Ein B3S beschreibt für Ihre Branche, wie der Stand der Technik umgesetzt werden kann. Die Arbeit nimmt er Ihnen nicht ab, er verkürzt sie aber: Statt einen eigenen Maßstab zu begründen, setzen Sie einen Standard um, dessen Eignung das BSI bereits festgestellt hat. Den Nachweis erbringen Sie alle drei Jahre.
Stand: 23. September 2026
| Mangel | Themenfeld | Einstufung | Plan |
|---|---|---|---|
| Netztrennung zwischen Office und Leittechnik unvollständig | Technik | vorhanden | |
| Wiederanlaufzeiten nicht getestet | Notfall | vorhanden | |
| Protokolldaten ohne definierte Auswertung | Betrieb | in Arbeit | |
| Dienstleisterverträge ohne Sicherheitsanforderungen | Organisation | offen |
Ein branchenspezifischer Sicherheitsstandard, kurz B3S, konkretisiert nach Angaben des Bundesamts für Sicherheit in der Informationstechnik, wie die Anforderungen zum Stand der Technik erfüllt werden können. Betreiber kritischer Anlagen oder ihre Branchenverbände erarbeiten ihn und können ihn dem BSI zur Feststellung der Eignung vorlegen. Eine gesetzliche Pflicht zur Erarbeitung eines B3S besteht nicht, und auch die Umsetzung eines bestehenden B3S ist für Betreiber nicht verpflichtend.
Der Vorteil liegt an anderer Stelle: Wer einen B3S mit festgestellter Eignung anwendet, hat bei Prüfungen Rechtssicherheit bezüglich des Stands der Technik. Zudem muss er den Maßstab nicht selbst begründen.
Es gibt keinen bundesweiten Stichtag. Der Turnus richtet sich nach Ihrem letzten Nachweis. Deshalb lohnt es sich, den Weg dorthin nicht jedes Mal neu aufzubauen.
Die Verantwortung für die vollständige Abdeckung des Geltungsbereichs liegt beim Betreiber. Die prüfende Stelle überprüft die Vollständigkeit noch einmal.
Ein B3S kann die Prüfgrundlage sein. Ist er abstrakt gehalten, kann es erforderlich sein, ihn anhand konkreter Maßnahmen zu präzisieren.
Die Anforderungen werden auf Ihre Anlagen, Prozesse und Systeme bezogen, und jede Maßnahme erhält eine Verantwortung und eine Frist.
Geprüft wird durch eine bei der Deutschen Akkreditierungsstelle akkreditierte Zertifizierungsstelle oder eine gleichwertig akkreditierte europäische Stelle.
Eingereicht werden die Nachweisdokumente mit ihren Anlagen, darunter die Liste der Sicherheitsmängel samt Umsetzungsplan zur Behebung.
Nach Angaben des BSI gilt für den nächsten Nachweis eine regelmäßig wiederholte Frist von drei Jahren. Die Eignungsfeststellung eines B3S ist davon getrennt: Sie wird nach einer Mitteilung des BSI ab 2024 regelmäßig für drei Jahre erteilt. Welche B3S derzeit eine festgestellte Eignung haben und wie lange sie gilt, führt das BSI in einer eigenen Übersicht.
Für Betreiber kritischer Anlagen, die den Nachweis führen müssen und keinen eigenen Maßstab begründen wollen.
Das BSI führt eine Übersicht der B3S mit festgestellter Eignung. Vertreten sind darin die Sektoren Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanzwesen, Transport und Verkehr sowie Siedlungsabfallentsorgung.
Jede Eignungsfeststellung ist befristet, und die Fristen enden zu unterschiedlichen Zeitpunkten. Eine Liste auf dieser Seite wäre daher schnell veraltet. Maßgeblich ist die Übersicht des BSI.
Nach Angaben des BSI kann ein zum Zeitpunkt des Prüfungsbeginns gültiger B3S weiterhin für die Erstellung der Prüfgrundlage herangezogen werden. Für den laufenden Betrieb bleibt maßgeblich, dass die Anforderungen dem Stand der Technik entsprechen.
Acht Punkte entlang des Nachweisverfahrens. Der B3S gibt den Maßstab vor, Umsetzung und Nachweis verantworten Sie.
| Anforderung | Station | Worauf es ankommt | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Geltungsbereich abgrenzen | Geltungsbereich | Der Geltungsbereich muss vollständig beschrieben und grafisch dargestellt sein. Die Verantwortung dafür liegt beim Betreiber | Unternehmensstrukturen werden flexibel modelliert. Anlagen, Prozesse und Systeme sind als Objekte im selben Modell erfasst wie Risiken und Maßnahmen. |
| Prüfgrundlage festlegen | Prüfgrundlage | Die Prüfgrundlage muss der Prüfung zugrunde liegen. Ein B3S kann diese Rolle übernehmen, wenn er konkret genug ist | Branchenspezifische Sicherheitsstandards lassen sich strukturiert abbilden und mit bestehenden ISMS-Elementen verknüpfen. |
| Anforderungen konkretisieren | Prüfgrundlage | Wo der Standard abstrakt bleibt, kann es erforderlich sein, ihn anhand konkreter Maßnahmen zu präzisieren | Jede Anforderung lässt sich mit den Maßnahmen verknüpfen, die sie erfüllen. Was sie für Ihr Unternehmen konkret bedeutet, ist direkt am Objekt dokumentiert und nicht in einer separaten Datei. |
| Risiken systematisch behandeln | Umsetzung | Ohne ein Verfahren, das Risiken erhebt, bewertet, behandelt und nachhält, lässt sich im Prüfungstermin nur das Ergebnis zeigen, nicht der Weg dorthin | Sicherheitsrisiken werden systematisch identifiziert, bewertet und behandelt, als Teil des Informationssicherheits-Managementsystems und nicht daneben. |
| Maßnahmen steuern | Umsetzung | Jede Maßnahme braucht einen Verantwortlichen und eine Frist, sonst bleibt sie im Prüfungstermin eine bloße Absichtserklärung | Maßnahmen zur Erhöhung der Cyber- und Betriebsresilienz werden workflowgestützt geplant, umgesetzt und überwacht, einschließlich Verantwortlichkeiten und Fristen. |
| Vorfälle dokumentieren | Betrieb | Sicherheitsrelevante Vorfälle, die daraus folgenden Maßnahmen und die Zuständigkeiten müssen belegbar sein | CRISAM® unterstützt die strukturierte Dokumentation sicherheitsrelevanter Vorfälle, Maßnahmen und Verantwortlichkeiten zur Erfüllung von Melde- und Nachweispflichten gegenüber Behörden und Prüfern. |
| Mängel mit Plan führen | Nachweis | Zum Nachweis gehört die Liste der Sicherheitsmängel einschließlich des Umsetzungsplans zur Behebung | Offene Punkte werden als Maßnahmen am selben Objekt geführt wie die betroffene Anforderung, mit Status, Frist und Verantwortung. |
| Unterlagen an Prüfer übergeben | Nachweis | Entscheidend ist, welche Unterlagen die prüfende Stelle erhält, nicht was im System hinterlegt ist | Audit- und Compliance-Berichte für interne und externe Prüfungen sowie Export-Funktionen für Behörden, Auditoren und Stakeholder stehen bereit. |
Vom Geltungsbereich bis zu den Unterlagen, die die prüfende Stelle erhält.
Am Anfang steht die Frage, was zum Geltungsbereich gehört. Anlagen, Prozesse und Systeme werden als Objekte modelliert, damit sich jede Anforderung später einem konkreten Objekt zuordnen lässt.
| Anlage | Art | Standort | Systeme | Erfassung |
|---|---|---|---|---|
| Anlage Nord | Erzeugung | Werk 1 | 41 | |
| Anlage Ost | Verteilung | Werk 2 | 33 | |
| Leitstelle | Steuerung | Zentrale | 28 | |
| Anlage Süd | Erzeugung | Werk 3 | 24 |
Der Branchenstandard wird als Anforderungskatalog übernommen und mit vorhandenen ISMS-Elementen verknüpft. Was bereits erfüllt ist, müssen Sie nicht erneut beschreiben.
Anforderungen des Branchenstandards lassen sich mit bestehenden ISMS-Elementen verknüpfen. Doppelte Dokumentation entsteht dort, wo diese Verbindung fehlt.
Abstrakt reicht nicht immerWo der Standard allgemein bleibt, gehört die konkrete Maßnahme daneben. Sonst trägt die Prüfgrundlage im Termin nicht.
Eine Quelle, mehrere PflichtenDieselbe Maßnahme kann eine Anforderung des Branchenstandards und eine aus dem Gesetz erfüllen. Sie wird einmal gepflegt.
Die Gap-Analyse zeigt nicht nur, was fehlt, sondern wo es fehlt. So entsteht statt einer bloßen Prozentzahl eine konkrete Arbeitsliste.
| Anforderung | Themenfeld | Status | Nachweis | Geprüft |
|---|---|---|---|---|
| Netztrennung zwischen Zonen | Technik | fehlt | 04.09.2026 | |
| Wiederanlauf getestet | Notfall | fehlt | 04.09.2026 | |
| Protokollierung und Auswertung | Betrieb | teilweise | 21.08.2026 | |
| Anforderungen an Dienstleister | Organisation | in Arbeit | 21.08.2026 | |
| Zugriffsrechte turnusmäßig prüfen | Organisation | vorhanden | 12.06.2026 | |
| Patch- und Änderungsverfahren | Betrieb | vorhanden | 12.06.2026 |
Aus jeder Lücke entsteht eine Maßnahme mit Verantwortung und Frist. Daraus ergibt sich der Umsetzungsplan, den die prüfende Stelle später sehen will.
Auch Vorfälle gehören zum Nachweis. Was gemeldet wurde, welche Maßnahmen daraus folgten und wer zuständig war, ist ebenso zu belegen wie die Maßnahmenliste.
| Vorfall | Betroffen | Einstufung | Meldung | Folge |
|---|---|---|---|---|
| Ausfall einer Steuerungskomponente | Anlage Nord | erfolgt | Maßnahme offen | |
| Unautorisierter Zugriffsversuch | Leitstelle | erfolgt | Maßnahme läuft | |
| Schadsoftware auf einem Client | Werk 2 | erfolgt | abgeschlossen | |
| Ausfall einer Netzstrecke | Werk 3 | nicht erforderlich | abgeschlossen | |
| Fehlkonfiguration einer Firewallregel | Zentrale | nicht erforderlich | Auswertung offen |
| Punkt | Wirkung | Verantwortlich |
|---|---|---|
| Zwei Vorfälle ohne abgeschlossene Auswertung | Lernschleife fehlt im Nachweis | Informationssicherheit |
| Fernzugänge der Dienstleister nicht vollständig erfasst | Geltungsbereich unvollständig | IT-Betrieb |
Am Ende übergeben Sie der prüfenden Stelle den Erfüllungsgrad je Themenfeld, die Mängelliste mit Umsetzungsplan und die zugehörigen Unterlagen.
| Unterlage | Inhalt | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Beschreibung des Geltungsbereichs | 4 Anlagen, 38 Prozesse, 126 Systeme | 04.09.2026 | Informationssicherheit | |
| Prüfgrundlage | Branchenstandard, konkretisiert | 04.09.2026 | Informationssicherheit | |
| Liste der Sicherheitsmängel | 29 offene Punkte | 04.09.2026 | Informationssicherheit | |
| Umsetzungsplan | Maßnahmen mit Frist und Verantwortung | laufend | Fachbereiche | |
| Vorfalldokumentation | 11 Vorfälle mit Einstufung und Folge | laufend | Informationssicherheit | |
| Nachweisdokumente | Formulare und Anlagen für die Einreichung | in Vorbereitung | Informationssicherheit |
Entscheidung über Geltungsbereich, Mittel und den Umgang mit offenen Mängeln.
Prüfgrundlage, Gap-Analyse, Mängelliste, Nachweisunterlagen.
Umsetzung der technischen Maßnahmen, Vorfälle, Systemdokumentation.
Prüfung auf Grundlage der Prüfgrundlage, Kontrolle des Geltungsbereichs.
Branchenstandard, Gesetz und eigene Zertifizierung fragen weitgehend dieselben Inhalte ab. In CRISAM® erheben Sie diese nur einmal.
KRITIS-relevante Anforderungen und branchenspezifische Sicherheitsstandards lassen sich strukturiert abbilden und mit bestehenden ISMS-Elementen verknüpfen.
Die Anforderungen aus NIS2 werden nicht isoliert behandelt, sondern direkt in bestehende ISMS-, Risiko- und Kontrollstrukturen integriert.
Wer ein Managementsystem nach ISO 27001 betreibt, bringt einen großen Teil der Struktur bereits mit. Der Branchenstandard ergänzt diese Struktur, er ersetzt sie nicht.
Wiederanlauf und Notbetrieb sind Themenfelder des Nachweises und zugleich Gegenstand des Business Continuity Managements. Dieselben Pläne decken beides ab.
Alle drei beschreiben, wie Informationssicherheit organisiert wird, aber sie beantworten unterschiedliche Fragen. Der B3S beschreibt, was in Ihrer Branche als Stand der Technik gilt. ISO 27001 legt fest, wie ein Managementsystem aufgebaut ist. Der IT-Grundschutz liefert die Bausteine dazwischen. Für den Nachweis zählt, welche Prüfgrundlage Sie wählen und ob sie konkret genug ist.
| Kriterium | B3S | ISO/IEC 27001 | BSI IT-Grundschutz |
|---|---|---|---|
| Wer erstellt | Betreiber kritischer Anlagen oder ihre Branchenverbände | International Organization for Standardization | Bundesamt für Sicherheit in der Informationstechnik |
| Reichweite | Eine Branche | Jede Organisation | Jede Organisation, mit deutschem Behördenbezug |
| Was es beantwortet | Wie der Stand der Technik in dieser Branche erfüllt werden kann | Wie ein Managementsystem für Informationssicherheit aufgebaut und betrieben wird | Welche Bausteine und Anforderungen für typische Zielobjekte gelten |
| Verbindlichkeit | Freiwillig. Es besteht keine Pflicht, einen B3S zu erarbeiten oder anzuwenden | Freiwillig, in Verträgen und Ausschreibungen aber oft gefordert | Freiwillig, in Teilen der Verwaltung verbindlich gesetzt |
| Rolle im Nachweis | Kann die Prüfgrundlage sein, wenn er konkret genug ist | Liefert die Struktur, ersetzt aber nicht die Prüfgrundlage | Liefert Anforderungen, die in die Prüfgrundlage einfließen können |
| Was am Ende steht | Ein Nachweis gegenüber dem BSI, alle drei Jahre | Ein Zertifikat einer akkreditierten Stelle | Ein Testat oder Zertifikat nach dem Vorgehen des BSI |
| Abbildung in CRISAM® | Als Anforderungskatalog, verknüpft mit bestehenden ISMS-Elementen | Als Managementsystem mit Risiken, Kontrollen und Maßnahmen | Als Bausteine mit Anforderungen, auf dieselben Objekte bezogen |
Entscheidend ist nicht, welcher Standard der bessere ist, sondern ob die gewählte Prüfgrundlage konkret genug ist. Nach Angaben des BSI kann es erforderlich sein, eine abstrakt gehaltene Prüfgrundlage anhand konkreter Maßnahmen zu präzisieren. Diese Präzisierung lohnt sich, weil Sie beim nächsten Nachweis darauf aufbauen können. Eine Übersicht aller Regelwerke finden Sie unter Normen und Standards.
Der erste Schritt hängt davon ab, wo Sie heute stehen.
Dann beginnen Sie mit der Abbildung. Die Anforderungen werden als Katalog geführt und mit bestehenden ISMS-Elementen verknüpft, statt in einer separaten Tabelle gepflegt zu werden.
Dann ist die Verknüpfung der nächste Schritt. Ein Teil der Anforderungen ist über vorhandene Kontrollen und Maßnahmen bereits erfüllt. Sichtbar wird das erst durch die Zuordnung.
Dann steht der Umsetzungsplan im Mittelpunkt. Jeder Mangel wird als Maßnahme an der betroffenen Anforderung geführt, mit Verantwortung, Frist und Status.
Sie benötigen dafür die CRISAM® GRC Plattform und das CRISAM® ISMS Modul. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
Ein branchenspezifischer Sicherheitsstandard, kurz B3S, konkretisiert nach Angaben des Bundesamts für Sicherheit in der Informationstechnik, wie die Anforderungen zum Stand der Technik erfüllt werden können. Betreiber kritischer Anlagen oder ihre Branchenverbände erarbeiten ihn und können ihn dem BSI zur Feststellung der Eignung vorlegen. Eine gesetzliche Pflicht zur Erarbeitung eines B3S besteht nicht, und auch die Umsetzung eines bestehenden B3S ist für Betreiber nicht verpflichtend.
Weil er den Maßstab bereits vorgibt. Nach Angaben des BSI haben Betreiber, die einen B3S mit festgestellter Eignung anwenden, bei Prüfungen Rechtssicherheit bezüglich des Stands der Technik. Wer stattdessen einen eigenen Weg wählt, muss im Prüfungstermin begründen, warum dieser Weg dem Stand der Technik entspricht.
Alle drei beschreiben, wie Informationssicherheit organisiert wird, aber sie beantworten unterschiedliche Fragen. Der B3S beschreibt, was in Ihrer Branche als Stand der Technik gilt. ISO 27001 legt fest, wie ein Managementsystem aufgebaut ist. Der IT-Grundschutz liefert die Bausteine dazwischen. Für den Nachweis zählt, welche Prüfgrundlage Sie wählen und ob sie konkret genug ist.
Nach Angaben des BSI gilt nach der erstmaligen Erbringung eine regelmäßig wiederholte Frist von drei Jahren bis zum jeweils nächsten Nachweis. Rechtsgrundlage ist § 39 Absatz 1 BSIG, früher § 8a Absatz 3 BSIG. Es gibt keinen bundesweiten Stichtag, der Turnus richtet sich nach dem eigenen letzten Nachweis.
Nach Angaben des BSI sind Zertifizierungsstellen geeignet, die bei der Deutschen Akkreditierungsstelle akkreditiert sind, sowie gleichwertig akkreditierte europäische Stellen. Der Nachweis muss den vom BSI geforderten Rahmenbedingungen genügen, die im Dokument Grundsätzliche Anforderungen im Nachweisverfahren festgehalten sind.
Nach der Orientierungshilfe des BSI gehören dazu das Nachweisdokument für die kritische Infrastruktur und das Nachweisdokument zur Prüfung, dazu Anlagen: die Beschreibung und grafische Darstellung des Geltungsbereichs, die Beschreibung der Prüfgrundlage sowie die Liste der Sicherheitsmängel einschließlich des Umsetzungsplans zur Behebung der Mängel.
Ja. Nach Angaben des BSI ist die Prüfgrundlage zentral: Sie muss den Prüfungen zugrunde liegen, und ein B3S kann diese Rolle übernehmen. Ist das Detailniveau abstrakt, kann es erforderlich sein, die Prüfgrundlage für die Erbringung des Nachweises anhand konkreter Maßnahmen zu präzisieren.
Entscheidend ist, ob Anforderung, Maßnahme, Vorfall und Nachweis in einem gemeinsamen Modell verknüpft sind. In CRISAM® lassen sich KRITIS-relevante Anforderungen und branchenspezifische Sicherheitsstandards strukturiert abbilden und mit bestehenden ISMS-Elementen verknüpfen. Maßnahmen werden workflowgestützt geplant, umgesetzt und überwacht, einschließlich Verantwortlichkeiten und Fristen. Für die Übergabe stehen Audit- und Compliance-Berichte sowie Export-Funktionen für Behörden, Auditoren und Stakeholder bereit.
Die Angaben zu B3S und zum Nachweisverfahren auf dieser Seite stammen aus den folgenden Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall durch: Geltungsbereich, Abbildung des Branchenstandards, Gap-Analyse, Maßnahmen mit Frist und die Unterlagen für die prüfende Stelle.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
