KRITIS Beratung für Unternehmen
Ein Ausfall von Zutrittskontrolle, Leitstelle, Energieversorgung oder IT kann für KRITIS-Betreiber weit mehr als einen Betriebsunterbruch bedeuten. Dieser Leitfaden zum KRITIS-Sicherheitskonzept für Unternehmen zeigt, wie Verantwortliche Risiken strukturiert erfassen und daraus wirksame, nachweisbare Schutzmaßnahmen ableiten. Entscheidend ist nicht die Anzahl der eingesetzten Systeme, sondern ihr abgestimmtes Zusammenspiel im konkreten Betrieb.
Was ein KRITIS-Sicherheitskonzept leisten muss
Ein Sicherheitskonzept für kritische Infrastrukturen beschreibt nicht nur einzelne technische Komponenten. Es dokumentiert, welche Werte geschützt werden müssen, welche Gefährdungen realistisch sind, wer im Ereignisfall entscheidet und wie der Betrieb unter erschwerten Bedingungen weitergeführt wird. Damit verbindet es physische Sicherheit, Informationssicherheit, Organisation und Notfallmanagement.
Für Betreiber kritischer Anlagen ist diese Perspektive besonders relevant: Ein Cyberangriff kann Kameras, Türsteuerungen oder Leitstellensysteme beeinträchtigen. Umgekehrt kann ein physisches Ereignis - etwa unbefugtes Eindringen, Sabotage oder Diebstahl - digitale Prozesse, personenbezogene Daten und die Verfügbarkeit zentraler Dienste gefährden. Sicherheitskonzepte müssen diese Abhängigkeiten ausdrücklich berücksichtigen.
Die konkreten Pflichten hängen vom Sektor, der Größe der Einrichtung, Schwellenwerten und dem jeweiligen regulatorischen Status ab. Neben dem KRITIS-Rahmen können Anforderungen aus NIS2, Datenschutzrecht, Arbeitsrecht, Versicherungsbedingungen oder branchenspezifischen Vorgaben greifen. Ein Konzept sollte deshalb nicht mit allgemeinen Mustervorlagen beginnen, sondern mit einer belastbaren Bestandsaufnahme der eigenen Organisation.
Leitfaden KRITIS-Sicherheitskonzept Unternehmen: Der richtige Start
Der erste Schritt ist eine klare Festlegung des Geltungsbereichs. Welche Standorte, Gebäude, technischen Anlagen, IT-Systeme, Dienstleister und Prozesse gehören zum Sicherheitskonzept? Gerade bei dezentralen Liegenschaften, Kliniken, Versorgungsunternehmen oder Produktionsstandorten entstehen Lücken, wenn Nebenanlagen, Außenflächen oder Übergabepunkte nicht einbezogen werden.
Danach folgt die Schutzbedarfsfeststellung. Sie beantwortet für jeden relevanten Prozess drei Fragen: Welche Folgen hätte eine Beeinträchtigung der Verfügbarkeit? Welche Auswirkungen hätte eine Manipulation? Und welche Schäden entstünden durch den Verlust vertraulicher Informationen? Bei einer Leitwarte kann beispielsweise die permanente Verfügbarkeit im Vordergrund stehen. Bei Aufzeichnungen aus sensiblen Bereichen sind zusätzlich Datenschutz, Zugriffsschutz und die Integrität der Daten maßgeblich.
Eine gute Schutzbedarfsanalyse ist konkret. Statt pauschal von hohen Risiken zu sprechen, beschreibt sie betriebliche Folgen: verzögerte Patientenversorgung, Unterbrechung der Wasseraufbereitung, Ausfall einer Zufahrtskontrolle, Fehlalarmierung oder fehlende Nachweisbarkeit eines Vorfalls. Diese Folgen bilden die Grundlage für angemessene Maßnahmen und spätere Investitionsentscheidungen.
Risiken bewerten, statt nur Technik aufzulisten
Im nächsten Schritt werden Szenarien definiert. Relevante Gefährdungen reichen von Einbruch, Vandalismus und Sabotage über Strom- und Netzausfälle bis zu Fehlbedienung, Insiderhandlungen und Angriffen auf vernetzte Komponenten. Nicht jedes Szenario verdient den gleichen Aufwand. Entscheidend sind Eintrittswahrscheinlichkeit, mögliche Schadenshöhe, Erkennbarkeit und die Zeit, die zur Reaktion bleibt.
Bei Außenanlagen kann eine frühzeitige Detektion wichtiger sein als eine lückenlose Kameraabdeckung. An einem besonders sensiblen Übergabepunkt kann dagegen die eindeutige Identifikation von Personen, Fahrzeugen oder Kennzeichen erforderlich sein. In anderen Bereichen genügt eine nachvollziehbare Ereignisdokumentation. Das Sicherheitsniveau sollte sich am Schutzbedarf orientieren - nicht an einer Standardstückliste.
Dabei hilft eine einfache Risikomatrix, solange sie nicht zur Formalität wird. Jedes als relevant bewertete Risiko benötigt eine nachvollziehbare Behandlung: vermeiden, reduzieren, übertragen oder bewusst akzeptieren. Restrisiken müssen von den zuständigen Verantwortlichen entschieden und dokumentiert werden. So entsteht Transparenz darüber, welche Risiken technisch, organisatorisch oder durch Versicherungs- und Dienstleistungskonzepte abgesichert sind.
Sicherheitsmaßnahmen als Gesamtsystem planen
Wirksame Schutzkonzepte arbeiten mit mehreren aufeinander abgestimmten Ebenen. Bauliche und mechanische Maßnahmen verzögern oder erschweren den Zugriff. Zutrittskontrolle begrenzt Berechtigungen. Videoüberwachung und Sensorik erkennen Ereignisse, während klare Meldewege und Interventionsprozesse die Reaktion sicherstellen. Erst diese Kette macht aus Einzellösungen ein belastbares System.
Für professionelle Videoüberwachung sind Bildqualität, Positionierung, Lichtverhältnisse, Speicherkonzept und Auswertung wichtiger als die reine Kamerazahl. Wärmebildkameras können Bewegungen auch bei schwierigen Sichtbedingungen früh erkennen, ersetzen aber nicht in jedem Fall eine Kamera zur Identifikation. Nummernschilderkennung kann Zufahrten effizient absichern, setzt jedoch sauber definierte Anwendungsfälle, geeignete Erfassungsbedingungen und datenschutzkonforme Prozesse voraus.
Bei vernetzten Sicherheitskomponenten ist die IT-Architektur Teil des Sicherheitskonzepts. Kameras, Rekorder, Managementsoftware und mobile Zugriffe benötigen segmentierte Netze, sichere Identitäten, geregelte Berechtigungen, aktuelle Softwarestände und nachvollziehbare Protokollierung. Fernwartung kann Verfügbarkeit und Servicequalität verbessern, muss aber kontrolliert, dokumentiert und technisch abgesichert sein.
Redundanz ist dort sinnvoll, wo ein Ausfall unmittelbar kritische Folgen hätte. Sie ist jedoch kein Selbstzweck. Eine doppelte Komponente ohne getestete Umschaltung, Ersatzstromversorgung oder qualifizierten Service schafft nur scheinbare Sicherheit. Ob Redundanz wirtschaftlich erforderlich ist, hängt von Wiederanlaufzeiten, Ersatzteilverfügbarkeit, örtlichen Gegebenheiten und dem akzeptierten Restrisiko ab.
Verantwortlichkeiten und Prozesse verbindlich festlegen
Technik bleibt wirkungslos, wenn im Ereignisfall Zuständigkeiten fehlen. Das Konzept sollte deshalb Rollen eindeutig benennen: Wer verantwortet die Sicherheitsstrategie? Wer administriert Systeme und Berechtigungen? Wer bewertet Alarme? Wer informiert Behörden, Dienstleister, Datenschutzbeauftragte oder die Geschäftsführung? Und wer darf im Notfall Entscheidungen treffen?
Besonders relevant sind Alarm- und Eskalationsprozesse. Ein Alarm muss nicht nur ausgelöst, sondern innerhalb definierter Zeiten bewertet und bearbeitet werden. Dazu gehören Prioritäten, Erreichbarkeiten, Interventionswege sowie Regeln für Fehlalarme. Für sicherheitskritische Standorte empfiehlt sich eine regelmäßige Überprüfung anhand realistischer Szenarien, beispielsweise Stromausfall mit gleichzeitiger Störung der Datenanbindung oder Zutrittsversuch außerhalb der Betriebszeit.
Auch externe Dienstleister gehören in die Betrachtung. Wartungsfirmen, Sicherheitsdienste, Cloud- oder Netzwerkanbieter können Zugriff auf sensible Systeme oder Informationen erhalten. Verträge, Zugangsrechte, Reaktionszeiten und Meldepflichten müssen zum Schutzbedarf passen. Berechtigungen sollten zeitlich begrenzt, nachvollziehbar vergeben und beim Rollenwechsel konsequent entzogen werden.
Datenschutz und Nachweisführung von Beginn an einplanen
Videoüberwachung in Unternehmen und öffentlichen Einrichtungen berührt regelmäßig personenbezogene Daten. Deshalb muss das Sicherheitsinteresse mit den Rechten betroffener Personen abgewogen werden. Kamerastandorte, Blickwinkel, Speicherdauer, Zugriffsrechte und Informationspflichten sind so zu gestalten, dass der Zweck der Maßnahme nachvollziehbar bleibt und unnötige Erfassung vermieden wird.
Für KRITIS-nahe Umgebungen ist eine nachvollziehbare Dokumentation zugleich ein Betriebs- und Compliance-Thema. Zum Konzept gehören unter anderem Risikoanalysen, Berechtigungskonzepte, Netzpläne, Wartungsnachweise, Alarmpläne, Testprotokolle und Entscheidungen zu Restrisiken. Diese Unterlagen müssen im Ereignisfall verfügbar sein, dürfen aber selbst keine neue Schwachstelle darstellen.
Ein häufiger Fehler ist die einmalige Erstellung eines umfangreichen Dokuments, das danach nicht fortgeschrieben wird. Sicherheitskonzepte verlieren an Wert, sobald sich Gebäude, Prozesse, Zuständigkeiten oder Bedrohungslagen verändern. Änderungen an Kamerapositionen, Softwareversionen, Netzwerken oder Zutrittsrechten sollten deshalb in einen geregelten Änderungsprozess eingebunden sein.
Umsetzung in realistischen Etappen
Bei komplexen Standorten ist eine priorisierte Umsetzung meist sinnvoller als ein vollständiger Austausch auf einmal. Zuerst werden die Bereiche mit hohem Schutzbedarf und unzureichender Detektions- oder Reaktionsfähigkeit bearbeitet. Danach folgen Optimierungen bei Integration, Dokumentation und Betriebsprozessen. So lässt sich die Investition mit dem tatsächlichen Risikoprofil verbinden.
Vor der Übergabe sollte das System unter Betriebsbedingungen getestet werden. Entscheidend sind nicht nur Bild und Funktion einer einzelnen Kamera, sondern Alarmketten, Aufzeichnungsabruf, Berechtigungen, Ersatzstrom, Netzwerkausfall und Zusammenarbeit mit Leitstelle oder Sicherheitsdienst. Mitarbeitende benötigen eine Einweisung, die auf ihre Rolle zugeschnitten ist. Ein Administrator braucht andere Informationen als ein Empfangsmitarbeiter oder ein Interventionsdienst.
IBC Raif GmbH unterstützt Unternehmen dabei, die Anforderungen aus Risikoanalyse, professioneller Videoüberwachung und betrieblicher Umsetzung in ein tragfähiges Gesamtkonzept zu überführen. Im Mittelpunkt steht dabei eine Technikplanung, die zum Standort, zu den vorhandenen Prozessen und zu den regulatorischen Rahmenbedingungen passt.
Ein belastbares KRITIS-Sicherheitskonzept entsteht nicht durch maximale Überwachung, sondern durch nachvollziehbare Entscheidungen: Was muss geschützt werden, was muss früh erkannt werden und wer handelt zuverlässig, wenn ein Ereignis eintritt?