Betreiber kritischer Anlagen bewegen sich in einem dichten Pflichten-Netz aus BSI-Gesetz, BSI-KritisV, branchenspezifischen Sicherheitsstandards und dem KRITIS-Dachgesetz. Mein Anspruch ist eine nüchterne Einordnung — und eine Umsetzung, die im Betriebsalltag bestehen kann.
Was ich für Sie tue
- Einordnung als Betreiber einer kritischen Anlage nach BSI-KritisV / KRITIS-Dachgesetz — inklusive der Schwellenwerte und Sektor-Definitionen.
- Gap-Analyse gegen die anwendbaren Anforderungen aus § 39 BSIG und einschlägigen branchenspezifischen Sicherheitsstandards (B3S).
- Integriertes Konzept aus ISMS, BCMS und physischer Sicherheit — KRITIS verlangt mehr als nur Informationssicherheit.
- Priorisierte Maßnahmenplanung nach Wirkung und Umsetzbarkeit.
- Vorbereitung auf die § 39-Prüfung bzw. Aktualisierung des Nachweises alle drei Jahre.
- Begleitung bei der Meldung erheblicher Störungen an das BSI.
Cyber- und physische Sicherheit zusammendenken
Betreiber kritischer Anlagen unterliegen seit 2026 zwei parallelen Regimen: Das BSIG regelt die Cybersicherheit, das KRITIS-Dachgesetz die physische Resilienz — baulicher und technischer Objektschutz, Zutrittskontrolle, Notstrom und alternative Lieferketten, Krisenreaktionspläne, Personalsicherheit. Im Kern verlangen beide dieselbe Governance: Risikoanalyse, Notfall- und Krisenmanagement, Nachweise. Getrennt umgesetzt, kostet das doppelt.
Ich setze dort an, wo beide Gesetze zusammenlaufen — beim integrierten Resilienzmanagement:
- All-Gefahren-Risikoanalyse und -bewertung (§ 12 KRITIS-Dachgesetz) — nicht nur IT-Risiken.
- Ein gemeinsames Management-System, das KRITIS-Dachgesetz, ISO/IEC 27001, BCMS (ISO 22301) und NIS2 aufeinander mappt — statt vier paralleler Aktenordner.
- Resilienzplan, Krisenreaktion und Meldewesen dokumentiert und prüfungsfest.
Den baulich-technischen Objektschutz selbst — Sicherheitstechnik, Perimeter, Detektion — liefere ich nicht; das ist die Disziplin spezialisierter Sicherheitsingenieure. Hier koordiniere ich mit Fachpartnern und sorge dafür, dass deren Maßnahmen in Ihr Resilienz- und Nachweissystem passen. Was ich verantworte, ist die Struktur, die beides zusammenhält.
Wie ich arbeite
KRITIS-Beratung ist Faktenarbeit. Ich liefere keine Schreckens-Szenarien, sondern eine nüchterne Einordnung Ihrer Pflichten und der pragmatischsten Wege, sie zu erfüllen.
Wann das passt
- Sie sind unsicher, ob Ihre Anlagen in den KRITIS-Anwendungsbereich fallen — oder ab welcher Schwelle.
- Eine § 39-Prüfung steht an und der Nachweis muss aktualisiert werden.
- Sie betreiben mehrere Anlagen unterschiedlicher Reifegrade und wollen ein einheitliches Sicherheitsniveau.