Das BSI hat mit dem NIS-2-Umsetzungsgesetz die Pflichten für Betreiber kritischer Infrastrukturen (KRITIS) verschärft: Betreiber kritischer Anlagen müssen nun nach dem neuen BSI-Gesetz (BSIG) erweiterte Nachweispflichten, aktualisierte Registrierungsanforderungen und angepasste Nachweisfristen erfüllen (Quelle: BSI Wer in Deutschland Large Language Models (LLMs) in KRITIS-Umgebungen einsetzt, steht 2025 unter doppeltem Regulierungsdruck: Das neue BSIG definiert konkrete technische Sicherheitskontrollen für eingesetzte Produkte, ergänzt durch BSI-Empfehlungen zu KRITIS-Produkten (Version 2.0). Parallel dazu verlangen NIST CSF 2.0 und BSI C5 jeweils eigene Kontrollrahmen für Cloud- und KI-Systeme. Entscheider müssen beide Frameworks systematisch auf LLM-Deployments anwenden, um Bußgelder und Betriebsunterbrechungen zu vermeiden.
NIST CSF 2.0 vs. BSI C5: Sicherheitskontrollen für LLM-Deployment in kritischen Infrastrukturen 2025
Betreiber kritischer Infrastrukturen in Deutschland unterliegen seit Inkrafttreten des NIS-2-Umsetzungsgesetzes verschärften Informationssicherheitspflichten, die erstmals explizit den Einsatz von KI-Systemen und Large Language Models (LLMs) in regulierten Umgebungen berühren. Wer als KRITIS-Betreiber LLMs produktiv einsetzt, muss heute zwei Kontrollrahmen gleichzeitig operationalisieren: das international verbreitete NIST Cybersecurity Framework 2.0 (CSF 2.0) und den deutschen BSI C5-Kriterienkatalog.
Zwei Rahmenwerke, ein Deployment-Problem
Das NIST CSF 2.0 strukturiert Sicherheitsanforderungen in sechs Kernfunktionen: Govern, Identify, Protect, Detect, Respond und Recover. Der BSI C5-Katalog (Cloud Computing Compliance Criteria Catalogue) ergänzt diese Struktur um eine spezifisch europäisch-regulatorische Perspektive und adressiert Anforderungen an Cloud-Dienste, die in kritischen Infrastrukturen eingesetzt werden. Beide Rahmenwerke sind nicht deckungsgleich. NIST CSF 2.0 betont risikobasiertes Management und Governance-Strukturen auf Organisationsebene. BSI C5 fokussiert auf prüfbare technische und organisatorische Kontrollen für Cloud-Betreiber und deren Auftragsverarbeiter.
Für LLM-Deployments entsteht daraus eine doppelte Anforderungsstruktur: Betreiber müssen sowohl die NIST-Governance-Anforderungen auf Unternehmensebene erfüllen als auch die technischen C5-Kontrollen nachweisen, die für den Cloud-Betrieb des Inferenz-Layers gelten.
Praktische Implikationen für KRITIS-Betreiber
1. Registrierungs- und Nachweispflichten treffen auch LLM-Betrieb
Nach dem neuen BSI-Gesetz müssen KRITIS-Betreiber kritische Anlagen registrieren und Sicherheitsnachweise erbringen. Die Anpassung der Nachweisfristen und der Wegfall gemeinsamer übergeordneter Ansprechstellen (GÜAS) erhöhen den direkten Compliance-Aufwand. Wer einen LLM-basierten Prozess in einer kritischen Anlage betreibt, muss diesen Systempfad in sein Sicherheitskonzept integrieren und bei Prüfungen gegenüber dem BSI dokumentieren. Eine Nachbesserung im laufenden Betrieb ist regulatorisch riskant. Planen Sie LLM-Deployments daher von Beginn an mit vollständiger Systemdokumentation und Risikoklassifizierung.
2. BSI-Produktempfehlungen Version 2.0 als verbindliche Orientierung
Das BSI hat Empfehlungen zur Entwicklung und zum Einsatz von Produkten in kritischen Infrastrukturen in der Version 2.0 veröffentlicht. Diese Empfehlungen gelten auch für Software-Produkte und damit für LLM-Inferenz-Systeme. KRITIS-Betreiber sollten prüfen, ob die eingesetzten Modelle und Inferenz-Plattformen diese Empfehlungen erfüllen. Besonderes Augenmerk gilt der Lieferkettentransparenz: Welcher Anbieter stellt das Basismodell bereit, wo findet die Inferenz statt, und welche Sicherheitszertifizierungen liegen vor?
3. NIST CSF 2.0-Govern-Funktion erfordert LLM-spezifische Risikosteuerung
Die neue Govern-Funktion im NIST CSF 2.0 verlangt, dass Organisationen KI-Risiken explizit in ihre Unternehmensrisikostrategie einbetten. Für KRITIS-Betreiber bedeutet das: Ein LLM, das etwa in der Netzleitzenrale, in der Wasserversorgung oder im Gesundheitsbereich operiert, muss mit einem eigenen Risikoprofil versehen werden. Prompt-Injection-Angriffe, Modell-Halluzinationen in sicherheitskritischen Entscheidungen und Datenschutzverletzungen durch unkontrollierte Ausgaben sind konkrete Risikokategorien, die in das Risikomanagement einfließen müssen. Verweise auf allgemeine IT-Sicherheitsrichtlinien genügen nicht.
4. C5-Testate für Cloud-Inferenz als Beschaffungskriterium
Wer LLM-Inferenz über externe Cloud-Dienste betreibt, muss sicherstellen, dass der Anbieter ein gültiges BSI C5-Testat vorweisen kann. Dieses Testat dokumentiert geprüfte Kontrollen für Verfügbarkeit, Integrität und Vertraulichkeit. Im KRITIS-Kontext ist dies kein optionales Qualitätsmerkmal, sondern Teil der Sorgfaltspflicht gegenüber dem BSI. Beim Auswahlprozess sollten Betreiber C5-Testate als Mindestanforderung in Ausschreibungen und Beschaffungsprozesse aufnehmen, nicht als nachträgliches Ausschlusskriterium.
Konvergenz und Lücken
Beide Rahmenwerke konvergieren bei zentralen Punkten: Kontinuierliches Monitoring, Incident-Response-Fähigkeiten und die Dokumentation von Zulieferketten sind in NIST CSF 2.0 wie im BSI C5 gleichermaßen verankert. Lücken entstehen in der LLM-spezifischen Tiefe. Weder NIST CSF 2.0 noch BSI C5 adressieren bislang explizit modellspezifische Risiken wie Trainings-Backdoors, adversariale Eingaben oder die Bewertung von Foundation-Modell-Anbietern als kritische Zulieferer. Hier arbeiten BSI und internationale Normungsgremien an Konkretisierungen.
Für Entscheider bedeutet das: Die Rahmenwerke liefern heute eine tragfähige Grundstruktur, erfordern jedoch LLM-spezifische Ergänzungen im unternehmenseigenen Sicherheitskonzept. Wer auf bestehende KRITIS-Sicherheitskonzepte verweist, ohne KI-Systeme gesondert zu behandeln, läuft Gefahr, bei Prüfungen oder im Schadensfall unzureichend abgesichert zu sein.
Weiterführende Hintergründe zu den BSI-Anforderungen für KI-Systeme in kritischen Infrastrukturen finden Sie in unseren Analysen zu BSI-Richtlinien für LLM-Deployment in kritischen Infrastrukturen, zum BSI C5-Katalog für KI-Sicherheit und KRITIS-Cloud sowie zu BSI NIS2-Anforderungen für Sprachmodelle in Energie und Wasser. Das Mapping von NIST CSF 2.0 auf BSI-Kontrollen für kritische Infrastrukturen behandelt unser Beitrag zu NIST CSF 2.0 und LLM-Sicherheitskontrollen mit BSI-Mapping. Sicherheitsrelevante Benchmarks für LLMs analysiert der AI Index 2025 zu LLM-Sicherheit, Fairness und Datenschutz.
Quellen
- Kritische Infrastrukturen (KRITIS): Änderungen für KRITIS-Betreiber im neuen BSI-Gesetz – BSI
- Empfehlungen zu Entwicklung und Einsatz von in Kritischen Infrastrukturen eingesetzten Produkten, Version 2.0 – BSI-Portal
Häufige Fragen
Welche gesetzlichen Pflichten gelten 2025 für KRITIS-Betreiber, die LLM-Systeme einsetzen?
KRITIS-Betreiber unterliegen seit dem NIS-2-Umsetzungsgesetz verschärften Anforderungen nach dem neuen BSIG. Dazu zählen Registrierungspflichten, aktualisierte Nachweisfristen sowie der Wegfall gemeinsamer übergeordneter Ansprechstellen (GÜAS). Systeme wie LLMs, die in kritischen Anlagen eingesetzt werden, müssen die Anforderungen des BSI an Produktsicherheit (BSI-Empfehlungen Version 2.0) erfüllen. Eine laufende Aktualisierung der Meldedaten gegenüber dem BSI ist gemäß § 33 Absatz 5 BSIG verpflichtend.
Was empfiehlt das BSI konkret für Produkte, die in kritischen Infrastrukturen eingesetzt werden?
Das BSI hat in seinen Empfehlungen zu Entwicklung und Einsatz von Produkten in Kritischen Infrastrukturen (Version 2.0) Anforderungen für Hersteller und Betreiber definiert. Diese umfassen Sicherheitsmaßnahmen entlang des gesamten Produktlebenszyklus. Für LLM-Deployments bedeutet das: sichere Entwicklungsprozesse, nachvollziehbare Risikoanalysen und dokumentierte Sicherheitskontrollen sind Voraussetzung für den zulässigen Betrieb in KRITIS-Umgebungen.
Wie verhält sich das BSI-Rahmenwerk zum NIST Cybersecurity Framework 2.0 beim LLM-Einsatz?
Das NIST CSF 2.0 strukturiert Cybersicherheit in sechs Funktionen: Govern, Identify, Protect, Detect, Respond, Recover. Das BSI-Regelwerk für KRITIS adressiert vergleichbare Bereiche, ist jedoch verbindlich und behördlich durchsetzbar. Für LLM-Deployments in Deutschland sind die BSI-Anforderungen aus BSIG und BSI-KritisV maßgeblich. NIST CSF 2.0 kann als ergänzendes Referenzwerk für internationale Benchmarks herangezogen werden, ersetzt aber keine deutschen Compliance-Pflichten.
Welche Nachweispflichten gelten für KRITIS-Betreiber nach dem neuen BSIG?
Das NIS-2-Umsetzungsgesetz hat die Nachweisfristen für KRITIS-Betreiber angepasst. Betreiber kritischer Anlagen müssen gegenüber dem BSI regelmäßig nachweisen, dass sie angemessene technische und organisatorische Sicherheitsmaßnahmen umgesetzt haben. Sektorspezifische Anforderungen ergeben sich zusätzlich aus dem BSIG sowie der BSI-Kritisverordnung. Das BSI informiert laufend über aktuelle Anforderungen auf der Plattform KRITIS Aktuell.
Was ändert sich durch das NIS-2-Umsetzungsgesetz für KRITIS-Betreiber gegenüber der bisherigen Rechtslage?
Bereits das BSI-Gesetz von 2009 (zuletzt geändert 2021) verpflichtete KRITIS-Betreiber zu Informationssicherheitsmaßnahmen. Das NIS-2-Umsetzungsgesetz erweitert diese Pflichten: Die Registrierung umfasst nun auch besonders wichtige Einrichtungen (bwE), gemeinsame übergeordnete Ansprechstellen (GÜAS) entfallen, Nachweisfristen wurden angepasst und sektorspezifische Vorgaben aus BSIG sowie BSI-KritisV wurden aktualisiert.
Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.
