Notfall- und Krisenpläne sind in den meisten KRITIS-Organisationen vorhanden und reichen im Ereignisfall dennoch nicht aus. Resilienz beschreibt eine andere Qualität: die strukturelle Fähigkeit einer Organisation, Belastungen zu absorbieren, kritische Funktionen aufrechtzuerhalten und nach einem Ereignis in den Normalzustand zurückzufinden. Worin sich Resilienz vom einzelnen Plandokument unterscheidet und welche Konsequenzen das für die Praxis hat.
Notfallplanung gehört in Deutschland zum etablierten Repertoire des betrieblichen Risikomanagements. Branchenspezifische Regelwerke, die DIN ISO 22301 zum Business Continuity Management und die Vorgaben des Bundesamts für Sicherheit in der Informationstechnik für KRITIS-Betreiber haben dazu geführt, dass die Mehrzahl der relevanten Organisationen über schriftlich fixierte Notfall- und Krisenpläne verfügt.
Die Praxis zeigt jedoch, dass solche Notfall- und Krisenpläne für sich genommen nicht ausreichen, um in komplexen Schadenslagen handlungsfähig zu bleiben. Auswertungen realer Krisenverläufe, etwa durch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) oder das Joint Research Centre der Europäischen Kommission, zeigen ein wiederkehrendes Muster: Lagen entwickeln sich anders als geübt, Annahmen erweisen sich als brüchig, Schnittstellen versagen unter Druck.
Mit der CER-Richtlinie (Richtlinie (EU) 2022/2557) und ihrer deutschen Umsetzung durch das KRITIS-Dachgesetz hat der Gesetzgeber auf diese Erkenntnislage reagiert. Beide Regelwerke verlangen von Betreibern nicht mehr nur einzelne Notfall- oder Krisenpläne, sondern einen umfassenden Resilienzplan. Dieser Plan dokumentiert nicht nur die geplante Reaktion auf konkrete Lagen, sondern den systemischen Schutz der kritischen Funktionen – und damit den Nachweis, dass die Organisation strukturell in der Lage ist, Belastungen zu bewältigen.
Drei Begriffe werden im Folgenden konsequent unterschieden. Notfall- und Krisenpläne sind dokumentierte Handlungsanweisungen für definierte Ereignisse – etwa Brand, Stromausfall oder Cyberangriff. Resilienz ist die strukturelle Eigenschaft einer Organisation, die solche und andere Belastungen aushält. Der Resilienzplan ist das von CER-Richtlinie und KRITIS-Dachgesetz verlangte Nachweisdokument, das die Maßnahmen zur Sicherstellung dieser Eigenschaft zusammenführt; einzelne Notfall- und Krisenpläne sind seine Bausteine, nicht sein Ersatz.
Dieser Beitrag ordnet ein, was Resilienz aus methodischer Sicht ausmacht, warum klassische Notfall- und Krisenpläne als Bausteine notwendig, in der Summe aber nicht hinreichend sind, und welche organisatorischen Voraussetzungen über die Wirksamkeit entscheiden.
Was Resilienz konstituiert: das Modell der vier R
In der Sicherheitsforschung hat sich seit den frühen 2000er-Jahren ein Modell durchgesetzt, das auf Bruneau et al. (2003) zurückgeht. Es beschreibt Resilienz als systemische Eigenschaft, die sich entlang von vier Dimensionen erfassen lässt: Robustness, Redundancy, Resourcefulness und Rapidity. Das Modell ist Bestandteil der Methodik des US-amerikanischen Multidisciplinary Center for Earthquake Engineering Research (MCEER) und wird in adaptierter Form auch im europäischen Kontext herangezogen.
Robustness bezeichnet die Fähigkeit eines Systems, Belastungen ohne wesentlichen Funktionsverlust zu absorbieren. Im KRITIS-Kontext entspricht dies den klassischen technischen Härtungsmaßnahmen: redundante Stromversorgung, Notstromaggregate, Inselbetriebsfähigkeit, baulicher Schutz und Brandschutz nach Stand der Technik.
Redundancy beschreibt die Mehrfachauslegung kritischer Komponenten, etwa alternative Versorgungswege, doppelte Lieferantenbeziehungen oder dokumentierte Vertretungsregelungen. Redundanz ist kostenintensiv und steht regelmäßig im Spannungsverhältnis zu betriebswirtschaftlicher Effizienz; sie ist gleichwohl eines der wenigen strukturellen Mittel gegen den Ausfall einzelner Elemente.
Resourcefulness, die Fähigkeit zur Improvisation und Ressourcenmobilisierung in nicht vorhergesehenen Lagen, ist eine personenzentrierte Eigenschaft. Sie hängt von Erfahrung, Befugnissen und Entscheidungskultur ab. Anders als die ersten beiden Dimensionen lässt sie sich nicht durch technische Investitionen herstellen, sondern nur durch Personalentwicklung, Übung und eine geeignete Organisationskultur.
Rapidity meint die Geschwindigkeit, mit der ein System nach einer Belastung in den Normalzustand zurückkehrt. In der Forschung wird sie über das sogenannte Resilienz-Dreieck modelliert: Je geringer die Funktionseinbuße und je kürzer der Wiederherstellungszeitraum, desto höher die Resilienz des Systems.
Die DIN ISO 22316:2018 ergänzt diese Sicht um den organisationsbezogenen Begriff der organisatorischen Resilienz und betont die Bedeutung von Führung, Lernkultur und Anpassungsfähigkeit als nicht-technische Determinanten.
Warum Notfall- und Krisenpläne notwendig, aber nicht hinreichend sind
Notfall- und Krisenpläne sind unverzichtbar. Sie strukturieren das operative Vorgehen in definierten Schadenslagen, dienen als Nachweis gegenüber Aufsichtsbehörden und sind die Grundlage für Übungen. Ihre Grenze liegt in einer methodischen Eigenschaft: Sie sind Antworten auf antizipierte Lagen, und ihre Wirksamkeit hängt von der Qualität der Annahmen ab, auf denen sie beruhen.
Drei strukturelle Schwächen werden in der Praxis regelmäßig dokumentiert. Erstens beruhen Notfall- und Krisenpläne typischerweise auf Einzelszenarien wie Brand, Stromausfall oder Cyberangriff und sind in ihrer Logik szenariospezifisch aufgebaut. Reale Schadenslagen verlaufen jedoch häufig kombiniert: Cyberangriffe mit physischen Folgen, Sabotagehandlungen mit medialen Sekundärwirkungen, Naturereignisse mit Lieferketten-Effekten. Diese Verkettungen werden in szenariospezifischen Plänen systematisch unterschätzt.
Zweitens enthalten solche Pläne implizite Annahmen über Verfügbarkeiten: funktionierende Kommunikationsmittel, anwesende Schlüsselpersonen, intakte Infrastruktur am Einsatzort. Fällt eine dieser Annahmen aus, kollabiert in der Regel der gesamte Ablauf. Eine Übung, die solche Ausfälle nicht systematisch einbaut, prüft die Robustheit des Plans nicht.
Drittens veralten Notfall- und Krisenpläne ohne kontinuierliche Pflege. Personalwechsel, organisatorische Änderungen, neue Anlagen oder geänderte Lieferantenstrukturen führen dazu, dass sie nach 18 bis 24 Monaten ohne Aktualisierung erfahrungsgemäß nur noch eingeschränkt belastbar sind.
Aus diesen Gründen verlagert sich der Schwerpunkt vom einzelnen Notfall- oder Krisenplan als Endprodukt zum Plan als Baustein eines übergeordneten Resilienzkonzepts. Der einzelne Plan dient dazu, die Organisation in eine Verfassung zu versetzen, in der sie auch ungeplante Lagen bewältigen kann – und ist damit Mittel, nicht Selbstzweck.
Drei Ebenen, die zusammenwirken müssen
Wirksame Resilienz entsteht aus dem Zusammenspiel von drei Ebenen, einer dokumentarischen, einer strukturellen und einer kulturellen. Diese Differenzierung findet sich in unterschiedlicher Terminologie sowohl in der DIN ISO 22316 als auch in den Leitfäden des BBK zum Schutz Kritischer Infrastrukturen.
Die dokumentarische Ebene umfasst Notfallhandbuch, Krisenstabskonzept, Alarmierungsketten und Eskalationsmatrizen. Sie ist Grundlage des regulatorischen Nachweises und Voraussetzung jeder weiteren Arbeit. Eine sauber gepflegte Dokumentation entscheidet auch im Aufsichtsverfahren über die Beurteilung der Resilienzpflichten.
Die strukturelle Ebene umfasst die personellen, technischen und prozessualen Voraussetzungen, die im Ereignisfall greifen müssen: definierte Rollen, geübte Übergaben, funktionsfähige Kommunikationsmittel, ausgebildete Stellvertretungen und vorbereitete Beziehungen zu Behörden und Drittparteien.
Die kulturelle Ebene umfasst die organisationsinternen Annahmen über den Umgang mit Unsicherheit, Eskalation und Fehlern. Eine Organisation, in der Beinahe-Vorfälle nicht systematisch ausgewertet werden oder in der Hinweise von Mitarbeitenden Karrierenachteile mit sich bringen, verfügt über eine eingeschränkte Lernfähigkeit und damit über reduzierte Resilienz.
Alle drei Ebenen sind Voraussetzungen füreinander. Eine vollständige Dokumentation ohne tragende Strukturen bleibt formaler Nachweis ohne operative Wirkung. Eingespielte Strukturen ohne dokumentarische Grundlage bestehen das Aufsichtsverfahren nicht. Eine konstruktive Kultur ohne Methodik versagt in komplexen Lagen.
All-Gefahren-Ansatz: rechtlicher Rahmen und methodische Konsequenz
Klassisches Notfallmanagement war historisch szenariospezifisch organisiert. Brandschutz, IT-Sicherheit und physische Sicherheit arbeiteten in getrennten Disziplinen, mit eigenständigen Notfall- und Schutzkonzepten und getrennten Übungen. Diese Trennung wurde durch europäisches und nationales Recht abgelöst.
Die CER-Richtlinie (EU) 2022/2557 verpflichtet Betreiber kritischer Einrichtungen zu einem ganzheitlichen Schutz gegen alle relevanten Gefährdungen, einschließlich natürlicher, technischer, hybrider, terroristischer und vom Menschen verursachter Bedrohungen. Das KRITIS-Dachgesetz setzt diese Vorgaben um und etabliert das BBK als zuständige Aufsichtsbehörde für die physische Resilienz, in Abgrenzung und Ergänzung zur Cyber-Aufsicht durch das BSI.
Methodisch hat das eine konkrete Konsequenz: Eine Schutzbedarfsanalyse muss alle wesentlichen Bedrohungen integriert betrachten und ihre Wechselwirkungen berücksichtigen. Kaskadeneffekte, etwa der Zusammenhang zwischen Stromausfall, Telekommunikationsstörung und der Funktionsfähigkeit eines Krankenhauses, sind systematisch zu modellieren. Das Ergebnis ist keine Sammlung nebeneinanderstehender Notfall- und Krisenpläne, sondern ein integrierter Resilienzplan mit definierten Schutzzielen je kritischer Funktion.
Operative Indikatoren für Resilienz
Aus methodischer Beobachtung und behördlichen Auswertungen lassen sich Merkmale benennen, an denen sich resiliente von weniger resilienten Organisationen unterscheiden lassen. Sie korrespondieren mit den vier Dimensionen des Resilienzbegriffs.
Der Übungszyklus ist ein wesentlicher Indikator. Resiliente Organisationen führen neben Vollübungen, die typischerweise im Mehrjahresrhythmus stattfinden, regelmäßige fokussierte Tabletop-Übungen mehrmals im Jahr durch. Im Vordergrund steht nicht das Bestehen, sondern das Lernen. Übungen, die ohne Auffälligkeiten verlaufen, geben in der Regel weniger Aufschluss als solche, in denen Schwächen sichtbar werden.
Die Mehrfachbesetzung kritischer Funktionen, also Krisenstabsleitung, Sprecherfunktion und technische Leitung, gehört zu den belastbarsten Indikatoren für strukturelle Resilienz. Eine ausgebildete Stellvertretung ist nicht nur eine personalwirtschaftliche Maßnahme, sondern eine konkrete Ausprägung des Redundanz-Prinzips.
Die Pflege externer Beziehungen zu Aufsichtsbehörden, Sicherheitsbehörden, Energieversorgern, Nachbarbetreibern und Lieferanten kritischer Vorprodukte ist ein häufig unterschätzter Aspekt. Diese Verbindungen stehen im Ereignisfall in der Qualität zur Verfügung, in der sie im Normalbetrieb gepflegt wurden.
Der Umgang mit Beinahe-Vorfällen ist ein kultureller Indikator. Organisationen, die solche Ereignisse systematisch dokumentieren und auswerten, gewinnen daraus erheblichen Lernertrag. Organisationen, die Beinahe-Vorfälle als Reputationsrisiko behandeln, verlieren diese Lerngelegenheiten.
Schließlich ist die Schnittstelle Mensch-System ein zentraler Punkt. Technische Resilienzmaßnahmen entfalten ihre Wirkung nur, wenn die Personen, die sie bedienen, im Sondermodus geübt handeln können. Investitionen in Schulung, Bedienbarkeit und klare Entscheidungsbefugnisse sind in diesem Zusammenhang strukturelle Resilienzmaßnahmen, nicht weiche Zusatzthemen.
Fazit
Resilienz unterscheidet sich vom einzelnen Notfall- oder Krisenplan in der methodischen Reichweite. Sie umfasst nicht nur die geplante Antwort auf antizipierte Lagen, sondern die strukturelle Verfassung, mit der eine Organisation auch ungeplanten Lagen begegnet. Aus regulatorischer Perspektive ist diese Verlagerung mit der CER-Richtlinie und dem KRITIS-Dachgesetz vollzogen – Betreiber sind nicht mehr nur zu einzelnen Plänen, sondern zu einem integrierten Resilienzplan verpflichtet. Aus operativer Perspektive liegt der Anpassungsbedarf bei vielen Betreibern noch vor.
Der Aufbau belastbarer Resilienz ist kein einmaliges Projekt, sondern eine über Jahre fortgeführte Aufgabe. Sie verlangt das Zusammenwirken von Dokumentation, Struktur und Kultur und steht im Spannungsfeld zwischen regulatorischer Pflicht und betriebswirtschaftlicher Realität. Wer diese Aufgabe systematisch angeht, erfüllt die Anforderungen des KRITIS-Dachgesetzes und schafft zugleich die Grundlage dafür, im Ereignisfall handlungsfähig zu bleiben.
Quellen und weiterführende Literatur