Expertenwissen für DGQ-Mitglieder

Welche Regelwerke sind ein gutes Rüstzeug für optimales Krisenmanagement im Störfall?

2 Krisenmanagement im Störfall

Expertenwissen für DGQ-Mitglieder

Einführung

„Sicherheit ist die Basis für ein freies Leben und ein wich-

tiger Faktor für unseren Wohlstand in Deutschland. Durch

den modernen Fortschritt unterliegen die Herausforderun-

gen an die Sicherheit jedoch einem permanenten Wandel.

Versorgungsnetze als Lebensnerven unserer Gesellschaft

können trotz robuster Technik schon durch kleinste Stö-

rungen ausfallen.“1

Im Rahmen der Hightech-Strategie der Bundesregierung

findet die zivile Sicherheitsforschung zeitgemäße Lö-

sungsansätze für die sich wandelnden Bedrohungsszena-

rien. Die Deutsche Gesellschaft für Qualität (DGQ) leistet

dazu innerhalb des interdisziplinären Forschungspro-

jektes InnoGeSi.net2 einen Beitrag und untersucht, mit

welchen Systemen und Werkzeugen Organisationen sich

heute den Aufgaben im Risiko-, Notfall- und Kontinui-

tätsmanagement stellen. Die DGQ steht hier – im Sinne

der Netzwerkgestaltung qua Organisationsziel – auch

für den Wissenstransfer zwischen Praktikern und der

Arbeit in dem vom Bundesministerium für Bildung und

Forschung (BMBF) geförderten Projekt. Eine der zentralen

Forschungsfragen ist dabei die nach der richtigen Rolle

bewährter oder neuer (noch zu entwickelnder) Normen

und Standards.

Sicherheit von Kritischen Infrastrukturen

Das reibungslose Funktionieren Kritischer Infrastruktu-

ren ist für unsere Gesellschaft und das Gemeinwesen von

fundamentaler Bedeutung. Störungen oder Ausfälle kön-

nen Konsequenzen mit sich bringen, die einen immensen

volkswirtschaftlichen Schaden oder gar gesellschaftliche

Verwerfungen zur Folge haben. Vor diesem Hintergrund

müssen Organisationen, die im Bereich der Kritischen

Infrastrukturen tätig sind, ganz besonderes Augenmerk

auf Sicherheitsvorkehrungen richten.

Im Zuge der Privatisierungswellen der vergangenen

Jahrzehnte wurde immer mehr Verantwortung an pri-

vatwirtschaftliche Unternehmen übergeben. Energie,

Gesundheitswesen, Telekommunikation, Verkehr3 –

allesamt kritische Bereiche, aus denen sich der Staat in

den vergangenen Jahren mehr und mehr zurückgezogen

hat. Befürworter dieser Tendenzen verweisen darauf,

dass gerade Privatisierungen die Entwicklung innovativer

Geschäftsmodelle durch wirtschaftlichen Wettbewerb

ermöglichen. Daher sei es im Sinne der Gesellschaft, dass

auch Kritische Infrastrukturen in die Privatwirtschaft aus-

gelagert werden. Im Gegenzug müssten die Unternehmen,

die mit ihren „kritischen Produkten“ Gewinne erwirt-

schaften, auch dafür sorgen, dass sie stabile und solide

Dienstleistungen erbringen.

Kritische Infrastrukturen benötigen also eine besondere

Absicherung durch funktionierendes Risiko-, Notfall- und

Kontinuitätsmanagement. Zeitgemäße und umsetzbare

Welche Regelwerke sind ein gutes Rüstzeug für optimales Krisenmanagement im Störfall?

1 Bundesministerium für Bildung und Forschung: http://www.bmbf.

de/de/6293.php; 13.5.2014 2 Forschungsgegenstand des Verbundforschungsprojekts InnoGeSi.

net ist die zukünftige Organisation der Sicherung von Versorgungs-

netzen auf regionaler und überregionaler Verbundbasis als wesent-

licher Bestandteil kritischer Infrastrukturen. Szenarisch werden

dabei neue Geschäftsmodelle für Betreiber, die Assekuranz und die

Projektfinanzierungsbranche entwickelt und auf ihre ökonomischen

und sicherheitstechnischen Auswirkungen hin untersucht.

3 Im Rahmen der Energiewende bzw. im Gesundheitswesen befinden

wir uns derzeit in einer Phase, die u.a. durch verstärkte staatliche

Aktivität gekennzeichnet ist. Das grundsätzliche Primat der fort-

schreitenden privatwirtschaftlichen Organisation der Sektoren bleibt

dadurch allerdings unangetastet.

3

Normen und Standards sollen hierbei einen belastbaren

Rahmen bieten und darüber hinaus weitere Innovations-

anstrengungen unterstützen.

Risiken und das veränderte Bedrohungsumfeld

Das deutsche System des Katastrophenschutzes ist

geprägt durch eine Struktur der Freiwilligendienste, wie

zum Beispiel das Technische Hilfswerk oder die Frei-

willigen Feuerwehren, sowie durch ein föderalistisches

System, welches Zuständigkeiten sowohl auf den Bund als

auch auf die Länder verteilt. Birgt dieses – zwar in sich

hoch entwickelte – System, nicht auch die Gefahr einer

fehlenden Professionalisierung oder der unklar verteilten

Zuständigkeiten? Gerade im Freiwilligendienst spielt der

sozio-demographische Wandel eine bedeutende Rolle.

Und auch andere gesellschaftlich-politische Entwick-

lungen zeigen ihre Effekte: allein durch den Wegfall der

Wehrpflicht verzeichnete das Technische Hilfswerk im

Jahre 2011 beispielsweise einen Rückgang von 2000 akti-

ven Einsatzkräften.4

Vor diesem Hintergrund ist eine von privatwirtschaft-

lichen Betreibern mitgetragene Sicherheitsarchitektur

Kritischer Infrastrukturen eine Säule, auf die gesetzt

werden muss. Aber, wo endet die Verantwortung der Un-

ternehmen und wo müssen staatliche Strukturen Sicher-

heit gewährleisten? Inwiefern ist das System fähig, den

veränderten Rahmenbedingungen auch in Bezug auf den

technischen Fortschritt, den neuen Herausforderungen

einer dezentralen Energieversorgung oder veränderten

Bedrohungsszenarien, wie asymmetrischen Terrorismus

oder Cyberwar-Attacken standzuhalten? Wie kann si-

chergestellt werden, dass beispielsweise auch kleine und

mittlere Unternehmen eine entsprechende Sicherheitsinf-

rastruktur vorhalten?

Außerdem bergen neue Kooperationsmodelle, die län-

derübergreifend von Großkonzernen oder Konsortien

vorangetrieben werden, vielerlei Risiken. Politische

Entwicklungen können ein Geschäftsmodell unberechen-

bar stören (arabischer Frühling, Rückführung staatlicher

Subventionen, Ukraine-Krise), oftmals spielen aber auch

Marktunsicherheiten, wie ein nicht antizipierter Preisver-

fall durch verstärkten Wettbewerb, eine Rolle (Photovolta-

ik aus China).

Wo der Staat sich aus Bereichen hoheitlicher Aufgaben

zurückzieht, wachsen Bereiche, in denen private Akteure

als Anbieter sicherheitsbezogener Technologien, Produkte

oder Dienstleistungen Märkte erschließen können. Welche

positiven, aber auch ambivalenten oder problematischen

Folgeentwicklungen ergeben sich daraus? Wie lässt sich

das Sicherheitsniveau mittels möglichst objektiver Kriteri-

en messbar machen und wie wird eine kontinuierliche

Weiterentwicklung im Sinne der Kernaufgabe, nämlich der

Gewährleistung von Sicherheit und Schutz der Bevölke-

rung vor Bedrohungen ermöglicht?

So stellen sich – über die grundlegende Legitimation

hinaus – mit den Versprechungen und Erwartungen sol-

cher Privatisierungen eine Vielzahl an Fragen, die wir als

Gesellschaft beantworten müssen.

Normen, Standards und Systeme

Um Unsicherheiten beherrschbar zu machen, setzen

Normen und Standards einen klar definierten Hand-

lungsrahmen für die Stakeholder. Interessant ist vor den

oben skizzierten Herausforderungen, dass mit aktuellen

Normen durch eine Ausweitung der Systemgrenzen die

Perspektive über die Sicherheit der Organisation hinaus

auf die Sicherheit und den Schutz der Gesellschaft ausge-

weitet wird. So steht etwa die gesamte ISO-Normenreihe

223 zum Business Continuity Management unter der

Überschrift „societal security“.

Als anerkannte Regeln der Technik sollen Normen

als Werkzeuge dienen, die den marktwirtschaftlichen

Wettbewerb fördern und ein Instrument der Markter-

schließung darstellen. Darüber hinaus können sie einen

Beitrag leisten, Innovationen zu autorisieren und ihnen

eine Relevanz zu geben. Normung und Standardisierung

sind Bestandteil der Hightech-Strategie 20205 des BMBF

und „werden in Deutschland zunehmend integraler

Bestandteil des Forschungs- und Innovationsprozesses,

denn frühzeitig eingeleitet fördern sie den Transfer von

Forschungsergebnissen in marktfähige Produkte und

Dienstleistungen und den schnellen Marktzugang von

Innovationen“.

Dennoch gibt es immer wieder Akzeptanzprobleme, da

Normen und Standards oft als ein treibender Faktor der

Bürokratisierung und Reglementierung von Organisati-

onen wahrgenommen werden. Die Regelwerke müssen

4 Technisches Hilfswerk (2012): Jahresbericht 5 Hightech-Strategie 2020 Literaturstelle

4 Krisenmanagement im Störfall

Expertenwissen für DGQ-Mitglieder

also so gestaltet werden, dass ihre Umsetzung einen klar

erkennbaren Nutzen für die Organisation stiftet. Hier

kommt mit der notwendigen – kontinuierlichen – Über-

prüfbarkeit/Messbarkeit der Leistungsfähigkeit ein As-

pekt zum tragen, der in den vergangenen Jahren sowohl

die Debatte über, dann aber auch die (Weiter-)Entwicklung

von Normen und Standards mitgeprägt hat. Die Darstell-

barkeit des Beitrages von Maßnahmen und Systemen zur

Erreichung der Organisationsziele ist hinsichtlich einer

breiten Akzeptanz innerhalb der Organisation von zent-

raler Bedeutung.

Es gibt weltweit, in Europa und in Deutschland zahlreiche

Standards und Normen, die sich auf Aspekte des Manage-

mentsystems6 von Organisationen beziehen. Manage-

mentsysteme helfen der Führungsmannschaft bei der

Erreichung der Organisationsziele. Ein möglichst organi-

sationsweiter und integrativer Betrieb von verschiedenen

Managementsystemen, zum Beispiel in den Bereichen

Qualität, Umwelt oder Arbeitssicherheit, birgt dabei

große Potentiale und wird in den letzten Jahren vielerorts

verstärkt vorangetrieben. Welche Managementsysteme

derzeit primär in Integrierten Managementsystemen be-

trieben werden, zeigen aktuelle Befragungsergebnisse.7

Abbildung: Innerhalb von Integrierten Managementsystemen genutzte Managementsysteme

Erfolgsgeschichte QM

Die in Deutschland in der zweiten Hälfte der 1980er Jahre

beginnende Zertifi zierung der Qualitätsmanagementsys-

teme hatte zum Ziel, zwischen Geschäftspartnern (Kunde

– Lieferant) eine grundlegende Systemkompatibilität

sicherzustellen und dadurch eine höhere Verlässlichkeit

zu erreichen. Zertifi zierung ersetzte aufwändige eige-

ne Recherchen und Begutachtungen durch die Kunden.

Allein in Deutschland sind an die 50.000 Unternehmen

nach ISO 9001 zertifi ziert8. Und natürlich nutzt eine Viel-

zahl weiterer Organisationen die Referenznorm – ohne

Zertifi kat – als Folie.

Mit der Weiterentwicklung der ISO 9001 wird nun der

Bedeutung der Risikokomponente Rechnung getragen.

Nach Fahrplan der Revision sollte im September 2015

die turnusgemäße Neufassung vorliegen. Neben anderen

Themen, wie Berücksichtigung von Interessengruppen

(Stakeholder-Perspektive) und einer stärkeren Gewichtung

6 Ein Managementsystem ist ein System zur Festlegung von Politik

und Zielen sowie zum Erreichen dieser Ziele (ISO 9000:2005, Defi ni-

tion 3.2.2) bzw. ein Rahmenwerk von Leitlinien, Verfahren, Richtlini-

en und den zugehörigen Ressourcen, um die Ziele der Institution zu

erreichen (DIN ISO/IEC 27000:2011-07). Dementsprechende Systeme

sind selbstverständlich in einer Vielzahl von Ausprägungsformen in

Organisationen vorhanden. Es bleibt weiter festzustellen, dass weder

der Bezug auf eine Norm, noch eine etwaige Zertifi zierung zwingen-

de Voraussetzung für ein Managementsystem sind, das die Anforde-

rungen oben erfüllt.7 Vgl. DGQ Monitor Onlinebefragung (2014): Wie bekommen Sie Ihre

Risiken in den Griff? Sind Sie für den Notfall gewappnet? Deutsche

Gesellschaft für Qualität, Frankfurt a. M.8 http://www.iso.org/iso/survey2008.pdf, 30.11.2011

5

kommunikativer Elemente, wird es eben auch der Um-

gang mit Risiken sein, der neu eingeordnet werden soll.

Aus Trendprognosen und Zukunftsstudien ist darüber

hinaus abzuleiten, dass das Thema Risikomanagement in

den Unternehmen zukünftig verstärkt als Teil Integrierter

Managementsysteme organisiert werden wird und der

Zuständigkeit der Qualitätsmanager zugeordnet werden

kann.9

Risiken und Störfälle managen – aktuelle Systemansät-

ze und Wissenstransfer

Die systematische Identifikation und Bewertung von Risi-

ken sowie die Umsetzung risikomindernder Maßnahmen

sind wesentliche Bausteine eines Managementsystems. Es

gilt, Unternehmen bei dem Ziel zu unterstützen, mögliche

Gefahren durch ein strukturiertes Risikomanagement

zu identifizieren, zu analysieren und zu bewerten sowie

Störfälle oder Krisen mit Hilfe von Notfall- und Kontinui-

tätsmanagement zu meistern. Wobei nach der – möglichst

reibungslosen – Rückkehr zum Normalbetrieb erst die

strukturierte Aufbereitung und das zur Verfügung stellen

des relevanten Wissens in Richtung Präventionsmaßnah-

men, Risikobeurteilung sowie Notfall- und Kontinuitäts-

management ein umfassendes und integrales Sicherheits-

handeln in der Organisation ermöglicht.

Neue Geschäftsmodelle, wie sie etwa im Rahmen des

Forschungsprojektes InnoGeSi.net entwickelt werden,

generieren dabei neue und teilweise spezifische Anfor-

derungen an entsprechende Managementsysteme, die

strukturiert zu adaptieren sind.

Es ist festzustellen, dass im Rahmen derzeitiger (Weiter-)

Entwicklungstendenzen im Bereich der Normen in Teilen

bereits allgemeinere aktuelle Aspekte – Stichwort

„societal security“ – aufgegriffen wurden. Weitere, teil-

weise spezifischere Gesichtspunkte, etwa eine fehlende

übergreifende Terminologie für den Störfall in leitungs-

gebundenen Infrastrukturen, konnten durch die For-

schungsarbeiten identifiziert.

Besondere Beachtung verdienen zeitgemäße Systeman-

sätze, welche die Förderung von innovativen Geschäfts-

modellen – insbesondere für die Sicherheit von Netz-

versorgungsinfrastrukturen – berücksichtigen. Mit Blick

auf die eingangs beschriebenen Herausforderungen der

zivilen Sicherheitsforschung können diese als notweniger

Bezugsrahmen für innovatives und kooperatives Handeln

aller Stakeholder genutzt werden. Darüber hinaus werden

Erkenntnisse aus der Projektarbeit im Netzwerk der DGQ

zur Verfügung gestellt. Unter der Annahme, dass der

Wertschöpfungsprozess branchenübergreifend auf ähn-

lichen Merkmalen beruht, da definierte Anforderungen,

Aufgaben oder Prozesse vergleichbar sind, können von

Organisationen mit ganz unterschiedlichen Strukturmerk-

malen gute Praktiken erkannt oder innovative Lösungs-

ansätze identifiziert werden. Was und wie machen es

die Anderen? Unter dieser Leitfrage werden in Zukunft

Erkenntnisse zu Risiko-, Notfall-, und Kontinuitätsma-

nagement aus dem InnoGeSi.net-Projekt darstellt.

Projektskizze InnoGeSi.net

Das interdisziplinäre Verbundforschungsprojekt be-

fasst sich mit der Sicherheit von Energienetzen in einem

privat- und volkswirtschaftlichen Umfeld. Ziel des

Gesamtprojektes ist, neue Geschäftsmodelle für Betrei-

ber, Entstörungsdienste, Versicherer und Investoren zu

erarbeiten.

Gefördert wird das bis September 2015 laufende Projekt

vom Bundesministerium für Bildung und Forschung. Es

vereint verschiedene Partner, die unterschiedliche Teilas-

pekte beleuchten:

> Hamburgisches WeltWirtschaftsInstitut gemeinnüt-

zige GmbH (HWWI), Hamburg: Makroökonomie &

Sicherheit

> Institut für Anlagen und Systemtechnologien der Uni-

versität Münster: Intelligente Finanzierungslösungen

> Kompetenzzentrum Versicherungswissenschaften

GmbH, Hannover: Versicherung und Schadensverhü-

tung

> Deutsches Institut für Normung e. V., Berlin: Normen

& Standards – Recherche & Definition

> Deutsche Gesellschaft für Qualität e. V., Frankfurt:

Normen & Standards – Transfer

9 Vgl. Sommerhoff (2010): Ein Zukunftsszenario für das Qualitätsma-

nagement – Ableitung eines Szenarios für das Qualitätsmanagement

und den Beruf Qualitätsmanager aus bestehenden Trendprognosen,

in Winzer, Petra (Hrsg.) (2010); Berichte zum Generic-Management

– Entwicklungen im Wuppertaler Generic-Management-Konzept,

Shaker Verlag, Aachen

6 Krisenmanagement im Störfall

Expertenwissen für DGQ-Mitglieder

> NBB – Netzgesellschaft Berlin Brandenburg: Innovative

Geschäftsmodelle für Sicherheit

> nexus – Institut für Kooperationsmanagement und

interdisziplinäre Forschung e. V., Berlin: Innovative

Geschäftsmodelle für Sicherheit

> GESI Deutsche Gesellschaft für Systeminnovation

mbH, Berlin: Marktinnovation

Die DGQ hat den Auftrag, Systemansätze zum Risiko-

und Business Continuity-Management zu identifizieren

und weiterzuentwickeln und den Transfer von relevanten

Regelwerken zur Förderung von innovativen Geschäfts-

modellen für die Sicherheit von Netzversorgungsinfra-

strukturen zu operationalisieren. Zur Verbreitung der

Projektergebnisse werden im Rahmen eines branchen-

übergreifenden Wissenstransfers die Möglichkeiten des

DGQ Netzwerks genutzt.

Autoren

Agathe Brecht ist als Wissensmanagerin im Bereich

Markt & Information bei der DGQ tätig. Ihre langjährige

Erfahrung im Wissensmanagement und Research bringt

sie unter anderem im Rahmen des Forschungsprojektes

InnoGeSi.net für die DGQ ein. Ihr Schwerpunkt liegt im

besonderen in der Informationsrecherche, -aufberei-

tung und Analyse sowie im Verfassen von Inhalten.

Malte Fiegler untersucht im Bereich Markt & Information

für die DGQ Organisationen primär im Rahmen von

Markt- und Datenanalyseprojekten. In einer Verbindung

aus Identifikation und Aufbereitung relevanter Informa-

tionen sowie der Erzeugung eigener Inhalte setzt der

Sozialwissenschaftler seine Erfahrungen für die DGQ

– etwa im Rahmen von hauseigenen Befragungen oder

Forschungsprojekten – ein. Eine zentrale Rolle spielt bei

den Aktivitäten immer der Transfer des Know-how in

das DGQ-Netzwerk.