Termin und Konditionen
Im Preis enthalten: der verbindliche BSI-Foliensatz, sämtliche Übungsaufgaben, die Teilnahmebescheinigung mit Ausweis der Unterrichtseinheiten je Themenfeld — und ein Refresher-Call vor Ihrer BSI-Prüfung.
Keine Reise- und Übernachtungskosten. Bei einer dreitägigen Präsenzschulung kommen erfahrungsgemäß 400 bis 600 € für Anreise und zwei Hotelnächte hinzu, dazu zwei zusätzliche Abwesenheitshalbtage. Online entfällt beides.
Worum es geht
Betreiber kritischer Anlagen müssen die Umsetzung ihrer Sicherheitsvorkehrungen gegenüber dem BSI nachweisen. Geprüft wird durch Personen, die dafür eine besondere Prüfkompetenz besitzen. Das BSI hat die Qualifizierung dieser Personen neu geordnet und dazu am 31. August 2026 ein Schulungskonzept veröffentlicht: Curriculum, Schulungsleitfaden, Foliensatz und Übungsaufgaben.
Die Schulung zum KRITIS-Auditor ist Zulassungsvoraussetzung für die Personenzertifizierung beim BSI. Ohne eine Teilnahmebescheinigung, die den Vorgaben des Curriculums entspricht, ist eine Zulassung nicht möglich.
Wer bereits die Prüfverfahrenskompetenz nach § 8a BSIG besitzt, sollte sich frühzeitig mit dem neuen Verfahren befassen. Eine Anrechnung der bisherigen Qualifikation ist laut BSI nicht möglich.
Warum das jetzt ansteht
Das BSI führt eine verbindliche Personenzertifizierung für KRITIS-Auditorinnen und -Auditoren ein. Die Anforderungen sollen mit einer Anpassung der Grundsätzlichen Anforderungen im Nachweisverfahren (GAiN) voraussichtlich ab Anfang 2027 verbindlich werden. Künftig muss die Leitung des Prüfteams entsprechend qualifiziert und zertifiziert sein.
Entscheidend für alle, die heute bereits prüfen: Das BSI stellt in seinen FAQ zur Qualifizierung nach § 39 Abs. 2 BSIG klar, dass eine Anerkennung der bisherigen Schulung zur Prüfverfahrenskompetenz nach § 8a Abs. 3 BSIG nicht möglich ist. Es handele sich um ein neues, standardisiertes Verfahren; die Teilnahme an einer aktuellen Schulung sei „unerlässlich“.
Im Klartext: Die vorhandene § 8a-Qualifikation wird nicht angerechnet. Wer weiterhin Nachweisprüfungen nach § 39 BSIG leiten will, durchläuft die vollständige neue Schulung — unabhängig davon, wie viele Prüfungen er bereits begleitet hat. Nach Inkrafttreten gilt eine Übergangsfrist von 18 Monaten, in der das BSI noch Nachweise nach dem bisherigen Verfahren akzeptiert.
Quellen: BSI-FAQ zur Qualifizierung von Personen zur Prüfkompetenz nach § 39 Abs. 2 BSIG; Allianz für Cyber-Sicherheit, Newsletter Nr. 19/2026 vom 16.09.2026.
Für wen die Schulung gedacht ist
- Auditorinnen und Auditoren, die Nachweisprüfungen bei Betreibern kritischer Anlagen durchführen wollen
- Mitarbeitende prüfender Stellen
- Interne Revision bei KRITIS-Betreibern
- Wirtschaftsprüferinnen und Wirtschaftsprüfer mit Prüfmandaten im KRITIS-Umfeld
- Informationssicherheitsbeauftragte, die die Prüfperspektive kennen müssen
- Inhaberinnen und Inhaber der Prüfverfahrenskompetenz nach § 8a BSIG, die auf das neue Verfahren umsteigen
Vorausgesetzt werden Kenntnisse in Informationssicherheit und Auditierung.
Aufbau nach dem Curriculum des BSI
Das Curriculum legt sechs Themenfelder mit festem Umfang fest. Insgesamt umfasst die Schulung 21 Unterrichtseinheiten zu je 60 Minuten, ohne Pausen gerechnet.
| Modul | Themenfeld | UE |
|---|---|---|
| 1 | Kritische Anlagen und gesetzliche Anforderungen | 2 |
| 2 | Rechtsverordnung und Identifizierung | 2 |
| 3 | Die Prüfungsvorbereitung | 3 |
| 4 | Die Grundlagenprüfung | 4 |
| 5 | Angemessenheits- und Wirksamkeitsprüfung | 7 |
| 6 | Ergebnisse und Nachweise | 3 |
| Summe | 21 |
Die Themenfelder bauen aufeinander auf: von der Kenntnis der gesetzlichen Grundlagen über die Anwendung auf eigene Prüfobjekte bis zur Bewertung fremder Betreiber, Prozesse und Anlagen.
Zeitliche Aufteilung
Die 21 Unterrichtseinheiten verteilen sich gleichmäßig auf drei Tage zu je sieben UE — so, wie es der Schulungsleitfaden des BSI empfiehlt. Der interaktive Anteil wächst dabei von Tag zu Tag: Tag 1 legt die rechtlichen Grundlagen, Tag 3 besteht überwiegend aus Fallarbeit.
| Tag | Themenfelder | UE |
|---|---|---|
| Mo, 23.11. | Kritische Anlagen und gesetzliche Anforderungen · Rechtsverordnung und Identifizierung · Prüfungsvorbereitung | 7 |
| Di, 24.11. | Grundlagenprüfung · Angemessenheits- und Wirksamkeitsprüfung, Teil 1 | 7 |
| Mi, 25.11. | Angemessenheits- und Wirksamkeitsprüfung, Teil 2 · Ergebnisse und Nachweise | 7 |
1 UE = 60 Minuten. Pausen sind darin nicht enthalten.
Format
- Online-Live-Training, keine Aufzeichnung, keine Selbstlernstrecke
- Maximal 12 Teilnehmende — die vom BSI empfohlene Gruppengröße, damit Austausch und praktische Übungen tatsächlich stattfinden
- 60 Prozent interaktiver Anteil nach Vorgabe des Curriculums: Gruppenarbeit in Breakout-Räumen, Fallarbeit, Diskussion von Prüfsituationen
- Der Foliensatz des BSI ist verbindlicher Mindestinhalt und wird um unsere Prüfpraxis ergänzt
- Als Inhouse-Schulung oder verbundübergreifend für mehrere Organisationen buchbar
Übungs- und Prüfungsvorbereitungspaket
Curriculum und Foliensatz gibt das BSI vor — sie sind bei allen Anbietern gleich. Unterscheiden lässt sich nur, was darüber hinausgeht. Deshalb gehört zu unserer Schulung ein Vorbereitungspaket, das über die 21 Unterrichtseinheiten hinaus zur Verfügung steht:
- Selbsttests je Themenfeld über unsere Lernplattform, mit Auswertung und Erläuterung der Lösungen
- Fallbezogene Übungsaufgaben aus realen Prüfsituationen, aufbauend auf den Übungsaufgaben des BSI
- Wiederholungsdurchläufe zur eigenständigen Lernkontrolle, auch nach der Schulung
- Handreichung zur Prüfungsvorbereitung mit den Punkten, an denen Prüfungen in der Praxis am häufigsten hängen
Die Selbsttests dienen Ihrer eigenen Lernkontrolle. Die Personenzertifizierung selbst führt ausschließlich das BSI durch.
Begleitung bis zur Prüfung: der Refresher-Call
Zwischen der Schulung und Ihrem Prüfungstermin beim BSI liegen in der Regel einige Wochen. Damit der Stoff bis dahin präsent bleibt, bieten wir einen Refresher-Call an: zwei Stunden online, in der Gruppe, rund sechs Wochen nach der Schulung.
- Wiederholung der prüfungsrelevanten Inhalte aus Grundlagen-, Angemessenheits- und Wirksamkeitsprüfung
- Durchsprache der Selbsttests aus Ihrem Vorbereitungspaket
- Ihre Fragen aus der Zwischenzeit
- Erfahrungsaustausch mit Teilnehmenden, die die Prüfung bereits abgelegt haben
Im Preis der Schulung enthalten. Den Termin nennen wir bereits bei der Anmeldung, damit Sie ihn einplanen können.
Ihre Teilnahmebescheinigung
Für die Zulassung zur Personenzertifizierung genügt keine allgemeine Teilnahmebestätigung. Die Bescheinigung muss ausweisen, welches Themenfeld in welchem Umfang geschult wurde.
Sie erhalten eine individuell ausgestellte Bescheinigung, die alle sechs Themenfelder des Curriculums mit der jeweiligen Anzahl an Unterrichtseinheiten einzeln aufführt. Damit ist sie in der Form, die das BSI für die Zulassung verlangt.
Bitte beachten Sie: Werden wesentliche Anteile der Schulung versäumt, darf nach den Vorgaben des BSI keine Bescheinigung ausgestellt werden.
Was in der Teilnahmegebühr enthalten ist
- Schulungsunterlagen einschließlich des Foliensatzes des BSI
- Übungsaufgaben und Fallbeispiele
- Zugang zum Übungs- und Prüfungsvorbereitungspaket, auch nach der Schulung
- Individuelle Teilnahmebescheinigung mit Ausweis der Themenfelder und Unterrichtseinheiten
- Refresher-Call: zwei Stunden online, rund sechs Wochen nach der Schulung
Da die Schulung online stattfindet, entstehen Ihnen keine Reise- und Übernachtungskosten. Verpflegung ist entsprechend nicht Bestandteil des Angebots. Die Personenzertifizierung beim BSI wird gesondert berechnet.
Schulung und Zertifizierung — die Abgrenzung
Die Schulung ist die Voraussetzung. Die Personenzertifizierung zum KRITIS-Auditor führt ausschließlich das Bundesamt für Sicherheit in der Informationstechnik durch. Wir bereiten darauf vor, prüfen und zertifizieren aber nicht selbst.
ATM Consulting führt die Schulung nach dem verbindlichen Curriculum des BSI für Schulungen zum KRITIS-Auditor nach § 39 Absatz 2 BSIG durch.
Ihr Trainer
KRITIS-Praxis aus sechs Sektoren
Beratung, Auditierung und ISMS-Umsetzung bei Betreibern kritischer Anlagen in den Sektoren Energie (Stromübertragung, Stromversorgung, Mineralöllogistik), Wasser (Abwasserbeseitigung), Ernährung, Finanz- und Versicherungswesen sowie Siedlungsabfallentsorgung. Zuletzt 2026: Konzeption eines Auditprogramms bei einem Übertragungsnetzbetreiber, IT-Grundschutz-Audit bei einem überregionalen Energieversorger, laufendes ISMS-Mandat bei einem öffentlichen Entsorgungsträger.
Auditerfahrung
ISO 27001-Auditteamleiter für Audits auf der Basis von IT-Grundschutz. Durchführung testierter IT-Grundschutz-Audits nach dem Prüfungsschema des BSI, Nachweisprüfungen nach § 8a BSIG sowie Prüfungen nach C5:2020.
Business Continuity Management
Konzeption und Durchführung von BCM-Schulungen nach BSI-Standard 200-4 einschließlich Prüfungen nach den Vorgaben des BSI, zuletzt 2025 bei einem Träger der gesetzlichen Rentenversicherung. Praktische Arbeit mit Business-Impact-Analyse, Risikoanalyse nach BSI-Standard 200-3, Kontinuitätsstrategien und Wiederanlaufplanung an der Schnittstelle BCM und ISMS.
Didaktische Erfahrung
Trainer der Schulungen IT-Grundschutz-Praktiker, IT-Grundschutz-Berater und Business Continuity Manager — jeweils nach dem Curriculum des BSI und einschließlich Durchführung der Prüfungen nach den Vorgaben des BSI.
Erfahrung mit mehrtägigen Online-Formaten mit Workshop- und Übungsanteil, zuletzt 2026 als dreitägige behördenübergreifende Schulung für Teilnehmende aus drei Landkreisen. Praktische Übungen unter anderem mit dem GRC-Werkzeug R2C.
Netzwerk
Mitglied im ISACA Germany Chapter, im Cyber Security Cluster Bonn und in der Gesellschaft für Datenschutz und Datensicherheit (GDD).
Häufige Fragen
Ich habe die Prüfverfahrenskompetenz nach § 8a BSIG. Muss ich die Schulung trotzdem besuchen?
Ja. Das BSI stellt in seinen FAQ klar, dass eine Anerkennung der bisherigen Schulung zur Prüfverfahrenskompetenz nach § 8a Abs. 3 BSIG nicht möglich ist. Wer weiterhin Nachweisprüfungen nach § 39 BSIG leiten will, durchläuft die vollständige neue Schulung.
Warum 21 Unterrichtseinheiten?
Das gibt das Curriculum des BSI verbindlich vor, ebenso die Verteilung auf die sechs Themenfelder. Eine Kürzung ist nicht zulässig — Teilnahmebescheinigungen von Schulungen, die maßgeblich vom Curriculum abweichen, werden für die Personenzertifizierung nicht anerkannt.
Findet die Schulung online oder in Präsenz statt?
Der erste Durchlauf ist als Online-Live-Training geplant. Für Inhouse-Schulungen bieten wir beide Formate an. Sprechen Sie uns an.
Können mehrere Organisationen einen Termin gemeinsam belegen?
Ja. Gerade für prüfende Stellen und Betreiber desselben Sektors ist das sinnvoll: Eine Organisation übernimmt die Koordination, die Plätze werden geteilt. Dieses Modell haben wir bereits mehrfach durchgeführt.
Was kostet die Schulung?
2.040 € netto, bei Anmeldung bis 17. Oktober 2026: 1.790 € netto. ISACA-Mitglieder erhalten auf den regulären Preis einen Gutschein über 100 € und zahlen 1.940 € netto; der Gutschein ist nicht mit dem Frühbucherpreis kombinierbar. Enthalten sind Unterlagen, Vorbereitungspaket, Teilnahmebescheinigung und der Refresher-Call.
Anmeldung
Die Gruppe ist auf zwölf Personen begrenzt. Melden Sie sich mit den folgenden Angaben, dann erhalten Sie innerhalb eines Werktags eine verbindliche Bestätigung mit Rechnung und Zugangsdaten:
- Name und Organisation
- E-Mail und Telefon
- Rolle: prüfende Stelle, Auditor, Betreiber oder Beratung
- Prüfverfahrenskompetenz nach § 8a BSIG vorhanden: ja oder nein
- Rechnungsanschrift und gegebenenfalls Bestellnummer
- ISACA-Mitgliedschaft, falls der Gutschein angerechnet werden soll (nicht mit dem Frühbucherpreis kombinierbar)
Am schnellsten geht es über das Online-Formular. Wer lieber per E-Mail bucht, schickt die Angaben an info@atm-consulting.com.
Online anmeldenPer E-Mail anmelden
ATM Consulting hat die Selbsterklärung für Anbieter von Schulungen für KRITIS-Auditoren nach § 39 Abs. 2 BSIG gegenüber dem BSI abgegeben. Die Personenzertifizierung selbst führt ausschließlich das BSI durch.