Kritische Infrastrukturen resilienter gestalten

Die Umsetzung von präventiven Maßnahmen auf Grundlage von Risikoanalysen verstärkt die Resilienz von kritischen Infrastrukturen (KRITIS).

Seit der Corona-Pandemie und Beginn des Ukraine-Kriegs ist die Verwundbarkeit der Kritischen Infrastruktur (KRITIS) in Deutschland in den Vordergrund gerückt. Bundesinnenministerin Nancy Faeser will nun deren Schutz verstärken. Eckpunkte für ein neues Dachgesetz sehen unter anderem vor, dass es einheitliche Mindestvorgaben für Resilienzmaßnahmen in allen Sektoren geben soll. Für kritische Ergebnisse ist ein neues Meldesystem geplant. Das entsprechende Gesetz soll bis Sommer 2023 in Kraft treten, wobei das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eine besondere Rolle spielen soll. Das Innenministerium will diese Einrichtung zur zentralen Aufsichtsbehörde ausbauen. Vor dem beschriebenen Hintergrund ist es naheliegend, dass sich die Methode der Risikoanalyse an der des BBK orientiert.

Präventive Lösungen sorgen für den nötigen Halt

Die Risikoanalyse im Bevölkerungsschutz erlaubt eine vergleichende Gegenüberstellung unterschiedlicher Risiken und Gefahren in einer Risikomatrix, die sich international bereits bewährt hat (ISO 31010 2009). Letztere zeigt die Eintrittswahrscheinlichkeit und das Schadensausmaß für jede betrachtete Gefahr. Im Vorfeld einer Risikoanalyse sind Vorarbeiten erforderlich. Die Vorarbeiten bestehen unter anderem aus den folgenden Leistungen:

• Planung und Organisation der verwaltungstechnischen Umsetzung
• Einrichtung eines Lenkungsausschusses
• Erstellung eines Projektablaufplanss
• Auswahl der zu prüfenden Gefahren / Ereignisse

Die entwickelten Standards können auf die Analysen der folgenden Jahre zur Anwendung gebracht werden.

Die Risikoanalyse im Bevölkerungsschutz besteht aus fünf aufeinanderfolgenden sachlogischen Schritten.

Schritt 1: Die Beschreibung des Bezugsgebietes
Bei einem Bezugsgebiet handelt es sich um eine geschlossene Einheit, bspw. das gesamte Gebiet der Bundesrepublik Deutschland, einen Regierungsbezirk, einen Landkreis oder eine Gemeinde. Die Beschreibung umfasst neben geografischen Gegebenheiten Angaben zur Bevölkerung, zur Umwelt, zur Wirtschaft und zur Versorgung. Den genannten Merkmalen werden zur späteren Ermittlung des Schadensausmaßes weiterführende Informationen und die dafür notwendigen Informationsquellen hinzugefügt.

Schritt 2: Die Auswahl der Gefahr und Beschreibung des Szenarios
Ausgehend von einer definierten Gefahr wird im zweiten Schritt ein Szenario als Ausgangspunkt skizziert. Damit eine möglichst präzise und konsistente Bestimmung der Schadenseintrittswahrscheinlichkeit und des zu erwartenden Schadensausmaßes vorgenommen werden kann, muss auch das Ereignis klar und präzise beschrieben werden. Eine gute Orientierung und Auswahl von Risiken/Gefahren bietet der „Allgefahren-Ansatz“ des BBK. Die Beschreibung des Szenarios besteht aus verschiedenen Parametern (z. B. Art, räumliche Ausdehnung, Intensität, Zeitpunkt und Dauer) und den dazugehörigen Leitfragen (z. B. Wo ist das passiert? Wie stark ist das Ereignis?). Durch die Beschreibung des schlimmstmöglichen Verlaufs können Defizite bei der Szenarienbildung aufgedeckt werden.

Schritt 3: Die Bestimmung der Eintrittswahrscheinlichkeit
Im dritten Schritt wird die Eintrittswahrscheinlichkeit durch den Arbeitskreis auf einer fünfstufigen Skala bestimmt. Die Parametrisierung reicht von der Klassifizierung 1 ‚sehr unwahrscheinlich‘ bis zur Klassifizierung 5 ‚sehr wahrscheinlich‘ und nimmt in der Risikomatrix die x-Achse ein. Um die Vergleichbarkeit aller Szenarien zu gewährleisten, ist es notwendig, stets die gleiche Klassifizierungsbeschreibung vorzunehmen.

Schritt 4: Die Bestimmung des Schadensausmaßes
Im vierten Schritt werden den Schutzgütern Schadensparameter zugeordnet, um die zu erwartenden Schäden schätzen zu lassen. Um zu zügigen Ergebnissen zu gelangen, wird hier ein bestimmter Abstraktionsgrad eingehalten. Nach der Festlegung von Schwellenwerten findet eine Einordnung in ebenfalls fünf Klassifikationsstufen statt. Die Klassifikationen reichen von 1 ‚unbedeutend‘ bis 5 ‚katastrophal‘ und werden in der y-Achse der Risikomatrix dargestellt. Als Zielwert kann der Gesamtschadenswert durch die Bildung des arithmetischen Mittels aller Werte der Schadensparameter ermittelt werden. Wie im Falle der Eintrittswahrscheinlichkeit ist auch bei diesem Schritt auf eine einheitliche Bezeichnung zu achten, damit eine Vergleichbarkeit gewährleistet ist.

Schritt 5: Die Ermittlung und Visualisierung des Risikos
In der Risikomatrix werden die Risiken für die verschiedenen Szenarien mittels Punkteintrag in der Grafik visualisiert, wobei deren Farbskalierung die Wahrscheinlichkeit und das festgestellte Schadensausmaß visuell unterstreicht. In der folgenden Abbildung werden die einzelnen Schritte der Risikoanalyse des Bevölkerungsschutzes zusammengefasst.

Durch die Anwendung der beschriebenen Methode der Risikoanalyse kommt es zu einem Überblick über die Risikolandschaft der jeweiligen KRITIS. Dieser Themenkomplex erhält im Kontext des KHZG (Krankenhauszukunftsgesetz), ÖGD (Öffentlicher Gesundheitsdienst) und OZG (Onlinezugangsgesetz) nun eine völlig neue Bedeutung. Die aus der Risikoanalyse entwickelten Szenarien lösen zahlreiche Prozesse aus, die bei Digitalisierungsprojekten unbedingt neu bewertet und berücksichtigt werden müssen.

Sie möchten mehr erfahren? Say hi to: johannes.palm@moysies.de