Ein Sicherheits-Audit bei KRITIS-Unternehmen darf von akkreditierten Zertifizierungsstellen der DAkkS durchgeführt werden. Auch dürfen anerkannte Prüfstellen des BSI sowie zertifizierte IT-Sicherheitsdienstleister kritische Infrastrukturen auditieren. Im Ausnahmefall kann auch ein individueller Nachweis erbracht werden, dass eine Stelle über die notwendige Prüfungskompetenz und -eignung verfügt. Alle Prüfer müssen nachweisen, dass sie über die „Spezielle Prüfkompetenz nach §8a BSIG“, sowie Branchenkompetenz verfügen. Ersteres wird durch die Zertifizierung belegt, die du nach erfolgreicher Prüfung von der ICO erhältst. Branchenkompetenz wird durch eine Bescheinigung des z.B. Arbeitgebers (Übersicht über Berufserfahrung & Tätigkeiten) belegt. Die Branchenkompetenz gilt dann als vorhanden, wenn eine Person mind. 3 Jahre in den vergangenen 5 Jahren in der Branche tätig war.