§ 13 Resilienzplan: vier Säulen, vollständig belegt

Der Resilienzplan ist kein Dokument, sondern eine Maßnahmenarchitektur, die systematisch mit der Risikoanalyse verknüpft ist. Jede Maßnahme muss nachweisbar auf ein Risiko referenzieren – und zu jedem Risiko oberhalb der Akzeptanzschwelle muss entweder eine Maßnahme oder eine begründete Restrisiko-Akzeptanz existieren. Das Gesetz strukturiert die Maßnahmen in vier Säulen, die zusammen einen vollständigen Schutzkreislauf beschreiben (siehe Abb. 2).

Prävention senkt die Eintrittswahrscheinlichkeit – von Perimeterschutz und Zugangskontrollen über Personalsicherheit bis zur strukturellen Lieferantendiversifizierung und zur klimaadaptiven Auslegung von Anlagen (höhere Außentemperaturen, Hochwasserschutz, Vegetationsmanagement entlang der Trassen). Detektion sorgt für frühzeitige Erkennung und verlässliche Meldung; hier liegt die direkte Verbindung zum 24-Stunden-Meldewesen. In der Energiewirtschaft ist die Sensorik an der Anlage oft vorhanden – die Lücke liegt zwischen Anlagentechnik und Eskalationsorganisation, also bei unklaren Meldewegen. Reaktion ist die organisatorische Handlungsfähigkeit im Krisenfall: Krisenstab, Rollenmodell, Kommunikationspläne, geübte Eskalationswege. Neu ist die Verbindlichkeit der Übung – ein Plan, der nicht regelmäßig durchgespielt wird, ist im Audit kein Nachweis. Wiederanlauf schließlich stellt die Wiederaufnahme der kritischen Dienstleistung sicher – und hier schlägt die zuvor erwähnte Procurement- und Lieferketten-Resilienz unmittelbar durch.

In der Auditpraxis wird erwartet, dass jedes wesentliche Risiko in mehreren – idealerweise allen vier – Säulen abgesichert ist. Die typischen Konstruktionsfehler sind gut bekannt: Maßnahmen ohne Risikobezug (sie wirken wie nachträgliche Rechtfertigung), Risiken ohne Maßnahmenabdeckung (formal eine Pflichtverletzung), einseitige Säulenbelegung (Prävention und Reaktion stark, Detektion und Wiederanlauf schwach) sowie statische Beschreibungen wie „Wir haben einen Krisenstab“ – ohne Verantwortliche, Termine, Wirksamkeitskennzahlen und Nachweise ist das keine Maßnahme. Wirtschaftlich tragfähige Resilienz heißt nicht, jedes Risiko auf null zu reduzieren, sondern das Restrisiko bewusst zu definieren und durch die Geschäftsführung zu akzeptieren – dokumentiert, denn auch die Restrisiko-Akzeptanz ist Teil der Auditfähigkeit.

Wie Sie jetzt vorgehen sollten

Für den Einstieg braucht es kein Großprojekt, aber eine konsequente Reihenfolge. Vier Weichenstellungen sollten vor Ende des Sommers 2026 stehen, damit die Kapazitäten anschließend für die eigentliche Umsetzung frei sind:

1. Betroffenheit klären. Jede Anlage und Gesellschaft eindeutig einstufen, inklusive sektorübergreifender Abhängigkeiten und Einzelfallregelungen. Ergebnis: eine validierte Liste betroffener Anlagen, Gesellschaften und Standorte.
2. Governance mandatieren. Bevor Risiken analysiert werden, muss klar sein, wer mit welchem Mandat entscheidet – mit dokumentierten Entscheidungspunkten der Geschäftsführung, klaren Rollen, Berichtswegen und Integration in bestehende Strukturen (BCM, Compliance, IT-Security, Anlagensicherheit). Das ist die unmittelbare Antwort auf § 20.
3. GAP-Analyse gegen §§ 12, 13 und 20. Vorhandene Analysen, Schutzkonzepte und BCM-Strukturen systematisch gegen die Gesetzesanforderungen abgleichen. Diese Analyse liefert zugleich die realistische Aufwandsschätzung für das Folgeprogramm.
4. Quick Wins parallel anstoßen. Während die Methodik aufgesetzt wird, lassen sich zeitkritische Aktivitäten bereits starten: Bestandsaufnahme der versorgungskritischen Lieferanten und Ersatzteile, Identifikation der nachzuverhandelnden Rahmenverträge, Erstanbindung externer Klima- und Geopolitik-Datenquellen, Vorbereitung der ersten Krisenübung. Diese Parallelarbeit ist der eigentliche Zeitgewinn.

Eine Entscheidung sollte früh fallen, ob die laufende Compliance digital oder Excel-basiert geführt wird. Der Daueraufwand entsteht nicht in der einmaligen Einrichtung, sondern in Aktualisierung, Maßnahmensteuerung, Meldewesen und Audit-Vorbereitung. In unseren Regulatorik-Projekten sinkt dieser Daueraufwand erheblich, wenn Risikoregister, Maßnahmensteuerung und Audit-Nachweise von Beginn an datenbankbasiert statt in Tabellen geführt werden – wer mit Excel startet, baut sich eine Migrationslast für 2027 auf. Diese Architekturentscheidung kostet im Setup zwei bis drei zusätzliche Workshops und spart später Monate.

Fazit: Führung macht Resilienz nachweisbar

Resilienz nach dem KRITIS-Dachgesetz ist keine Projektaufgabe mit Endpunkt, sondern eine dauerhafte Organisationsaufgabe – und sie ist, anders als frühere Sicherheitsregulierung, ausdrücklich Chefsache. Die Fristen geben den Takt vor, aber den Unterschied macht die Führung. ob die Geschäftsführung Risiken bewusst adressiert, Governance und Finanzierung klar ausgestaltet, die Lieferketten ihrer kritischsten Komponenten absichert und die Wirksamkeit ihrer Strukturen nachweisbar prüft. Frühzeitiges Handeln schafft dabei einen doppelten Vorteil: gesicherte Handlungsfähigkeit im Ernstfall und eine belastbare Absicherung der persönlichen Verantwortung nach § 20. Der Countdown läuft – und er belohnt die, die jetzt die Weichen stellen, statt 2027 unter Prüfungsdruck nachzuziehen.

Jan Laakmann, Partner, Stefan Faßbinder, Senior Manager, valantic, München
jan.laakmann@spc.valantic.com