Compliance-Lexikon · NIS-2
Betreiber kritischer Anlagen – Praxis
Betreiber kritischer Anlagen wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Liegt eine dokumentierte Schwellenwertprüfung nach BSI-KritisV vor, die alle zwei Jahre aktualisiert wird?
Häufige Fehler in der Praxis
- Schwellenwertprüfung einmalig durchgeführt, aber nie wiederholt
- Versorgungsmengen werden nicht laufend gegen die Anlagenschwellen gemessen
- Sektorspezifische Zusatzpflichten (etwa nach EnWG) bleiben neben NIS-2 unberücksichtigt
Praxis-Tipp
Die Zwei-Jahres-Frist für die Nachweispflicht nach § 8a BSIG läuft unabhängig vom NIS-2-Meldezyklus. Beide Termine gehören in getrennte Kalendereinträge.
Abgrenzung zur wesentlichen Einrichtung
Betreiber kritischer Anlagen sind eine Teilmenge der wesentlichen Einrichtungen mit verschärften Pflichten. Die Einstufung erfolgt über konkrete Schwellenwerte je Sektor, etwa Liefermengen bei Energie oder Patientenzahlen im Gesundheitswesen, nicht über die Unternehmensgröße allein.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Aktuelle Schwellenwertprüfung mit Datum, Versorgungsmengen-Nachweis der letzten zwei Jahre, Sektorzuordnung nach BSI-KritisV-Anlage. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Betreiber kritischer Anlagen über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.