Um die Prüfqualität bei Betreibern Kritischer Infrastrukturen zu vereinheitlichen, verpflichtet das BSI Auditoren künftig zu einer eigenen Personenzertifizierung.
Einheitliche Qualitätsstandards
BSI führt verpflichtende Personenzertifizierung für KRITIS-Auditoren ein
Bildquelle: nitpicker/Shutterstock.com
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verschärft laut einer Mitteilung die Anforderungen an die Nachweisprüfung Kritischer Infrastrukturen (KRITIS). Betreiber kritischer Anlagen im Energie-, Gesundheits- oder Ernährungssektor sind nach den §§ 30 und 31 BSI-Gesetz (BSIG) verpflichtet, ihre IT-Systeme gegen Störungen der Vertraulichkeit, Integrität und Verfügbarkeit abzusichern und dies dem BSI gemäß § 39 Abs. 1 BSIG nachzuweisen. Um die Qualität und Vergleichbarkeit dieser Prüfberichte zu sichern, führt die Behörde eine verpflichtende Personenzertifizierung für KRITIS-Auditorinnen und -Auditoren ein.
Die Kernpunkte der neuen Qualifizierungsregelung für KRITIS-Auditoren
- Standardisiertes Schulungskonzept: Das BSI stellt ein Schulungscurriculum nach § 39 Abs. 2 BSIG bereit. Schulungsanbieter können sich per Selbsterklärung verpflichten, die Vorgaben einzuhalten, und werden auf Wunsch auf der BSI-Website gelistet.
- Verbindliche Kriterien für prüfende Stellen: In Praxis-Workshops mit Branchenvertretern erarbeitet das BSI derzeit erweiterte Anforderungen an die prüfenden Organisationen.
- Integration in GAiN 2.2: Die neuen Regeln werden voraussichtlich Anfang 2027 im Rahmen der Version 2.2 der Grundsätzlichen Anforderungen im Nachweisverfahren (GAiN) verbindlich verankert.
Die Maßnahme ist Teil der fortlaufenden Schärfung der deutschen KRITIS-Regulierung im Kontext der europäischen NIS2-Richtlinie und der BSI-Gesetz-Novellierung. Während der Kreis der nachweispflichtigen Unternehmen erweitert wird, erhöht das BSI zeitgleich den Regulierungsdruck auf die Prüfinstanzen:
- Spezialisierung der Auditoren: Allgemeine ISO 27001- oder CISA-Audits reichen für KRITIS-Nachweise künftig nicht mehr aus; Auditoren müssen spezifische Kenntnisse der BSI-Prüfgrundsätze und branchenspezifischen Sicherheitsstandards (B3S) nachweisen.
- Haftungs- und Nachweisdruck: Durch die Zertifizierung der einzelnen Auditoren und die Anpassung der GAiN-Vorgaben will das BSI Gefälligkeitsgutachten unterbinden und eine lückenlose Qualitätssicherung bei den Nachweisdokumenten durchsetzen.
(red)
