Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (hhtp://www.bbk.bund.de) hat den Leitfaden “Schutz kritischer Infrastrukturen – Risiko- und Krisenmanagement” veröffentlicht. Der Leitfaden richtet sich an die Betreiber kritischer Infrastrukturen.

Kritische Infrastrukturen werden definiert als ” Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden”.

Es wird im Leitfaden nicht genauer spezifiziert, wer als Betreiber kritischer Infrastrukturen gilt. Neben Energieversorger, Telekommunikationsdienstleistern, Krankenhäusern, Behörden und öffentlichen Diensten wie Polizei und Feuerwehr muß auch die Finanzdienstleistungsbranche hier mit hinzugezählt werden. In der Schweiz zählen Funktionen des Zahlungsverkehrs explizit zu den kritischen Infrastrukturen.

Der Leitfaden beschreibt in einem ersten Teil fünf Phasen der Risiko- und Krisenmanagements:

1. Vorplanung der Einrichtung:
   Festlegung der organisatorischen Verankerung und Verantwortlichkeiten, Freistellung von Ressourcen und Festlegung der Schutzziele
2. Risikoanalyse
   Prozessorientierte Risikoanalyse, Identifikation von Gaps zwischen Schutzzielen und Risikobild
3. Vorbeugende Maßnahmen und Strategien
   Vorbeugende Maßnahmen zur Vermeidung, Verminderung oder Überwälzung der Risiken
4. Krisenmanagement
   Aufbau- und Ablauforganisation des Krisenmanagements
5. Evaluierung des Risiko- und Krisenmanagements
   Überprüfung der Aktualität und der Wirksamkeit des Risiko- und Krisenmanagements.

Der zweite Teil des Leitfadens beinhaltet Checklisten für die einzelnen Phasen und ein Beispiel für eine Risikoanalyse.

Der Leitfaden komprimiert Best Practices und existierende Standards (BS25999) zu einem praktischen Leitfaden ergänzt um sehr nützliche Checklisten und Beipiele.

Positiv hervorzuheben ist die prozessorientierte Sichtweise der Risikoanalyse, die die Geschäftsprozesse in den Mittelpunkt stellt. Die skizzierte Vorgehensweise der Prozessaufnahme entspricht dem klassischen Vorgehen in einer Business Impact Analyse (BIA). Für den organisatorischen Aufbau eines Krisenmanagements finden sich wichtige Hinweise und Anleitungen.

Wer sich intensiver mit Risiko- und Krisen- und Notfallmanagement beschäftigt findet die vertrauten Themen wieder – allerdings sehr stark verkürzt.

Für Unternehmen und Behörden, die Betreiber kritischer Infrastrukturen sind sollte dieser Leitfaden daher hoffentlich keine neuen Erkenntnisse bringen. Auf der anderen Seite ist dieser Leitfaden insbesondere auch für kleinere und mittelständische Unternehmen als Einstieg in das Risiko- und Krisenmanagement zu empfehlen.

Nicht bzw. nur sehr stark verkürzt werden die zentralen Themen Notfallstrategie und Notfallplanung behandelt. Dies sollte offensichtlich dem geplanten Notfallmanagement Standard BSI 100-4 vorbehalten werden.

Der Leitfaden kann auf der Homepage des BMI kostenfrei heruntergeladen werden.