAGED SECURE VOICE nutzen?
Nein. Weil Kryptomaterial des Bundes zum Einsatz kommt, liefert ISEC7 den Service ausschließlich an deutsche Unternehmen und Behörden.
Sprechen Sie mit uns über Ihre Nachweise
Ob Patch-Stand der Diensthandys, Anschluss an eine Angriffserkennung oder verschlüsselte Telefonie für den Krisenstab: Schreiben Sie uns über das Formular, welche Frage bei Ihnen gerade offen ist. Wir melden uns bei Ihnen.