Das BSI veröffentlichte am 23. November 2023 Best-Practice-Empfehlungen, die Betreiber kritischer Infrastrukturen bei der vertraglichen Absicherung von Lieferanten-Sicherheitsanforderungen unterstützen sollen – eine Grundlage, die auch für den Einsatz von KI-Systemen wie Large Language Models in KRITIS-Umgebungen Unternehmen, die LLMs in kritischen Infrastrukturen einsetzen, müssen Lieferanten- und Betreiberverantwortung klar regeln. Die BSI-Empfehlungen helfen, Sicherheitsanforderungen vertraglich zu verankern. Branchenspezifische Sicherheitsstandards wie der B3S sind zwar nicht verpflichtend, bieten aber Rechtssicherheit beim Nachweis des Stands der Technik nach § 8a BSIG. Entscheider sollten prüfen, ob ihre Audit- und Monitoring-Prozesse für KI-Deployments diesen Anforderungen bereits entsprechen.

BSI-Richtlinien 2025: Was KRITIS-Betreiber beim LLM-Deployment beachten müssen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat seine Anforderungen an Betreiber kritischer Infrastrukturen (KRITIS) in den vergangenen Jahren schrittweise konkretisiert. Wer große Sprachmodelle (LLMs) in sicherheitsrelevanten Bereichen wie Energie, Wasser oder Telekommunikation einsetzt, muss nicht nur die technischen Sicherheitsstandards des BSI einhalten, sondern auch nachweisen, dass Lieferanten und Dienstleister diesen Anforderungen genügen. Die Leitlinien des BSI geben dabei einen klaren Rahmen vor, innerhalb dessen Sicherheitsaudits und kontinuierliches Monitoring zu verankern sind.

Freiwillig, aber faktisch maßgeblich: Branchenspezifische Sicherheitsstandards

Das BSI betont ausdrücklich, dass die Nutzung branchenspezifischer Sicherheitsstandards (B3S) im Rahmen der Nachweiserbringung nach § 8a Absatz 1 BSIG nicht verpflichtend ist. Betreiber kritischer Infrastrukturen können die gesetzlichen Anforderungen auch auf andere Weise erfüllen. Dennoch erfüllen B3S eine wichtige Orientierungsfunktion: Sie vermitteln laut BSI Rechtssicherheit darüber, was die Behörde im jeweiligen Bereich als “Stand der Technik” bewertet. Aktuell anerkannte B3S umfassen etwa Standards für Fernwärmenetze (gültig bis Januar 2027) und Aggregatoren (gültig bis Juli 2026).

Für die Bereiche Energienetze und Energieanlagen gilt Besonderes: Hier greift nicht § 8a BSIG, sondern spezialgesetzliche Regelungen. Die Bundesnetzagentur hat für diesen Bereich einen eigenen IT-Sicherheitskatalog gemäß § 11 Absatz 1a EnWG veröffentlicht, der Telekommunikations- und elektronische Datenverarbeitungssysteme schützen soll.

Lieferantensicherheit als Kernanforderung

Am 23. November 2023 veröffentlichte das BSI Best-Practice-Empfehlungen speziell für Anforderungen an Lieferanten, die Produkte oder Dienstleistungen für kritische Infrastrukturen bereitstellen. Zweck dieser Empfehlungen ist es, die wichtigsten Sicherheitsanforderungen an Lieferanten zu identifizieren und als Grundlage für vertragliche Vereinbarungen bereitzustellen.

Für KRITIS-Betreiber, die LLMs über externe Anbieter beziehen oder einsetzen, hat das unmittelbare Konsequenzen. Die Frage, wer ein Sprachmodell trainiert hat, welche Daten dabei verwendet wurden, wie Updates eingespielt werden und welche Zugriffsrechte Dritte auf die Inferenzinfrastruktur haben, ist nicht mehr nur eine technische, sondern eine regulatorische Frage.

Vier praktische Implikationen für Entscheider

1. Lieferantenverträge mit spezifischen Sicherheitsklauseln ausstatten Die BSI-Empfehlungen fordern, Sicherheitsanforderungen vertraglich gegenüber Lieferanten zu verankern. Wer LLMs über API-Dienste oder Cloud-Infrastrukturen betreibt, sollte Verträge prüfen, ob sie Vorgaben zu Incident Response, Schwachstellenmanagement und Zugriffskontrolle enthalten. Standardverträge großer Cloud-Anbieter decken diese Anforderungen häufig nur unvollständig ab.

2. Regelmäßige Sicherheitsaudits in der Betriebsphase verankern Ein einmaliges Audit vor der Inbetriebnahme eines LLM-Systems genügt den BSI-Anforderungen nicht. Die Nachweispflicht nach § 8a BSIG ist dauerhaft und zyklisch angelegt. Betreiber sollten Audit-Intervalle und die Einbeziehung von LLM-spezifischen Prüfpunkten wie Prompt-Injection-Anfälligkeit, Output-Monitoring und Modell-Versionierung in ihre Sicherheitskonzepte aufnehmen. Weiterführende Einordnungen zu LLM-Sicherheitsanforderungen im BSI-Kontext finden sich unter BSI Grundschutz 2025: LLM-Anforderungen für KRITIS sowie BSI C5-Katalog: Ki-Sicherheit und KRITIS Cloud.

3. Monitoring nicht auf Netzwerkebene beschränken Klassisches IT-Monitoring reicht für LLM-Systeme nicht aus. Betreiber müssen auch das Verhalten der Modelle selbst überwachen: Outputs auf sicherheitskritische Anomalien prüfen, Zugriffsprotokollierung sicherstellen und Driftphänomene bei Modellverhalten dokumentieren. Dies ist insbesondere relevant, wenn externe Modellanbieter in ihrer Lieferkette ihrerseits Subdienstleister nutzen. Zu agentic AI-Anforderungen des BSI für Betreiber: BSI 2025: Sicherheitsanforderungen für Agentic AI und Multi-Agent-Systeme.

4. NIS-2-Anforderungen und BSI-Vorgaben gemeinsam betrachten Mit der Umsetzung der NIS-2-Richtlinie haben sich die Meldepflichten und Mindeststandards für viele Unternehmen verschärft. Betreiber kritischer Infrastrukturen sollten LLM-Deployments nicht isoliert, sondern im Kontext ihrer gesamten Informationssicherheitsstrategie bewerten und mit der NIS-2-Compliance abstimmen. Eine Übersicht zu LLM-spezifischen NIS-2-Anforderungen bietet BSI NIS-2 2025: LLM-Anforderungen für kritische Infrastrukturen.

Einordnung

Das BSI benennt mit seinen Best-Practice-Empfehlungen und dem B3S-Rahmenwerk den Mindestrahmen, innerhalb dessen KRITIS-Betreiber ihre LLM-Deployments absichern und dokumentieren müssen. Der regulatorische Druck steigt: Sowohl die NIS-2-Umsetzung als auch die Anforderungen des EU AI Act für Hochrisikoanwendungen erhöhen die Nachweispflichten. Wer LLMs in sicherheitsrelevanten Prozessen einsetzt, sollte die Lieferantensicherheit und das operative Monitoring als eigenständige Compliance-Themen behandeln und nicht als Annex zur allgemeinen IT-Sicherheit.

Quellen

• BSI: Branchenspezifische Sicherheitsstandards (B3S)
• BSI: Best-Practice-Empfehlungen für Anforderungen an Lieferanten zur Gewährleistung der Informationssicherheit in Kritischen Infrastrukturen (PDF, 869 KB, 23.11.2023)
• BSI: Direktlink Best-Practice-Empfehlungen Lieferanten (PDF)

Häufige Fragen

Sind KRITIS-Betreiber verpflichtet, einen branchenspezifischen Sicherheitsstandard (B3S) für ihr LLM-Deployment umzusetzen?

Nein. Laut BSI ist die Nutzung eines B3S im Rahmen der Nachweiserbringung nach § 8a Absatz 1 BSIG nicht verpflichtend. Auch wenn ein B3S mit passendem Geltungsbereich existiert, können KRITIS-Betreiber die gesetzlichen Anforderungen auf anderem Wege nachweisen. Der B3S dient in erster Linie der Rechtssicherheit und zeigt auf, was das BSI im jeweiligen Bereich als ‘Stand der Technik’ betrachtet.

Welche Sonderregelungen gelten für Betreiber im Bereich Energienetze und Energieanlagen?

Für Energienetze und Energieanlagen gilt § 8a BSIG ausdrücklich nicht, da hier spezialgesetzliche Regelungen greifen. Stattdessen hat die Bundesnetzagentur (BNetzA) einen eigenen IT-Sicherheitskatalog gemäß § 11 Absatz 1a EnWG erstellt. Dieser Katalog dient dem Schutz der für einen sicheren Netzbetrieb notwendigen Telekommunikations- und elektronischen Datenverarbeitungssysteme. Betreiber in diesem Sektor müssen sich also primär an den Anforderungen der BNetzA orientieren.

Welche Anforderungen stellt das BSI an Lieferanten, die Produkte oder Dienstleistungen für kritische Infrastrukturen erbringen?

Das BSI hat am 23. November 2023 Best-Practice-Empfehlungen veröffentlicht, die die wichtigsten Sicherheitsanforderungen an Lieferanten von Produkten und Dienstleistungen für kritische Infrastrukturen bündeln. Ziel ist es, KRITIS-Betreibern eine strukturierte Grundlage für vertragliche Vereinbarungen mit ihren Lieferanten zu geben. Die Empfehlungen adressieren damit auch die Lieferkettensicherheit, die beim Einsatz externer LLM-Dienste oder KI-Infrastrukturkomponenten relevant wird.

Welche branchenspezifischen Sicherheitsstandards sind derzeit für KRITIS-Betreiber verfügbar und wie lange gelten sie?

Das BSI listet aktuell zwei anerkannte B3S auf: den B3S Fernwärmenetze, der bis Januar 2027 gültig ist, sowie den B3S Aggregatoren, der bis Juli 2026 gilt. Für den Energienetzbereich verweist das BSI auf den IT-Sicherheitskatalog der Bundesnetzagentur. Betreiber anderer Sektoren, für die kein spezifischer B3S existiert, müssen die Anforderungen nach § 8a Absatz 1 BSIG auf alternative, gleichwertige Weise erfüllen und nachweisen.

Warum sind Lieferantenanforderungen beim Einsatz von LLMs in KRITIS-Umgebungen besonders relevant?

Beim Deployment großer Sprachmodelle in kritischen Infrastrukturen sind häufig externe Anbieter von Modellen, Cloud-Infrastruktur oder Integrationslösungen beteiligt. Das BSI empfiehlt in seinen Best-Practice-Empfehlungen vom 23. November 2023 ausdrücklich, Sicherheitsanforderungen vertraglich mit Lieferanten zu verankern. KRITIS-Betreiber tragen die Verantwortung dafür, dass auch ihre Zulieferer ein angemessenes Informationssicherheitsniveau gewährleisten, da Schwachstellen in der Lieferkette die Verfügbarkeit und Integrität kritischer Systeme gefährden können.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.