Wie ist es um die Kritischen Infrastrukturen bestellt?

Das Kritis-Dachgesetz, das in seinem 2. Entwurf derzeit diskutiert wird, wird neben dem Gesetz zur Umsetzung von EU NIS2 und Stärkung der Cyber­sicherheit (NIS2UmsuCG) die Betreiber Kritischer Infrastrukturen – und damit Teil der Wirtschaft – verbindlich verpflichten, bestimmte Standards einzuhalten. Dabei ist der gute Ansatz der Bundesregierung, ähnlich wie beim BSI-Gesetz die Betreiber zu bestimmten Mindestanforderungen an die Sicherheit zu verpflichten, nicht ohne Kritik. Es stellt sich etwa die Frage, ob der Staat den Schutz der Kritis als Kernaufgabe nicht einfach an die Wirtschaft und ihre Verantwortung outsourct. „Dass der Staat selbst seine Aufgaben hinsichtlich der Daseinsvorsorge nicht unbedingt effektiv ausübt, haben die Ereignisse im Ahrtal oder die Corona-Krise gezeigt“, erklärt Oliver Rolofs, Gründer des Beratungsunternehmens Commvisory. Ein Problem sind auch die Bürokratie und die Frage der Bund-Länder Kompetenzen, die wichtige Entscheidungen und Umsetzungen verzögern oder unklare Vorgaben hinterlassen.

Dies erfordert umso mehr in den betroffenen Kritis-Unternehmen den Aufbau entsprechender Kompetenzen. Die Anforderungen, die das Kritis-Dachgesetz an die Unternehmen stellt, gehen teilweise weit über das klassische Business Continuity-Management (BCM) hinaus. Um das Personal in den Unternehmen für diese neuen Herausforderungen hinreichend gut zu qualifizieren hat etwa der BVSW in Zusammenarbeit mit der Industrie- und Handelskammer München und Oberbayern einen auf diese Erfordernisse zugeschnittenen Ausbildungsgang zum Resilienzmanager Kritis (IHK) konzipiert. Eine Kooperation mit der GfKV sieht vor, dass Absolventen dieser Ausbildung bei der Bewältigung ihrer Herausforderungen im Arbeitsfeld durch Fachpersonal nachhaltig unterstützt werden. Das Problem des Fachkräftemangels betrifft alle Akteure gleichermaßen. Die Wirtschaft, weil hier für die möglicherweise zusätzlichen Aufgaben und Installationen entsprechendes Personal benötigt wird, und das in einem überschaubaren Zeitraum von wenigen Jahren. Aber auch die Behörden benötigen Fachkräfte, zum einen zur Erfüllung der eigenen Pflichten in Bezug auf den Schutz bestimmter Behörden wie den Ministerien und zur Beratung der Wirtschaft und der Bearbeitung der Verfahren.

Häufig unterhalten Unternehmen bereits ein BCM und sind auf mögliche Ausfälle der Produktion oder Dienstleistung vorbereitet. Vielerorts schließt das den physischen Schutz wie auch den IT-Schutz ein. Doch eben nicht alle und nicht alle im notwendigen Ausmaß. Insofern stellt das Dachgesetz aus Sicht des BBKs einen Schritt dar, die ohnehin wichtigen Prozesse wie ein funktionierendes BCM in den Vordergrund zu stellen. Gibt es eine regelmäßige Risikoanalyse? Wie ist es um das Notfall- und Krisenmanagements bestellt? Damit Unternehmen im Krisenfall klare behördliche Vorgaben und Strukturen vorfinden, ist es wichtig, dass es keine Unsicherheiten hinsichtlich der Meldestellen gibt und Informationen nicht verloren gehen. Ein gemeinsames Lagenzentrum, in dem alle Informationen zu Ereignissen zusammenlaufen, egal ob es sich um physische oder virtuelle handelt , wäre sicherlich ein guter Schritt, so wie es mit dem Nationalen IT-Lagenzentrum erst kürzlich für die Cybersicherheit geschaffen worden ist. Um Unternehmen resilienter zu machen und sie in Fragen des BCMs und der notwendigen Prozesse zu unterstützen, können Verbände wie der ASW oder BVSW wichtige Multiplikatoren sein.

Der BVSW hat die wichtigen Themen Kritis und Resilienz auch in einer Podiumsdiskussion auf seiner Wintertagung behandelt. Die Teilnehmer sehen hier ebenfalls die Politik in der Verantwortung, klare Strukturen zu schaffen und insbesondere auch die Gesellschaft als solche krisensicherer zu machen. Dr. Sandra Kreitner, Vizepräsidentin der Gesellschaft für Krisenvorsorge (GfKV): „Die größten Herausforderungen, die auf die Unternehmen zukommen sind Klimawandel, Zins- und Zeitenwende. Zur Prävention sind in Unternehmen vor allem die Basics wie ein administrativer Krisenstab wichtig.“ Ohne eingespielte Krisenstäbe wird es schwierig, akute Herausforderungen zu bewältigen. „Und wir müssen Bottem-Up Strukturen aufbauen, weil Top-down im Krisenfall schwierig ist“, so Kreitner. 

Ein Blackout etwa ist mit seinem Eintritt zunächst ein Bottom-up-Szenario. Es ist auf absehbare Zeit erst einmal keine Hilfe von Top-down zu erwarten. Ohne Hilfe von Top-down verbleibt erst einmal nur die Selbsthilfe auf lokaler Ebene. Ob diese gelingt, hängt im Wesentlichen vom örtlichen Vorbereitungsgrad auf das Ereignis „Ausfall Kritis“ ab. Letzten Endes ist es die regionale Selbsthilfefähigkeit der Bevölkerung, die darüber entscheidet, welche Regionen zu einem Teil der Lösung und welche zu einem Teil des Problems werden. Vor diesem Hintergrund – und das hat auch die Ahrflut auf schmerzliche Weise offengelegt – sind funktionierende Basisstrukturen im Bevölkerungsschutz essenziell: Anlaufstellen für die Bevölkerung, Notfallmeldestellen und kommunale Krisenstäbe. In diesen Szenarien ist es – mal abgesehen von gesetzlichen Regelungen – im unmittelbaren unternehmerischen Interesse, Basismaßnahmen zum Schutz von Belegschaft und Betriebsstätten zu ergreifen. Günther Schotten, Geschäftsführer des ASW-Bundesverbandes, sieht im Kritis-Dachgesetz, das die Resilienz insgesamt stärken soll, einen wichtigen Ansatz der Bundesregierung. Allerdings „muss von Seiten der Politik auch den Mut haben, nachzujustieren“, wenn sich nämlich zeigt, dass es  Probleme bei Zuständigkeiten und klaren Melderegelungen gibt und eine Über-Bürokratisierung des Gesetztes droht.

Insgesamt lässt sich festhalten, dass sich die Betriebe beim Aufbau resilienter Strukturen den folgenden Aufgabenfeldern widmen sollten: Interne Risikokommunikation zur Sensibilisierung der Belegschaften, insbesondere der Vorgesetzten, Stärkung der persönlichen Resilienz des Personals, betriebliche Krisenvorsorge, Bewertung der Umfeldstabilität, Selbstschutz, Notbetriebsplanung für den Ausfall Kritis, Inübunghaltung der betrieblichen Krisenstäbe und Wissensmanagement im Unternehmen mit dem Ziel den einzelnen Betriebsstätten fortlaufend die Best Practice des Risiko- und Krisenmanagements zur Verfügung zu stellen.