Integriertes System für Business Continuity und Krisenmanagement: Wie man von Risiken zu Resilienz übergeht und die Kontrolle behält, wenn nichts nach Plan läuft

Industrie- und Infrastrukturunternehmen sind mit Risiken konfrontiert, die weit über Standardausfälle von Anlagen hinausgehen: Unterbrechungen der Lieferketten, Cyberbedrohungen, Vorfälle an benachbarten Standorten und lokale Sicherheitsfaktoren erfordern den Übergang vom punktuellen „Feuerlöschen“ zu einer systematischen Resilienz. Wenn sich ein Notfall rasant entwickelt, schützen isolierte Zuverlässigkeitsverfahren nicht vor Chaos bei der Entscheidungsfindung. Aleksandr Kuzin, Leiter für Business Continuity bei OTEKO, erläutert die Praxis beim Aufbau einer einheitlichen Architektur für Business Continuity Management und Krisenreaktion in einem Hafen- und Industriecluster.

Reifegradbewertung und Business-Impact-Analyse

Ausgangspunkt des Projekts Ende 2023 war die Entwicklung einer eigenen fünfstufigen Reifegradskala für Kontinuitätsprozesse. Zu Beginn befand sich das Unternehmen auf einer fragmentierten Stufe: Kritische Anlagen und Bestände waren zwar definiert, doch es fehlten ein unternehmensweiter Standard und eine proaktive Ressourcenverteilung. Ziel war der Übergang zu einer messbaren Stufe mit standardisierten Richtlinien und einer Steuerung durch das Management.

Um die Verwundbarkeit des Unternehmens zu bewerten, wurde eine Business-Impact-Analyse (BIA) durchgeführt: Man erfasste alle gewinnbringenden Prozesse, berechnete die Kosten jeder Ausfallminute sowie Vertragsstrafen und Sicherheitsrisiken. Auf Basis von Interviews mit den Prozesseignern wurde eine Kritikalitätskarte erstellt, welche die Abläufe nach der maximal tolerierbaren Ausfallzeit unterteilte – von den anfälligsten (weniger als eine Woche bis zum Eintritt einer Krise) bis zu den resilienten (mit einem Sicherheitspuffer von bis zu einem Monat). Dies ermöglichte eine fundierte Priorisierung der Ressourcen.

Wiederherstellungsstrategien und praktische Übungen im Realbetrieb

Die Analyse von 32 Schlüsselprozessen und kritischen Ressourcen unterteilte diese in drei Bereitschaftszonen:

• Mit Strategie und Ressourcen abgesichert (16 Bereiche). Dort, wo Projektkapazitäten oder redundante Steuerungsmethoden ein reibungsloses Umschalten auf den Reservebetrieb erlaubten, wurden schrittweise Wiederanlaufpläne mit klarer Rollenverteilung, Eskalationswegen und Alarmierungsverfahren für die Abteilungen entwickelt.
• Mit Strategie, aber ohne ausreichende Ressourcen (7 Bereiche). Hierzu zählten Szenarien, bei denen die theoretische Ausweichlösung den Sicherheitsanforderungen nicht standhielt. Bei einem Ausfall des Hauptschaltraums sah der Plan beispielsweise die Umschaltung auf eine alternative Stromversorgung vor; es stellte sich jedoch heraus, dass in diesem Modus die Sicherheits- und Not-Aus-Systeme der Förderbänder deaktiviert werden. Solche Strategien wurden zur Überarbeitung und zur Beantragung von Investitionen für die technische Nachrüstung weitergeleitet.
• Ohne Strategie und Reserven (9 Bereiche). Abschnitte, in denen eine schnelle Wiederherstellung unmöglich ist und ein Stillstand zu direktem Schaden führt, wurden in das Krisenmanagement überführt.

Die Wirksamkeit der Pläne wird durch drei Arten von Übungen überprüft: Planübungen am Schreibtisch (Tabletop-Exercises, wenn längere Stillstände oder Modernisierungen erforderlich sind), Vollübungen während geplanter Instandhaltungsstillstände und prioritäre Realübungen im laufenden Betrieb. Gerade die Überprüfung bei laufender Produktion deckt versteckte organisatorische Hürden auf. So zeigte sich beim Test eines Leitstandausfalls, dass der Anlagenfahrer, der eine direkte Zuschaltung über den Elektroraum vornehmen sollte, nicht über die erforderliche Qualifikationsstufe für Elektrosicherheit verfügte. Die Beseitigung solcher Abweichungen vor einem realen Vorfall macht die Pläne in der Praxis belastbar.

Krisenmanagement-Architektur und Simulationen

Für die neun kritischen Bereiche sowie für externe Bedrohungen wurde eine klare Führungsorganisation für das Krisenmanagement aufgebaut. Das Unternehmen definierte eigene Krisenkriterien und eine Eskalationsskala, mit der sich ein anbahnendes Ereignis verfolgen lässt, bevor es in die akute Phase übergeht. Zur Synchronisation zwischen Moskau und Taman wurden Krisenmanager aus den Reihen des Top-Managements ernannt.

Der Bedrohungskatalog – von der Anlagen- und Umweltsicherheit bis hin zu regulatorischen und personellen Risiken – wurde in 35 Szenarien untergliedert. In den Krisenstab mit ständiger und variabler Besetzung wurden ausschließlich aktive Führungskräfte und Fachleute berufen, die die Prozesse vor Ort genau kennen: Betrieb und Instandhaltung, Arbeitsschutz und Anlagensicherheit (HSE), Umweltschutz, Brandschutz, IT- und Unternehmenssicherheit, Vertrieb, Logistik und HR.

Das wichtigste Instrument zur Überprüfung des Krisenstabs waren zweitägige Simulationen von jeweils vier Stunden Dauer. Während der vier Übungen (Angriff auf die Infrastruktur, Störfall mit Gefahrstoffaustritt in einem Nachbarbetrieb, Cyberangriff und Stromausfall im Hafen) kannten die Teilnehmer die Szenarien vorab nicht, und die obersten Führungskräfte wurden bewusst aus dem Prozess genommen, um die Einsatzbereitschaft der Stellvertreter und die Befehlskette bis zu den Ausführenden zu testen. Dies machte Engpässe sichtbar: Bei der Erprobung einer Massenevakuierung stellte sich beispielsweise heraus, dass der Plan für den Bustransport nicht berücksichtigte, dass die Mitarbeiter benachbarter Betriebe gleichzeitig über dieselbe einzige Zufahrtsstraße evakuiert werden. Als Ergebnis der Simulationen wurden Ausweichrouten ausgearbeitet, PSA und Feuerwehrtechnik beschafft, mehr als 40 von 100 Maßnahmen umgesetzt, wodurch die Evakuierungszeit am Standort auf drei Minuten verkürzt wurde, sowie ein jährliches Budget für Krisenpräventionsmaßnahmen verabschiedet.

Was Sie aus diesem Vortrag mitnehmen

• Wie entwickelt man eine Reifegradskala für das Business-Continuity-Management-System und führt eine Bestandsaufnahme kritischer Prozesse inklusive Berechnung der Ausfallkosten pro Minute durch?
• Warum kann eine technisch funktionierende Redundanzstrategie im Widerspruch zu Arbeitsschutzanforderungen stehen und wie lassen sich solche Risiken identifizieren?
• Wie kombiniert man Plan-, Instandhaltungs- und Realübungen im laufenden Betrieb, ohne die aktuelle Produktion zu beeinträchtigen?
• Nach welchen Prinzipien stellt man einen Krisenstab zusammen, schult Stellvertreter und beseitigt Schnittstellenprobleme zwischen Hauptverwaltung und Betriebsterminals?
• Wie führt man Krisensimulationen mit unbekannten Szenarien durch und welche versteckten Probleme bei Evakuierung und Kommunikation helfen sie zu lösen?