Eine Risikoanalyse nach dem KRITIS-Dachgesetz ist ein strukturierter Prozess, bei dem Betreiber kritischer Anlagen ihre Risiken systematisch identifizieren, bewerten und mit bestehenden Schutzmaßnahmen abgleichen. Das Ziel ist es, gezielte technische und organisatorische Maßnahmen zur Stärkung der physischen Resilienz abzuleiten. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um diesen Prozess.
Welche Anforderungen stellt das KRITIS-Dachgesetz an Betreiber?
Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen, angemessene Maßnahmen zur physischen Resilienz zu ergreifen. Dazu gehören eine systematische Risikoanalyse, die Umsetzung geeigneter Schutzmaßnahmen sowie die Erstellung von Sicherheitsplänen. Die Pflichten richten sich nach Sektor und Anlagengröße und sind seit dem Inkrafttreten des Gesetzes verbindlich.
Konkret müssen betroffene Betreiber unter anderem:
- Risiken für ihre kritischen Anlagen systematisch erfassen und bewerten
- Einen Sicherheitsplan auf Basis dieser Risikoanalyse erstellen
- Technische und organisatorische Schutzmaßnahmen umsetzen
- Meldepflichten bei sicherheitsrelevanten Vorfällen einhalten
- Regelmäßige Überprüfungen und Aktualisierungen durchführen
Wichtig: Das KRITIS-Dachgesetz konzentriert sich auf die physische Sicherheit kritischer Infrastrukturen. Es ist klar von der NIS2-Richtlinie zu trennen, die IT- und Cybersicherheit regelt. Wer nicht sicher ist, ob seine Einrichtung unter das Gesetz fällt, kann einen KRITIS-Betroffenheitsrechner nutzen, um dies schnell zu klären.
Welche Schritte umfasst eine KRITIS-konforme Risikoanalyse?
Eine KRITIS-konforme Risikoanalyse folgt einem strukturierten Prozess: Risiken identifizieren, bewerten, mit bestehenden Maßnahmen abgleichen und anschließend passende Schutzmaßnahmen planen. Dieser Prozess orientiert sich an anerkannten Normen wie der DIN ISO 31000 und der DIN EN 50726-1.
In der Praxis gliedert sich der Prozess in folgende Schritte:
- Kontext festlegen: Welche Anlage wird betrachtet? Welche Funktionen sind kritisch? Wer ist betroffen?
- Risiken identifizieren: Welche Gefährdungen bestehen? Dazu zählen physische Bedrohungen wie unbefugter Zutritt, Naturereignisse oder Sabotage.
- Risiken bewerten: Wie wahrscheinlich ist ein Ereignis, und wie schwerwiegend wären die Folgen? Die Kombination aus Eintrittswahrscheinlichkeit und Schadensausmaß ergibt das Risikoniveau.
- Bestehende Maßnahmen prüfen: Welche Schutzmaßnahmen sind bereits vorhanden, und wie wirksam sind sie?
- Maßnahmen planen: Wo bestehen Lücken? Welche technischen oder organisatorischen Maßnahmen sind geeignet, das Restrisiko auf ein akzeptables Niveau zu senken?
- Dokumentation und Sicherheitsplan: Alle Ergebnisse werden dokumentiert und in einen Sicherheitsplan überführt.
Dieser Prozess bildet die Grundlage für alle weiteren Schutzmaßnahmen und ist gleichzeitig die Basis für den gesetzlich geforderten Sicherheitsplan.
Was ist der Unterschied zwischen Risikoanalyse und Gefährdungsbeurteilung?
Eine Risikoanalyse nach dem KRITIS-Dachgesetz bewertet Risiken für den Betrieb kritischer Anlagen aus einer strategischen Perspektive. Eine Gefährdungsbeurteilung hingegen ist ein arbeitsschutzrechtliches Instrument, das Risiken für die Gesundheit und Sicherheit von Beschäftigten am Arbeitsplatz erfasst. Beide Instrumente ergänzen sich, verfolgen aber unterschiedliche Ziele.
Im Detail:
- Risikoanalyse (KRITIS): Betrachtet die Anlage als Ganzes, identifiziert Bedrohungen für den Betrieb und die Versorgungssicherheit und leitet Maßnahmen zur physischen Resilienz ab. Rechtsgrundlage ist das KRITIS-Dachgesetz in Verbindung mit Normen wie DIN ISO 31000.
- Gefährdungsbeurteilung: Fokussiert auf den Schutz von Mitarbeitenden vor arbeitsbedingten Gefährdungen. Rechtsgrundlage ist das Arbeitsschutzgesetz.
In der Praxis können beide Instrumente sinnvoll miteinander verknüpft werden, zum Beispiel wenn physische Sicherheitsmaßnahmen gleichzeitig den Schutz der Beschäftigten verbessern.
Welche Methoden eignen sich für die KRITIS-Risikoanalyse?
Für die Risikoanalyse nach dem KRITIS-Dachgesetz eignen sich vor allem strukturierte Methoden, die Risiken systematisch erfassen und vergleichbar machen. Bewährt haben sich szenariobasierte Analysen, Risikomatrizen sowie normbasierte Verfahren nach DIN ISO 31000 und DIN EN 50726-1.
Szenariobasierte Analyse
Bei dieser Methode werden konkrete Bedrohungsszenarien durchgespielt, zum Beispiel ein unbefugter Zutritt, ein Stromausfall oder eine Naturkatastrophe. Für jedes Szenario werden Eintrittswahrscheinlichkeit und mögliche Folgen bewertet. Diese Methode ist besonders geeignet, um realistische Risiken greifbar zu machen.
Risikomatrix
Die Risikomatrix ordnet Risiken nach ihrer Wahrscheinlichkeit und ihrem Schadensausmaß in Kategorien ein. Das Ergebnis zeigt auf einen Blick, welche Risiken vorrangig behandelt werden müssen. Die Matrix eignet sich gut für die Dokumentation und Kommunikation von Ergebnissen gegenüber Entscheidungsträgern.
Beide Methoden lassen sich kombinieren und an den spezifischen Kontext einer Anlage anpassen. Wichtig ist, dass die gewählte Methode nachvollziehbar, reproduzierbar und dokumentiert ist, um die gesetzlichen Anforderungen zu erfüllen. Mehr zu den Leistungen im Risikomanagement finden Sie auf der Übersichtsseite.
Wer ist für die Durchführung der Risikoanalyse verantwortlich?
Die Verantwortung für die Risikoanalyse liegt beim Betreiber der kritischen Anlage. Das KRITIS-Dachgesetz schreibt vor, dass Betreiber diese Pflicht nicht delegieren können. In der Praxis kann die Durchführung jedoch durch qualifizierte interne Fachkräfte oder externe Experten unterstützt werden.
Für eine fachgerechte Umsetzung sind folgende Kompetenzen wichtig:
- Kenntnisse der relevanten Normen und gesetzlichen Anforderungen
- Erfahrung in der Bewertung physischer Risiken und Bedrohungsszenarien
- Verständnis der spezifischen Betriebsabläufe und kritischen Funktionen der Anlage
- Fähigkeit zur Ableitung und Priorisierung von Schutzmaßnahmen
Viele Betreiber, insbesondere aus dem Bereich öffentlicher Verwaltungen oder Bildungseinrichtungen, ziehen externe Fachplaner hinzu, die sowohl technische als auch normative Anforderungen kennen. Das ist sinnvoll, wenn intern keine ausreichende Expertise vorhanden ist. Informationen zur Beratung für öffentliche Verwaltungen finden Sie hier.
Wie oft muss die Risikoanalyse nach dem KRITIS-Dachgesetz wiederholt werden?
Das KRITIS-Dachgesetz sieht vor, dass die Risikoanalyse regelmäßig wiederholt und bei wesentlichen Änderungen aktualisiert werden muss. Eine starre gesetzliche Frist für die Wiederholung ist nicht in allen Fällen festgelegt, jedoch gilt der Grundsatz: Wenn sich Risiken, Bedrohungslagen oder betriebliche Rahmenbedingungen ändern, muss die Analyse angepasst werden.
Typische Anlässe für eine Aktualisierung sind:
- Bauliche oder technische Veränderungen an der Anlage
- Neue oder veränderte Bedrohungsszenarien
- Sicherheitsrelevante Vorfälle oder Beinaheereignisse
- Änderungen in der Gesetzgebung oder Normenlage
- Regelmäßige Überprüfungszyklen, die im Sicherheitsplan festgelegt sind
Als Orientierung empfiehlt sich ein Überprüfungszyklus von ein bis drei Jahren, auch wenn keine wesentlichen Änderungen eingetreten sind. So stellen Sie sicher, dass Ihre Risikoanalyse stets dem aktuellen Stand entspricht und Sie im Fall einer Prüfung durch Behörden gut aufgestellt sind.
Wie wir Sie bei der KRITIS-Risikoanalyse unterstützen
Wir begleiten Betreiber kritischer Anlagen, öffentliche Verwaltungen und Bildungseinrichtungen durch den gesamten Risikomanagementprozess. Dabei kombinieren wir normbasiertes Fachwissen mit mehr als 25 Jahren praktischer Erfahrung im Notfall- und Gefahrenmanagement.
Konkret unterstützen wir Sie bei:
- Risikoanalyse und Risikobewertung nach DIN ISO 31000 und DIN EN 50726-1
- Entwicklung passender Schutzmaßnahmen, technisch und organisatorisch
- Fachplanung technischer Systeme, zum Beispiel stille Alarmierung oder Notfall- und Gefahren-Reaktionssysteme (NGRS), auch in Bestandsgebäuden
- Erstellung von Sicherheitsplänen gemäß den Anforderungen des KRITIS-Dachgesetzes
- Schulung und Sensibilisierung von Mitarbeitenden und Führungskräften
Wenn Sie nicht sicher sind, ob Ihre Einrichtung unter das KRITIS-Dachgesetz fällt, nutzen Sie unseren KRITIS-Betroffenheitsrechner. Er gibt Ihnen schnell eine erste Einschätzung. Für eine individuelle Beratung nehmen Sie gerne Kontakt mit uns auf.
Ähnliche Artikel
- Was ist ein Resilienzplan und wer muss ihn nach dem KRITIS-Dachgesetz erstellen?
- Wie schützt man Schüler vor Gewalt auf dem Schulgelände?
- Welche Pflichten entstehen durch das KRITIS-Dachgesetz für Betreiber?
- Warum ist Krisenprävention in Bildungseinrichtungen so wichtig?
- Welche Dokumentationspflichten bringt das KRITIS-Dachgesetz mit sich?