Auf einen Blick
- Umfang
- Mindestens 21 Zeitstunden
- So schreibt es das BSI vor, Pausen nicht eingerechnet.
- Aufbau
- Sechs Module mit Übungen
- Gruppenarbeiten und Diskussionen an Praxisbeispielen.
- Abschluss
- Teilnahmebescheinigung
- Sie brauchen sie, um sich beim BSI zur Prüfung anzumelden.
Was Sie in sechs Modulen lernen
Die ersten drei Module legen die Grundlagen. Ab Modul 4 folgt die Schulung den vier Phasen einer KRITIS-Prüfung, vom Geltungsbereich bis zum Nachweis beim BSI.
-
1
Kritische Anlagen und gesetzliche Grundlagen
KRITIS-Regulierung in Deutschland, BSIG und KRITIS-Dachgesetz, NIS-2 und CER. Dazu Stand der Technik, Systeme zur Angriffserkennung, branchenspezifische Sicherheitsstandards (B3S), Nachweispflicht und Meldewesen.
-
2
Betroffenheit und Rechtsverordnung
Wer gilt als Betreiber einer kritischen Anlage? Betroffenheitsanalyse, Schwellenwerte an einem durchgerechneten Beispiel und die Quellen, auf die sich Betreiber und Prüfer stützen.
-
3
Prüfungsvorbereitung
Rollen und Verantwortung im Prüfteam, die Prüfgrundlage mit und ohne B3S und das Phasenmodell, nach dem eine KRITIS-Prüfung abläuft.
-
4
Grundlagenprüfung
Phase 1
Prüfgrundlage, Geltungsbereich und KRITIS-Risikomanagement validieren und daraus einen Prüfplan erstellen.
-
5
Angemessenheits- und Wirksamkeitsprüfung
Phase 2 und 3
Der Kern der Schulung: Mehrjahresplanung, Grundgesamtheiten und Stichproben, die mindestens abzudeckenden Themenfelder, beispielhafte Prüfhandlungen und ihre Dokumentation.
-
6
Prüfbericht und Nachweise
Phase 4
Formale Anforderungen an Prüfbericht und Nachweisdokumente, Nachweise aus anderen Prüfungen und Zertifizierungen verwenden, erfolgreich beim BSI einreichen.
Der Weg zum KRITIS-Auditor
Das BSI beschreibt die Qualifizierung in vier Schritten. Den zweiten gehen Sie mit uns.
-
1
Selbststudium
Sie erarbeiten sich die Grundkenntnisse eigenständig.
-
2
Schulung
Bei Cyberxero, nach dem verbindlichen Curriculum des BSI.
-
3
Praxisnachweis und Prüfung
Beides legen Sie direkt beim BSI ab.
-
4
Zertifizierung
Sie dürfen Nachweise nach § 39 Abs. 1 BSIG prüfen.
Fristen, die Sie kennen sollten
- Die Personenzertifizierung wird laut BSI voraussichtlich Anfang 2027 verpflichtend, sobald die überarbeiteten Anforderungen im Nachweisverfahren (GAiN) in Kraft treten.
- Danach akzeptiert das BSI noch 18 Monate lang Nachweise ohne Personenzertifizierung.
- Bei der Anmeldung zur Prüfung darf Ihre Teilnahmebescheinigung höchstens 12 Monate alt sein.
- Das Zertifikat gilt drei Jahre und lässt sich danach verlängern.
Stand Oktober 2026. Verbindlich sind die Angaben des BSI: Qualifizierung beim BSI nachlesen
Für wen die Schulung gedacht ist
Auditorinnen und Auditoren
Wer in einer Nachweisprüfung nach § 39 Abs. 1 BSIG die Teamleitung übernimmt, braucht künftig die Personenzertifizierung zum KRITIS-Auditor. Diese Schulung ist dafür Pflicht.
Betreiber, Berater und Neueinsteiger
Sie müssen keine Zertifizierung anstreben, um teilzunehmen. Die Schulung zeigt Ihnen, wie Prüfer vorgehen und woran Nachweise gemessen werden. Für die Teilnahme gibt es keine Zulassungsvoraussetzungen. Grundkenntnisse in Auditierung, Informationssicherheit und KRITIS-Regulierung helfen, dem straffen Zeitplan zu folgen.
Was das BSI für die Zertifizierung zusätzlich verlangt
Neben der Teilnahmebescheinigung prüft das BSI bei Ihrem Antrag Ausbildung, Berufserfahrung in IT und Informationssicherheit, Erfahrung im KRITIS-Umfeld und ein gültiges Fachzertifikat, zum Beispiel als ISO/IEC 27001 Lead Auditor. Diese Nachweise reichen Sie selbst beim BSI ein.