RUN BSI: Reife- und Umsetzungsgrade im KRITIS-Nachweis
RUN steht für die Reife- und Umsetzungsgradbewertung im Rahmen der Nachweisprüfung. Mit diesem Schema bewerten Prüfer seit April 2025 sieben Themenbereiche Ihrer kritischen Anlage auf einer Skala von 1 bis 5: Ihr ISMS und Ihr BCMS mit Reifegraden, organisatorische, personelle, physische und technische Maßnahmen sowie die Angriffserkennung mit Umsetzungsgraden. Die Ergebnisse übermitteln Sie mit dem Nachweis an das BSI. Das BSI will damit die Bewertung transparenter und einheitlicher machen und Schwerpunkte für die Weiterentwicklung sichtbar machen. Ein niedriger Grad bedeutet laut BSI einen höheren Handlungsbedarf.
Dieser Artikel erklärt Aufbau und Logik des Schemas. Wie der Nachweis insgesamt abläuft, beschreibt der Artikel KRITIS-Nachweisprüfung.
Was RUN ist und ab wann es gilt
Das BSI hat das Dokument „Reife- und Umsetzungsgradbewertung im Rahmen der Nachweisprüfung (RUN)“ am 2. Januar 2025 veröffentlicht. Es bindet die Bewertung durch die Prüfer an festgelegte Kriterien. Neben ISMS, BCMS und Angriffserkennung bewerten die Prüfer seither weitere Themenbereiche, die sich aus vorgeschriebenen Prüfthemen zusammensetzen.
- 7 Themenbereiche, die das Prüfteam bewertet
- 5 Stufen je Themenbereich, von 1 bis 5
- 1.4.2025 Prüfungsende, ab dem RUN spätestens anzuwenden ist
- Anwendung: spätestens für Prüfergebnisse mit einem Prüfungsende nach dem 1. April 2025. Die ermittelten Grade übermitteln Sie in einem dafür überarbeiteten Formular mit dem Nachweis.
- Anhang: Ein Mapping ordnet alle Maßnahmen aus der KdA den Reife- und Umsetzungsgraden zu. Die aktuelle Fassung ist die Version 1.0 vom 28. Mai 2025.
- Rhythmus: Der Nachweis ist nach § 39 Abs. 1 BSIG alle drei Jahre fällig. Die RUN-Bewertung ist Teil jedes Nachweises.
- Geltungsbereich: Das Prüfteam bewertet ausdrücklich nur innerhalb des Geltungsbereichs der Prüfung, also mit Blick auf die kritische Dienstleistung. Wie Sie diesen sauber festlegen, zeigt der Artikel Geltungsbereich im KRITIS-Nachweis.
- Einschätzung, keine Wissenschaft: Die Grade sind eine zusammenfassende Einschätzung des Prüfteams. Weitergehende wissenschaftliche Methoden fordert das BSI nicht.
Die sieben Themenbereiche
RUN unterscheidet zwei Bewertungsarten: Reifegrade für die Managementsysteme und Umsetzungsgrade für die Maßnahmenkategorien.
| Themenbereich | Bewertung | Unterthemen (Auswahl) |
|---|---|---|
| Informationssicherheitsmanagementsystem (ISMS) | Reifegrad | Geltungsbereich, Strategie, Sicherheitsorganisation, Risikomanagement, Dokumentenmanagement, Audit und Revision, kontinuierliche Verbesserung |
| Business Continuity Management System (BCMS) | Reifegrad | Geltungsbereich, Aufrechterhaltung des Betriebs, Krisenmanagement, Datensicherung und Wiederherstellung, Notfallkommunikation, Erproben der Notfallpläne |
| Organisatorische Maßnahmen (OrgM) | Umsetzungsgrad | Asset Management, Dienstleister- und Lieferantenmanagement, Änderungsmanagement, Schwachstellenmanagement |
| Personenbezogene Maßnahmen (PerM) | Umsetzungsgrad | Personalsicherheit, Rollen und Kompetenzen, Identitäts- und Berechtigungsmanagement, Sensibilisierung und Schulung |
| Physische Maßnahmen (PhyM) | Umsetzungsgrad | Physischer Zutritt, bauliche Maßnahmen, Wartung, Versorgungseinrichtungen |
| Technische Maßnahmen (TecM) | Umsetzungsgrad | Netzwerksicherheit, Patchmanagement, Kryptographie, Authentisierung, Fernzugriff, Härtung, branchenspezifische IT und OT, Schwachstellenscans und Penetrationstests |
| Detektion und Reaktion (SzA) | Umsetzungsgrad | Protokollierung, Vorfallsmanagement mit Meldewesen und Kontaktstelle, Angriffserkennung |
Die Unterthemen dienen laut BSI als Kontext und als Stütze, um weitere Maßnahmen zu identifizieren.
Reifegrade für ISMS und BCMS
Für ISMS und BCMS beschreibt RUN fünf Reifegrade. Jede Stufe unterscheidet Prozess, Dokumentation und Maßnahmen. Die Unterteilung ist laut BSI keine zwingende Vorgabe, sondern soll die Stufen verständlicher machen.
| Reifegrad | Bezeichnung | Prozess | Dokumentation | Maßnahmen |
|---|---|---|---|---|
| 1 | geplant | kein oder nur informeller Prozess | keine oder unvollständig | keine oder vereinzelt; Aufbau geplant und budgetiert |
| 2 | gesteuert | teilweise etabliert | grundlegend, Nachweise zu einem Stichtag | teilweise umgesetzt und dokumentiert |
| 3 | etabliert | vollständig etablierter Standardprozess mit dokumentierten Schnittstellen | vollständig, Nachweise über einen angemessenen Zeitraum | Großteil umgesetzt und dokumentiert |
| 4 | messbar | Kennzahlen und Grenzwerte (KPIs) überwachen die Wirksamkeit | Messwerte, KPIs und Prüfberichte über einen Zeitraum | Maßnahmen zur Bewertung der Messwerte |
| 5 | kontinuierlich verbessert | Verbesserung ist wesentliches Ziel, mit dedizierten Ressourcen | inklusive Dokumentation der Verbesserungen | Verbesserungen werden identifiziert und umgesetzt |
Zwei Details sind in der Praxis entscheidend:
- Geltungsbereich ab Reifegrad 2: Auf Reifegrad 1 fehlt ein definierter Geltungsbereich oder er ist unvollständig dokumentiert. Ab Reifegrad 2 muss der Prozess den vollständigen Geltungsbereich der kritischen Anlage berücksichtigen. Das gilt für ISMS und BCMS gleichermaßen.
- Zeitraum ab Reifegrad 3: Reifegrad 2 lässt sich mit Nachweisen zu einem Stichtag belegen. Reifegrad 3 verlangt Nachweise, dass der Prozess über einen Zeitraum umgesetzt und aktiv genutzt wurde, etwa Risikoanalysen, Audits und erprobte Notfallpläne.
Beim BCMS prüft das Prüfteam unter anderem Aufrechterhaltung des Betriebs, Krisenmanagement, gesicherte Notfallkommunikation, die Behandlung von Kontinuitätsrisiken und die Erprobung der Notfallpläne. Wie Sie ein BCMS nach BSI-Standard 200-4 aufbauen, zeigt der Artikel BCM aufbauen.
Umsetzungsgrade für Maßnahmen
Für OrgM, PerM, PhyM und TecM beschreibt RUN eine allgemeine Methode. Jede Stufe setzt die vorherige voraus.
| Umsetzungsgrad | Bedeutung |
|---|---|
| 1 | Nur die Planung einer Maßnahme oder eines Prozesses liegt vor, umgesetzt ist noch nichts. |
| 2 | Einzelmaßnahmen sind umgesetzt, die nur einen Teil eines Prozesses abdecken, etwa Regelungen, Leitlinien oder einzelne technische Maßnahmen. |
| 3 | Maßnahmen für einen gesamten Prozess oder ein Managementsystem sind umgesetzt, etwa Asset Management oder Incident Management. |
| 4 | Zusätzlich sind Maßnahmen umgesetzt, die die Durchführung überprüfen und messbar machen. |
| 5 | Zusätzlich sind Maßnahmen umgesetzt, die Maßnahmen, Prozesse und Managementsysteme verbessern, in der Regel auf Basis der Messergebnisse aus Stufe 4. |
Für die Angriffserkennung (SzA) übernimmt RUN das Umsetzungsgradmodell aus der Orientierungshilfe zu Systemen zur Angriffserkennung, ohne den früheren Umsetzungsgrad 0. Die Anforderungen der Orientierungshilfe sind vollständig integriert und den Stufen 3 bis 5 zugeordnet. Details im Artikel Systeme zur Angriffserkennung.
Die Rolle der KdA
Die „Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 und Absatz 1a BSIG umzusetzenden Maßnahmen“ (KdA) beschreibt beispielhaft ein Mindestniveau. Der Anhang zu RUN ordnet jede KdA-Maßnahme einem Umsetzungsgrad zu. Einige Beispiele:
| KdA-Maßnahme (Auszug) | Themenbereich | Grad |
|---|---|---|
| Unternehmensleitung wird mindestens quartalsweise über Risiken und Maßnahmen informiert (Nr. 14.2) | OrgM | UG 2 |
| Risikoanalyse wird mindestens jährlich durchlaufen (Nr. 14.1) | OrgM | UG 3 |
| Jährliche interne Prüfung der Compliance der IT-Prozesse (Nr. 86.1) | OrgM | UG 4 |
| Zugriffsrechte werden bei Änderungen im Beschäftigungsverhältnis spätestens nach 30 Tagen entzogen (Nr. 61) | PerM | UG 2 |
| Multi-Faktor-Authentifizierung für Administratoren bei Zugriff über öffentliche Netze (Nr. 27) | TecM | UG 2 |
| Mindestens monatliche automatisierte Prüfung auf bekannte Schwachstellen (Nr. 84) | SzA | UG 5 |
| Mindestens jährliche Penetrationstests der kritischen Infrastrukturkomponenten (Nr. 95) | SzA | UG 5 |
| Notfallpläne werden mindestens jährlich überprüft, aktualisiert und getestet (Nr. 19) | BCMS | RG 4 |
Für die Anwendung gelten diese Regeln:
- Feste Orientierung: Der über die KdA ermittelte Grad ist für das Prüfteam die feste Orientierung. Nur in begründeten Ausnahmefällen darf es einen Grad als erfüllt werten, ohne dass alle zugeordneten Maßnahmen umgesetzt sind. Das muss es im Formular kennzeichnen und begründen.
- Gleichwertige Maßnahmen zählen: Sie erreichen einen Grad auch mit anderen Maßnahmen, wenn diese ein vergleichbares Schutzniveau bieten. Branchenspezifische Sicherheitsstandards (B3S) können mit Eignungsfeststellung des BSI akzeptable Ersatzmaßnahmen festlegen.
- Ohne KdA-Vorgabe: Für PerM, PhyM und TecM sind den Stufen 4 und 5 keine KdA-Maßnahmen zugeordnet. Dort braucht es eigene, weiterführende Maßnahmen, die Sie im Audit darstellen.
- Managementsysteme: Die KdA-Maßnahmen für ISMS und BCMS dienen nur als Orientierung. Maßgeblich ist die Reifegradmethode.
- Keine alleinige Prüfgrundlage: RUN und KdA sind laut BSI nicht abschließend. Individuelle Risiken müssen Sie zusätzlich ermitteln und behandeln.
Das BSI behält sich vor, die Herleitung einzelner Reife- und Umsetzungsgrade anhand der eingereichten Unterlagen zu überprüfen. Die Herleitungen müssen deshalb nachvollziehbar dokumentiert sein.
So bereiten Sie sich vor
- Geltungsbereich klären Ohne vollständig dokumentierten Geltungsbereich bleiben ISMS und BCMS auf Reifegrad 1. Er ist zugleich die Grenze, innerhalb derer bewertet wird.
- Selbsteinschätzung je Themenbereich Gleichen Sie Ihren Stand mit den Reifegradbeschreibungen und dem KdA-Mapping ab. So sehen Sie früh, wo Stufen fehlen.
- Prozesse leben und belegen Ab Reifegrad 3 zählen Nachweise über einen Zeitraum: Protokolle von Risikoanalysen, Audits, Änderungen, Übungen und Managementberichten. Beginnen Sie damit lange vor der Prüfung.
- Wirksamkeit messbar machen Für Reifegrad 4 und Umsetzungsgrad 4 brauchen Sie Kennzahlen und Grenzwerte, die regelmäßig gemessen und bewertet werden.
- Abweichungen begründen Wo Sie gleichwertige Maßnahmen statt KdA-Maßnahmen einsetzen, dokumentieren Sie die Gleichwertigkeit.
- Generalprobe Ein internes Audit oder Friendly Audit einige Monate vor der Prüfung zeigt, ob die Herleitung der Grade trägt.
So unterstützt Sie die SDG
- RUN-Selbsteinschätzung: Wir bewerten mit Ihnen alle sieben Themenbereiche anhand der Reifegradbeschreibungen und des KdA-Mappings und priorisieren die Lücken.
- ISMS und BCMS aufbauen: Von der Dokumentation bis zu gelebten Prozessen mit Nachweisen, im ISMS nach ISO 27001 und im BCMS nach BSI-Standard 200-4, auf Wunsch mit externem BC-Beauftragten.
- Kennzahlen und Wirksamkeit: Wir entwickeln mit Ihnen KPIs und Grenzwerte, die zu Ihrer Anlage passen.
- Geltungsbereich und Nachweis: Abgrenzung der Anlage, Unterlagen und Ablauf der KRITIS-Nachweisprüfung.
- Penetrationstests für Webanwendungen, Schnittstellen (APIs) und Cloud-Umgebungen, soweit sie im Geltungsbereich liegen: Penetrationstest
- Externer ISB, der ISMS und Nachweis dauerhaft steuert: externer Informationssicherheitsbeauftragter
Häufige Fragen zu RUN
Was ist RUN?
Die Reife- und Umsetzungsgradbewertung im Rahmen der Nachweisprüfung. Mit diesem Schema des BSI bewerten Prüfer sieben Themenbereiche einer kritischen Anlage auf einer Skala von 1 bis 5 nach festgelegten Kriterien.
Ab wann gilt RUN?
Spätestens für beim BSI eingereichte Prüfergebnisse mit einem Prüfungsende nach dem 1. April 2025. Die ermittelten Grade werden in einem überarbeiteten Formular mit dem Nachweis übermittelt.
Welche sieben Themenbereiche bewertet RUN?
ISMS und BCMS mit Reifegraden sowie organisatorische, personenbezogene, physische und technische Maßnahmen und die Detektion und Reaktion (Systeme zur Angriffserkennung) mit Umsetzungsgraden.
Was ist der Unterschied zwischen Reifegrad und Umsetzungsgrad?
Reifegrade bewerten die Managementsysteme ISMS und BCMS danach, wie etabliert, messbar und verbessert Prozess, Dokumentation und Maßnahmen sind. Umsetzungsgrade bewerten die Maßnahmenkategorien danach, wie vollständig Maßnahmen umgesetzt, überprüft und verbessert werden.
Welchen Reifegrad muss ich erreichen?
RUN selbst nennt keinen Mindestwert für alle Themenbereiche. Ein niedriger Grad begründet laut BSI aber einen höheren Handlungsbedarf. Für die Angriffserkennung erwartet das BSI nach der Orientierungshilfe mindestens den Umsetzungsgrad 3.
Was ist die KdA?
Die Konkretisierung der Anforderungen an die umzusetzenden Maßnahmen für Betreiber kritischer Anlagen. Sie beschreibt beispielhaft ein Mindestniveau. Der Anhang zu RUN ordnet jede KdA-Maßnahme einem Umsetzungsgrad zu.
Muss ich jede KdA-Maßnahme genau so umsetzen?
Nein. Gleichwertige Maßnahmen mit vergleichbarem Schutzniveau zählen ebenfalls. Die Gleichwertigkeit sollten Sie nachvollziehbar dokumentieren, denn das BSI kann die Herleitung der Grade überprüfen.
Reicht RUN als Prüfgrundlage aus?
Nein. RUN und KdA sind laut BSI nicht abschließend und nicht als alleinige Prüfgrundlage geeignet. Individuelle Risiken und branchenspezifische Anforderungen müssen zusätzlich betrachtet werden.
Quellen: BSI: Reife- und Umsetzungsgradbewertung im Rahmen der Nachweisprüfung (RUN), Version 1.0 vom 02.01.2025; BSI: Mapping der KdA-Anforderungen auf die Umsetzungsgrade, Anhang zu RUN, Version 1.0 vom 28.05.2025; § 39 BSIG
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. RUN und KdA zitieren noch das BSIG in der alten Fassung (§ 8a). Die Pflichten für Betreiber kritischer Anlagen stehen heute in §§ 30, 31 BSIG, der Nachweis in § 39 BSIG.