BSI führt verpflichtende Personenzertifizierung für KRITIS-Auditoren ein

Um die Prüfqualität bei Betreibern Kritischer Infrastrukturen zu vereinheitlichen, verpflichtet das BSI Auditoren künftig zu einer eigenen Personenzertifizierung.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verschärft laut einer Mitteilung die Anforderungen an die Nachweisprüfung Kritischer Infrastrukturen (KRITIS). Betreiber kritischer Anlagen im Energie-, Gesundheits- oder Ernährungssektor sind nach den §§ 30 und 31 BSI-Gesetz (BSIG) verpflichtet, ihre IT-Systeme gegen Störungen der Vertraulichkeit, Integrität und Verfügbarkeit abzusichern und dies dem BSI gemäß § 39 Abs. 1 BSIG nachzuweisen. Um die Qualität und Vergleichbarkeit dieser Prüfberichte zu sichern, führt die Behörde eine verpflichtende Personenzertifizierung für KRITIS-Auditorinnen und -Auditoren ein.

Die Kernpunkte der neuen Qualifizierungsregelung für KRITIS-Auditoren

• Standardisiertes Schulungskonzept: Das BSI stellt ein Schulungscurriculum nach § 39 Abs. 2 BSIG bereit. Schulungsanbieter können sich per Selbsterklärung verpflichten, die Vorgaben einzuhalten, und werden auf Wunsch auf der BSI-Website gelistet.
• Verbindliche Kriterien für prüfende Stellen: In Praxis-Workshops mit Branchenvertretern erarbeitet das BSI derzeit erweiterte Anforderungen an die prüfenden Organisationen.
• Integration in GAiN 2.2: Die neuen Regeln werden voraussichtlich Anfang 2027 im Rahmen der Version 2.2 der Grundsätzlichen Anforderungen im Nachweisverfahren (GAiN) verbindlich verankert.

Die Maßnahme ist Teil der fortlaufenden Schärfung der deutschen KRITIS-Regulierung im Kontext der europäischen NIS2-Richtlinie und der BSI-Gesetz-Novellierung. Während der Kreis der nachweispflichtigen Unternehmen erweitert wird, erhöht das BSI zeitgleich den Regulierungsdruck auf die Prüfinstanzen:

• Spezialisierung der Auditoren: Allgemeine ISO 27001- oder CISA-Audits reichen für KRITIS-Nachweise künftig nicht mehr aus; Auditoren müssen spezifische Kenntnisse der BSI-Prüfgrundsätze und branchenspezifischen Sicherheitsstandards (B3S) nachweisen.
• Haftungs- und Nachweisdruck: Durch die Zertifizierung der einzelnen Auditoren und die Anpassung der GAiN-Vorgaben will das BSI Gefälligkeitsgutachten unterbinden und eine lückenlose Qualitätssicherung bei den Nachweisdokumenten durchsetzen.

(red)