Hitzewelle als Stresstest: Physische Sicherheit rückt für KRITIS-Betreiber in den Fokus

KRITIS-Schutz endet nicht bei der IT-Sicherheit

Viele Betreiber kritischer Infrastrukturen haben ihre Compliance-Strukturen in den vergangenen Jahren vor allem auf Cybersecurity, Informationssicherheit und IT-Notfallmanagement ausgerichtet. Diese Themen bleiben zentral. Das KRITIS-Dachgesetz erweitert den Blick jedoch deutlich: Künftig geht es nicht mehr nur um sicherheitsrelevante Szenarien im digitalen Bereich, sondern auch um die physische Widerstandsfähigkeit kritischer Anlagen. Dazu gehören insbesondere Risiken durch Sabotage, unbefugten Zutritt, technische Ausfälle, Lieferkettenstörungen, Personalausfälle und Klimaschäden. Hitzeperioden sind ein anschauliches Beispiel für physische Gefährdungen: Sie belasten Kühl- und Lüftungssysteme, gefährden Beschäftigte und können sowohl technische Anlagen als auch die Schutzfähigkeit eines Standorts beeinträchtigen, etwa wenn zentrale Sicherungs-, Überwachungs- und Alarmierungssysteme nur eingeschränkt funktionsfähig sind.

Einen Überblick über den Anwendungsbereich des KRITIS-Dachgesetzes, die neuen gesetzlichen Pflichten und mögliche Bußgelder bietet bereits unser ausführlicher Blogbeitrag zum KRITIS-Dachgesetz: KRITIS-Dachgesetz in Kraft: Neue Pflichten, hohe Bußgelder und viele offene Fragen für Betreiber kritischer Anlagen.

Praxishinweise für KRITIS-Betreiber

KRITIS-Betreiber sollten die aktuelle Hitzewelle zum Anlass nehmen, ihre bestehenden Schutzkonzepte gezielt auf physische Resilienz vor Hitze- und Klimaschäden zu überprüfen. Dabei muss nicht jedes Unternehmen sofort sämtliche Strukturen neu aufsetzen. Sinnvoll ist zunächst eine Bestandsaufnahme, um einen Überblick über bereits implementierte Maßnahmen zum Schutz vor physischen Sicherheitsrisiken zu gewinnen. 

Auf Basis dieser Bestandsaufnahme sollten Betreiber insbesondere sicherstellen, dass:

• bestehende Risikoanalysen um physische Gefährdungen durch Wetter- und Klimaereignisse sowie mögliche Kaskadeneffekte erweitert werden,
• Standort- und Anlagenrisiken bei der Erweiterung des Sicherheitskonzepts ausreichend berücksichtigt werden (z. B. Prüfung, welche Gebäude, Anlagen oder Betriebsbereiche besonders anfällig für Extremwetterereignisse oder unbefugten Zugriff sind), 
• Notfall- und Wiederanlaufpläne auch auf nicht-digitale Szenarien ausgerichtet sind (z. B. Sicherstellung einer ausreichenden Besetzung von sicherheitskritischen Funktionen bei Hitze oder Krankheit),
• kritische Liefer- und Dienstleistungsabhängigkeiten berücksichtigt und alternative Versorgungs- oder Leistungsmöglichkeiten geprüft werden (insbesondere Dienstleister, Lieferanten und Betreiber kritischer Vorleistungen),
• die Verantwortlichkeiten zwischen Compliance, Security, IT, Facility Management, Arbeitsschutz und Geschäftsleitung klar definiert werden und
• die Wirksamkeit der Maßnahmen regelmäßig überprüft sowie Maßnahmen, Entscheidungen und Abwägungen nachvollziehbar in einem Resilienzplan dokumentiert werden.

Fazit und Ausblick

Die aktuelle Hitzewelle führt vor Augen, dass physische Sicherheit für KRITIS-Betreiber kein abstraktes Zukunftsthema ist, sondern Teil eines gesetzlich geforderten Resilienzmanagements. Die Umsetzung des KRITIS-Dachgesetzes erfordert daher eine ganzheitliche Betrachtung: Neben Cybersecurity müssen auch physische Schutzmaßnahmen, Krisenorganisation, Notfallvorsorge, Lieferkettenresilienz, klare Verantwortlichkeiten und belastbare Wiederanlaufkonzepte in ein stimmiges Sicherheitskonzept integriert werden. 

Luther unterstützt KRITIS-Betreiber dabei gemeinsam mit Luther Public Services und Experten aus unserem Netzwerk von der rechtlichen Analyse und Bewertung über standortbezogene Risiko- und Schutzbedarfsanalysen bis zur Entwicklung und Umsetzung physischer Sicherheits- und Notfallkonzepte.

Wer jetzt Risikoanalysen, Verantwortlichkeiten und bestehende Schutzkonzepte überprüft, schafft eine belastbare Grundlage für die kommenden Anforderungen und erhöht zugleich die operative Resilienz im nächsten Stresstest.