Dieser Beitrag ist Teil unseres Newsletters. Entdecken Sie hier die letzte Ausgabe. Sie wollen keine Themen verpassen? Dann melden Sie sich jetzt an

Informationssicherheit, Werkschutz, Krisenmanagement oder Lieferketten: Ein Betrieb kann in jedem einzelnen Sicherheitsbereich gut aufgestellt sein und im Ernstfall trotzdem ins Stocken geraten. Der Grund liegt häufig an Schnittstellen – Zuständigkeiten sind unklar oder Abläufe greifen nicht ineinander. 

Thu Trang Bähr ist Projektkoordinatorin bei DIN und beschäftigt sich mit der Resilienz der Kritischen Infrastruktur und Wirtschaftsschutz. Im Interview erklärt sie, warum gerade diese Schnittstellen kritisch sind, was der integrierte Ansatz der Nationalen Wirtschaftsschutzstrategie der Bundesregierung bedeutet und welchen Beitrag Normen und Standards leisten können. 

Frau Bähr, wo entstehen im Wirtschaftsschutz besonders häufig Risiken? 

Thu Trang Bähr: Häufig dort, wo mehrere Zuständigkeiten aufeinandertreffen. Ein konkretes Beispiel: Es gibt einen Cyberangriff auf einen externen Dienstleister, dessen System mit der Zutrittskontrolle eines Produktionsstandorts verbunden ist. Plötzlich betrifft ein IT-Vorfall auch den Werkschutz und möglicherweise die Produktion. Vielleicht müssen zusätzlich Behörden, Kund*innen oder weitere Dienstleistende eingebunden werden. Jeder Bereich kann für sich also gut vorbereitet sein, aber wenn vorher niemand geklärt hat, wer wen informiert, wer entscheiden darf und welche Abläufe Vorrang haben, geht im Ernstfall wertvolle Zeit verloren. 

Betrifft das vor allem Unternehmen? 

Thu Trang Bähr: Unternehmen stehen natürlich im Mittelpunkt, weil sie ihre Prozesse, ihr Know-how und ihre Lieferfähigkeit schützen müssen. Aber sie handeln nicht für sich allein, sondern sind mit Zulieferern, IT-Dienstleistenden, Forschungseinrichtungen, Behörden oder Betreibern Kritischer Infrastrukturen verbunden. Ein Vorfall kann sich deshalb schnell über die Grenzen einer einzelnen Organisation hinaus auswirken. Das gilt besonders dort, wo Leistungen voneinander abhängen oder Informationen ausgetauscht werden müssen. Wirtschaftsschutz ist also keine Aufgabe für eine einzelne Abteilung und häufig auch keine Aufgabe für eine einzelne Organisation. 

Wer muss denn dafür sorgen, dass die einzelnen Bereiche tatsächlich zusammenarbeiten? 

Thu Trang Bähr: Die Fachbereiche kennen ihre Risiken und Abläufe natürlich, aber die übergreifende Verantwortung muss klar zugewiesen sein. Auf Führungsebene sollte entschieden werden, welche Prozesse besonders kritisch sind, welche Risiken akzeptiert werden können und welche Ressourcen für den Schutz bereitstehen. Außerdem muss klar sein, wer im Ernstfall den Überblick behält und bereichsübergreifend entscheidet. Es geht nicht darum, jedes Detail zentral zu steuern, sondern Verantwortung und Entscheidungswege eindeutig festzulegen. 

Die Bundesregierung setzt mit der Nationalen Wirtschaftsschutzstrategie auf einen ganzheitlichen und integrierten Ansatz. Was bedeutet das genau? 

Thu Trang Bähr: Der integrierte Ansatz verfolgt das Ziel, Sicherheit nicht nur in einzelnen Disziplinen zu denken. Sondern vorhandene Schutzmaßnahmen so abzustimmen, dass sie im Ernstfall gemeinsam funktionieren. Viele Organisationen haben bereits Zuständigkeiten für Informationssicherheit, physischen Schutz, Krisenmanagement oder Lieferketten. Der entscheidende Schritt ist, diese Strukturen miteinander zu verbinden und das innerhalb der eigenen Organisation und mit externen Partnern. 

In der Praxis heißt das zum Beispiel: ein gemeinsames Lagebild schaffen, Melde- und Eskalationswege festlegen und klären, wer bei einem Vorfall welche Informationen braucht. 

Welche Rolle spielen Normen und Standards für die Handlungsfähigkeit beim Thema Wirtschaftsschutz und Wirtschaftssicherheit? 

Thu Trang Bähr: Normen und Standards können eine gemeinsame Ausgangsbasis schaffen. Wenn verschiedene Bereiche oder Organisationen zusammenarbeiten, ist es hilfreich, sich auf gemeinsame Begriffe, Anforderungen, Schutzniveaus und Abläufe zu beziehen. Dann muss nicht bei jeder Zusammenarbeit neu geklärt werden, was erwartet wird, welche Informationen gebraucht oder welche Nachweise anerkannt werden. Das schafft Orientierung und kann die Abstimmung erleichtern. 

Normen sind dabei ein wichtiges Instrument, aber nicht das einzige. Wirtschaftsschutz braucht ebenso aktuelle Lageinformationen, klare Ansprechpartner, ausreichende Ressourcen, funktionierende Kommunikationswege und geübte Abläufe. Eine Norm ersetzt weder Führung noch konkrete Entscheidungen im Ernstfall. 

Und können Normen nicht auch zusätzliche Bürokratie erzeugen? 

Thu Trang Bähr: Richtig angewendet können sie vor allem dazu beitragen, Aufwand und Doppelarbeit zu reduzieren. Unternehmen müssen dann nicht für jeden Auftraggeber neue Anforderungen erfüllen oder dieselben Nachweise immer wieder anders aufbereiten. Entscheidend ist aber vor allem, Standards risikobasiert anzuwenden. Nicht jede Organisation braucht dieselben Maßnahmen. Auch ein kleiner Spezialanbieter kann für eine Lieferkette sehr wichtig sein, wenn seine Leistung kaum zu ersetzen ist. Maßgeblich sind das konkrete Risiko und die Folgen eines Ausfalls. 

Wo bieten denn Normen und Standards bereits konkrete Unterstützung? 

Thu Trang Bähr: An ganz vielen Stellen: bei Cybersecurity, physischer Sicherheit, Risiko- und Krisenmanagement, Business Continuity und beim Schutz Kritischer Infrastrukturen. Für kleine und Kleinstunternehmen bietet zum Beispiel der CyberRisikoCheck auf Basis der DIN SPEC 27076 einen strukturierten Einstieg in die IT-Sicherheit. Er hilft dabei, den eigenen Stand zu erfassen und Handlungsbedarfe zu erkennen. 

In diesem Jahr wurde außerdem die DIN SPEC 14027 Corporate Security veröffentlicht. Sie gibt Unternehmen einen praxisnahen und strukturierten Leitfaden für den Aufbau und die Weiterentwicklung ihrer Unternehmenssicherheit. Dabei steht die Ermittlung des Schutzbedarfs am Anfang, um darauf aufbauend angemessene Schutzmaßnahmen und Schutzniveaus festzulegen. 

Auch die Nationale Wirtschaftsschutzstrategie führt die DIN SPEC als Instrument für die Unternehmenssicherheit auf. 

Für Betreiber Kritischer Infrastrukturen gibt es außerdem die KRITIS-Normen-Matrix. Sie bietet Orientierung dazu, welche Normen in unterschiedlichen Sicherheitsbereichen relevant sein können. 

Viele Standards gibt es also schon. Wie wird daraus ein belastbares Gesamtsystem? 

Thu Trang Bähr: Am Anfang sollten nicht die verfügbaren Standards stehen, sondern die kritischen Prozesse und Abhängigkeiten einer Organisation. Was muss unbedingt weiterlaufen, wovon hängt es ab und welche Folgen hätte ein Ausfall? Erst danach lässt sich entscheiden, welche Standards und Schutzmaßnahmen wirklich passen. Ein CyberRisikoCheck kann zum Beispiel Handlungsbedarfe in der IT-Sicherheit aufzeigen. Welche Folgen der Ausfall eines Dienstleisters für kritische Prozesse hätte und wie der Betrieb fortgeführt werden kann, muss zusätzlich im Business-Continuity- und Lieferkettenmanagement betrachtet werden. Wirkung entsteht erst im Zusammenspiel. 

Warum braucht die Normung dafür mehr Praxiswissen? 

Thu Trang Bähr: Weil vor allem diejenigen beurteilen können, ob Anforderungen im Alltag funktionieren, die täglich mit Risiken, Abhängigkeiten und Sicherheitsvorgaben umgehen. Sie sehen, wo Anforderungen doppelt laufen, Nachweise mehrfach erbracht werden müssen oder Schnittstellen fehlen. Dieses Wissen hilft dabei, Standards verständlich, anschlussfähig und für die Praxis gut nutzbar zu machen. 

Normung braucht deshalb unterschiedliche Perspektiven – aus Unternehmen, Behörden, Wissenschaft, Verbänden und der Sicherheitspraxis. Je früher diese Erfahrungen einfließen, desto eher entstehen Lösungen, die die Zusammenarbeit tatsächlich erleichtern. 

Genau hier setzt die Koordinierungsstelle Sicherheitswirtschaft (KoSi) an. Sie vernetzt Expertinnen und Experten aus Wirtschaft, Behörden, Wissenschaft, Verbänden und der Sicherheitspraxis. Und bündelt Erfahrungen aus unterschiedlichen Sicherheitsbereichen, koordiniert übergreifende Themen und trägt die Erkenntnisse zurück in die einzelnen Normungsprojekte. 

Standards für eine handlungsfähige Wirtschaft mitgestalten 

Gute Standards entstehen dort, wo Fachwissen und praktische Erfahrung zusammenkommen. Bringen Sie Ihre Perspektive in die Normungsarbeit ein und gestalten Sie die Weiterentwicklung von Wirtschaftsschutz und Wirtschaftssicherheit aktiv mit. Jetzt mitwirken