KRITIS in der Praxis: Der Notfallplan ist vorhanden – aber funktioniert er auch?

Praxisfall

Stromausfall in einer Klinik

In einer Klinik fällt die reguläre Stromversorgung aus. Für solche Situationen steht ein Notstromaggregat bereit. Es soll die erforderliche Versorgung übernehmen und verhindern, dass aus der externen Störung eine kritische betriebliche Lage entsteht.

Doch das Aggregat springt nicht an.

Der zuständige Techniker ist vor Ort und soll die Ursache im gesicherten Technikbereich überprüfen. Er hat seine Tätigkeit in der Klinik allerdings erst vor Kurzem aufgenommen. Die für den Zutritt erforderliche Karte wurde ihm von der Verwaltung noch nicht ausgestellt.

Vor der gesicherten Tür endet damit zunächst sein Handlungsspielraum. Der Techniker ist zuständig, die Anlage vorhanden und der Handlungsbedarf erkannt. Dennoch kann die erforderliche Prüfung nicht sofort beginnen, weil eine organisatorische Voraussetzung fehlt: der wirksame Zutritt zum Einsatzort.

Fast 20 Minuten vergehen, bis der Zugang ermöglicht und das Problem behoben werden kann.

Zwanzig Minuten sind im normalen Verwaltungsablauf möglicherweise nur eine kurze Verzögerung. In einer Störungssituation können sie jedoch darüber entscheiden, ob ein beherrschbares Ereignis beherrschbar bleibt.

Wirkungskette

Die Fragen hinter der Störung

• Weshalb konnte eine bereits verantwortliche Person ihre kritische Aufgabe übernehmen, ohne über die dafür erforderliche Zutrittsberechtigung zu verfügen?
• Wer prüft vor dem ersten Bereitschafts- oder Störungsdienst, ob alle Berechtigungen tatsächlich wirksam sind?
• Welches Verfahren greift, wenn eine zuständige Person einen gesicherten Bereich im Notfall nicht betreten kann?
• Wer darf einen dokumentierten Notfallzugang ermöglichen?
• Gibt es eine erreichbare Vertretung mit gleichwertiger technischer Kompetenz und Berechtigung?
• Werden bei Übungen neben Alarmierung und Technik auch Zutritt, Erreichbarkeit und Entscheidungsbefugnisse praktisch getestet?

Notstromversorgung, Zutrittskontrolle, Personalprozess, Bereitschaftsorganisation und Notfallmanagement bilden eine gemeinsame Wirkungskette. Versagt nur ein Glied, kann die gesamte Schutzmaßnahme ihre Wirkung verlieren.

Schnittstellen

Der eigentliche Schwachpunkt

Auf den ersten Blick lag das Problem beim Notstromaggregat. Bei genauerer Betrachtung zeigte sich eine zweite, ebenso bedeutsame Schwachstelle: Die Organisation hatte Verantwortung übertragen, ohne zugleich alle Voraussetzungen für deren wirksame Wahrnehmung sicherzustellen.

Die Zutrittskontrolle erfüllte zunächst genau ihren Zweck. Sie verhinderte, dass eine Person ohne freigeschaltete Karte einen gesicherten Bereich betrat. Zum Risiko wurde die fehlende Abstimmung zwischen den beteiligten organisatorischen Bereichen.

1. Die fachliche Zuständigkeit war festgelegt.
2. Die Personal- oder Verwaltungsprozesse waren noch nicht vollständig abgeschlossen.
3. Die Zutrittsberechtigung war nicht rechtzeitig eingerichtet.
4. Für den Störungsfall stand offenbar kein sofort nutzbarer Ersatzweg zur Verfügung.
5. Die gesamte Handlungskette war vor der Übernahme der Verantwortung nicht praktisch überprüft worden.

Technik und Organisation

Technische Redundanz allein genügt nicht

Ein Notstromaggregat ist eine technische Redundanz. Damit diese Redundanz wirksam wird, müssen jedoch weitere Voraussetzungen erfüllt sein:

• Das Aggregat wird regelmäßig geprüft und betriebsbereit gehalten.
• Störungen werden erkannt und richtig bewertet.
• Zuständige Personen sind erreichbar.
• Sie verfügen über die erforderliche Kompetenz und Entscheidungsbefugnis.
• Der physische Zugang zur Anlage ist jederzeit geregelt.
• Für Ausfälle, Abwesenheiten und fehlende Berechtigungen besteht eine belastbare Alternative.

Eine Organisation ist nicht schon deshalb resilient, weil Ersatztechnik vorhanden ist. Sie ist resilient, wenn die Ersatztechnik unter realistischen Bedingungen rechtzeitig genutzt, überprüft und – falls erforderlich – wieder in Funktion gebracht werden kann.

Praxisanforderungen

Was ein wirksamer Notfallplan berücksichtigen muss

Ein Notfallplan sollte nicht nur beschreiben, wer im Ereignisfall informiert wird. Er muss die vollständige Handlungskette abbilden: von der Erkennung über die Entscheidung und den Zugang bis zur Wiederherstellung des Betriebs.

1. Kritische Rollen eindeutig bestimmen

Für jede wesentliche Anlage und jeden kritischen Prozess sollte festgelegt sein, wer fachlich verantwortlich ist, wer außerhalb der Regelarbeitszeit übernimmt, wer vertritt und welche Entscheidungen die jeweilige Rolle selbst treffen darf.

• Fachliche Verantwortung und Vertretung
• Erreichbarkeit innerhalb und außerhalb der Regelarbeitszeit
• Entscheidungsbefugnisse und verfügbare Ressourcen
• Einbindung interner und externer Stellen

2. Einsatzfähigkeit vor der Aufgabenübernahme prüfen

Wenn neue Mitarbeitende oder externe Dienstleister eine kritische Aufgabe übernehmen, sollte die Organisation vorab eine verbindliche Einsatzfähigkeitsprüfung durchführen.

• erforderliche Zutritts- und Systemberechtigungen,
• Schlüssel, Karten und persönliche Schutzausrüstung,
• aktuelle Alarm- und Kontaktlisten,
• Einweisung in örtliche Besonderheiten und alternative Zugänge,
• dokumentierte Vertretungs- und Eskalationswege.

Der Abschluss eines allgemeinen Onboardings ist nicht mit nachgewiesener Einsatzfähigkeit gleichzusetzen.

3. Einen kontrollierten Notfallzugang vorsehen

Gesicherte Bereiche dürfen auch im Notfall nicht unkontrolliert geöffnet werden. Gleichzeitig darf eine fehlende oder defekte Zutrittskarte die Gefahrenabwehr nicht blockieren.

Abhängig vom Schutzbedarf kommen dokumentierte Freigabeprozesse, erreichbare berechtigte Personen, kontrolliert verwahrte Notfallmedien oder ein protokollierter Zugang nach dem Vier-Augen-Prinzip in Betracht. Entscheidend ist, dass das Verfahren vor dem Ereignis festgelegt, bekannt und praktisch nutzbar ist.

4. Nicht nur Komponenten, sondern die gesamte Kette testen

Eine technische Funktionsprüfung beantwortet nur, ob die Anlage unter den Prüfbedingungen arbeitet. Eine Notfallübung muss zusätzlich zeigen, ob die Organisation handlungsfähig ist.

• Wird die Störung zuverlässig erkannt?
• Erreichen Alarm und Informationen die richtigen Personen?
• Reagieren diese innerhalb der vorgesehenen Zeit?
• Funktionieren Zutritt und Berechtigungen?
• Sind Vertretungen und externe Dienstleister tatsächlich einsatzfähig?
• Werden Entscheidungen und Maßnahmen nachvollziehbar dokumentiert?

Eine Übung ist nicht dann erfolgreich, wenn alles reibungslos läuft. Sie ist erfolgreich, wenn sie Schwachstellen sichtbar macht, bevor ein reales Ereignis dies tut.

5. Erkenntnisse konsequent nachverfolgen

Festgestellte Lücken sollten wie Abweichungen in einem wirksamen Managementsystem behandelt werden:

1. Ursache bestimmen
2. Risiko bewerten
3. Maßnahme und Verantwortung festlegen
4. Termin bestimmen
5. Umsetzung überprüfen
6. Wirksamkeit erneut testen

Erst die nachgewiesene Wirksamkeit schließt den Verbesserungsprozess ab.

Rechtliche Einordnung

Einordnung zum KRITIS-Dachgesetz

Das KRITIS-Dachgesetz wurde am 16. März 2026 verkündet. Die Pflichten nach den §§ 13, 18 und 20 greifen für Betreiber kritischer Anlagen erstmals zehn Monate nach der Registrierung der jeweiligen Anlage.

Für Betreiber in seinem Anwendungsbereich verbindet § 13 technische, sicherheitsbezogene und organisatorische Resilienzmaßnahmen. Genannt werden unter anderem Notfallvorsorge, Zugangskontrollen, Risiko- und Krisenmanagementverfahren, vorgegebene Abläufe im Alarmfall, Maßnahmen zur Aufrechterhaltung des Betriebs einschließlich der Notstromversorgung sowie ein angemessenes Sicherheitsmanagement für eigenes Personal und Beschäftigte externer Dienstleister. Auch Informationsmaterialien, Schulungen und Übungen werden aufgeführt.

Die Maßnahmen sind in einem Resilienzplan darzustellen, anzuwenden und bei Bedarf zu aktualisieren. § 20 verpflichtet die Geschäftsleitung, die erforderlichen Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen. Wirksame Notfallvorsorge wird damit ausdrücklich zur Führungsaufgabe.

Wirksamkeitsprüfung

Auditorenblick

Im Audit genügt es nicht, einen Notfallplan, einen Wartungsnachweis für das Aggregat und eine Liste verantwortlicher Personen vorzulegen. Entscheidend ist die Wirksamkeit des Zusammenspiels.

• Sind die genannten Personen aktuell und nachweislich erreichbar?
• Stimmen Aufgaben, Befugnisse und Zutrittsrechte überein?
• Werden Berechtigungen vor der Übernahme kritischer Aufgaben geprüft?
• Existiert ein sicherer und dokumentierter Notfallzugang?
• Sind Vertretungen praktisch eingewiesen und vollständig ausgestattet?
• Umfassen Übungen die Schnittstellen zwischen Technik, Verwaltung, Sicherheit und externen Dienstleistern?
• Werden Abweichungen mit Verantwortlichkeit und Frist verfolgt?
• Wurde die Wirksamkeit umgesetzter Maßnahmen erneut überprüft?

Nachgedacht

Wäre Ihre Organisation heute handlungsfähig?

Angenommen, die reguläre Stromversorgung fällt heute aus und Ihre zuständige Fachkraft steht wenige Minuten später vor der entscheidenden technischen Anlage:

• Funktioniert ihre Zutrittskarte?
• Ist ihre Berechtigung noch gültig?
• Kennt sie den alternativen Zugangsweg?
• Ist eine gleichwertige Vertretung erreichbar?
• Kann ein sicherer Notfallzugang unverzüglich freigegeben werden?

Wenn diese Fragen nur aufgrund von Annahmen beantwortet werden können, wurde nicht die Handlungsfähigkeit geprüft – sondern lediglich das Vertrauen in den Plan.

Merksatz

Ein Notstromaggregat schafft technische Redundanz.
Resilienz entsteht erst, wenn die zuständige Person es im Ernstfall auch erreichen und nutzen kann.