--- title: Kritische Infrastruktur canonical: https://www.secnostic.com/de/solutions/infrastructure language: de dateModified: 2026-08-23 alternate-en: https://www.secnostic.com/en/solutions/infrastructure --- # Kritische Infrastruktur - URL: https://www.secnostic.com/de/solutions/infrastructure - Audience: Asset-Übersicht für KRITIS - Positioning: KRITIS-Betrieb im Blick secnostic zeigt, welche Anlagen, IT-/OT-Systeme, Netze und Dienstleister Ihre kritischen Dienste am Laufen halten. Betrieb und Security erkennen Abhängigkeiten, Wartungsrisiken, Schwachstellen und Reaktionswege in einem gemeinsamen Bild. **Verteilte Anlagen sehen und prüfbar nachweisen** Verteilte Standorte und langlebige Leittechnik machen den Überblick zur eigentlichen Sicherheitsaufgabe. [NIS2](https://eur-lex.europa.eu/eli/dir/2022/2555) verlangt Registrierung und Risikomanagement, das [KRITIS-Dachgesetz](https://www.bundesregierung.de/breg-de/aktuelles/kritis-dachgesetz-2383682) zusätzlich physische Resilienz, und der Nachweis einer [Angriffserkennung](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/oh-sza.html) steht und fällt mit einem aktuellen Bild aller Assets und Konduits. **Situation.** Versorger jonglieren mit verteilten Standorten, langlebiger OT, Dienstleisterzugängen und engen Wartungsfenstern. Ohne ein gemeinsames Bild werden Störungen, Patches und Herstellerwarnungen langsam, teuer und riskant. **Challenges** - unklare Abhängigkeiten zwischen Anlagen, IT-/OT-Netzen, Fernzugängen und Dienstleistern - Wartung und Änderungen ohne verlässliche Sicht auf betroffene Dienste, Standorte und Kommunikationswege - Altgeräte, Firmwarestände und Schwachstellen, bei denen die Frage offen bleibt, was zuerst ansteht - Reaktion unter Zeitdruck, wenn Standort, Eigentümer, Zugang und Ersatzweg erst gesucht werden müssen **Approach.** secnostic bringt Beobachtung, Inventar, Risiko, Lebenszyklus, Zugriff und Alarmierung an einen Ort. Ihr Team sieht, was wo läuft, wofür es gebraucht wird, wer zuständig ist und welche Änderung welchen Dienst trifft. **Outcomes** - schnellere Ursachensuche bei Störungen und Warnmeldungen - Wartung und Patches nach betroffenen Diensten und Zonen planen - klare Reihenfolge bei Schwachstellen, EOL/EOS und Ersatzteilen - prüfbare Nachweise für NIS2 und KRITIS aus dem laufenden Betrieb **Was ein blinder Fleck in KRITIS kostet** Im Ernstfall zählt, wie schnell klar ist, was betroffen ist, wer zuständig ist und was belegt werden muss. - **Unbeaufsichtigte Fernwartung**: Lieferanten- und Wartungszugänge sind ein Haupteinfallstor, wenn Zweck, Eigner und Freigabe nicht festgehalten sind. - **Unbekannte Abhängigkeiten**: Welche Anlage welchen Dienst trägt und über welche Zone, zeigt sich oft erst beim Ausfall. - **Fehlende Angriffserkennung**: Ohne belastbare Protokolle und Detektion fehlt der geforderte SzA-Reifegrad im Nachweis. - **Nachweis von Hand**: Der Beleg für §8a, NIS2 und Prüfer entsteht sonst kurz vor dem Termin aus Tabellen. **Vom Signal zum Nachweis** Vier Schritte, die aus dem laufenden Betrieb belastbare Evidenz machen, statt sie vor dem Audit zu suchen. 1. **Sehen** Was läuft an welchem Standort? Sensor und vorhandene Quellen liefern Assets, Netze und Konduits über alle Standorte, passiv und mit Freigabe für aktive Abfragen. 2. **Verstehen** Wovon hängt der kritische Dienst ab? Der Graph verbindet Anlagen, Zonen, Eigner und Fernzugänge, sodass Abhängigkeiten und Betriebswirkung sichtbar werden. 3. **Erkennen** Fällt ein Angriff rechtzeitig auf? Protokollierung, Detektion und Reaktion bringen die Angriffserkennung (SzA) auf den geforderten Reifegrad, verbunden mit realen Assets. 4. **Nachweisen** Steht der Beleg für den Prüfer? §8a-Nachweis, Meldungen nach 24h und 72h sowie das Konduit-Register entstehen aus derselben aktuellen Datenbasis. **In der Praxis, entlang der Pflichten** Aus wiederkehrenden KRITIS-Pflichten werden klare Abläufe, die zu den realen Fristen passen. - **Fernwartung im Fenster**: Ankündigen: Ein Lieferant meldet ein Wartungsfenster für eine Anlage an einem Standort.; Konduit prüfen: Zweck, Eigner, Freigabe und erlaubte Wege des Zugangs stehen im Modell.; Mitlesen: Der Sensor beobachtet, welche Geräte und Verbindungen im Fenster neu auftauchen.; Belegen: Aktivität und Änderungen bleiben nach dem Fenster nachvollziehbar. - **Meldepflichtiger Vorfall**: Erkennen: Die Angriffserkennung schlägt an, ein Ereignis wird sicherheitsrelevant.; Umfang klären: Der Graph zeigt betroffene Assets, Dienste, Standorte und Abhängigkeiten sofort.; 24h melden: Die Erstmeldung erfolgt fristgerecht, mit belastbarem Umfang statt Schätzung.; 72h nachreichen: Der Detailbericht nutzt denselben Kontext, ohne alles neu zusammenzusuchen. - **§8a-Nachweis vorbereiten**: Scope: Wesentliche Systeme, Prozesse, Rollen und Personen sind im Modell benannt.; Maßnahmen: Risiken, Maßnahmen und Ausnahmen hängen an realen Assets und Zonen.; Reifegrad: Der Stand der Angriffserkennung ist mit Protokollen und Reaktion belegt.; Paket: Der Nachweis wird als zusammenhängender Beleg für den Prüfer erzeugt. - **Registrierung bei BSI und BBK**: Erfassen: Kritische Anlagen, Dienste und Betreiberdaten sind an einem Ort gepflegt.; Abgleichen: Dieselben Daten tragen die NIS2-Registrierung beim BSI und die KRITIS-Registrierung beim BBK.; Aktuell halten: Änderungen an Anlagen und Standorten fließen laufend ein statt einmal im Jahr.; Belegen: Die Registrierung stützt sich auf belastbare Betriebsdaten statt auf eine Momentaufnahme. **Deployment steps** 1. **Beobachten**: Sensoren, Importdaten und vorhandene Tools liefern kontrollierte Beobachtungen aus IT, OT, Identität, Cloud, Fernzugängen und Netzwerken. 2. **Einordnen**: Assets werden Diensten, Standorten, Anlagen, Zonen, Eigentümern, Dienstleistern und Wartungsfenstern zugeordnet. 3. **Bewerten**: Schwachstellen, Lifecycle, Exposition, Firmwarestände und Betriebswirkung werden im Kontext kritischer Dienste priorisiert. 4. **Planen**: Maßnahmen, Ausnahmen, Wartungen, Verantwortliche und Review-Termine bleiben mit Assets, Zonen und Diensten verbunden. 5. **Reagieren**: Relevante Ereignisse werden an Verantwortliche übergeben und mit Annahme, Eskalation, Verlauf und betroffenen Abhängigkeiten dokumentiert. **What becomes visible** - **Service- und Anlagenlage**: Kritische Dienste, Standorte, Anlagen, Betreiberverantwortung und technische Abhängigkeiten werden in einem Betriebsbild verbunden. - **OT-Zonen und Kommunikationspfade**: Zonen, Conduits, Fernzugänge und Übergänge zwischen IT, DMZ, OT, Cloud und Dienstleistern werden unterscheidbar. - **Wartung und Lifecycle**: Firmwarestände, Hersteller, EOL/EOS, Ersatzbedarf, Wartungsfenster und Ausnahmen werden pro Dienst und Standort greifbar. - **Incident-, Maßnahmen- und Nachweislage**: Findings werden nach Kritikalität, Exposition, Betriebswirkung, Eigentümer, Maßnahmenstatus und Nachweisbedarf bewertet. **FAQ** - Q: Wie hilft Asset-Transparenz im täglichen Betrieb? A: Betriebsteams sehen schneller, welche Anlage, welches System, welcher Dienstleister und welcher Kommunikationspfad zu einem kritischen Dienst gehört. Dadurch werden Störungen, Wartungen, Herstellerwarnungen und Übergaben mit weniger Suchaufwand bearbeitet. - Q: Warum reicht eine klassische Asset-Liste nicht aus? A: Eine Liste zeigt einzelne Systeme, aber selten Dienstbezug, Kommunikationspfade, Betriebswirkung, Wartungsfenster, Fernzugänge und Verantwortlichkeiten. Leitwarte, IT, OT und Dienstleister benötigen diesen Kontext. - Q: Wie reduziert secnostic Ausfall- und Reaktionszeiten? A: secnostic verbindet Beobachtungen, Assets, Zonen, Risiken, Eigentümer und Maßnahmen. Bei einer Störung oder Warnmeldung ist schneller klar, welche Dienste betroffen sind, wer entscheiden muss und welche nächsten Schritte sinnvoll sind. - Q: Bleiben NIS2- und KRITIS-Nachweise trotzdem abgedeckt? A: Ja. Der operative Kontext erzeugt die Nachweise nicht nebenbei als Textsammlung, sondern aus der täglichen Arbeit: Scope, Assets, Risiken, Maßnahmen, Ausnahmen, Eigentümer und Review-Termine bleiben nachvollziehbar verbunden. - Q: Was ist ein sinnvoller Einstieg? A: Der Einstieg sollte klein und betriebsnah sein: ein kritischer Dienst, ein Standort, ein wiederkehrendes Wartungsthema oder eine konkrete Schwachstellenlage. Danach werden Datenquellen, Lücken und priorisierte Maßnahmen strukturiert erweitert. **Quellen** - [EU NIS2-Richtlinie](https://eur-lex.europa.eu/eli/dir/2022/2555): Konsolidierter Text der EU-Richtlinie 2022/2555 (NIS2) zu Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. - [Bundesregierung KRITIS-Dachgesetz](https://www.bundesregierung.de/breg-de/aktuelles/kritis-dachgesetz-2383682): Presse- und Informationsamt der Bundesregierung zum deutschen KRITIS-Dachgesetz und sektorübergreifenden Resilienzanforderungen. - [BSI-Kritisverordnung](https://www.gesetze-im-internet.de/bsi-kritisv/BJNR095800016.html): Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz in der jeweils geltenden Fassung. - [BSI B3S Wasser/Abwasser](https://www.bsi.bund.de/SharedDocs/Textbausteine/DE/KRITIS/B3S/Wasser/b3s-wasser-abwasser.html): BSI-Hinweis zum branchenspezifischen Sicherheitsstandard Wasser/Abwasser. - [BSI Systeme zur Angriffserkennung](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/oh-sza.html): Orientierungshilfe des BSI zu Systemen zur Angriffserkennung in KRITIS-Sektoren. - [CISA OT Asset Inventory Guidance](https://www.cisa.gov/resources-tools/resources/foundations-ot-cybersecurity-asset-inventory-guidance-owners-and-operators): Gemeinsamer Behördenleitfaden von August 2025 zum Aufbau eines OT-Asset-Inventars mit Taxonomie, Datenmanagement und Lebenszykluspflege. - [NIST SP 800-82 Rev. 3](https://csrc.nist.gov/pubs/sp/800/82/r3/final): NIST-Leitfaden zur Sicherheit von Operational Technology und industriellen Steuerungssystemen. - [ENISA Threat Landscape 2025](https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025): ENISA-Bericht zur europäischen Bedrohungslandschaft und beobachteten Angriffstrends.