Analyse des internationalen Konzernstandards
Die 3-core GmbH analysierte den konzernweiten Standard für physischen und personellen Schutz und überführte die Anforderungen in eine für die deutsche Business Unit nutzbare Struktur.
Security Plan für einen Energieerzeuger
Als Energieerzeuger steht der Kunde vor der Aufgabe, globale Sicherheitsanforderungen des Mutterkonzerns in eine belastbare, lokal anwendbare Sicherheitsstruktur zu übersetzen. Die 3-core GmbH unterstützte dabei, aus dem internationalen „Physical and Personal Security Standard“ einen Security Plan für die deutsche Business Unit zu entwickeln, inklusive Täterprofilbetrachtung, Rollenmodell und RACI-Matrix.
Internationale Anforderungen, lokale Umsetzung
Der Kunde ist Teil eines internationalen Energieunternehmens und zählt in Deutschland zu den bedeutenden Öl- und Gasproduzenten. Vor dem Hintergrund volatiler Energiemärkte, geopolitischer Spannungen und steigender Anforderungen an Betreiber kritischer Anlagen gewinnt der physische und personelle Schutz solcher Produktionsstandorte deutlich an Relevanz.
Der Mutterkonzern hatte konzernweite Anforderungen für physische und personelle Sicherheit definiert. Die Herausforderung bestand darin, diese internationalen Vorgaben nicht nur formal zu übernehmen, sondern für die deutsche Business Unit praktisch umsetzbar zu machen.
Für den Energieerzeuger bedeutete das: Der Standard musste in konkrete Rollen, Prozesse, Sicherheitsanforderungen und Verantwortlichkeiten übersetzt werden.
Vom Konzernstandard zum Security Plan
Der Security Plan wurde als übergreifendes Sicherheitskonzept für die Business Unit entwickelt. Ziel war ein Blueprint, der auf unterschiedliche Standorte und Anlagen übertragbar ist und gleichzeitig lokale Besonderheiten berücksichtigt.
Im Mittelpunkt standen drei Fragen:
- Welche Anforderungen des Mutterkonzerns gelten für die deutsche Business Unit?
- Welche Täterprofile und Risiken sind für die Standorte relevant?
- Wer ist für Umsetzung, Entscheidung, Mitwirkung und Information verantwortlich?
So entstand ein Sicherheitsrahmen, der internationale Vorgaben mit operativer Umsetzbarkeit verbindet.
Täterprofile als Grundlage der Schutzlogik
Als Energieerzeuger muss der Kunde unterschiedliche Bedrohungsszenarien berücksichtigen — von opportunistischen Handlungen bis zu gezielteren Angriffen auf kritische Infrastruktur. Deshalb wurden im Security Plan verschiedene Täterprofile betrachtet.
Diese Analyse half dabei, Sicherheitsmaßnahmen nicht pauschal zu definieren, sondern an realistischen Risiken auszurichten. Daraus ergaben sich Anforderungen an Prävention, Detektion, Verzögerung, Intervention, Dokumentation und organisatorische Steuerung.
RACI-Matrix: Klare Rollen für internationale Strukturen
Ein zentraler Bestandteil war die Entwicklung einer RACI-Matrix. Sie sorgt dafür, dass Sicherheitsanforderungen nicht nur beschrieben, sondern auch eindeutig verantwortet werden. Dazu ordnet die Matrix jeder Aufgabe klar zu, wer sie ausführt, wer die Entscheidung verantwortet, wer fachlich eingebunden wird und wer informiert werden muss.
RACI steht für:
- Responsible: verantwortlich für die Durchführung,
- Accountable: letztverantwortlich für Entscheidung und Ergebnis,
- Consulted: fachlich einzubinden,
- Informed: zu informieren.
Gerade in internationalen Organisationen ist diese Klarheit wichtig. Sie verhindert, dass Aufgaben zwischen Konzern, Business Unit, Betrieb und Fachfunktionen unklar bleiben.
Blueprint für die gesamte Business Unit
Der Security Plan wurde nicht als Einzellösung für einen Standort entwickelt. Er dient als übertragbarer Blueprint für die gesamte deutsche Business Unit.
Der Vorteil liegt in der Standardisierung: Standorte können einheitlicher bewertet, Maßnahmen nachvollziehbarer geplant und Verantwortlichkeiten klarer gesteuert werden. Gleichzeitig bleibt der Plan flexibel genug, um lokale Risiken, Anlagenbesonderheiten und operative Anforderungen einzubeziehen.
Für einen Energieerzeuger mit mehreren Standorten ist genau diese Balance entscheidend: einheitliche Sicherheitslogik, aber anwendbar auf unterschiedliche Realitäten vor Ort.
Ergebnis: Vom globalen Standard zur lokalen Steuerung
Am Ende stand ein Security Plan, der die Anforderungen des Mutterkonzerns in eine praxisnahe Struktur für die deutsche Business Unit übersetzt.
Der Energieerzeuger erhielt:
- einen übergreifenden Sicherheitsrahmen,
- eine einheitliche Logik für physischen und personellen Schutz,
- eine Bewertung relevanter Täterprofilrisiken,
- eine RACI-Matrix für klare Verantwortlichkeiten,
- eine Grundlage für standortbezogene Umsetzung,
- Orientierung im KRITIS- und NIS-2-Kontext.
Der Mehrwert lag darin, dass aus einem internationalen Standard ein lokaler Umsetzungsrahmen wurde — verständlich, steuerbar und auf weitere Standorte übertragbar. So kann der Energieerzeuger physische Sicherheit nicht nur dokumentieren, sondern aktiv steuern.
Unsere Leistungen im Projekt
Entwicklung des Security Plans
Das 3-core Team erarbeitete einen Security Plan als übergreifenden Blueprint für physischen und personellen Schutz innerhalb der Business Unit.
Bewertung relevanter Täterprofilrisiken
Die 3-core GmbH betrachtete unterschiedliche Täterprofile und leitete daraus Anforderungen an Prävention, Detektion, Verzögerung, Intervention und organisatorische Steuerung ab.
Aufbau der RACI-Matrix
Das 3-core Team entwickelte eine RACI-Logik zur klaren Zuordnung von Aufgaben, Entscheidungsrechten und Informationspflichten zwischen VP HSES, Betriebsleitung, VP Operations, Security Specialists und Mitarbeitenden.
Übertragung auf die Business Unit
Das Team der 3-core GmbH strukturierte den Security Plan so, dass er als übertragbarer Rahmen für die gesamte deutsche Business Unit genutzt werden kann.
Einordnung regulatorischer Anforderungen
Das 3-core Team berücksichtigte den KRITIS- und NIS-2-Kontext und ordnete ein, welche Bedeutung physischer und personeller Schutz für den Energieerzeuger hat.
