Resilienzplan: Vom Risiko zur umgesetzten Maßnahme in zehn Monaten
Der Resilienzplan ist das zentrale Dokument des KRITIS-Dachgesetzes. Er übersetzt die Risikoanalyse in konkrete technische, personelle und organisatorische Maßnahmen, die spätestens zehn Monate nach der Registrierung umgesetzt sein müssen. Diese Seite zeigt, wie ein Resilienzplan aufgebaut wird, welche Bausteine hineingehören, wie er sich mit Notfallmanagement und den Cyber-Pflichten des BSIG verzahnt und wie Sie die Umsetzung nachweisen.
- 10 Monate nach Registrierung müssen die Maßnahmen umgesetzt sein
- 6 Bausteine von der physischen Sicherheit bis zu Übungen und Nachweisen
- § 30 BSIG Cyber-Maßnahmen, die mit dem Resilienzplan zusammenlaufen
- 200.000 € Bußgeld, wenn Resilienzplan oder Nachweise fehlen
Die Risikoanalyse bestimmt den Plan
Ein Resilienzplan ist nur so gut wie die Risikoanalyse darunter. Sie legt fest, gegen welche Ereignisse die Anlage geschützt wird und wie viel Schutz angemessen ist.
- Naturgefahren und Technik
Hochwasser, Sturm, Hitze, Ausfälle
Extremwetter, Erdbewegungen, Brände, Explosionen, technisches Versagen zentraler Komponenten, Ausfall von Strom, Wasser oder Kommunikation. Bewertet nach Standort, Bauweise und Redundanz der Anlage.
- Menschliches Handeln
Sabotage, Terrorismus, Innentäter
Gezielte Angriffe auf die Anlage, Eindringen, Manipulation, Drohnen, Innentäter mit Zutritt und Wissen. Bewertet nach Exponiertheit, Zutrittsschutz, Überwachung und Personalsicherheit.
- Abhängigkeiten
Personal, Zulieferer, Infrastrukturen
Ausfall von Schlüsselpersonal durch Krankheit, Pandemie oder Streik, Ausfall von Zulieferern und Dienstleistern, Störungen in anderen kritischen Infrastrukturen, von denen die Anlage abhängt. Häufig unterschätzt, oft am folgenreichsten.
Cyber gehört dazu: Ein Ransomware-Angriff auf die Leittechnik führt zur selben Frage wie ein Hochwasser: Wie lange darf die Anlage stehen, und wie kommt sie wieder hoch? Eine Risikoanalyse, die physische und digitale Gefahren gemeinsam betrachtet, erfüllt das Dachgesetz und liefert die Grundlage für das Risikomanagement nach § 30 BSIG.
Was in den Resilienzplan gehört
Sechs Maßnahmenbereiche, jeweils mit Bezug zu den identifizierten Risiken, mit Verantwortlichen, Termin und dem Nachweis, der die Umsetzung belegt.
| Baustein | Typische Maßnahmen | Nachweis |
|---|---|---|
| Physische Sicherheit | Perimeterschutz, Zutrittskontrolle mit Zonenkonzept, Überwachung und Alarmierung, Schutz kritischer Komponenten, Objektschutz durch eigenes Personal oder Dienstleister | Sicherheitskonzept, Zutrittsregelungen, Prüfprotokolle der Anlagen, Wartungsnachweise |
| Notfallvorsorge und Wiederanlauf | Notfall- und Wiederanlaufpläne je Szenario, Redundanzen und Ersatzversorgung, Notstrom und Betriebsstoffe, Krisenstab mit Alarmierungskette, Kommunikation mit Behörden und Öffentlichkeit | Notfallhandbuch, Alarmierungsliste, Übungsprotokolle, Wartungsnachweise für Notstrom |
| Personal | Verfügbarkeit von Schlüsselpersonal, Vertretungsregelungen, Mindestbesetzung im Krisenfall, Zuverlässigkeitsprüfungen im rechtlich zulässigen Rahmen, Regelungen für Fremdpersonal | Vertretungsmatrix, Besetzungsplan, Prozess für Ein- und Austritte, Regelungen für Dienstleister |
| Schulung und Übungen | Sensibilisierung aller Beschäftigten, Rollenschulung für Krisenstab und Anlagenpersonal, jährliche Krisenstabsübung, anlassbezogene Übungen nach Änderungen | Schulungskonzept, Teilnahmenachweise, Übungsprotokolle mit Auswertung und Maßnahmen |
| Zulieferer und Abhängigkeiten | Bewertung kritischer Lieferanten und Dienstleister, Ersatzlieferanten, Vorräte, vertragliche Anforderungen an Verfügbarkeit und Krisenkommunikation, Abstimmung mit vorgelagerten Infrastrukturbetreibern | Lieferantenbewertung, Verträge mit Resilienzklauseln, Vorratsplanung |
| Organisation und Steuerung | Verantwortliche je Maßnahme, Kontaktstelle für BBK und BSI, Berichtsweg zur Geschäftsleitung, Fortschreibung von Risikoanalyse und Plan, Verzahnung mit ISMS und BCM | Beschluss der Geschäftsleitung, Maßnahmenverzeichnis mit Status, Prüf- und Aktualisierungszyklus |
Resilienzplan, BCM und § 30 BSIG aus einer Quelle
Betreiber kritischer Anlagen unterliegen dem Dachgesetz und dem BSIG. Wer beide Pflichtenkreise getrennt bearbeitet, erstellt dieselben Analysen zweimal und erhält widersprüchliche Pläne.
- BCM
Notfallmanagement als Kern
Business-Impact-Analyse, Wiederanlaufzeiten, Notfall- und Wiederanlaufpläne, Krisenstab und Übungen sind der gemeinsame Kern von Resilienzplan und Cyber-Notfallmanagement. Ein vorhandenes BCM, etwa nach ISO 22301 oder BSI-Standard 200-4, wird erweitert, nicht ersetzt.
- § 30 BSIG
Cyber-Maßnahmen mit Überschneidung
Das BSIG verlangt unter anderem aufrechterhaltung des betriebs: backup, wiederherstellung, krisenmanagement, sicherheit der lieferkette sowie personalsicherheit, zugriffskontrolle und anlagenmanagement. Genau diese Bereiche fordert auch das Dachgesetz. Ein gemeinsames Maßnahmenverzeichnis ordnet jede Maßnahme beiden Anforderungen zu.
- Nachweise
Ein Ordner für zwei Behörden
Risikoanalyse, Maßnahmenverzeichnis, Übungsprotokolle und Wirksamkeitsnachweise werden einmal geführt und je Behörde gefiltert: für das BBK der Resilienzplan mit Umsetzungsstand, für das BSI der Nachweis alle drei Jahre nach § 39 BSIG. Änderungen werden an einer Stelle gepflegt.
Anlagenspezifisch statt konzernweit: Der Resilienzplan bezieht sich auf die kritische Anlage. Ein konzernweites BCM liefert den Rahmen, die Maßnahmen müssen aber für die konkrete Anlage, ihren Standort und ihre Abhängigkeiten beschrieben und nachweisbar sein.
Ein Plan ist erst dann ein Plan, wenn er geübt wurde
Übungen zeigen, ob Alarmierung, Entscheidungswege, Ersatzversorgung und Meldefristen halten. Sie sind zugleich der Nachweis, den beide Behörden sehen wollen.
- Jährliche Krisenstabsübung mit Geschäftsleitung, Anlagenverantwortlichen, Sicherheit, IT und Kommunikation, mit wechselnden Szenarien.
- Mindestens ein Szenario, das physische und digitale Störung kombiniert, etwa Stromausfall mit gleichzeitig gestörter Leittechnik.
- Alarmierungsübung ohne Vorankündigung: Erreichbarkeit der Kontaktstelle und des Krisenstabs außerhalb der Bürozeiten.
- Wiederanlauftest für die wichtigsten Ersatzsysteme, etwa Notstrom unter Last, Ersatzversorgung, manuelle Betriebsweise.
- Protokoll je Übung mit Beobachtungen, Abweichungen, abgeleiteten Maßnahmen und Verantwortlichen; Nachverfolgung im Maßnahmenverzeichnis.
- Aktualisierung von Risikoanalyse und Resilienzplan nach jeder Übung und nach jeder wesentlichen Änderung an Anlage oder Organisation.
- Nachweise so abgelegt, dass sie dem BBK auf Verlangen und dem BSI zum Drei-Jahres-Nachweis ohne Nacharbeit vorgelegt werden können.
Wie eine Krisenübung für Geschäftsleitung und Krisenstab abläuft, beschreibt die Seite Krisenübung (Tabletop) auf jamorie.eu.
Resilienzplan in vier Schritten
Wir arbeiten mit Anlagenverantwortlichen, Sicherheit, Personal, Einkauf, IT und Geschäftsleitung zusammen und liefern einen Plan, der umgesetzt und nachgewiesen werden kann.
-
Bestandsaufnahme
Vorhandene Analysen, Notfallpläne, Sicherheitskonzepte, Managementsysteme und Übungsprotokolle sichten. Anlage, Abhängigkeiten und Schnittstellen zu anderen Infrastrukturen abgrenzen. Ergebnis: Was ist da, was fehlt gegenüber dem Pflichtenkatalog.
-
Integrierte Risikoanalyse
Gefahren aus Natur, Technik, menschlichem Handeln, Abhängigkeiten und Cyber je Anlage bewerten. Workshops mit den Fachbereichen, Begehung der Anlage, Auswertung vorhandener Daten. Ergebnis: bewertete Risikoliste mit Handlungsbedarf.
- Dauer: vier bis acht Wochen je nach Anlagenzahl
- Ergebnis erfüllt Dachgesetz und § 30 BSIG gleichermaßen
-
Resilienzplan und Maßnahmenverzeichnis
Maßnahmen je Baustein ableiten, mit vorhandenen Maßnahmen abgleichen, nach Risiko und Frist priorisieren, Verantwortliche und Budget festlegen. Beschluss durch die Geschäftsleitung. Ergebnis: der Resilienzplan mit Zuordnung jeder Maßnahme zu Dachgesetz und BSIG.
-
Umsetzung begleiten, üben, nachweisen
Begleitung innerhalb der Zehn-Monats-Frist, Aufbau des Nachweis-Ordners, Krisenstabsübung mit Auswertung, Vorbereitung auf Anfragen des BBK und den Nachweis nach § 39 BSIG.
Wenn Ihr Notfallmanagement noch am Anfang steht, lesen Sie Notfallmanagement: In 30 Tagen einsatzbereit auf jamorie.eu.
Vertiefung zu KRITIS
-
KRITIS-Übersicht
Dachgesetz und BSIG im Vergleich, unser Vorgehen für beide Gesetze und der Selbsttest für Betreiber kritischer Anlagen.
-
Pflichten nach dem Dachgesetz
Registrierung binnen drei Monaten, Risikoanalyse, Resilienzplan, Maßnahmen nach zehn Monaten, Bußgelder bis 200.000 €.
-
Betroffenheit und Schwellenwerte
Zehn Sektoren, die Leitlogik von rund 500.000 versorgten Personen, Anlagenkategorien per Verordnung und die Doppelrolle mit dem BSIG.
Resilienzplan kurz beantwortet
Gibt es eine vorgeschriebene Gliederung für den Resilienzplan?
Das Dachgesetz schreibt keine Formatvorlage vor, benennt aber die Maßnahmenbereiche: Verhindern, Abwehren, Folgen begrenzen und Wiederanlauf, mit Notfallvorsorge, physischer Sicherheit, Personal und Schulungen. Ein Plan, der je identifiziertem Risiko die Maßnahmen, Verantwortlichen, Termine und Nachweise auflistet und von der Geschäftsleitung beschlossen ist, erfüllt den Zweck. Wichtiger als die Gliederung ist der nachvollziehbare Bezug zur Risikoanalyse.
Wir haben ein BCM nach ISO 22301. Ist das schon ein Resilienzplan?
Ein großer Teil davon. Business-Impact-Analyse, Notfall- und Wiederanlaufpläne und Übungen decken die Notfallvorsorge ab. Ergänzen müssen Sie in der Regel die physische Sicherheit der Anlage, die Personalsicherheit im Sinne von Zuverlässigkeit und Verfügbarkeit sowie eine Risikoanalyse, die Sabotage, Terrorismus und den Ausfall abhängiger Infrastrukturen ausdrücklich betrachtet. Wir bauen auf dem BCM auf, statt daneben ein zweites System zu errichten.
Wie oft müssen wir üben?
Das Gesetz nennt Schulungen und Übungen als Maßnahmen, ohne einen festen Turnus vorzugeben. Bewährt hat sich eine Krisenstabsübung pro Jahr mit wechselnden Szenarien und zusätzlich anlassbezogene Übungen nach größeren Änderungen an Anlage, Organisation oder Plan. Jede Übung wird protokolliert und liefert damit gleichzeitig den Nachweis gegenüber BBK und BSI.
Wie halten wir Resilienzplan und BSIG-Maßnahmen zusammen?
Über eine gemeinsame Risikoanalyse und ein gemeinsames Maßnahmenverzeichnis. Jede Maßnahme trägt die Kennung, welche Anforderung sie erfüllt: Dachgesetz, § 30 BSIG oder beide. Notfallmanagement, Lieferkettensicherheit, Personalsicherheit und Zutrittskontrolle sind typische Maßnahmen für beide Seiten. So entsteht ein Nachweis-Ordner, aus dem Sie für jede Behörde die passende Sicht ziehen.
Was, wenn wir die Zehn-Monats-Frist nicht vollständig halten können?
Priorisieren Sie nach Risiko und dokumentieren Sie den Umsetzungsstand mit Begründung und Zeitplan für die offenen Maßnahmen. Bauliche Maßnahmen wie Perimeterschutz oder Redundanzen dauern oft länger als zehn Monate; hier zählen belegbare Beschlüsse, Beauftragungen und Zwischenlösungen. Ein Plan mit transparentem Status ist gegenüber der Behörde deutlich besser als ein vollständiger Plan ohne Umsetzung.
Marcel Rieger
Sprechen wir über Ihren Resilienzplan
Im kostenlosen Erstgespräch prüfen wir, was aus vorhandenen Plänen und Managementsystemen angerechnet werden kann, wo die Lücken zum Pflichtenkatalog liegen und wie die Zehn-Monats-Frist zu halten ist.
- Abgleich vorhandener Pläne mit den sechs Bausteinen
- Die kritischsten Lücken und ihre Behebung
- Aufwand und Zeitplan bis zum Nachweis
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen