Auditfähig heißt: belegbar, nicht behauptet.
IT für regulierte Häuser — hochverfügbar, nachweisfähig und konform zu NIS2, BSI-Grundschutz und den branchenspezifischen Standards. Die Nachweise entstehen im Betrieb, nicht in der Woche vor dem Audit.
NIS2 · BSI IT-Grundschutz · § 8a BSIG · B3S · ISO 27001
Das Wichtigste auf einen Blick
- Geeignet für
- Betreiber kritischer Infrastrukturen und regulierte Häuser mit Nachweispflicht nach § 8a BSIG
- Ausgangssituation
- Die Nachweise entstehen erst in der Woche vor dem Audit — und halten der Prüfung nicht stand
- Wir übernehmen
- Gap-Analyse gegen B3S und ISO 27001, Angriffserkennung, Netzsegmentierung, unveränderliche Sicherungen und die Begleitung der externen Prüfung
- Bei Ihnen bleibt
- Die Entscheidung über Ihre Fachanwendungen und der Zugang zu Ihren Daten. Eigentum und Hoheit wechseln nicht.
- Vorhandene Systeme
- Was heute läuft, sehen wir uns vor dem Angebot an. Was bleiben kann und was ersetzt werden muss, steht schriftlich fest, bevor Sie beauftragen.
- Ihr Ergebnis
- Nachweise, die im Betrieb entstehen. Protokolle statt nachträglicher Dokumentation, revisionssicher abgelegt
- Preisrahmen
- Nach Umfang der Lückenliste — die Gap-Analyse steht vor jeder Aufwandsschätzung
- Reaktionszeit
- Meldepflicht für erhebliche Störungen gegenüber dem BSI; im Betrieb nach vereinbarter Serviceklasse
- Dauer
- 9 bis 12 Monate Vorbereitung bis zum § 8a-Nachweis, danach alle zwei Jahre erneut
- Erster Schritt
- Abgleich Ihrer Anlagen mit den Schwellenwerten aus Anhang 1 bis 7 der BSI-KritisV
Diese Anforderungen erfüllen wir
NIS2-Richtlinie
Die EU-weite Cybersecurity-Richtlinie ist in Deutschland seit dem 6. Dezember 2025 in Kraft und betrifft deutlich mehr Unternehmen als bisher.
- Risikomanagement-Maßnahmen
- Meldepflicht bei Vorfällen
- Supply-Chain-Security
- Business Continuity
KRITIS / BSI-Gesetz
Betreiber kritischer Infrastrukturen müssen besondere Sicherheitsanforderungen erfüllen.
- Stand der Technik umsetzen
- Alle 2 Jahre Nachweis erbringen
- Kontaktstelle für BSI benennen
- IT-Störungen melden
Branchenstandards
Zusätzliche branchenspezifische Anforderungen, die wir abdecken können.
- ISO 27001 / IT-Grundschutz
- TISAX (Automotive)
- B3S (Branchenstandards)
- DSGVO / Datenschutz
Maßgeblich sind die Schwellenwerte aus Anhang 1 bis 7 der BSI-KritisV. Die Anmeldung läuft über das KRITIS-Portal des BSI; danach gelten die Nachweispflicht nach §8a alle zwei Jahre und die Meldepflicht für erhebliche Störungen. Die zehn Sektoren sind Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung, staatliche Verwaltung sowie Medien und Kultur.
Unsere Compliance-Leistungen
Compliance-Assessment
Wir analysieren Ihre IT-Landschaft und identifizieren Gaps zu den regulatorischen Anforderungen.
Hochverfügbare Infrastruktur
Redundante Systeme, standortgetrennte Backups und Failover-Konzepte für maximale Verfügbarkeit.
24/7 Security Monitoring
Rund-um-die-Uhr Überwachung, Anomalieerkennung und regelmäßige Security-Reports.
Audit-sichere Dokumentation
Vollständige, nachvollziehbare Dokumentation aller IT-Systeme und -Prozesse.
Business Continuity
Notfallpläne, Wiederanlaufprozeduren und regelmäßige Tests für den Ernstfall.
Incident Response
Definierte Prozesse für schnelle Reaktion und strukturierte Analyse bei Vorfällen.
Unsere Rechenzentren
Standort Deutschland
Alle Daten bleiben in DeutschlandZertifiziert
ISO/IEC 27001:2024, Zertifikat Nr. 202787Hochverfügbar
Redundante Systeme, standortgetrennte SicherungKonform
Auftragsverarbeitung nach DSGVO, TOM dokumentiertDer Weg zur Compliance
Assessment
Ist-Analyse der IT-Landschaft und Abgleich mit den regulatorischen Anforderungen. Ergebnis ist die Lückenliste.
Konzept
Maßnahmenplan, sortiert nach Risiko und Aufwand — nicht nach dem, was sich am schnellsten abhaken lässt.
Umsetzung
Angriffserkennung, Netzsegmentierung, Mehrfaktor-Anmeldung, Patch-Management, unveränderliche Sicherungen, dokumentierte Notfall- und Wiederanlaufpläne.
§8a-Nachweis
Unabhängige, vom BSI akzeptierte Prüfer prüfen gegen B3S oder ISO 27001 plus KRITIS-Anforderungen. Ergebnis ist ein Prüfbericht mit Mängelliste für das BSI.
Betrieb
Kontinuierliches Monitoring, interne Reviews, Audit-Unterstützung — und die Vorbereitung auf den nächsten Nachweiszyklus.
Ihr Partner für regulierte IT
Erfahrung mit KRITIS
Wir betreuen bereits Unternehmen aus regulierten Branchen und kennen die Anforderungen aus der Praxis.
Standort Deutschland
Alle Daten bleiben in Deutschland. Unsere Rechenzentren erfüllen höchste Sicherheitsstandards.
24/7 Verfügbarkeit
Rund-um-die-Uhr Monitoring und schnelle Reaktionszeiten – auch an Wochenenden und Feiertagen.
FAQ — Compliance & KRITIS
/01Welche Sektoren gelten als KRITIS nach dem BSI-Gesetz?+
Die BSI-Kritisverordnung umfasst zehn Sektoren: Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung, staatliche Verwaltung sowie Medien und Kultur. Ob ein Unternehmen betroffen ist, hängt von Anlagenkategorien und Schwellenwerten (zum Beispiel versorgte Personen, verarbeitete Mengen) ab. Mit NIS2 weitet sich der Kreis auf mittelgroße Unternehmen ab 50 Mitarbeitern aus.
/02Ab welcher Größe muss ich mich beim BSI als KRITIS-Betreiber anmelden?+
Maßgeblich sind die Schwellenwerte aus Anhang 1 bis 7 BSI-KritisV, nicht die Mitarbeiterzahl. Beispiele: Stromversorger ab 500.000 versorgten Personen, Krankenhäuser ab 30.000 vollstationären Fällen jährlich, Rechenzentren ab 3,5 MW vertraglich zugesicherter Leistung. Anmeldung beim BSI erfolgt über das KRITIS-Portal, danach gelten Nachweispflichten nach §8a alle zwei Jahre und eine Meldepflicht für erhebliche Störungen.
/03Was ist der Unterschied zwischen ISO 27001 und B3S?+
ISO 27001 ist ein internationaler Standard für Informationssicherheits-Managementsysteme (ISMS) mit generischen Controls. B3S (Branchenspezifischer Sicherheitsstandard) ist vom BSI anerkannt und übersetzt die gesetzlichen KRITIS-Anforderungen in konkrete Maßnahmen je Branche. Ein ISO-27001-Zertifikat genügt für die BSI-Prüfung oft nicht allein, ein B3S ergänzt sie. In der Praxis kombinieren viele Betreiber beides für einen schlankeren Nachweis.
/04Welche technischen Mindestanforderungen stellt das BSI an KRITIS-Systeme?+
Gefordert werden ein funktionierendes ISMS, Angriffserkennung (Systeme zur Angriffserkennung, §8a Abs. 1a), Netzsegmentierung, Multi-Faktor-Authentifizierung, Patch-Management, dokumentierte Notfall- und Wiederanlaufpläne sowie regelmäßige Penetrationstests. Protokollierung und SIEM sind faktisch Pflicht, Backups müssen offline oder unveränderlich (immutable) vorgehalten werden. Für Cloud-Anbindungen verlangt das BSI zusätzliche Risikoanalysen und Datenresidenz in der EU.
/05Wie läuft ein §8a-Nachweis beim BSI praktisch ab?+
Alle zwei Jahre prüfen unabhängige, vom BSI akzeptierte Prüfer Ihr ISMS gegen den geltenden Standard (B3S oder ISO 27001 plus KRITIS-Anforderungen). Ergebnis ist ein Prüfbericht mit Mängelliste, der fristgerecht beim BSI eingereicht wird. Das BSI kann Nachprüfungen anordnen. Vorbereitung dauert typischerweise 9 bis 12 Monate: Gap-Analyse, Maßnahmenumsetzung, interne Audits, dann externe Prüfung. Wir begleiten den gesamten Zyklus.
Das könnte Sie auch interessieren.
SIEM mit Wazuh
Security-Monitoring und Compliance-Reporting für NIS2 und KRITIS.
lösungCyber Security
Umfassender Schutz vor Cyber-Bedrohungen mit SOC-Services.
lösungBackup & Disaster Recovery
Standortgetrennte Datensicherung für Business Continuity.
lösungKI On-Premise
DSGVO-konforme KI-Infrastruktur für regulierte Unternehmen.
lösungE-Mail-Filterung
Managed Proxmox Mail Gateway – compliance-relevante E-Mail-Security mit Spam- und Virenfilterung aus deutschen Rechenzentren.
lösungManaged Firewall
Netzwerksegmentierung und Perimeterschutz mit OPNsense – Pflichtbaustein für NIS2 und KRITIS.
Zertifizierung in sechs Monaten
- Ausgangslage
- Automobilzulieferer aus Bayern, 180 Mitarbeiter, 12 davon in der IT. Mehrere Großkunden verlangten den Nachweis nach ISO 27001 — Frist: 8 Monate. Ein förmliches ISMS gab es nicht.
- Maßnahme
- Sechs-Phasen-Plan für die technischen und die organisatorischen Anforderungen, mit parallel laufenden Arbeitspaketen statt strenger Reihenfolge.
KRITIS-Anforderungen besprechen.
Schwellenwerte, Nachweispflichten und Prüfzyklen unterscheiden sich je Sektor. Wir ordnen Ihre Lage ein, bevor Sie Aufwand einplanen.
ISO/IEC 27001 zertifiziert · Zertifikat 202787