KRITIS-Nachweispflicht nach § 39 BSIG: Die wichtigsten Änderungen für Betreiber
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Mit dem BSI-Gesetz (BSIG) wurden die Anforderungen an die Nachweiserbringung für Betreiber Kritischer Infrastrukturen (KRITIS) neu geregelt. Der bisherige § 8a BSIG a.F. wurde durch § 39 BSIG abgelöst. Die auffälligste Änderung ist die Verlängerung des Nachweiszyklus von zwei auf drei Jahre. Gleichzeitig legt die Neuregelung einen stärkeren Fokus auf die kontinuierliche Behebung von Sicherheitsmängeln durch ein formalisiertes Monitoring-Verfahren des BSI.
Die Kernpunkte im Überblick:
- Regelwerk: BSI-Gesetz (BSIG), § 39
- Betroffene: Betreiber kritischer Anlagen gemäß BSI-Kritisverordnung (BSI-KritisV)
- Neuer Nachweiszyklus: Alle 3 Jahre (zuvor 2 Jahre)
- In Kraft seit: 6. Dezember 2025
Der neue rechtliche Rahmen: Von zwei auf drei Jahre
Die zentrale Änderung in § 39 BSIG ist die Verlängerung des Prüfzyklus. KRITIS-Betreiber müssen nun alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen, dass ihre IT-Sicherheitsmaßnahmen dem Stand der Technik entsprechen. Gegenstand des Nachweises sind dabei die Maßnahmen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 BSIG. Diese Anpassung soll den Aufwand für die periodischen Prüfungen reduzieren und den Fokus auf eine nachhaltige Sicherheitskultur legen. Die gesetzliche Grundlage wurde zuletzt am 17. März 2026 durch das Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 (CER-Richtlinie) geändert.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat seine „Orientierungshilfe zur Nachweiserbringung“ bereits 2025 umfassend überarbeitet, um die neuen Anforderungen abzubilden. Dieses Dokument ist für die praktische Umsetzung der gesetzlichen Vorgaben maßgeblich.
Fristen, Schwellenwerte und Übergangsregelungen
Die Nachweispflichten gelten für alle Organisationen, deren Anlagen die in der BSI-KritisV definierten Schwellenwerte überschreiten. Betreiber sind verpflichtet, dies jährlich bis zum 31. März zu prüfen. Bei einer Überschreitung gilt die Anlage ab dem 1. April als Kritische Infrastruktur und muss beim BSI registriert werden.
Für Betreiber, die bereits vor Inkrafttreten des neuen Gesetzes nachweispflichtig waren, sieht § 39 Absatz 3 BSIG eine Übergangsregelung vor: Der nächste Nachweiszeitpunkt wird vom BSI auf frühestens drei Jahre nach dem letzten erbrachten Nachweis festgelegt.
Der Nachweisprozess und das BSI-Mängel-Monitoring
Werden im Rahmen der Prüfung Sicherheitsmängel festgestellt, startet ein formalisierter Prozess zur Mängelbehebung. Betreiber müssen einen verbindlichen Umsetzungsplan erstellen, der detailliert beschreibt, wie und bis wann die identifizierten Schwachstellen behoben werden.
Ein wesentlicher Bestandteil des neuen Verfahrens ist das BSI-Mängel-Monitoring. Hierbei müssen Betreiber dem BSI in regelmäßigen Abständen – meist quartalsweise – eine aktualisierte Mängelliste vorlegen und den Fortschritt der Maßnahmen dokumentieren. Dieser Prozess verschiebt den Fokus von einer punktuellen Prüfung hin zu einem kontinuierlichen und nachweisbaren Verbesserungsprozess. Bei schwerwiegenden Mängeln oder signifikanten Verzögerungen kann das BSI die Umsetzung unter Androhung von Zwangsgeldern anordnen. Ein Zwangsgeld wird laut BSI in der Regel erst festgesetzt, wenn die gesetzte Behebungsfrist nicht eingehalten wird.
Wie LocateRisk die Compliance nach § 39 BSIG unterstützt
Die Erfüllung der Nachweispflichten nach § 39 BSIG erfordert eine lückenlose Transparenz über die eigene IT-Angriffsfläche. Eine vollständige und aktuelle Dokumentation aller extern erreichbaren Systeme ist die Grundvoraussetzung für jeden Sicherheitsnachweis gegenüber dem BSI – und gleichzeitig eine der häufigsten Lücken in der Audit-Vorbereitung.
LocateRisk unterstützt KRITIS-Betreiber dabei, diese Datengrundlage kontinuierlich zu schaffen. Die Plattform inventarisiert automatisiert alle extern erreichbaren IT-Systeme – einschließlich vergessener Subdomains, ungenutzter Cloud-Assets und Schatten-IT –, die andernfalls aus dem Blickfeld eines Audits fallen könnten. Konfigurationsdrifts wie unerwartete offene Ports oder Fehlkonfigurationen werden fortlaufend erkannt und dokumentiert, sodass Betreiber jederzeit einen aktuellen, nachweisfähigen Überblick ihrer Angriffsfläche vorhalten können.
Da die Resilienz von KRITIS-Betreibern auch von ihren Dienstleistern und Zulieferern abhängt, kann darüber hinaus ein systematisches Vendor Risk Management (VRM) sinnvoll sein. LocateRisk bewertet automatisiert und kontinuierlich die Sicherheitslage von Drittanbietern und liefert Daten, um Risiken in der Lieferkette zu identifizieren und zu steuern.
Als Lösung „Made in Germany“ mit Hosting in zertifizierten deutschen Rechenzentren ist LocateRisk auf die Anforderungen der DSGVO ausgerichtet und unterstützt so den Nachweis einer sicheren und souveränen Datenverarbeitung.
Quellen und weitere Infos
—
Hinweis in eigener Sache: Dieser Beitrag gibt die Rechtslage zum Zeitpunkt der Veröffentlichung wieder. Da IT-Recht und Compliance-Vorgaben hochkomplex sind, dient dieser Text lediglich als erste Orientierungshilfe und stellt keine rechtsverbindliche Beratung dar. Für die Umsetzung in Ihrem Unternehmen empfehlen wir, im Zweifel juristischen Rat einzuholen. Eine Haftung für die Inhalte wird ausgeschlossen.
Häufige Fragen zu § 39 BSIG
Die zentrale Änderung ist die Verlängerung des Nachweiszyklus von zwei auf drei Jahre. Gleichzeitig wurde mit dem BSI-Mängel-Monitoring ein formalisierter Prozess zur Nachverfolgung von Sicherheitsmängeln eingeführt, der eine regelmäßige – meist quartalsweise – Berichterstattung an das BSI erfordert.
Betreiber müssen jährlich bis zum Stichtag am 31. März prüfen, ob ihre Anlagen die in der BSI-KritisV festgelegten Schwellenwerte überschreiten. Bei Überschreitung beginnt die Registrierungs- und Nachweispflicht ab dem 1. April.
Der Betreiber muss einen detaillierten Umsetzungsplan zur Behebung der Mängel erstellen und dem BSI vorlegen. Der Fortschritt wird im Rahmen des BSI-Mängel-Monitorings überwacht, was typischerweise quartalsweise Statusberichte erfordert. Bei Nichteinhaltung von Fristen kann das BSI Zwangsgelder androhen; fällig werden diese laut BSI in der Regel erst, wenn auch eine gesetzte Behebungsfrist ergebnislos verstreicht.
Stand: 14.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Deutsch 
English 
Français