SIEM für KRITIS: Angriffserkennung und Nachweis nach §39
Wenn die Frage nicht ist, ob Sie sicher sind, sondern ob Sie es belegen können
Bei Betreibern kritischer Anlagen sind die Rollen bereits besetzt. Es gibt eine Sicherheitsfunktion mit eigenem Mandat, meist ein Team und häufig auch schon eine Form von Security Operations. Der Engpass liegt selten dort, wo er in kleineren Organisationen liegt.
Regulatorischer Kontext: §31 und §39 BSIG –
zwei getrennte Pflichten, kurz gefasst
Systeme zur Angriffserkennung (§31 Abs. 2 BSIG).
Betreiber kritischer Anlagen müssen Systeme einsetzen, die fortlaufend und automatisch Betriebsparameter erfassen und auswerten, Bedrohungen erkennen und die Beseitigung unterstützen – im Rahmen von Stand der Technik und Verhältnismäßigkeit. Diese Pflicht ist nicht neu; sie besteht seit dem IT-Sicherheitsgesetz 2.0.
Nachweispflichten (§39 BSIG)
Betreiber kritischer Anlagen erbringen Nachweise durch Sicherheitsaudits, Prüfungen oder Zertifizierungen, in einem auf drei Jahre festgelegten Zyklus – den konkreten Termin bestimmt und teilt das Bundesamt mit, er wird nicht vom Betreiber berechnet. Dieser Drei-Jahres-Zyklus gilt speziell für KRITIS-Betreiber – nicht für besonders wichtige oder wichtige Einrichtungen allgemein, für die ein anderes, anlassbezogenes Nachweisregime gilt (siehe FAQ).
Zwei Regulierungsrahmen gelten parallel.
Neben dem BSIG (Cyber) regelt das KRITIS-Dachgesetz – seit 2026 in Kraft, Umsetzung der CER-Richtlinie (EU) 2022/2557 – die physische Resilienz, unter dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Diese Seite behandelt ausschließlich die Cyber-Seite.
Anforderung und Abdeckung:
Was liefert SecureVisio?
Die Tabelle bildet Anforderungen aus der Praxis dieses Segments auf das ab, was
die Plattform technisch abdeckt und was auf der Services-Seite hinzukommt.
| Anforderung | Plattform | Advanced Services |
|---|---|---|
| Pflicht zum Einsatz von Angriffserkennung (§31 Abs. 2 BSIG) | Fortlaufendes Echtzeit-Monitoring, automatische Korrelation, Anomalieerkennung. Die SIEM-Plattform deckt die geforderte Funktion ab und unterstützt die Einhaltung der Pflicht – Verpflichteter bleibt der Betreiber. | – |
| Nachweis nach §39 Abs. 1 BSIG | Auditfähige Nachweise: Reporting, Incident-Timelines, gesicherter Evidence Trail. Kein fertiges Nachweisartefakt. | Dokumentation der Sicherheitsarchitektur, Nachweis der umgesetzten Controls. |
| Meldung eines erheblichen Sicherheitsvorfalls, KRITIS-Zusatzangaben (§32 Abs. 3 BSIG) | Reporting-Modul und Evidence Trail; die Plattform unterstützt die Einstufung eines Vorfalls als „erheblich”. Die gesetzliche Definition dafür steht in §2 Nr. 11 BSIG, nicht im Werkzeug. | Meldeworkflow, Vorlagen, Abstimmung mit den Behörden. |
| Große, gewachsene Umgebung, hohes Datenvolumen | Volle horizontale Skalierung: zusätzliche Collectors ohne den Kauf weiterer Lizenzen, eigene Retention Policies je Gerät. Log Management ist eine vom SIEM getrennte Schicht – es kann mehr gespeichert als korreliert werden. Lizenziert wird nach Umgebungsgröße bzw. Asset-Zahl, ohne Begrenzung von EPS oder Logvolumen. Das Hosting erfolgt ausschließlich auf europäischer Infrastruktur – relevant für die digitale Souveränität. | – |
| Ein SOC besteht bereits | Die Plattform liefert SIEM, SOAR, UEBA und XDR-Agent als SOC-Basis. | Zwei Betriebsmodelle über europäische Partner: Eigenbetrieb mit Unterstützung – Sie verwalten Ihre Umgebung, Parser und Regeln bleiben beim Partner; oder Managed SIEM – der Partner betreibt es, der Vertrag besteht zwischen Ihnen und dem Partner. 24/7 mit Eskalationspfad L1–L3, das SLA wird auf Ihren Bedarf zugeschnitten. |
Industrielle Systeme und Steuerungssysteme (OT), nach Sektor
Der Mechanismus ist bei allen derselbe. Es gibt keine native Integration industrieller Protokolle und kein dediziertes OT-Modul. Dokumentiert sind stattdessen zwei Wege:
- Rohtelemetrie lässt sich über einen Agenten wie Telegraf erfassen – ein leichtgewichtiger, quelloffener Linux-Agent, der OT-Geräte über SNMP und über sein Modbus-Input-Plugin auch über Modbus abfragt.
- Direkte IDS-Integration für das OT-Netz selbst: Wir integrieren unter anderem Scadvance XP, ein polnisches, eigens für OT-/ICS-Netze entwickeltes IDS, dessen Befunde über Syslog in die Plattform weitergeleitet werden.
Was sich je Sektor unterscheidet, ist der konkrete Protokollmix und die betrieblichen Rahmenbedingungen darum herum – eine SCADA-Umgebung in der Wasseraufbereitung und das Medizingerätenetz eines Krankenhauses sehen nicht gleich aus, und ebenso wenig, was sich gefahrlos scannen lässt und was passiv bleiben muss.
Was eine solche Integration im konkreten Fall bedeutet, gehört in ein technisches Gespräch – pauschale Aussagen wären an dieser Stelle nicht glaubwürdig.
Ergebnisse und Marktresonanz
Gartner ★ 4.8/5
Reviews
Bewertungen ansehen
G2 ★ 5/5
Peer Insights
Bewertungen ansehen
ISO 27001
Zertifikat
ISO 9001
Zertifikat
Security Made in Poland
Poland Security Congress
250+
Kunden in Europa
Deloitte Fast 50
Führendes Unternehmen · 2022
Häufig gestellte Fragen
Der Zyklus nach §39 Abs. 1 BSIG ist auf drei Jahre festgelegt. Den konkreten Nachweistermin bestimmt und teilt das Bundesamt im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) mit – er wird nicht vom Betreiber selbst berechnet. Gegenstand des Nachweises ist §30 Abs. 1 Satz 1 in Verbindung mit §31 Abs. 1 und Abs. 2 Satz 1.
Für besonders wichtige Einrichtungen gibt es keinen festen Zyklus, sondern eine Befugnis, Nachweise frühestens drei Jahre nach Inkrafttreten des Gesetzes und ohne Anlass anzuordnen (§61 Abs. 3); wichtige Einrichtungen werden nur anlassbezogen geprüft (§62). Ihre Dokumentationspflicht steht in §30 Abs. 1 Satz 3, nicht in §39 – diese Unterscheidung ist der mit Abstand häufigste Verwechslungspunkt zu diesem Thema, und es lohnt sich zu prüfen, welche Kategorie auf Sie zutrifft, bevor Sie von einem Drei-Jahres-Zyklus ausgehen.
Zur Durchsetzung: Das BSI hat für das Nachweisverfahren selbst eine verbindliche Festlegung nach §39 Abs. 2 BSIG (GAiN) getroffen; die davon getrennte Orientierungshilfe zum Nachweis ist ausdrücklich keine Festlegung in diesem Sinne. Speziell für Systeme zur Angriffserkennung existiert zudem eine Orientierungshilfe zur Vorgängervorschrift §8a Abs. 1a BSIG (alte Fassung).
Das entscheidet die Herstellerdokumentation des Geräts. Technisch ist eine Installation nur bei einem unterstützten Betriebssystem möglich; untersagt der Hersteller Software von Dritten, wird nichts installiert. Für die Überwachung ist sie ohnehin nicht erforderlich: der Umfang der Agentenausrollung ist wählbar, und das Verhalten der Geräte im Netz wird über die umliegenden Schutzsysteme sichtbar.
Ja, parallel, aber es deckt anderes Terrain ab. Neben dem BSIG regelt das KRITIS-Dachgesetz – seit 2026 in Kraft, Umsetzung der CER-Richtlinie (EU) 2022/2557, verkündet im Bundesgesetzblatt 2026 I Nr. 66 vom 16.03.2026 – die physische Resilienz, unter dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Diese Seite und das hier beschriebene Angebot von SecureVisio behandeln ausschließlich die Cyber-Seite nach dem BSIG.
Zwei Wege sind dokumentiert: Rohtelemetrie lässt sich über einen Agenten wie Telegraf erfassen, der OT-Protokolle einschließlich Modbus und SNMP unterstützt, oder das IDS eines spezialisierten OT-Herstellers wird direkt integriert – Scadvance XP, ein polnisches, für OT-/ICS-Netze entwickeltes System, ist ein Beispiel und leitet seine Befunde über Syslog in die Plattform weiter. Was eine solche Integration im konkreten Fall bedeutet, gehört in ein technisches Gespräch – pauschale Aussagen wären an dieser Stelle nicht glaubwürdig.
Die Plattform liefert auditfähige Nachweise – Reporting, Incident-Timelines und einen gesicherten Evidence Trail – und die Advanced Services dokumentieren Sicherheitsarchitektur und umgesetzte Controls. Daraus entsteht kein fertiges Artefakt für die prüfende Stelle; der Nachweis selbst wird durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erbracht.
Nächster Schritt
Bringen Sie Ihre Umgebung mit: welche Systeme unter §31 fallen, wie Ihr aktueller
Evidence Trail aussieht und wo die Lücken sind. Wir gehen durch, was ein Nachweiszyklus
nach §39 konkret von Ihrem Setup verlangt – technisch und unverbindlich.
