Tausende Menschen ohne Strom. Keine Mobilfunk- und Internetdienste. Existenzielle Auswirkungen auf Unternehmen, Verkehr und öffentliche Einrichtungen.
Ausfälle von Infrastrukturen zeigen immer wieder ein ähnliches Muster: Man wägt sich in (Schein-)Sicherheit. Alles sei getan und funktioniert.
Aber Impacts, Störungen und Ausfälle bleiben kaum auf die unmittelbar betroffene Anlage oder Infrastruktur beschränkt. Es gibt Abhängigkeiten. Störungen wirken sich auf weitere Systeme, Organisationen und gesellschaftliche und unternehmerische Funktionen aus. Dabei wirken sich Abhängigkeiten in Tatsache aus, die vorher und im Normalbetrieb kaum wahrgenommen werden.
Strom fließt, Kommunikationsnetze funktionieren und Prozesse laufen scheinbar unabhängig voneinander. Erst wenn eine Funktion ausfällt, wird deutlich, wie eng technische Systeme, Versorgungsstrukturen und organisatorische Abläufe miteinander verknüpft sind.
Die entscheidende Frage lautet deshalb nicht nur, ob eine Anlage in der Gesetzgebung regulatorisch als kritisch eingestuft wird und deshalb Resilienz mit Risiko- und Notfallmanagement einführt. Der Handlungsansatz ist für alle Unternehmen, nicht nur KRITIS, existenziell. Denn immer gilt: Welche Auswirkungen hätte der Ausfall auf Ihre Systeme, Produktion, Kunden, Organisation und Menschen?
Kritikalität entsteht nicht allein durch regulatorische Definitionen
Die aktuelle KRITIS-Regulierung richtet den Blick auf Sektoren, Anlagenkategorien und Schwellenwerte. Diese Kriterien sind wichtig: Sie bestimmen, welche Anlagen regulatorisch als kritisch gelten und welche Betreiber besonderen gesetzlichen Pflichten unterliegen.
Für die tatsächlichen Auswirkungen eines Ausfalls ist diese Einordnung jedoch nur ein Teil des Bildes.
Eine Infrastruktur kann für einen Standort, einen betrieblichen Prozess oder andere Versorgungssysteme von zentraler Bedeutung sein – unabhängig davon, ob sie einen regulatorischen Schwellenwert erreicht. Entscheidend ist, welche Funktionen von ihr abhängen und welche Folgen entstehen, wenn sie nicht mehr verfügbar ist.
Kritikalität ergibt sich deshalb nicht allein aus Größe oder regulatorischer Einstufung, sondern auch aus der Funktion einer Infrastruktur innerhalb eines Unternehmens, einer Organisation, eines Systems von Abhängigkeiten.
Wie die regulatorische Einstufung kritischer Anlagen funktioniert und welche Rolle Anlagenkategorien, Bemessungskriterien und Schwellenwerte dabei spielen, finden Sie in unserem Beitrag „Entwurf der KRITIS-Verordnung: Was Betreiber jetzt prüfen sollten“.
Warum kritische Abhängigkeiten häufig unsichtbar bleiben
Infrastrukturen funktionieren im Alltag meist zuverlässig. Gerade diese Stabilität führt jedoch dazu, dass bestehende Abhängigkeiten häufig kaum wahrgenommen werden.
Stromversorgung, Telekommunikation, Rechenzentren, Verkehrssysteme oder logistische Prozesse werden organisatorisch und technisch oft als getrennte Bereiche betrachtet. Tatsächlich sind sie eng miteinander verknüpft.
Rechenzentren benötigen beispielsweise Energie und Kühlung. Technische Anlagen sind auf Kommunikationsverbindungen und Steuerungssysteme angewiesen. Logistikprozesse benötigen digitale Dienste und funktionierende Verkehrswege. Sicherheitszentralen und Leitstellen wiederum sind auf Einsatzkräfte, aber auch Infrastruktur wie Stromversorgung, Klima, IT/Netz, Kommunikation angewiesen.
Immer wieder vernachlässigt und noch viel zu unterbewertet ist das Themenfeld Informationssicherheit. Wir sehen es im täglichen Leben. Hybride Angriffe, die eben auch die IT im Fokus haben, sind schon heute zentrale Angriffsvektoren mit Milliardenschäden.
Solange die Komponenten funktionieren, bleiben die Zusammenhänge weitgehend im Hintergrund. Erst eine Störung macht sichtbar, wo einzelne Ressourcen zum Engpass werden, welche Ersatzmöglichkeiten fehlen und welche bislang unterschätzten Abhängigkeiten bestehen.
Für alle Unternehmen und Organisationen liegt deshalb eine besondere Herausforderung nicht nur bekannten Einzelgefahren nachzugehen, sondern die Wechselwirkungen zwischen Systemen, Prozessen und Ressourcen in den Fokus zu nehmen.
Kaskadeneffekte: Wenn ein Ausfall weitere Systeme trifft
Mit zunehmender Vernetzung steigt nicht nur die Leistungsfähigkeit moderner Infrastrukturen, sondern auch ihre gegenseitige Abhängigkeit.
Fällt eine zentrale Infrastruktur aus, bleiben die Folgen deshalb häufig nicht auf den ursprünglichen Bereich begrenzt.
Ein Ausfall der Energieversorgung kann Telekommunikations- oder IT-Systeme beeinträchtigen. Kommunikationsausfälle beeinträchtigen in Folge wiederum Produktion, Betriebsführung, Logistik oder Alarmierungsprozesse. Störungen digitaler Dienste können Unternehmen, Behörden oder Versorgungseinrichtungen treffen.
Das Beispiel Ahrtal zeigt deutlich auf: Strom, der in der Versorgungssicherheit nie in Frage gestellt oder reflektiert wurde, fällt aus. Alles vorhersehbar aber Folge: Ein ganzer Landstrich im Dunkeln, keine Ersatzstrategie, keine Kommunikation und Daten, keine öffentliche Alarmierung, keine Kommunikation für hilfeleistende Kräfte. Zurück in die Steinzeit.
Solche Kettenreaktionen werden als Kaskadeneffekte bezeichnet. Für die Resilienzplanung sind sie besonders relevant, weil sich Auswirkungen über mehrere Systeme hinweg fortsetzen und dadurch wesentlich größer werden können als die unmittelbaren Folgen des ursprünglichen Ereignisses.
Die entscheidende Frage lautet deshalb nicht nur, wie einzelne Anlagen geschützt werden können. Ebenso wichtig ist zu verstehen, welche anderen Funktionen von ihnen abhängen und welche Folgewirkungen ein Ausfall auslösen kann.
Anders formuliert: Es geht nicht nur um den direkten Impact, sondern um die Aus- und Wechselwirkungen.
Warum Resilienz wichtiger wird als reine Schutzmaßnahmen
Sicherheitsmaßnahmen sollen Störungen verhindern oder ihre Eintrittswahrscheinlichkeit und Auswirkungen reduzieren. Dieser Ansatz bleibt unverzichtbar. Das ist Risikomanagement.
Bei komplexen und stark vernetzten Infrastrukturen muss jedoch zugleich berücksichtigt werden, dass Störungen trotz guter Prävention eintreten können. Entscheidend ist dann, ob wesentliche Funktionen weiterhin erbracht, Auswirkungen begrenzt und ausgefallene Leistungen im Rahmen eines wirksamen Business Continuity Managements rechtzeitig wiederhergestellt werden können.
Genau hier erweitert Resilienz die klassische Schutzperspektive.
Resilienz bedeutet in diesem Zusammenhang nicht nur, einer Störung möglichst lange standzuhalten. Sie umfasst auch die Fähigkeit, auf Beeinträchtigungen zu reagieren, wesentliche Funktionen aufrechtzuerhalten und nach einem Ausfall wieder einen funktionsfähigen Zustand zu erreichen.
Je stärker Infrastrukturen miteinander vernetzt sind, desto wichtiger wird deshalb die Frage, wie Systeme und Organisationen auch unter außergewöhnlichen Bedingungen handlungsfähig bleiben.
Regulatorische Kritikalität und betriebliche Kritikalität sind nicht dasselbe
Diese Perspektive findet sich zunehmend auch im regulatorischen Rahmen für Kritische Infrastrukturen wieder. KRITIS-Dachgesetz, BSI-Gesetz und die vorgesehene KRITIS-Verordnung fokussieren unterschiedliche Richtungen (Physische Sicherung, Informationssicherheit, Identifikation von KRITIS-Betreibern), richten den Blick gemeinsam auf die Widerstandsfähigkeit und Funktionsfähigkeit kritischer Leistungen.
Für Unternehmen und Organisationen mit kritischem Potential für sich selbst oder für Weitere sollte dabei nicht im Vordergrund stehen, ob man ein offiziell eingestufter KRITIS-Betreiber ist. Wichtig ist, dass man die eigenen kritischen Prozesse und Funktionen im Griff halten kann, offiziell KRITIS hin oder her. Dann werden die offiziell regulatorischen Einordnungen und Ansätze kaum erheblich weiteren oder anderen Aufwand zeitigen.
Die regulatorische Betrachtung beantwortet insbesondere die Frage:
Fällt eine Anlage unter die gesetzlichen KRITIS-Regelungen und die damit verbundenen Pflichten?
Die betriebliche Betrachtung geht darüber hinaus:
Was passiert mit wesentlichen Funktionen, Prozessen oder anderen Systemen, wenn diese Anlage oder eine davon abhängige Ressource ausfällt?
Beide Perspektiven gehören zusammen, sind aber nicht identisch. Ein regulatorischer Schwellenwert kann keine betriebliche Kritikalitäts- oder Risikobetrachtung ersetzen.
Wie sich zeitkritische Geschäftsprozesse und tolerierbare Ausfallzeiten systematisch bestimmen lassen, erläutern wir in unserem Beitrag „Welche Prozesse sind wirklich kritisch? Was eine Business Impact Analyse leisten kann“.
Wie KRITIS-Dachgesetz, BSI-Gesetz und KRITIS-Verordnung zusammenspielen, was bereits gilt und wo noch Konkretisierungen ausstehen, haben wir im Beitrag „KRITIS-Regulierung im Übergang: Warum Betreiber trotz offener Details nicht abwarten sollten“ dargestellt.
Von der Kritikalität zur resilienten Sicherheitsarchitektur
Wer die Resilienz kritischer Infrastrukturen stärken möchte, muss deshalb über einzelne Schutzmaßnahmen hinausdenken.
Eine Kamera, eine Zutrittskontrolle, eine redundante Stromversorgung oder ein Notfallszenario können jeweils wichtige Bestandteile sein. Ihre tatsächliche Wirkung entfalten solche Maßnahmen jedoch erst innerhalb eines abgestimmten Gesamtsystems. Eine ganzheitliche Sicherheitskonzeption führt diese unterschiedlichen Anforderungen und Maßnahmen zu einem abgestimmten Handlungsansatz zusammen.
Dazu müssen unterschiedliche Perspektiven einbezogen sein:
- Risiko- und Gefährdungsbetrachtung anhand von Impacts und Szenarien,
- angemessene Ziele ableiten,
- physische Sicherheit,
- IT- und OT-Sicherheit,
- Organisatorische und personelle Prozesse,
- technische und betriebliche Abhängigkeiten,
- Notfallvorsorge und Betriebsfortführung,
- Krisenmanagement und Wiederherstellung.
Eine resiliente Sicherheitsarchitektur orientiert sich deshalb nicht nur an einzelnen Gefahren. Sie berücksichtigt ebenso, welche Funktionen geschützt werden müssen, wovon diese abhängen und welche Auswirkungen ihr Ausfall nach sich ziehen kann.
Damit verändert sich auch die Perspektive auf Sicherheit: Ausgangspunkt ist nicht allein die Frage, welche einzelne Schutzmaßnahme benötigt wird. Entscheidend ist, wie bauliche, technische und organisatorische Maßnahmen zusammenspielen, damit kritische Funktionen auch unter erschwerten Bedingungen möglichst verfügbar bleiben. Weiterlesen …
Kritikalität zeigt sich in den Folgen eines Ausfalls
Im Normalbetrieb ist die Bedeutung einzelner Systeme und Infrastrukturen häufig schwer zu erkennen. Viele Abhängigkeiten bleiben verborgen, solange der übliche Betrieb funktioniert.
Eine Störung verändert den Blick. Sie zeigt, welche Systeme tatsächlich voneinander abhängen, wo fehlende Alternativen zu Engpässen führen und an welchen Stellen sich Auswirkungen auf andere Bereiche übertragen können.
Deshalb lässt sich die Kritikalität einer Infrastruktur nicht allein durch Listen, Anlagenkategorien oder Schwellenwerte beschreiben. Diese sind für die regulatorische Einordnung notwendig. Für eine belastbare Sicherheits- und Resilienzbetrachtung muss jedoch zusätzlich verstanden werden, welche Rolle eine Infrastruktur innerhalb des Gesamtsystems spielt.
Die zentrale Erkenntnis lautet:
Die Kritikalität einer Infrastruktur zeigt sich selten im Normalbetrieb – sondern in den Folgen ihres Ausfalls.
Wer diese Folgen verstehen will, muss deshalb nicht nur einzelne Anlagen betrachten, sondern auch die Abhängigkeiten zwischen Systemen, Prozessen und Ressourcen.
