Risikomanagement in Kritischen Infrastrukturen
Szenarien und Wechselwirkungen kennen – und sich darauf einstellen
Das Risikomanagement dient nicht nur Behörden zum Schutz der Bevölkerung – es wird auch von den Betreibern Kritischer Infrastrukturen (kurz: KRITIS) auf ihre internen Prozesse angewendet. So können KRITIS-Betreiber verhindern, dass wichtige Dienstleistungen ausfallen und leisten damit ihren Beitrag zum Bevölkerungsschutz.
Erhebliche Schäden können durch Naturereignisse, technisches oder menschliches Versagen, vorsätzliche Handlungen mit terroristischem oder sonstigem kriminellen Hintergrund sowie Kriege entstehen.
Für die Betreiber Kritischer Infrastrukturen ist es wichtig, sich im Vorfeld auf solche und ähnliche Krisenfälle einzustellen. Annahmen über die Eintrittswahrscheinlichkeit oder Plausibilität von Ereignissen, die Verwundbarkeit und Kritikalität von Prozessen sowie die zu erwartenden negativen Folgen helfen dabei, eine geeignete Risikobehandlung auszuwählen. Können Risiken vermieden oder vermindert werden? Können sie vielleicht sogar an Dritte überwälzt werden? Oder entscheidet man sich, ein bestimmtes Risiko zu akzeptieren und bewusst einzugehen?
Bei vielen möglichen Szenarien sind wechselseitige Abhängigkeiten (Interdependenzen) zwischen verschiedenen Kritischen Infrastrukturen zu erwarten. Die Berücksichtigung der wichtigsten Interdependenzen in der Risikoanalyse ist von großem Wert für das Risiko- und Krisenmanagement insgesamt, denn Kaskadeneffekte können zu Versorgungsausfällen auch weit außerhalb des ursprünglichen Schadensbereiches führen. Die Risikoanalyse im Bevölkerungsschutz des Bundes ist seit 2009 in § 18 des Zivilschutz- und Katastrophenhilfegesetzes verankert. Sie basiert auf Szenarien, also fiktiven, aber plausiblen Ereignisverläufen. Die Risikoanalyse wird vom Bund im Zusammenwirken mit den Ländern durchgeführt. Das Bundesministerium des Innern und für Heimat (kurz: BMI) ist beauftragt, dem Deutschen Bundestag jährlich über die Umsetzung zu berichten. Die Ergebnisse der Analysen werden als Bundestagsdrucksachen veröffentlicht.
Gute Gründe für Risikomanagement in Unternehmen und Behörden
Risikomanagement innerhalb von Kritischen Infrastrukturen (kurz: KRITIS) führt neben seinem Hauptzweck – dem Schutz dieser Infrastrukturen – auch zu einer zukunftsorientierten Auseinandersetzung mit dem Thema Sicherheit.
Mögliche Schäden können etwa durch Simulationen vorhergesehen werden, ohne dabei auf Beispiele aus vergangenen Extremereignissen angewiesen zu sein. Eine solche Vorgehensweise trägt zur Sicherung der Existenz über das Krisenereignis hinaus bei und kann damit für Unternehmen einen Beitrag zur Wertschöpfung leisten sowie der Einhaltung bestehender rechtlicher Bestimmungen dienen.
Nicht zuletzt unterstützen die KRITIS-Betreiber mit einem validen Risikomanagement auch die Behörden im Rahmen ihrer Aufgaben zur Daseinsvorsorge.
Empfehlung des BBK: innerbetriebliche Strukturen schaffen
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (kurz: BBK) empfiehlt allen Betreibern Kritischer Infrastrukturen – ob privatwirtschaftlich oder behördlich – innerbetriebliche Aufbau- und Ablauforganisationen für den Krisenfall zu schaffen. Hierzu zählen beispielsweise der Aufbau von Krisenstäben oder die Beschreibung von Informations- und Meldewegen im Ereignisfall. Solche Organisationsstrukturen sollen Einrichtungen in die Lage versetzen, in Krisen eigenständig und möglichst unabhängig zu agieren.
Um jedoch nicht erst in der Krise reagieren zu können, sondern Risiken auch schon im Vorfeld minimieren zu können, sind Strukturen für das Risikomanagement von ebenso großer Bedeutung. Die zuständigen Personen sollten klar benannt und mit den notwendigen Befugnissen ausgestattet sein.
BMI-Leitfaden „Schutz Kritischer Infrastrukturen – Risiko- und Krisenmanagement“
Der Leitfaden „Schutz Kritischer Infrastrukturen – Risiko- und Krisenmanagement“ des Bundesministeriums des Innern und für Heimat (kurz: BMI) stellt ein Managementkonzept für Einrichtungen vor, die von staatlicher Seite als Kritische Infrastrukturen (kurz: KRITIS) bezeichnet werden. Damit unterstützt er KRITIS-Betreiber bei der systematischen Ermittlung von Risiken.
Das vorgestellte Konzept für Risiko- und Krisenmanagement besteht aus fünf Phasen:
Einmal jährlich bietet das BBK an der Bundesakademie für Bevölkerungsschutz und Zivile Verteidigung (kurz: BABZ) eine Schulung zum Leitfaden an.
Zusammenarbeit zwischen Behörden und Unternehmen
In den vergangenen Jahren wurde die Zusammenarbeit zwischen Behörden und Unternehmen intensiviert, um die Auswirkungen von Ereignissen auf Kritische Infrastrukturen besser abschätzen zu können. Ziel dieser Bemühungen ist es, an den Schnittstellen zwischen den Akteuren Methoden, Erkenntnisse und Ergebnisse des Risikomanagements zu verknüpfen. Dadurch sollen mögliche Synergieeffekte genutzt werden.
Im besten Fall findet frühzeitig eine enge Verzahnung des betrieblichen Risiko- und Krisenmanagements mit dem der Gefahrenabwehr statt, insbesondere mit dem Katastrophenschutz auf Kreisebene. Hierzu stellt das BBK Empfehlungen zur Verfügung.
