Aufsicht und Kontrolle
Behörden prüfen die Einhaltung der KRITIS-Pflichten

Wer kontrolliert die Einhaltung der KRITIS-Vorgaben?

Betreiber kritischer Infrastrukturen stehen nicht nur vor der Herausforderung, technische und organisatorische Sicherheitsmaßnahmen umzusetzen, sondern müssen auch gegenüber Aufsichtsbehörden nachweisen, dass sie diese Anforderungen erfüllen. Denn durch die Einführung des IT-Sicherheitsgesetzes 2.0, der NIS2-Richtlinie und des kommenden KRITIS-Dachgesetzes wurde die Kontrolltätigkeit auf Bundes- und Landesebene deutlich ausgeweitet. Die Einhaltung gesetzlicher Pflichten ist keine freiwillige Selbstverpflichtung, sondern unterliegt einem klar geregelten Prüfregime.

Zuständige Behörden: Wer ist verantwortlich?

Die Zuständigkeit für die Überwachung variiert je nach Bundesland, Sektor und geltender Rechtsgrundlage. In der Regel ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zentrale Kontrollbehörde auf Bundesebene. Es prüft, ob Betreiber die gesetzlichen Vorgaben zur IT-Sicherheit erfüllen und ihre Schutzmaßnahmen dokumentiert haben.

Für bestimmte Sektoren wie Energie, Telekommunikation oder Gesundheit können zusätzlich branchenspezifische Aufsichtsbehörden oder Landesstellen zuständig sein. Hierzu zählen beispielsweise die Bundesnetzagentur (BNetzA), das Umweltbundesamt oder die zuständigen Landesaufsichten für Wasserversorgung, Gesundheit oder öffentliche Ordnung.

Die KRITIS-Kontrollstruktur ist somit föderal und sektorspezifisch aufgebaut. Dies erfordert von den Betreibern ein genaues Verständnis darüber, welche Stelle im konkreten Fall prüfberechtigt ist.

Wie laufen KRITIS-Prüfungen ab?

Die Sicherheitsüberprüfungen sind in der Regel an Meldefristen und Nachweiszyklen gekoppelt. Je nach Verordnung – beispielsweise nach § 8a BSIG – müssen Betreiber alle zwei Jahre den Stand ihrer IT-Sicherheit und ihrer Resilienzmaßnahmen durch ein Audit belegen. Die Nachweise können entweder intern erstellt oder von einer anerkannten Prüfstelle, wie z. B. zertifizierten Auditoren oder Prüfunternehmen, vorgenommen werden.

Die Prüfung erfolgt nicht immer durch einen Vor-Ort-Termin. Oft wird eine Dokumentenprüfung durchgeführt, bei der Sicherheitskonzepte, Risikoanalysen, Schulungsnachweise, technische Berichte und organisatorische Maßnahmen offengelegt werden müssen. In kritischen Fällen, beispielsweise bei gemeldeten Sicherheitsvorfällen oder Hinweisen auf Mängel, sind auch unangekündigte Kontrollen oder strukturierte Folgeprüfungen möglich.

Welche Nachweise müssen Betreiber vorlegen?

Für viele Betreiber ist unklar, welche Art von Unterlagen in einer Prüfung erwartet wird. Je nach Branche und Risikoprofil kann die Aufsichtsbehörde folgende Nachweise verlangen:

• Aktuelle Sicherheitskonzepte und Notfallpläne
• Dokumentierte technische Schutzmaßnahmen (z. B. Firewalls, Netzwerksegmentierung, Backup-Lösungen)
• Ergebnisse von Penetrationstests oder Schwachstellenanalysen
• Nachweise über Schulungen und Sicherheitsunterweisungen
• Abläufe für Vorfallserkennung, Alarmierung und Meldung gemäß NIS2 und IT-SiG
• Prüfberichte nach § 8a BSIG oder andere branchenspezifische Standards (z. B. B3S)

Je besser die Dokumentation vorbereitet ist, desto reibungsloser verläuft die Prüfung.

Wie bereite ich mich auf eine KRITIS-Kontrolle vor?

Eine gute Vorbereitung beginnt nicht erst mit der Ankündigung einer Prüfung. Betreiber sollten sich daher frühzeitig intern auf die relevanten Nachweispflichten einstellen und ihre Prozesse regelmäßig selbst überprüfen. Besonders hilfreich sind strukturierte Audits, die sich an gängigen Standards wie ISO/IEC 27001 oder branchenspezifischen Sicherheitsstandards (B3S) orientieren.

Zudem ist ein internes Kontrollsystem (IKS) zur fortlaufenden Überwachung sicherheitsrelevanter Prozesse empfehlenswert. Ein klarer Maßnahmenplan, festgelegte Verantwortlichkeiten und regelmäßige Schulungen helfen dabei, Risiken frühzeitig zu erkennen und zu beheben, bevor externe Prüfer tätig werden müssen.

Was passiert bei Mängeln oder Verstößen?

Werden im Rahmen der Prüfung gesetzliche Vorgaben als nicht erfüllt festgestellt, kann die zuständige Behörde Auflagen erteilen. Diese reichen von Nachbesserungsforderungen bis hin zu verpflichtenden Sofortmaßnahmen. In schwerwiegenden Fällen sind auch Bußgelder vorgesehen, insbesondere bei Verstößen gegen Meldefristen, bei Sicherheitsmängeln oder einer unzureichenden Dokumentation.

Mit dem IT-Sicherheitsgesetz 2.0 und der NIS2-Richtlinie wurden die Sanktionsrahmen deutlich verschärft. Geldbußen in Millionenhöhe sind möglich – abhängig von der Unternehmensgröße, dem Sektor und der Schwere des Verstoßes. Wer KRITIS-relevante Pflichten ignoriert, riskiert nicht nur Sanktionen, sondern auch Reputationsverluste und operative Einschränkungen.

Fazit: Kontrolle schafft Vertrauen – und Verbindlichkeit

Die behördliche Kontrolle der Sicherheitsvorgaben ist ein zentrales Element der nationalen KRITIS-Strategie. Sie stellt sicher, dass Betreiber ihre Verantwortung ernst nehmen und die Schutzinteressen von Gesellschaft, Wirtschaft und Staat gewahrt bleiben. Gleichzeitig bietet die Kontrolle die Chance, eigene Prozesse zu optimieren, Schwachstellen frühzeitig zu erkennen und die Widerstandsfähigkeit dauerhaft zu erhöhen.

Gut vorbereitete Betreiber profitieren langfristig von geringeren Risiken, besserer Krisenfestigkeit und einem höheren Maß an regulatorischer Sicherheit.