Die Risikoanalyse nach dem All Gefahren Ansatz
Das NIS2-Umsetzungsgesetz und das KRITIS-Dachgesetz sind in Kraft und bringen neue Anforderungen für Unternehmen mit sich. Beide Gesetze verfolgen dasselbe übergeordnete Ziel: die Resilienz kritischer Infrastrukturen und wesentlicher Dienstleistungen zu stärken. Doch wo liegen die wichtigsten Gemeinsamkeiten, worin unterscheiden sich die Vorgaben – und was bedeutet das konkret für Ihr Unternehmen?
Was ist der All Gefahren Ansatz?
Der All-Gefahren-Ansatz beschreibt eine ganzheitliche Methode der Risikoanalyse, bei der Unternehmen nicht nur einzelne Bedrohungen isoliert betrachten, sondern sämtliche relevanten Gefahren systematisch einbeziehen. Dazu zählen unter anderem Naturereignisse, technische Störungen, menschliches Fehlverhalten, Sabotage, Cyberangriffe, Ausfälle kritischer Systeme sowie physische Bedrohungen. Ziel ist es, Risiken frühzeitig zu erkennen, ihre möglichen Auswirkungen zu bewerten und daraus wirksame Schutzmaßnahmen für Sicherheit, Resilienz und Geschäftskontinuität abzuleiten.
All Gefahren Ansatz bei KRITIS-Dachgesetz und NIS2-Umsetzungs- und Cybersicherheitsgesetz: unterschiedliche Schutzbedarfe, unterschiedliches Vorgehen
Sowohl das KRITIS-Dachgesetz als auch die NIS2-Richtlinie verlangen einen All Gefahren Ansatz. Dennoch unterscheiden sich beide Regelwerke deutlich in ihrem Fokus, da sie verschiedene Schutzbedarfe adressieren. Daraus ergibt sich auch ein unterschiedliches methodisches Vorgehen bei der Risikoanalyse. Im Rahmen des KRITIS- Dachgesetzes steht vor allem die physische Sicherheit kritischer Anlagen und Betreiber kritischer Infrastruktur im Mittelpunkt. Unternehmen müssen dabei systematisch Risiken wie technisches Versagen, Naturgefahren, verschiedene Täterprofile sowie deren Modus Operandi identifizieren, bewerten und geeignete Schutzmaßnahmen ableiten. Bei der NIS2-Umsetzung liegt der Schwerpunkt dagegen auf der IT Sicherheit und OT Sicherheit. Hier soll die Risikoanalyse alle relevanten Gefährdungen aus dem BSI Gefahrenkatalog beziehungsweise dem BSI-Standard 200-3 berücksichtigen und deren mögliche Auswirkungen auf IT-Systeme, OT-Systeme, Netzwerke, Systemverfügbarkeit und Informationssicherheit bewerten.
Damit wird deutlich: Beide Gesetze folgen zwar demselben Grundprinzip des All Gefahren Ansatzes, setzen jedoch unterschiedliche inhaltliche Schwerpunkte.
Strategische Ausrichtung ihres Risikomanagements, statt unwirksamer Einzelmaßnahmen
Sowohl bei der Risikoanalyse nach KRITIS-Dachgesetz als auch bei der NIS2-Umsetzung bildet eine strukturierte Schutzbedarfsanalyse die Grundlage für ein wirksames Risikomanagement.
Sie dient dazu,
- die strategische Ausrichtung aller Sicherheitsmaßnahmen festzulegen,
- isolierte und häufig unwirksame Einzelmaßnahmen zu vermeiden,
- relevante KRITIS-Gefahren zu identifizieren,
- Risiken für IT- und OT-Systeme systematisch zu erfassen,
- eine fundierte Kritikalitätsbewertung durchzuführen,
- bestehende Vulnerabilitäten zu analysieren,
- besonders kritische und verwundbare Prozesse, Systeme und Infrastrukturen zu erkennen,
- geeignete Schutzziele zu definieren,
- Sicherheitsmaßnahmen wirksam zu priorisieren.
Ziel ist ein wirtschaftlich sinnvolles und zugleich effektives Risikomanagement: Schutzmaßnahmen sollen dort umgesetzt werden, wo sie die größte Wirkung für Sicherheit, Resilienz und Unternehmensschutz entfalten.
Erfahren Sie, wie Sie potenzielle Risiken identifizieren und bewerten können.
Unternehmen können potenzielle Risiken und Gefahren mit unterschiedlichen Hilfsmitteln systematisch identifizieren und bewerten. Für die IT- und OT-Sicherheit ist der Katalog der elementaren Gefährdungen aus dem BSI-Standard 200-3 ein zentrales Instrument der Gefahrenermittlung. Für Naturgefahren bieten Risikokarten der Länder und des Bundes eine wichtige Grundlage, um standortbezogene Risiken wie Hochwasser, Starkregen oder Sturm frühzeitig zu erkennen.
Im Bereich der physischen Sicherheit erfolgt die Risikoanalyse mehrstufig: Sie bewertet das Landesrisiko auf Makroebene, das Unternehmensrisiko nach KRITIS Sektor und Branche sowie das konkrete Standortrisiko auf Mikroebene.
Daraus lassen sich relevante Tätergruppen, deren Modus Operandi und mögliche
Angriffsszenarien ableiten. Anschließend werden alle identifizierten Gefahren in einer Risikobewertung nach Eintrittswahrscheinlichkeit und Schadenshöhe in einer Risikomatrix zusammengeführt.
Entdecken Sie die Vorteile einer ganzheitlichen Sicherheitsberatung.
Eine ganzheitliche Sicherheitsberatung schafft die Grundlage für mehr Resilienz, Sicherheit und Krisenfestigkeit im Unternehmen. Die 3-core GmbH unterstützt Sie mit praxisnahen Tools und individuellen Lösungen auf Ihrem gesamten Weg – von der Schutzbedarfsanalyse über die Risikobewertung bis zum Maßnahmenplan und einem passgenauen Sicherheitskonzept.
Unsere Expertinnen und Experten vereinen langjährige Erfahrung aus Sicherheitsmanagement, Notfallmanagement, Krisenmanagement und Risikomanagement.
Dadurch profitieren Sie von Lösungen, die nicht nur theoretisch fundiert, sondern vor allem praxisnah, individuell anpassbar und direkt in Ihrem Unternehmen umsetzbar sind. Im Mittelpunkt steht dabei stets der persönliche und erfahrungsbasierte Austausch – für eine Sicherheitsberatung, die nachhaltig wirkt.
