Leitfaden Schutz Kritischer Infrastrukturen - Deutsche Gesellschaft ...

3.2.2.4 Risikovergleich und Risikobewertung
Die so ermittelten Risikowerte beziehungsweise Risikobe-
schreibungen können nun miteinander verglichen werden.
Dieser Vergleich ist insbesondere bei qualitativen und semi-
quantitativen Analysen sinnvoll, da die hierdurch ermittelten
Werte und Beschreibungen keine absolute Aussagekraft
haben. In Relation zueinander, also im internen Vergleich,
sind die Ergebnisse aus qualitativen und semiquantitativen
Analysen hingegen sehr wertvoll.
Ziel eines solchen Vergleichs ist es, diejenigen Risikoele-
mente und Teilprozesse in der Einrichtung zu identifizieren,
die den höchsten Risiken ausgesetzt sind.
Die Risikobewertung soll aufzeigen, ob die eingangs defi-
nierten strategischen Schutzziele vor dem Hintergrund der
bestehenden Risiken erreicht werden können. Bestehen
zu viele hohe Teilrisiken, werden operative Schutzziele
formuliert, die den Ausgangspunkt für die Umsetzung von
vorbeugenden Maßnahmen bilden. Beispiele für operative
Schutzziele sind
die Reduzierung des Gesamtrisikos für Teilprozess X sowie
die Reduzierung der höchsten Teilrisiken in allen Teilpro-
zessen, die zu kritischen Prozessen gehören.
Maßnahmen sollten vorrangig für die Teilprozesse umgesetzt
werden, die die größten Teilrisiken aufweisen.
Letztlich ist es die Aufgabe der Einrichtungsleitung und des
fachlichen Leiters, über die Auswahl geeigneter operativer
Schutzziele und Maßnahmen zu entscheiden.
3.3 Phase 3:
Vorbeugende Maßnahmen und Strategien
Vorbeugende Maßnahmen tragen zur Minderung von
Risiken für kritische Prozesse bei. Sie helfen, operative
Schutzziele zu erreichen und damit die Krisenschwelle für
Ereignisse mit Krisenpotenzial in der Einrichtung anzuheben
(siehe auch Abbildung 5). Hierdurch kann die Anzahl krisen-
hafter Ereignisse minimiert beziehungsweise die Intensität
auftretender Ereignisse reduziert werden.
Vorbeugende Maßnahmen sollten einer Kosten-Nutzen-
Analyse unterzogen werden. Es geht bei der Prüfung um
eine Reduzierung des Gesamtrisikos. Dies geschieht durch
Gegenüberstellung der potenziellen Investitionen und der
direkten sowie indirekten Kosten einer Beeinträchtigung der
Einrichtung im Zuge eines extremen Ereignisses. Die Ver-
knüpfung der Ergebnisse aus einer Risikoanalyse mit denen
einer Kosten-Nutzen-Analyse führt zur Auswahl derjenigen
Maßnahmen, die im Rahmen des vorhandenen Budgets
besonders effizient sind. 26
Allerdings können Maßnahmen zur Minderung von Risiken
mit geringer Eintrittswahrscheinlichkeit und dramatischen
Auswirkungen häufig nicht ausschließlich auf der Basis einer
Risiko- und Kosten-Nutzen-Analyse gerechtfertigt werden.
Neben rechtlichen Rahmenbedingungen ist es in diesen
Fällen auch sinnvoll, soziale beziehungsweise ethische Über-
legungen in die Entscheidung über Schutzmaßnahmen ein-
fließen zu lassen.
Vorbeugende Strategien nutzen die Werkzeuge Risikover-
meidung, Risikoüberwälzung oder Risikoakzeptanz. Sie
sollten nur komplementär zu risikomindernden Maßnahmen
genutzt werden, da sie wie im Falle der Risikovermeidung
entweder die Flexibilität der Einrichtung stark einschränken
können oder wie in den Fällen der Risikoüberwälzung und
Risikoakzeptanz keinen Beitrag zur physischen Risikominde-
rung leisten.
3.3. Risikominderung
RISIKO- uND KRISENMANAGEMENt
ZuM ScHutZ KRItIScHER INFRAStRuKtuREN
Abbildung 5: Ereignisintensität und Krisenschwelle
Ereignisintensität
Ereignisintensität
Anhebung der Krisenschwelle
durch vorbeugende Maßnahmen
Normalbetrieb
inkl. Störungsmanagement
Krise Ereignis Krisenschwelle
Maßnahmen zur Risikominderung reduzieren entweder
die Verwundbarkeit der Risikoelemente gegenüber der Ein-
wirkung von Gefahren oder richten sich unmittelbar an die
betriebliche Kontinuität der kritischen Prozesse durch die
Schaffung von Redundanz beziehungsweise Ersatz.
26 Vgl. Australian/New Zealand Standard 2004, Seiten 21–22.
2