Physische KRITIS-Sicherheit

Zuerst sind Anlagenart, betriebliche Bedeutung, Schutzbedarf und die tatsächlich einschlägigen Anforderungen zu klären. Eine Branchenbezeichnung allein bestimmt die rechtliche Einstufung nicht. Die physische Schutzplanung beschreibt konkrete Maßnahmen und Schnittstellen; sie ersetzt weder die gesonderte rechtliche Bewertung noch die Betreiberverantwortung oder eine gegebenenfalls erforderliche Fachprüfung.

Schutzzonen orientieren sich an Schutzwerten, kritischen Abläufen und den Folgen unberechtigten Zutritts. Öffentlich zugängliche, betriebliche und besonders beschränkte Bereiche werden nachvollziehbar voneinander abgegrenzt. Die Planung verbindet jede Zone mit passenden Berechtigungen, Kontrollpunkten und Zuständigkeiten; eine Zoneneinteilung auf Papier genügt ohne umsetzbare Zugangsregeln nicht.

Der Blick reicht von der Grundstücksgrenze über Tore und Zufahrten bis zu den vorgesehenen Gebäudeeingängen. Übergänge zwischen diesen Bereichen benötigen abgestimmte Kontrollen und eindeutige Meldewege. Dabei werden Betriebs-, Wartungs- und Notfallzugänge berücksichtigt, damit einzelne Schutzmaßnahmen nicht an einer ungeklärten Schnittstelle wirkungslos bleiben.

Die verantwortliche Stelle legt fest, welche Personen welche Bereiche zu welchen Zeiten betreten dürfen. Zeitlich begrenzte Tätigkeiten und externe Dienstleister benötigen passende Freigabe- und Rückgabeprozesse. Der Sicherheitsdienst prüft vereinbarte Berechtigungen; Entscheidungen über neue Rechte, Ausnahmen und deren Entzug bleiben den dafür benannten Verantwortlichen zugeordnet.

Bauliche Maßnahmen sollen Zugänge strukturieren, Technik kann definierte Ereignisse melden, und Personal erfüllt vereinbarte Kontroll- oder Reaktionsaufgaben. Die Organisation verbindet diese Bausteine über Berechtigungen und Meldewege. Für jede Maßnahme müssen Zweck, Voraussetzungen und Grenzen beschrieben sein; ihre Kombination ist keine pauschale Zusage vollständiger Compliance.

Für unterschiedliche Meldungen werden Empfang, Bewertung, Rückfragen und mögliche Maßnahmen getrennt festgelegt. Die Bearbeitung benötigt erreichbare Betreiberkontakte und klare Eskalationswege. Physische Sicherheit, technische Betriebsführung und IT-/OT-Sicherheit werden dabei nicht gleichgesetzt; eine Beobachtung oder Alarmmeldung erteilt dem Sicherheitspersonal keine allgemeinen technischen Zugriffs- oder Eingriffsrechte.

Ein ausführbarer Plan benennt zuständige Personen, verfügbare Umsetzungsmöglichkeiten, Zugangsbedingungen und Grenzen des Einsatzes. Er beschreibt auch, welche Rückmeldung erwartet wird und wer bei fehlendem Zugang entscheidet. Die Planung muss zur tatsächlichen örtlichen Situation passen; die bloße Bezeichnung eines Interventionspartners belegt weder eine garantierte Ankunftszeit noch jede erforderliche Fachkompetenz.

Für Freigaben, Kontrollen, technische Entscheidungen und die Bearbeitung von Abweichungen werden jeweils Verantwortliche benannt. Externe Dienstleister benötigen einen klaren Auftrag und erreichbare interne Ansprechpartner. Die Beauftragung physischer Sicherheitsleistungen überträgt unternehmerische oder gesetzliche Pflichten nicht pauschal; besonders Arbeitsschutz, Fachaufgaben und betriebliche Entscheidungen bleiben ausdrücklich abzugrenzen.

Die Schutzplanung muss berücksichtigen, wer im Ereignisfall Zugang erhält, welche Stellen informiert werden und welche Bereiche gesichert werden sollen. Entscheidungen zum technischen Betrieb und Wiederanlauf liegen bei den zuständigen Verantwortlichen. Melde- und Übergabepunkte werden gemeinsam abgestimmt, ohne aus dem Sicherheitsauftrag eine vollständige Krisen- oder Wiederherstellungsleistung abzuleiten.

Neue Nutzungen, veränderte Zugänge, andere Dienstleister und relevante Vorfälle können bisherige Annahmen verändern. Zusätzlich sind vereinbarte Prüf- und Abstimmungstermine zu berücksichtigen. Ein benannter Prozess ordnet offene Maßnahmen und dokumentiert Änderungen; ein allgemeines Kalenderintervall allein ersetzt weder die Bewertung des konkreten Anlasses noch gesonderte rechtliche oder fachliche Anforderungen.