Kubernetes KRITIS & BSI: Container-Compliance für Energie & Banking

Pexon Consulting | 9 Min. Lesezeit | 19.06.2026

TL;DR

KRITIS-Betreiber im Energie- und Banking-Sektor müssen ihre Kubernetes-Cluster nach BSI-IT-Grundschutz und §8a-BSIG-Anforderungen konfigurieren — plus Auslagerungs-Anforderungen aus BaFin-Regulatorik bei Banking. Pexon Consulting setzt KRITIS-konforme Cluster als 4-Wochen-Festpreis-Sprint zwischen 32 und 48k EUR auf, mit dokumentiertem BSI-Audit-Trail. Erfahrung aus 6+ produktiven KRITIS-Setups.

Was BSI-Grundschutz für Container verlangt

Wir hören die Frage wöchentlich bei CISO-Erstgesprächen in Energie- und Banking-Unternehmen: „BSI-Auditor kommt im Q3. Was muss am Cluster sitzen?“

Strukturiert ergeben sich vier konkrete Anforderungsblöcke aus BSI-IT-Grundschutz-Kompendium plus sektor-spezifischer Regulatorik.

Block 1: Risikobehandlung und Dokumentation. Strukturierte Risikoanalyse für die Container-Plattform. Inventur aller Workloads mit Daten-Klassifikation. Mehr zum breiten Compliance-as-Code-Pattern.

Block 2: Strukturelle Härtung. CIS-Benchmark, Pod Security Standards, Network Policies. Mehr im Kubernetes Security Hardening-Pattern.

Block 3: Audit und Monitoring. Vollständige API-Call-Logs, SIEM-Anbindung, Aufbewahrung mindestens 12 Monate.

Block 4: Incident-Response und Business-Continuity. Definierte Eskalations-Pfade, Recovery-Time-Objective dokumentiert, regelmäßige Notfall-Übungen.

Banking-spezifische Anforderungen (BaFin)

Bei Banking kommen zusätzliche Anforderungen aus BAIT (Bankaufsichtliche Anforderungen an die IT) und VAIT (für Versicherer).

Auslagerungs-Klassifikation. Cloud-Verarbeitung als Auslagerung klassifiziert. Pro Cluster Outsourcing-Vertrag mit dokumentierter Risiko-Bewertung.

Exit-Strategie. Bei strategischer Cloud-Nutzung Exit-Pfad dokumentiert. Wie kommen wir bei Cloud-Provider-Ausfall innerhalb von X Stunden auf alternatives Setup?

Kontroll-Recht. Auditor von BaFin darf auf den Cluster zugreifen. Bei Cloud-Provider durch Verträge geregelt, bei On-Prem trivial.

Trennung Produktions- und Test-Umgebungen. Strukturelle Trennung, nicht nur Namespace-basierte. Bei Production-KRITIS-Setups oft eigene Cluster.

Mehr im On-Prem-DSGVO-Setup-Pattern.

Energie-spezifische Anforderungen (BSI + BNetzA)

Bei Energie-Versorgern kommen Anforderungen aus IT-Sicherheitsgesetz 2.0 (IT-SiG 2.0) plus EnWG.

§ 11 EnWG Sicherheits-Mindeststandards. Netz-Betreiber müssen IT-Sicherheits-Katalog der BNetzA umsetzen.

§ 8a BSIG bei höherer Klassifikation. Stand der Technik dokumentiert, Audit alle 2 Jahre.

Smart-Grid-spezifische Anforderungen bei Netzwerken mit Smart-Meter-Anbindung. Mehr zur Smart-Meter-Lakehouse-Architektur.

Die Pexon-KRITIS-Architektur

Sechs Komponenten in jedem Setup.

Komponente 1: Cluster-Wahl. Bei Cloud-Pfad AKS in Germany West Central mit Cloud for Sovereignty. Bei strikten Setups On-Prem OpenShift oder Bare-Metal-K8s. Mehr im On-Prem-DSGVO-Pattern.

Komponente 2: Identity und Zero-Trust. Entra ID via Private Endpoint oder Keycloak on-prem. MFA Pflicht. RBAC granular.

Komponente 3: Netzwerk-Mikrosegmentierung. Network Policies mit Default-Deny. Service Mesh (Linkerd oder Cilium) für mTLS. Mehr im Service-Mesh-Vergleich.

Komponente 4: Supply-Chain-Sicherheit. Image-Signing mit cosign, Vulnerability-Scanning vor Deployment, dedizierte Container-Registry.

Komponente 5: Strukturierter Audit-Trail. Kubernetes-API-Logs in dediziertes SIEM, Aufbewahrung 24 Monate.

Komponente 6: BSI-konforme Doku. Risikoanalyse, Sicherheitskonzept, Notfall-Plan, Audit-Trail-Spezifikation.

Pexon-Sprint und Investment

4-Wochen-Festpreis-Sprint:

• Woche 1 — Risikoanalyse und Architektur. Workshop mit CISO, Engineering-Lead, Compliance-Officer.
• Woche 2-3 — Hardening und Audit-Pipeline. Konfigurations-Anpassungen, SIEM-Anbindung, Doku-Erstellung.
• Woche 4 — Pen-Test und Übergabe. Synthetische Angriffsvektoren, BSI-konforme Doku-Übergabe.

Investment-Festpreis: 32-48k EUR. Untere Spanne bei Cloud-Setup, obere Spanne bei On-Prem mit Hardware-Begleitung.

Häufig gestellte Fragen

Was kostet ein BSI-Audit selbst?

Externe BSI-konforme Auditoren rechnen typisch 12-25k EUR für mittelständische Cluster-Audits. Pexon-Sprint-Output ist auf diese Audits ausgerichtet.

Funktioniert Cloud für KRITIS-Tier-1?

Bei strikten Tier-1-Setups oft nicht. Mehr im On-Prem-DSGVO-Setup.

Was bei Auslagerungs-Verträgen mit Cloud-Provider?

Microsoft, AWS und Google haben sektor-spezifische Cloud-Verträge. Pexon liefert die TIA-Templates und Auslagerungs-Doku im Sprint mit.

Wie verhält sich das mit BaFin-Auditoren?

BaFin-Audit-Anforderungen sind höher als reines BSI-Grundschutz. Wir kombinieren mit BAIT- und VAIT-spezifischer Doku-Erweiterung.

Können wir Pexon-Managed-Service danach buchen?

Ja. Bei Banking und KRITIS sehr häufig: Pexon übernimmt Operations, Updates, monatliche Compliance-Reports. Investment ab 8-14k EUR/Monat.

Nächster Schritt

Wenn ihr unter KRITIS- oder BaFin-Audit-Druck steht: 60-Minuten-Call mit CISO. Wir skizzieren Sprint.

Verwandte Themen