Hilfestellungen für Unternehmen der Kritischen Infrastrukturen

Einige ausgewählte wirtschaftliche Bereiche werden zur Sicherheitsarchitektur Deutschlands gezählt; dies sind in erster Linie diejenigen, die dem Bereich der Kritischen Infrastruktur (Kritis) zuzurechnen sind und für die es zahlreiche Hilfestellungen für ihr Krisenmanagement gibt. Zu diesen Unternehmen zählen diejenigen Wirtschaftsbereiche, die zur Aufrechterhaltung der öffentlichen Daseinsvorsorge einen wesentlichen Beitrag leisten. In der Praxis ist es schwierig festzustellen, welche Unternehmen und Organisationsbereiche als Kritis gelten. Die Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-KritisV) sowie einige branchenspezifische Standards geben hier wertvolle Hilfestellung.

Die jüngsten Entwicklungen haben jedoch gezeigt, dass Deutschland von den globalen geopolitischen Entwicklungen betroffen sein kann und sich dies auf die Wirtschaft in einem erheblichen Ausmaß auswirkt. Dies betrifft insbesondere diejenigen Bereiche, die international agieren. Daraus resultiert, dass sich auch die Wirtschaft auf Krisen vorbereiten muss. Auch dann, wenn es sich nicht um ein Unternehmen der Kritis handelt. Eine grundsätzliche gesetzliche Verpflichtung, Schutzmaßnahmen zu treffen, ist nur begrenzt gegeben. Beispielhaft sind die BSI-KritisV, die Störfallverordnung und die Katastrophenschutzgesetze der Länder zu nennen.

Das Bemühen um eine größtmögliche Sicherheit für die Kritis-Unternehmen hat einige grundlegende Leitfäden und Konzepte hervorgebracht, die maßvoll auf jedes Unternehmen Anwendung finden können. Auch wenn keine grundsätzliche rechtliche Verpflichtung zum Krisenmanagement besteht, so ist dies essenziell für den Fortbestand des Unternehmens und die Versorgung der Bevölkerung. Sicherheit ist und bleibt ein Kostenfaktor, welcher sich langfristig im Sinne eines ganzheitlichen Ansatzes finanziell trägt. Die Motivation ist der geschäftliche Erfolg.

Das Basisschutzkonzept des Bundesministeriums des Innern enthält Empfehlungen für Unternehmen. Die Ausführungen geben Anleitung zur Identifizierung von Gefährdungen durch natürliche Ereignisse, menschliches und technisches Versagen sowie durch Terrorismus und kriminelle Handlungen. Auf dieser Grundlage empfiehlt das Konzept die Schutzzielentwicklung und die Erarbeitung entsprechender Schutzmaßnahmen. Ein wesentlicher Bestandteil ist die Risiko- und Krisenkommunikation, die Notfallplanung und das Business Continuity Management (BCM). Das Basisschutzkonzept unterstützt Unternehmen jeder Größe bei Gestaltung des Krisenmanagements.

Die Zielrichtung der staatlichen Hilfestellung mit dem Basisschutzkonzept stützt sich auf das BCM. Der Unternehmer trägt in einem Krisenfall die Verantwortung für seine Organisation und hat die Betriebskontinuität sicherzustellen. Das BCM ist in der ISO 22301 erläutert. Die Norm beschreibt die Sicherstellung der Geschäftsprozesse und die Umsetzung des BCM in der Praxis.

Einen ähnlichen Ansatz verfolgt die BKO, deren geschichtliche Entwicklung in den 70er Jahren begann und ein Baustein zum Selbstschutz im Verteidigungsfall darstellte. Die BKO ist eine organisatorische Maßnahme zum Schutz der Betriebsangehörigen, der Sicherstellung des weiteren Handelns des Unternehmens in Krisen- und Katastrophenfällen bis hin zur Wiederherstellung des Betriebes nach einem Schadenseintritt. Im Mittelpunkt der BKO steht die Besondere Aufbauorganisation, die verschiedene Funktionen und Aufgaben unter einheitlicher Führung zusammenfasst. Die personelle Zusammensetzung der BKO orientiert sich an dem grundsätzlichen, organisatorischen Aufbau des Unternehmens. Im weitesten Sinne ist ein Vergleich mit den heutigen Notfall- und Krisenmanagement zu ziehen.

Die Krisenvorsorge für Unternehmen beschränkt sich nicht erst seit dem Ukraine-Krieg auf Szenarien der Inneren Sicherheit. Im Spannungs- und Verteidigungsfall ist der Bund zuständig. Nach § 1 Abs. 1 des Gesetzes über den Zivilschutz und die Katastrophenhilfe des Bundes (ZSKG) gehört es unter anderem auch zur Aufgabe des Zivilschutzes, durch nichtmilitärische Maßnahmen die Arbeitsstätten, lebens- oder verteidigungswichtige Betriebe, Einrichtungen und Anlagen vor Kriegseinwirkungen zu schützen und deren Folgen zu beseitigen oder zu mildern. Das Gesetz weist daraufhin, dass die behördlichen Maßnahmen die Selbsthilfe der Bevölkerung ergänzen. Daraus lässt sich schließen, dass der Staat auch von der Selbsthilfefähigkeit der Wirtschaft und somit von der organisatorischen Vorbereitung von Unternehmen ausgeht. 

Pandemien, Gasmangellagen oder Blackouts dürfen nicht zu einem Produktionsausfall, der Schließung von Geschäften oder der Einstellung von Serviceleistungen führen. Das öffentliche Leben kann in krisenhaften Situationen nur dann aufrechterhalten werden, wenn ausreichende Krisenvorsorge getroffen wurde. Es ist die Pflicht der Unternehmen, die vorhandenen Hilfestellungen individuell und bedarfsgerecht zu nutzen und umzusetzen. Dazu führt die ISA e.V. am 02.02.2023 ein Web-Seminar zum Krisenmanagement durch.