Krisenmanagement in öffentlichen Verwaltungen, Risikomanagement in kritischen Infrastrukturen (KRITIS) und ISO 27001 Auditierungen für Unternehmen

Stille Alarmierungen haben einen Notfalltaster, zum Beispiel unter dem Tisch am Arbeitsplatz einer öffentlichen Verwaltung mit Publikumsverkehr. Jetzt wird ein Ruf an eine besetzte Stelle innerhalb der Organisation ausgelöst. Nach der Rufannahme kann das Geschehen vor Ort mitgehört werden. Denn in diesen Situationen ist eine Lagebewertung wichtig. Kann jetzt ein Kollege, ohne sich in Gefahr zu begeben, zu Hilfe kommen? Oder kann hier nur noch die Polizei oder ein interner Wachmann helfen?

Ein Beispiel: ein Bürger beleidigt oder bedroht in einer öffentlichen Verwaltung. Der oder die Mitarbeitende benötigen dringend Hilfe. Eine für den Täter offensichtliche Alarmauslösung würde die Situation wahrscheinlich noch mehr eskalieren lassen. Der Notfalltaster wird betätigt, die Situation wird eingeschätzt, an die Situation angepasste Hilfe kommt und die Gefahrenlage wird geklärt.

Die Funktion der stillen Alarmierung ist Bestandteil eines NGRS.

NGRS steht für Notfall- und Gefahren-Reaktionssystem. Es ist Sicherheitstechnik, die zur schnellen Reaktion in Not- und Gefahrensituationen eingesetzt wird. Hiermit werden Gewalttaten, Unfälle sowie Amokläufe aber auch niedrigere Gefährdungslagen, wie Bedrohung, Beleidigung oder Tätlichkeiten gemeldet.

Ein NGRS kann direkt auf die Polizei aufgeschaltet werden. Es ist überwiegend als Kommunikationssystem aufgebaut, um am Ort der Alarmauslösung die Lage zu ermitteln und zu bewerten. Je nach Bundesland stellt die Polizei zusätzlich eigene Anforderungen an das Reaktionssystem.

Ein NGRS muss der europäischen Norm DIN EN 50726 (DIN VDE 0827) entsprechen.

Die Gefährdungsbeurteilung dient der Ermittlung und Bewertung aller relevanten Gefährdungen, denen die Beschäftigten im Zuge ihrer beruflichen Tätigkeit ausgesetzt sind.

Eine Risiko- oder Gefährdungsbeurteilung ist Planungsgrundlage für eine Krisenorganisation. Erst durch die hieraus abgeleiteten Krisenmanagement-Maßnahmen können Störungen, Unfälle und Gefahren im Betrieb eines Unternehmens oder einer öffentlichen Einrichtung vermieden werden. Wenn eine Notsituation eintritt, wird nur so eine schnelle und angemessene Reaktion erfolgen.

Außerhalb des Arbeitsschutzes spricht man in der Regel von einer Risikobeurteilung. Sie wird genutzt, um technische und bauliche Maßnahmen abzuleiten, die die Sicherheit und den Schutz der Organisation erhöhen sollen.

Amokläufe, Überfahrtaten oder School Shootings laufen sehr schnell ab. Es muss schnellstmöglich eingegriffen werden. Die stille Alarmierung von Interventionskräften hat also höchste Priorität. Ein NGRS (Notfall- und Gefahren-Reaktionssystem) kann direkt auf die Polizei aufgeschaltet werden und bietet so eine direkte Verbindung zu den Hilfskräften.

Es enthält Krisenszenarien, Checklisten, Verhaltensanweisungen und eine umfangreiche Datensammlung. Ein Krisenmanagement-Handbuch regelt präzise alle Zuständigkeiten und Verantwortlichkeiten. Es muss klar verständlich sein und nicht zu komplex. Im Ernstfall muss es richtig angewendet werden können.

In einem Krisenmanagement-Handbuch sind die Prozesse und Strukturen übersichtlich zu gliedern. Darin sind Zuständigkeiten und Erreichbarkeiten sowie die Abläufe, Instrumente und Verhaltensweisen je nach Krisensituation aufgelistet.

Diese Anleitung dient als Grundlage für Übungen, zur Krisenprävention als auch zur Krisenintervention.

Kritische Infrastrukturen sind Anlagen und Systeme, die von wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen sind. Sie betreffen den Gesundheitsbereich ebenso wie die Versorgung der Bevölkerung mit Lebensmitteln, Trinkwasser und Energie. Auch der Zahlungsverkehr, die Kommunikationsdienstleistungen und Netze zählen dazu.

Kritische Infrastrukturen sind also die Basis für das Wohlergehen der Bevölkerung. Störungen oder Zerstörungen können erhebliche Auswirkungen auf das gesamte System haben. Der Betrieb kritischer Infrastrukturen muss somit maximal geschützt und aufrechterhalten werden.

Das KRITIS-Dachgesetz reguliert ab 2024 die Resilienz und die physische Sicherheit kritischer Infrastrukturen (KRITIS). Das Gesetz setzt eine EU-Vorgabe in Deutschland um und fordert Pflichten für Betreiber von kritischen Anlagen. Hierzu zählen: Meldepflicht kritischer Ereignisse, Risikomanagement, physische Sicherheit, Personal- und Krisenmanagement.

Übrigens: Parallel zum KRITIS-Dachgesetz setzt das neue deutsche NIS2-Umsetzungsgesetz eine EU-Direktive für die Cyber-Sicherheit in Deutschland um. Die beiden neuen Gesetze lösen die bestehende KRITIS-Regulierung in Deutschland ab und beinhalten deutlich mehr Pflichten für die Betreiber kritischer Infrastrukturen.

In der Psychologie beschreibt der Begriff eine Widerstandskraft und die Fähigkeit, ohne anhaltende Beeinträchtigung schwierige Lebenssituationen zu überstehen. Auch im Krisenmanagement wird der Begriff „Resilienz“ verwendet.

Resilienz bezieht sich auf die Fähigkeit eines Systems oder einer Organisation, sich von Störungen, Krisen oder Schocks zu erholen und sich anzupassen. Es geht darum, die Funktions- und Leistungsfähigkeit aufrechtzuerhalten oder sogar zu verbessern. Im Kontext von Netzwerken und Informationssystemen bedeutet Resilienz, dass die Systeme in der Lage sind, Angriffe oder Störungen abzuwehren oder schnell darauf zu reagieren, um einen ununterbrochenen Betrieb zu gewährleisten.

Eine resiliente Organisation hat sich auf mögliche Krisensituationen und Ereignisse gut vorbereitet. Sie ist dadurch in der Lage, schnell und effektiv auf Veränderungen und Herausforderungen zu reagieren, gleichzeitig ihre Ziele zu erreichen und ihre Aufgaben zu erfüllen.

Physische Sicherheit umfasst Sicherheitsmaßnahmen zum Schutz von Personen, Werten und Infrastrukturen vor Gefahren, wie zum Beispiel: Diebstahl, Sabotage, Naturereignisse, nicht autorisierten Zutritt, Einbruch oder Brandereignisse.

Die Anforderungen an die physische Sicherheit eines Unternehmens oder einer öffentlichen Einrichtung sind hoch. Ein Risikomanagement-Prozess und/oder einer Business-Impact-Analyse ermittelt, bewertet und definiert diese Anforderungen individuell. Auch die Einhaltung von branchentypischen Sicherheitsbestimmungen und Sicherheitsstandards sind aufzunehmen und zu bewerten.

Wirksamkeitsprüfungen helfen, den Bestand an Sicherheitstechnik auf seine Eignung hin zu testen. Das ist ein wichtiger Schritt im Hinblick auf die Kosten. Leichtfertige Maßnahmen und Erneuerung des kompletten Bestandes können vermieden werden.

ACHTUNG: In Bezug auf kritische Infrastrukturen (KRITIS) wird die oben genannte Vorgehensweise mit dem Erscheinen des KRITIS-Dachgesetzes für die Betreiber verpflichtend.

Ein Informationssicherheits-Management-System (ISMS) unterstützt Unternehmen dabei, Schwachstellen innerhalb der Informationsstrukturen zu schließen und Sicherheitsrisiken zu minimieren. Auf diese Weise werden durch organisatorische Maßnahmen vertraulichen Daten und die Integrität und Verfügbarkeit von IT-Systemen verbessert und geschützt. Ein ISMS unterstützt die technischen Maßnahmen zur Cyber-Sicherheit.

Der weltweit anerkannte Standard ISO 27001 gewinnt auch in Deutschland immer mehr an Bedeutung. Darin werden Anforderungen definiert, die an den Aufbau, die Einführung, die Umsetzung, die betriebliche Überwachung und Dokumentation eines ISMS (Informationssicherheits- Management-System) gestellt werden. Der Standard dient auch dem kontinuierlichen Verbesserungsprozess eines ISMS.