Prüfprogramm Nachweisprüfung für Betreiber kritischer Anlagen.
Wie Sie prüfen, ob die Risikomanagementmaßnahmen eines Betreibers kritischer Anlagen umgesetzt sind und so belegt werden, dass ein Nachweis gegenüber dem Bundesamt trägt.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob ein Betreiber kritischer Anlagen die Risikomanagementmaßnahmen für seine kritischen Anlagen umgesetzt hat, die über das allgemeine Niveau hinausgehen, ob Systeme zur Angriffserkennung betrieben werden und ob die Meldepflichten erfüllt werden können. Sie beurteilt außerdem, ob der Nachweis für das Bundesamt durch Audits, Prüfungen oder Zertifizierungen vorbereitet ist: Umfang, Prüfer, Dokumentation und Umgang mit Mängeln.
Geltungsbereich
- Kritische Anlagen des Betreibers und die für ihren Betrieb notwendigen IT-Systeme, Komponenten und Prozesse
- Risikomanagementmaßnahmen nach den allgemeinen und den besonderen Anforderungen für Betreiber kritischer Anlagen
- Vorbereitung und Durchführung des Nachweises gegenüber dem Bundesamt
- Nicht Gegenstand: physische Resilienzmaßnahmen nach dem KRITIS-Dachgesetz und branchenspezifische Anforderungen, sofern nicht gesondert vereinbart
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Die kritischen Anlagen des Betreibers sind bestimmt und abgegrenzt; die für ihren Betrieb notwendigen IT-Systeme, Komponenten und Prozesse sind bekannt und dokumentiert. | § 31 Abs. 1 und 2 BSIG | Abgrenzung der kritischen Anlagen und die Liste der zugehörigen Systeme mit der Systemübersicht abgleichen. | Dokumentation der kritischen Anlagen, Systemübersicht, Abhängigkeitsübersicht |
| 2 | Es besteht eine Risikoanalyse mit Sicherheitskonzepten für die kritischen Anlagen, sie ist aktuell und von der Leitung verantwortet. | § 30 Abs. 2 Nr. 1 BSIG; NIS2-Richtlinie Art. 20 | Risikoanalyse und Sicherheitskonzepte lesen und Aktualität sowie Freigabe durch die Leitung prüfen. | Risikoanalyse, Sicherheitskonzepte, Freigabevermerke der Leitung |
| 3 | Die Maßnahmen gehen für die kritischen Anlagen über das allgemeine Niveau hinaus und sind dem Aufwand nach nicht unverhältnismäßig zu den Folgen eines Ausfalls. | § 31 Abs. 1 BSIG | Prüfen, wie die Verhältnismäßigkeit der Maßnahmen für die kritischen Anlagen begründet und dokumentiert ist. | Begründung zur Verhältnismäßigkeit, Maßnahmenkatalog der kritischen Anlagen |
| 4 | Es werden Systeme zur Angriffserkennung eingesetzt, die laufend und automatisiert geeignete Parameter erfassen und auswerten und laufende Bedrohungen erkennen. | § 31 Abs. 2 BSIG | Systeme, abgedeckte Komponenten und Auswertung ansehen und die Abdeckung der Systeme der kritischen Anlagen prüfen. | Architektur der Angriffserkennung, Abdeckungsübersicht, Auswertungen |
| 5 | Die Maßnahmen zur Bewältigung von Sicherheitsvorfällen und zur Aufrechterhaltung des Betriebs sind umgesetzt und werden geübt. | § 30 Abs. 2 Nr. 2 und 3 BSIG | Vorfalls- und Notfallpläne der kritischen Anlagen lesen und die Ergebnisse der letzten Übung ansehen. | Vorfalls- und Notfallpläne, Übungsprotokolle |
| 6 | Die Lieferkette der kritischen Anlagen ist betrachtet, Dienstleister mit Zugriff sind vertraglich auf Sicherheitsanforderungen verpflichtet. | § 30 Abs. 2 Nr. 4 BSIG | Verträge und Bewertungen von drei Dienstleistern der kritischen Anlagen prüfen. | Dienstleisterverzeichnis, Verträge, Bewertungen |
| 7 | Zugriffskontrolle und Mehrfaktor-Authentifizierung sind für die Systeme der kritischen Anlagen umgesetzt. | § 30 Abs. 2 Nr. 9 und 10 BSIG | Berechtigungen und Authentifizierung für die Systeme der kritischen Anlagen in einer Stichprobe prüfen. | Berechtigungsauszüge, Konfiguration der Mehrfaktor-Authentifizierung |
| 8 | Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen bestehen und werden angewendet. | § 30 Abs. 2 Nr. 6 BSIG | Verfahren zur Wirksamkeitsbewertung und die Ergebnisse der letzten zwölf Monate ansehen. | Prüfplan, Berichte der Wirksamkeitsbewertung, Maßnahmenliste |
| 9 | Erhebliche Sicherheitsvorfälle können an die gemeinsame Meldestelle gemeldet werden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung nach einem Monat. | § 32 Abs. 1 BSIG | Meldeprozess, Zuständigkeiten und Vorlagen prüfen und eine Meldung oder Übung auf Einhaltung der Fristen untersuchen. | Meldeprozess, Vorlagen, Nachweis der Übung oder Meldung |
| 10 | Der Nachweis gegenüber dem Bundesamt ist geplant: Umfang, Nachweisart (Audit, Prüfung oder Zertifizierung), Termin im Turnus von drei Jahren und Prüfer sind festgelegt. | § 39 Abs. 1 BSIG | Nachweisplanung mit dem vom Bundesamt festgelegten Termin abgleichen und Eignung der Prüfstelle sowie Unabhängigkeit prüfen. | Nachweisplanung, Beauftragung der Prüfstelle, Terminmitteilung des Bundesamts |
| 11 | Festgestellte Sicherheitsmängel werden mit Frist und Verantwortlichen erfasst, nachverfolgt und gegenüber dem Bundesamt darstellbar behoben. | § 39 Abs. 1 BSIG | Mängellisten früherer Nachweise ansehen und den Stand der Behebung prüfen. | Mängelliste, Maßnahmenplan, Nachweise der Behebung |
Unterlagen zur Anforderung
- Dokumentation der kritischen Anlagen und der zugehörigen Systeme
- Risikoanalyse und Sicherheitskonzepte
- Begründung zur Verhältnismäßigkeit der Maßnahmen
- Beschreibung der Angriffserkennung mit Abdeckungsübersicht
- Vorfalls- und Notfallpläne mit Übungsprotokollen
- Meldeprozess mit Vorlagen und Zuständigkeiten
- Nachweisplanung und Berichte früherer Audits, Prüfungen oder Zertifizierungen
- Mängelliste mit Maßnahmenplan
Typische Feststellungen
- Die Abgrenzung der kritischen Anlagen und der notwendigen IT-Systeme ist nicht aktuell, Abhängigkeiten sind nicht erfasst.
- Die Angriffserkennung deckt einen Teil der Systeme der kritischen Anlagen nicht ab.
- Die Verhältnismäßigkeit der Maßnahmen ist nicht begründet, besondere Maßnahmen für die kritischen Anlagen sind nicht erkennbar.
- Die Meldefähigkeit wurde nie geübt, die Vertretung der zuständigen Personen ist ungeklärt.
- Der Nachweis wird zu spät vorbereitet, der Umfang der Prüfung deckt die kritischen Anlagen nicht vollständig ab.
- Mängel früherer Prüfungen sind ohne Frist und Verantwortliche und werden nicht nachverfolgt.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen