Compliance-Lexikon · NIS-2
KRITIS – Praxis
KRITIS wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Wurde geprüft, ob die Organisation nach BSI-KritisV in einem der definierten Sektoren als kritisch eingestuft ist?
Häufige Fehler in der Praxis
- KRITIS-Status wird angenommen, aber nie formal geprüft
- Veränderte Unternehmenskennzahlen führen nicht zu einer erneuten Einstufung
- Konzernstrukturen mit mehreren Standorten werden nicht sektorspezifisch einzeln bewertet
Praxis-Tipp
Die KRITIS-Einstufung ist keine einmalige Feststellung. Wachstum, Zukauf oder Veränderung des Portfolios können eine Organisation neu in den Anwendungsbereich bringen.
Die neun KRITIS-Sektoren
Die BSI-KritisV unterscheidet Sektoren wie Energie, Wasser, Ernährung, Gesundheitswesen, Transport und Verkehr, Finanz- und Versicherungswesen, Informationstechnik und Telekommunikation, Siedlungsabfallentsorgung sowie Staat und Verwaltung. Jeder Sektor hat eigene Schwellenwerte für die Einstufung als kritische Anlage.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Sektorzuordnung, Schwellenwertberechnung, Datum der letzten Überprüfung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum KRITIS über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.