Wer verantwortet KRITIS-Sicherheitsmaßnahmen?
Ein Ausfall beginnt selten mit einer einzelnen technischen Schwachstelle. Häufig gehen ihm unklare Zuständigkeiten voraus: Die IT betreibt Systeme, die Technik verantwortet Standorte, der Sicherheitsdienst überwacht Zufahrten und die Geschäftsführung geht davon aus, dass die Anforderungen bereits erfüllt sind. Die Frage, wer KRITIS-Sicherheitsmaßnahmen verantwortet, entscheidet deshalb nicht nur über Compliance, sondern über die tatsächliche Handlungsfähigkeit einer Organisation im Störfall.
Für Betreiber kritischer Infrastrukturen ist Sicherheit eine Führungsaufgabe mit klaren operativen Anteilen. Sie umfasst nicht allein Cybersecurity, sondern auch bauliche, organisatorische und physische Schutzmaßnahmen. Dazu gehören Zutrittsregelungen, Videoüberwachung, Detektion an Grundstücksgrenzen, Notstromversorgung, Meldewege und die sichere Betriebsführung vernetzter Sicherheitskomponenten.
Wer verantwortet KRITIS-Sicherheitsmaßnahmen im Unternehmen?
Die Gesamtverantwortung liegt bei der Leitung des KRITIS-Betreibers. Je nach Rechtsform betrifft das Geschäftsführung, Vorstand oder die vertretungsberechtigte Leitung einer öffentlichen Einrichtung. Diese Verantwortung lässt sich nicht vollständig delegieren. Führungskräfte müssen sicherstellen, dass Risiken bewertet, angemessene Maßnahmen beschlossen, Ressourcen bereitgestellt und deren Wirksamkeit regelmäßig kontrolliert werden.
Das bedeutet nicht, dass die Geschäftsführung jede Kameraeinstellung, jedes Patch-Management oder jeden Alarmplan selbst prüfen muss. Sie darf und muss fachliche Aufgaben an geeignete Stellen übertragen. Entscheidend ist, dass Zuständigkeiten, Entscheidungswege und Kontrollpflichten nachweisbar geregelt sind. Wer delegiert, bleibt dafür verantwortlich, dass die beauftragten Personen qualifiziert sind, ausreichend Befugnisse erhalten und ihre Aufgaben erfüllen können.
Besonders relevant ist diese Unterscheidung bei Investitionsentscheidungen. Wenn eine Risikoanalyse beispielsweise zeigt, dass ein Umspannwerk, eine Klinikzufahrt oder ein Wasserwerksgelände unzureichend gegen unbefugtes Eindringen geschützt ist, muss die Leitung eine belastbare Entscheidung herbeiführen. Die konkrete Planung kann bei Sicherheitsverantwortlichen, technischen Fachbereichen und spezialisierten Dienstleistern liegen. Die Entscheidung über Prioritäten, Budget und Restrisiken bleibt jedoch auf Leitungsebene.
Verantwortung folgt dem Betreiberstatus
Rechtlich maßgeblich ist zunächst, wer die kritische Dienstleistung erbringt und die betreffende Anlage oder den Prozess betreibt. Eigentum und Betreiberrolle können auseinanderfallen. Ein Unternehmen kann etwa eine Anlage besitzen, während ein anderer Akteur sie technisch führt. Für Sicherheits- und Nachweispflichten ist daher genau zu prüfen, welche Partei als Betreiber auftritt, wer den Betrieb steuert und wer im Ereignisfall Entscheidungen treffen kann.
Bei Konzernstrukturen ist diese Prüfung besonders wichtig. Eine Holding kann zentrale Vorgaben schaffen und Budgets freigeben, während eine Tochtergesellschaft die operative KRITIS-Leistung erbringt. Dann benötigen beide Ebenen definierte Aufgaben: Die Konzernleitung etabliert Governance, Mindeststandards und Berichtswesen. Die operative Gesellschaft setzt Schutzmaßnahmen um, führt Kontrollen durch und meldet Abweichungen. Ohne diese Trennung entstehen Lücken, die in Audits und Krisenlagen sichtbar werden.
Auch ausgelagerte Betriebsmodelle ändern daran wenig. Managed Services, externe Leitstellen, Wachschutz oder Cloud-Dienste können unverzichtbare Bestandteile des Sicherheitskonzepts sein. Sie verlagern Tätigkeiten, aber nicht automatisch die Betreiberverantwortung. Verträge müssen daher Leistungsumfang, Reaktionszeiten, Eskalationswege, Zugriffsrechte, Dokumentation und Prüfoptionen präzise festhalten.
Die operative Rollenverteilung muss schriftlich funktionieren
Eine belastbare Sicherheitsorganisation braucht mehr als eine benannte Person mit dem Titel Sicherheitsbeauftragte oder Informationssicherheitsbeauftragter. Gerade an den Schnittstellen zwischen IT, Betriebstechnik und Objektschutz entstehen Risiken. Rollen sollten deshalb nicht nur in Organigrammen, sondern in Prozessen, Alarmplänen und Entscheidungsmatrizen sichtbar sein.
In der Praxis übernehmen mehrere Funktionen unterschiedliche Teile der Aufgabe:
- Die Geschäftsführung oder der Vorstand definiert Sicherheitsziele, akzeptiert Restrisiken und stellt Mittel sowie Entscheidungsbefugnisse bereit.
- Die Informationssicherheitsleitung steuert Anforderungen an Informationssicherheit, Risikoanalysen und die technische wie organisatorische Umsetzung im IT-Umfeld.
- Technische Betriebsverantwortliche sichern Anlagenverfügbarkeit, Wartung, Notfallbetrieb und Schnittstellen zur Betriebstechnik.
- Sicherheitsverantwortliche für Gebäude und Gelände verantworten Zutritt, Perimeterschutz, Alarmierung sowie die Zusammenarbeit mit Leitstellen und Einsatzkräften.
- Datenschutzbeauftragte und gegebenenfalls Betriebsrat begleiten insbesondere Maßnahmen der Videoüberwachung und die Verarbeitung personenbezogener Daten.
Diese Aufteilung ist kein starres Modell. In kleineren Organisationen können mehrere Rollen bei einer Person zusammenlaufen. Dann sind jedoch Vertretungen, Vier-Augen-Prinzipien und unabhängige Kontrollen umso wichtiger. In größeren Unternehmen empfiehlt sich eine klare Governance mit regelmäßigen Sicherheitsgremien, dokumentierten Beschlüssen und einem Berichtswesen, das technische Risiken in verständliche Managemententscheidungen übersetzt.
Physische Sicherheit ist Teil des KRITIS-Schutzes
KRITIS-Sicherheitsmaßnahmen werden noch immer zu oft auf Netzwerke, Server und Software reduziert. Tatsächlich kann ein physischer Vorfall denselben Effekt haben: Manipulation an Anlagen, unbefugter Zutritt zu Technikräumen, Diebstahl, Sabotage oder das Eindringen unbemerkter Personen auf ein sensibles Gelände. Die Verantwortung für physische Sicherheit muss deshalb in das übergreifende Risikomanagement eingebunden werden.
Videoüberwachung kann dabei mehr leisten als die nachträgliche Aufklärung eines Ereignisses. Richtig geplant unterstützt sie die Früherkennung, die verifizierte Alarmierung und die Lagebeurteilung. Wärmebildtechnik kann bei schwierigen Lichtverhältnissen oder zur Absicherung weitläufiger Außenbereiche sinnvoll sein. Nummernschilderkennung kann Zufahrtsprozesse kontrollierbar machen, wenn Rechtsgrundlage, Zweckbindung und Speicherfristen sauber festgelegt sind. Welche Technik angemessen ist, hängt immer von Schutzbedarf, Betriebsablauf, örtlichen Gegebenheiten und Datenschutz ab.
Entscheidend ist die Betriebsperspektive. Eine Kamera schützt nicht, wenn ihr Blickfeld nach Umbauten nicht mehr passt, die Aufzeichnung im Störfall nicht verfügbar ist oder niemand Alarmmeldungen bewertet. Sicherheitsmaßnahmen benötigen Verantwortliche für Wartung, Berechtigungsmanagement, Funktionsprüfungen und die Bearbeitung von Ereignissen. Diese Aufgaben sollten in Betriebsprozesse integriert sein, nicht als Zusatzaufgabe nebenher laufen.
Nachweise und Kontrollen gehören zur Verantwortung
KRITIS-Betreiber müssen je nach Sektor, Schwellenwert und geltendem Rechtsrahmen geeignete Sicherheitsvorkehrungen nachweisen. Anforderungen aus dem BSI-Gesetz, branchenspezifischen Sicherheitsstandards und dem erweiterten NIS2-Umfeld können dabei zusammentreffen. Für die Verantwortungsfrage ist weniger entscheidend, wie eine Maßnahme bezeichnet wird, sondern ob ihre Auswahl, Umsetzung und Wirksamkeit nachvollziehbar dokumentiert sind.
Gute Dokumentation ist kein Selbstzweck. Sie beantwortet im Vorfall und bei einer Prüfung konkrete Fragen: Welches Risiko wurde bewertet? Wer hat die Maßnahme freigegeben? Welche Schutzziele sollte sie erfüllen? Wann wurde sie getestet? Welche Abweichungen sind offen und wer entscheidet über deren Behandlung? Fehlen diese Informationen, wird aus einer vermeintlich vorhandenen Sicherheitsarchitektur schnell ein schwer steuerbares Risiko.
Regelmäßige Übungen zeigen, ob die Rollenverteilung trägt. Ein Test sollte nicht bei der technischen Alarmierung enden. Er sollte auch prüfen, wer entscheidet, wer externe Stellen informiert, wie Beweise gesichert werden und wie der Betrieb fortgeführt wird. Gerade bei vernetzten Kamera- und Detektionssystemen sind Ausfallszenarien, alternative Kommunikationswege und gesicherte Zugriffe für Servicekräfte mit zu betrachten.
Externe Fachpartner entlasten, ersetzen aber keine Führung
Bei spezialisierten Technologien ist externe Beratung sinnvoll, etwa bei der Schutzbedarfsanalyse, der Planung von Videoüberwachung, der Integration von Wärmebildkameras oder der Auslegung einer Drohnendetektion. Ein erfahrener Fachpartner kann technische Optionen bewerten, Anforderungen in ein umsetzbares Konzept überführen und die Inbetriebnahme strukturiert begleiten. IBC Raif verbindet dabei Sicherheitsinfrastruktur mit Beratung zu KRITIS- und NIS2-Anforderungen.
Die Wahl eines Dienstleisters sollte sich nicht allein an Produktmerkmalen orientieren. Relevant sind belastbare Serviceprozesse, Kenntnisse der jeweiligen Umgebung, eine nachvollziehbare Dokumentation und die Fähigkeit, Sicherheits-, Betriebs- und Datenschutzanforderungen zusammenzuführen. Standardisierte Lösungen können bei überschaubaren Objekten ausreichend sein. Bei sensiblen Anlagen mit hohen Verfügbarkeitsanforderungen ist dagegen meist eine individuelle Planung erforderlich.
Wer KRITIS-Sicherheitsmaßnahmen verantwortet, trägt vor allem dafür Sorge, dass Zuständigkeit nicht zwischen Abteilungen, Verträgen und technischen Einzelmaßnahmen verloren geht. Eine Sicherheitsorganisation ist dann belastbar, wenn Leitung, Betrieb und spezialisierte Partner dasselbe Ziel verfolgen: Risiken rechtzeitig erkennen, Auswirkungen begrenzen und den kritischen Dienst auch unter schwierigen Bedingungen handlungsfähig halten.