Kritische Prozesse & Schutzziele

Zu bewerten sind Wareneingang, Entladung, Warenprüfung, Einlagerung, interne Transporte, Kommissionierung, Verpackung, Verladung und Warenausgang. Jeder Prozess ist mit seinen Eingaben, Ergebnissen, Kapazitäten, Qualitätsanforderungen und benötigten Ressourcen darzustellen. Dazu gehören Personal, Flächen, Betriebsmittel, IT-Systeme, Verkehrswege, Energie, Informationen und externe Leistungen.

Ein Prozess gilt insbesondere dann als ausfallkritisch, wenn seine Unterbrechung kurzfristig zu Lieferverzug, Produktionsstillstand, Verderb, Warenverlust, Sicherheitsrisiken oder einem nicht mehr beherrschbaren Rückstau führt. Die Bewertung darf sich nicht nur auf den vollständigen Ausfall beziehen. Auch erhebliche Kapazitätsverluste, Fehlsteuerungen, falsche Kennzeichnungen oder eingeschränkte Qualitätsprüfungen können kritische Auswirkungen verursachen.

Vorhandene Puffer sind realistisch zu berücksichtigen. Dazu zählen freie Lagerplätze, Zwischenbestände, alternative Tore, Zeitreserven, Schichtmodelle oder Ausweichstandorte. Ein Puffer ist nur dann als wirksame Schutzmaßnahme anzuerkennen, wenn seine nutzbare Kapazität, Aktivierungszeit, personelle Besetzung und maximale Einsatzdauer bekannt und regelmäßig überprüft werden.

Zu den technischen und infrastrukturellen Unterstützungsprozessen gehören Stromversorgung, Beleuchtung, Heizungs-, Lüftungs-, Klima- und Kälteanlagen, Ladeinfrastruktur, Fördertechnik, automatische Lagersysteme, Tore, Verladerampen, Aufzüge, Druckluftversorgung, Wasserversorgung, Entwässerung, Brandschutztechnik und Gebäudeautomation.

Die Kritikalität einer Anlage ergibt sich nicht aus ihrem Anschaffungswert, sondern aus ihrer Bedeutung für die abhängigen Prozesse. Ein vergleichsweise kleines Steuergerät, ein Sensor, ein Netzwerk-Switch oder ein einzelnes Ventil kann für den Betrieb kritischer sein als eine große mechanische Anlage. Daher sind auch Hilfsenergien, Steuerungen, Softwarestände, Verbrauchsmaterialien und Spezialwerkzeuge in die Bewertung einzubeziehen.

Für kritische Anlagen müssen sichere Abschalt-, Überbrückungs- und Wiederanlaufverfahren vorhanden sein. Wartungszustände und geplante Außerbetriebnahmen sind gesondert zu bewerten, da vorhandene Redundanzen während solcher Zeiträume eingeschränkt sein können. Änderungen an Anlagen dürfen erst nach Prüfung der Auswirkungen auf abhängige Prozesse freigegeben werden.

Zu berücksichtigen sind Warehouse-Management-Systeme, Lagersteuerungen, Scanner- und Identifikationssysteme, Funk- und WLAN-Netze, Etikettendrucker, Zeit- und Zutrittssysteme, Netzwerkverbindungen sowie Schnittstellen zu ERP-, Transportmanagement- und Kundensystemen. Ebenfalls relevant sind Telefonie, Leitstellenkommunikation, Alarmierungswege und mobile Kommunikationsmittel.

Die Bewertung muss sowohl IT- als auch OT-Systeme erfassen. Neben einem vollständigen Systemausfall sind fehlerhafte Daten, verzögerte Synchronisation, Verlust von Schnittstellen, falsche Zeitstempel, eingeschränkte Benutzerrechte oder kompromittierte Steuerungsinformationen zu betrachten. Ein technisch verfügbares System ist nicht betriebsfähig, wenn Bestands- oder Auftragsdaten unvollständig oder nicht vertrauenswürdig sind.

Für den Notbetrieb ist festzulegen, welche Daten als verbindliche Informationsquelle gelten und wie Offline-Transaktionen dokumentiert werden. Nach der Wiederherstellung müssen manuell erfasste Buchungen kontrolliert in die Systeme übernommen werden, ohne Bestände, Aufträge oder Versandnachweise doppelt oder unvollständig zu verarbeiten.

Ausfallkritisch können Brandschutz, Alarmierung, Evakuierung, Erste Hilfe, Gefahrenabwehr, Werkschutz, Zutrittsmanagement, Gefahrstoffüberwachung, Leckageerkennung und Notfallkommunikation sein. Diese Prozesse müssen auch dann wirksam bleiben, wenn der reguläre Logistikbetrieb bereits eingestellt wurde oder technische Systeme nur eingeschränkt verfügbar sind.

Bei der Planung sind alle anwesenden Personengruppen zu berücksichtigen. Dazu gehören Beschäftigte, Fremdfirmen, Fahrer, Besucher und Personen, die Unterstützung bei der Evakuierung benötigen. Alarmierungs- und Räumungsverfahren müssen auch bei geringer Nachtbesetzung, hohem Geräuschpegel, Sprachbarrieren oder ausgefallener Standardkommunikation funktionieren.

Sicherheitsrelevante Systeme sollen bei Störungen in einen definierten sicheren Zustand übergehen. Zuständigkeiten für Alarmbewertung, Abschaltung, Absperrung, Evakuierung, Anwesenheitskontrolle und Übergabe an externe Einsatzkräfte sind eindeutig festzulegen. Eine Wiederaufnahme des Betriebs darf erst nach dokumentierter Freigabe erfolgen.

Die Kritikalität wird anhand der möglichen Auswirkungen eines Prozessausfalls und ihrer zeitlichen Entwicklung bewertet. Wesentliche Kriterien sind Personengefährdung, Betriebsunterbrechung, Lieferausfall, Waren- und Sachschäden, Umweltfolgen, finanzielle Belastungen, Reputationsschäden sowie Beeinträchtigungen abhängiger Standorte, Produktionslinien oder Kunden.

Die Bewertung sollte für definierte Zeitstufen erfolgen, beispielsweise nach wenigen Minuten, mehreren Stunden, einem Arbeitstag und mehreren Tagen. Dadurch wird sichtbar, ob Schäden sofort eintreten oder sich mit zunehmender Ausfalldauer aufbauen. Spitzenlast, Nachtbetrieb, besondere Warenarten und eingeschränkte Personalverfügbarkeit sind als Szenariobedingungen einzubeziehen.

Neben quantifizierbaren Größen wie Durchsatzverlust, Warenwert oder Reparaturkosten sind qualitative Auswirkungen zu bewerten. Dazu gehören rechtliche oder vertragliche Verstöße, Vertrauensverlust, unvertretbare Arbeitsbedingungen und eine erschwerte Gefahrenabwehr. Maßgeblich ist die höchste plausible Auswirkung, nicht der Durchschnitt eines normalen Betriebstages.

Die Bewertung ist interdisziplinär durchzuführen. Facility Management, Logistik, IT/OT, Arbeitssicherheit, Brandschutz, Security und Standortleitung müssen die Annahmen gemeinsam prüfen. Abweichende Einschätzungen sind zu dokumentieren und durch die zuständige Führungsebene zu entscheiden.

Für jeden kritischen Prozess ist festzulegen, wie lange eine Unterbrechung toleriert werden kann, bevor die Auswirkungen nicht mehr akzeptabel sind. Diese maximal tolerierbare Ausfallzeit bildet die äußere Grenze für Notbetrieb und Wiederherstellung. Sie muss auf den tatsächlichen Schadensverläufen des Prozesses beruhen.

Innerhalb dieser Grenze ist die erforderliche Wiederanlaufzeit festzulegen. Sie beschreibt den Zeitraum, innerhalb dessen der Prozess auf einem definierten Mindestniveau wieder verfügbar sein muss. Die Wiederanlaufzeit muss kürzer sein als die maximal tolerierbare Ausfallzeit und einen ausreichenden Zeitpuffer für Verzögerungen, Funktionsprüfungen und betriebliche Stabilisierung enthalten.

Für datenabhängige Prozesse ist zusätzlich der zulässige Datenverlust festzulegen. Dieser beschreibt, bis zu welchem Zeitpunkt Daten nach einer Wiederherstellung mindestens verfügbar sein müssen. Ein zulässiger Datenverlust von zwei Stunden bedeutet beispielsweise, dass Transaktionen dieses Zeitraums anhand anderer Nachweise rekonstruiert werden können müssen.

Bei der Zeitplanung sind Erkennung, Alarmierung, Entscheidungsfindung, Anfahrt von Fachpersonal, Beschaffung von Ersatzteilen, Reparatur, Systemstart, Prüfung und betriebliche Freigabe einzubeziehen. Eine reine technische Reparaturzeit ist daher nicht mit der vollständigen Wiederanlaufzeit gleichzusetzen.

Die Einordnung in Kritikalitätsklassen muss anhand einheitlicher Schwellenwerte erfolgen. Maßgeblich sind die höchste plausible Auswirkung, die Geschwindigkeit des Schadenseintritts und die Verfügbarkeit wirksamer Ersatzverfahren. Die Klassifizierung steuert unter anderem Investitionsprioritäten, Instandhaltungsumfang, Ersatzteilbevorratung, Überwachung, Prüfintervalle, Eskalationswege und Übungstiefe.

Die Klasse ist regelmäßig sowie nach wesentlichen Änderungen zu überprüfen. Eine niedrigere Einstufung aufgrund fehlender Daten oder ungeprüfter Annahmen ist nicht zulässig. Werden erforderliche Schutzmaßnahmen nicht umgesetzt, muss das verbleibende Risiko transparent dokumentiert und durch eine dafür befugte Stelle akzeptiert werden.

Das vorrangige Schutzziel ist der Schutz von Beschäftigten, Dienstleistern, Fahrpersonal und Besuchern vor unmittelbaren und mittelbaren Gefährdungen. Alarmierung, Evakuierung, Erste Hilfe, Notbeleuchtung, sichere Abschaltung und Zugang für externe Einsatzkräfte müssen auch bei Ausfall regulärer Betriebsfunktionen gewährleistet bleiben.

Die Schutzziele sind möglichst messbar zu formulieren. Dazu gehören die zuverlässige Erreichbarkeit aller Bereiche durch Alarmmittel, jederzeit nutzbare Flucht- und Rettungswege, ausreichend verfügbare Ersthelfende sowie eindeutig geregelte Verantwortlichkeiten. Standortbezogene Zeit-, Kapazitäts- und Besetzungswerte sind aus der Gefährdungsbeurteilung und den Betriebsbedingungen abzuleiten.

Ein reduzierter Betrieb darf nicht dadurch erreicht werden, dass vorgeschriebene oder risikobasierte Sicherheitsmaßnahmen entfallen. Ist die sichere Durchführung eines Prozesses nicht mehr möglich, muss dieser kontrolliert gestoppt und gegen unbeabsichtigte Wiederaufnahme gesichert werden.

Das Schutzziel besteht darin, kritische Logistik-, Lager- und Gebäudefunktionen entweder durchgehend verfügbar zu halten oder innerhalb der festgelegten Wiederanlaufzeit wiederherzustellen. Verfügbarkeit ist dabei nicht allein als technische Betriebszeit zu verstehen. Entscheidend ist, ob der Prozess die benötigte Leistung in der erforderlichen Qualität tatsächlich erbringen kann.

Für jeden kritischen Prozess sind Mindestdurchsatz, zulässige Rückstände, priorisierte Waren- oder Kundengruppen und die maximal mögliche Dauer eines reduzierten Betriebs festzulegen. Ein Notbetrieb kann beispielsweise einen geringeren Durchsatz vorsehen, muss aber weiterhin sichere, nachvollziehbare und qualitätsgerechte Lieferungen ermöglichen.

Die Lieferfähigkeit ist end-to-end zu betrachten. Ein funktionsfähiger Versandbereich reicht nicht aus, wenn Kommissionierung, Etikettierung, Datenübertragung oder Verkehrswege nicht verfügbar sind. Schutzmaßnahmen müssen daher auf die vollständige Prozesskette und ihre wesentlichen Abhängigkeiten ausgerichtet werden.

Waren und Betriebsmittel sind vor Beschädigung, Verderb, Kontamination, Diebstahl, Verlust und unzulässigen Umgebungsbedingungen zu schützen. Die Anforderungen ergeben sich aus der Warenart, den Kundenvorgaben, der Lagerdauer und den möglichen Folgen einer Abweichung.

Für Gefahrstoffe, Kühl- und Tiefkühlwaren, hochwertige Güter, empfindliche Ersatzteile oder qualitätskritische Produkte sind besondere Schutzmaßnahmen festzulegen. Dazu gehören geeignete Zonen, Überwachung von Temperatur und Feuchtigkeit, physische Trennung, Auffangeinrichtungen, Zutrittsbeschränkungen und alternative Lagerkapazitäten.

Bei Grenzwertüberschreitungen muss ein geregelter Prozess für Sperrung, Kennzeichnung, Bewertung und Freigabe vorhanden sein. Betroffene Waren dürfen nicht allein aufgrund der Wiederherstellung der technischen Anlage in den regulären Bestand zurückgeführt werden. Die tatsächliche Warenintegrität ist fachlich zu beurteilen und nachvollziehbar zu dokumentieren.

Bestands-, Auftrags-, Zutritts-, Transport- und Anlagendaten müssen korrekt, vollständig, nachvollziehbar und bei Bedarf kurzfristig verfügbar sein. Dies gilt sowohl für den Normalbetrieb als auch für Notbetrieb, Wiederanlauf und nachträgliche Rekonstruktion.

Kritische Daten sind durch geeignete Sicherungs-, Wiederherstellungs- und Zugriffskonzepte zu schützen. Die Sicherungen müssen vom betroffenen Primärsystem ausreichend unabhängig sein und regelmäßig auf Wiederherstellbarkeit geprüft werden. Für den Notbetrieb ist ein begrenztes, offline verfügbares Informationspaket vorzusehen, das beispielsweise aktuelle Bestände, offene Aufträge, Notfallkontakte, Anlagenübersichten und Handlungsanweisungen enthält.

Manuelle oder nachträglich erfasste Transaktionen müssen eindeutig nummeriert, zeitlich zugeordnet und kontrolliert in die führenden Systeme übernommen werden. Der Wiederanlauf gilt erst als abgeschlossen, wenn mögliche Doppelbuchungen, fehlende Bewegungen und Bestandsdifferenzen geklärt sind.

Brände, Wasseraustritte, Leckagen, Emissionen und andere Schadensereignisse sind frühzeitig zu erkennen, räumlich zu begrenzen und kontrolliert zu beherrschen. Ziel ist es, eine Ausbreitung auf angrenzende Lagerbereiche, technische Anlagen, Gebäude, Grundstücke oder öffentliche Flächen zu verhindern.

Dazu sind geeignete bauliche, technische und organisatorische Maßnahmen zu kombinieren. Beispiele sind Brandabschnitte, automatische Detektion, Löschanlagen, Absperreinrichtungen, Rückhaltesysteme, Leckageüberwachung, Notentwässerung und festgelegte Meldewege. Die Maßnahmen müssen auf die tatsächlich gelagerten Stoffe und die vorhandenen Schadensszenarien abgestimmt sein.

Sachschutz dient nicht nur der Begrenzung finanzieller Verluste. Er unterstützt die Personensicherheit, verkürzt die Wiederherstellung und verhindert, dass ein lokales Ereignis zu einem vollständigen Standortausfall führt. Temporäre Maßnahmen nach einem Ereignis sind so lange zu überwachen, bis der reguläre Schutz vollständig wiederhergestellt ist.

Die Zuordnung zeigt, welche Schutzziele in den einzelnen Prozessbereichen vorrangig sind und welche grundsätzlichen Schutzansätze berücksichtigt werden sollen. Die konkrete Ausgestaltung ist anhand der Standortbedingungen, Warenarten, Durchsatzanforderungen und vorhandenen Abhängigkeiten festzulegen.

Die Tabelle bildet eine grundsätzliche Orientierung. Ein Prozess kann mehreren Schutzzielen gleichzeitig zugeordnet sein. Bei Konflikten hat der Schutz von Personen Vorrang, gefolgt von Umwelt- und Gefahrenabwehranforderungen. Erst danach sind Sachwerte, Waren und Lieferleistung zu priorisieren.

Präventive Maßnahmen sollen die Eintrittswahrscheinlichkeit eines Ausfalls verringern und seine Auswirkungen bereits vor einem Ereignis begrenzen. Dazu gehören robuste Anlagenkonzepte, geeignete Dimensionierung, vorbeugende und zustandsorientierte Instandhaltung, Funktionsprüfungen, technische Überwachung, Ersatzteilstrategien, Brandschutzabschnitte, Zutrittskontrollen und geordnete Betriebsabläufe.

Instandhaltungsintervalle sind anhand von Kritikalität, Herstelleranforderungen, Anlagenzustand und Betriebserfahrung festzulegen. Überfällige Arbeiten an hochkritischen Anlagen dürfen nicht allein aus Kosten- oder Kapazitätsgründen dauerhaft verschoben werden. Abweichungen müssen bewertet, zeitlich begrenzt und durch geeignete Ersatzmaßnahmen abgesichert werden.

Weitere präventive Elemente sind qualifiziertes Personal, aktuelle Betriebsanweisungen, geregelte Freigabeverfahren, gute Ordnung und Sauberkeit, Schutz vor mechanischer Beschädigung sowie ein wirksames Änderungsmanagement. Umbauten, Softwareänderungen oder neue Warenarten sind vor Einführung auf Auswirkungen auf bestehende Schutzmaßnahmen und Prozessabhängigkeiten zu prüfen.

Für besonders kritische Funktionen sind technische oder organisatorische Ersatzlösungen vorzusehen. Dazu zählen Ersatzstromversorgung, unterbrechungsfreie Stromversorgung für Steuerungs- und Kommunikationssysteme, redundante Netzwerkwege, alternative Lade- und Verladebereiche, mobile Betriebsmittel, Ersatzkälte sowie vertraglich gesicherte Ausweichlager oder Logistikdienstleistungen.

Redundanz ist nur wirksam, wenn die Ersatzfunktion nicht durch dieselbe Ursache wie das Hauptsystem ausfällt. Haupt- und Ersatzversorgung sollten daher, soweit angemessen, räumlich, elektrisch, datentechnisch oder organisatorisch getrennt sein. Gemeinsame Schalträume, Kabelwege, Kraftstoffvorräte, Steuerungen oder Zugangsberechtigungen können vermeintliche Redundanzen unwirksam machen.

Für jede Ersatzlösung sind Umschaltzeit, verfügbare Kapazität, Autonomiedauer, Bedienverantwortung und Rückkehr in den Normalbetrieb festzulegen. Technische Systeme müssen unter realistischen Lastbedingungen getestet werden. Vertragliche Ausweichkapazitäten sind nur dann belastbar, wenn Verfügbarkeit, Aktivierungszeit, Ansprechpartner, Transportwege und Prioritätsregelungen regelmäßig bestätigt werden.

Bei Ausfall digitaler oder automatisierter Systeme müssen definierte manuelle Verfahren verfügbar sein. Dazu gehören kontrollierte Ersatzformulare, Notfallbestandslisten, manuelle Freigaben, alternative Kommunikationsmittel, vereinfachte Prozessabläufe und vorab festgelegte Priorisierungsregeln.

Manuelle Verfahren müssen so gestaltet sein, dass Sicherheit, Warenqualität und Nachvollziehbarkeit erhalten bleiben. Sie dürfen keine unkontrollierte Umgehung von Prüfungen, Zutrittsregeln oder Freigabegrenzen ermöglichen. Erforderliche Formulare und Anweisungen müssen unabhängig vom ausgefallenen System verfügbar sein.

Die mögliche Leistung eines manuellen Verfahrens ist realistisch zu ermitteln. Personalbedarf, Durchsatz, Fehleranfälligkeit und maximale Einsatzdauer sind zu dokumentieren. Beschäftigte müssen die Verfahren regelmäßig üben, da eine ausschließlich schriftlich vorhandene Rückfallebene unter Zeitdruck häufig nicht ausreichend beherrscht wird.

Alle während des Notbetriebs durchgeführten Transaktionen sind nachvollziehbar zu protokollieren. Für die Rückkehr zum digitalen Betrieb ist ein abgestimmtes Verfahren zur Prüfung, Freigabe und Nachbuchung erforderlich.

Kritische Systeme und Warenbereiche sollen so angeordnet und abgesichert werden, dass ein einzelnes Ereignis nicht zum vollständigen Standortausfall führt. Dies umfasst Brandabschnitte, getrennte Technikräume, dezentrale Versorgungsstrukturen, alternative Verkehrswege und die räumliche Trennung besonders schutzbedürftiger Waren.

Haupt- und Ersatzkomponenten dürfen nicht ohne Risikoprüfung im selben Gefahrenbereich installiert werden. Dies betrifft beispielsweise Server und Sicherungssysteme, Haupt- und Ersatzschaltanlagen, Kälteerzeuger oder Pumpen. Ebenso sind gemeinsame Kabeltrassen, Rohrleitungen und Steuerungssysteme als mögliche Kopplungspunkte zu berücksichtigen.

Durch eine geeignete Zonenstruktur soll es möglich sein, betroffene Bereiche abzusperren und andere Bereiche weiter zu betreiben. Alternative Zufahrten, Umfahrungsmöglichkeiten und getrennte Personen- und Fahrzeugwege unterstützen den Notbetrieb, sofern sie sicher nutzbar und organisatorisch vorbereitet sind.

Die Wechselwirkungen zwischen Logistikprozessen, technischer Gebäudeausrüstung, IT-/OT-Systemen, Personalverfügbarkeit und Sicherheitsfunktionen sind transparent darzustellen. Für jeden kritischen Prozess ist zu dokumentieren, welche Ressourcen unmittelbar benötigt werden und welche vorgelagerten Prozesse oder Systeme dessen Betrieb ermöglichen.

Eine reine Prozessdarstellung reicht nicht aus. Erforderlich ist auch die Zuordnung von Mindestkapazitäten. Ein Prozess kann beispielsweise technisch wiederhergestellt sein, aber aufgrund fehlender Bedienpersonen, unzureichender Beleuchtung, blockierter Verkehrswege oder nicht verfügbarer Auftragsdaten weiterhin nicht nutzbar sein.

Abhängigkeiten sind über mehrere Stufen zu verfolgen. Fällt beispielsweise die Stromversorgung aus, können Netzwerk, Zutrittskontrolle, Beleuchtung, Ladeinfrastruktur und Fördertechnik gleichzeitig betroffen sein. Daraus können weitere Auswirkungen auf Kommissionierung, Versand, Sicherheit und Warenintegrität entstehen.

Die Abhängigkeitsdarstellung ist Bestandteil des Änderungsmanagements. Neue Anlagen, Schnittstellen oder Organisationsmodelle dürfen nicht eingeführt werden, ohne ihre Auswirkungen auf bestehende Ausfallketten zu bewerten.

Zu betrachten sind Energie- und Wasserversorgung, Telekommunikation, externe Transportdienstleister, Entsorger, Wartungsunternehmen, Sicherheitsdienste, Vermieter, Ausweichlager und behördliche Einsatzkräfte. Auch Lieferanten von Ersatzteilen, Betriebsstoffen, Verpackungen oder Spezialausrüstung können für den Wiederanlauf kritisch sein.

Verträge für kritische Leistungen sollten Anforderungen an Verfügbarkeit, Erreichbarkeit, Eskalation, Wiederherstellungsunterstützung und Notfallzugang enthalten. Es ist zu klären, ob der Dienstleister auch bei großflächigen Ereignissen ausreichend Personal und Material bereitstellen kann oder ob mehrere Kunden gleichzeitig auf dieselben Ressourcen zugreifen.

Für wesentliche externe Leistungen sind Alternativen, Mindestbestände oder abgestimmte Überbrückungsverfahren vorzusehen. Kontaktdaten und Eskalationswege müssen offline verfügbar und regelmäßig bestätigt werden. Bei gemieteten Standorten ist eindeutig zu regeln, welche Maßnahmen durch den Betreiber, Vermieter oder technischen Dienstleister ausgelöst werden dürfen.

Anlagen, Systeme oder Personen, deren Ausfall mehrere kritische Prozesse gleichzeitig unterbrechen kann, sind als Single Points of Failure zu kennzeichnen. Typische Beispiele sind eine einzige Energieeinspeisung, zentrale Schaltanlagen, ein Netzwerk-Kern, ein gemeinsamer Kabelweg, ein zentraler Kälteerzeuger, ein einzelnes Verladetor oder eine Person mit exklusivem Spezialwissen.

Die Behandlung kann durch Beseitigung, technische Verdopplung, Bevorratung, Umgehungsmöglichkeiten, Qualifizierung zusätzlicher Personen oder Verkürzung der Reparaturzeit erfolgen. Nicht jeder Einzel-Ausfallpunkt muss vollständig entfernt werden. Die Entscheidung muss jedoch auf einer dokumentierten Bewertung von Auswirkungen, Eintrittswahrscheinlichkeit, Wiederherstellungsdauer und Kosten beruhen.

Besonders zu prüfen sind gemeinsame Fehlerursachen. Zwei Anlagen stellen keine wirksame Redundanz dar, wenn sie durch denselben Brandabschnitt, dieselbe Steuerung, denselben Kraftstoffvorrat oder dieselbe Wartungsfirma gleichzeitig ausfallen können. Verbleibende Risiken sind mit Verantwortlichem, Begründung und Überprüfungstermin zu dokumentieren.

Für jeden kritischen Prozess ist ein definierter Mindestbetrieb festzulegen. Dieser beschreibt, welche Leistungen mit reduziertem Personal, eingeschränkter Technik oder manuellen Verfahren weiterhin erbracht werden müssen. Die Festlegung sollte konkrete Werte für Durchsatz, Auftragsprioritäten, verfügbare Flächen, Personalstärke, Betriebsmittel und maximale Dauer enthalten.

Zum Mindestbetrieb gehören außerdem zwingende Sicherheits-, Qualitäts- und Dokumentationsanforderungen. Ein reduzierter Durchsatz ist zulässig, ein unkontrollierter Verzicht auf Warenprüfung, Ladungssicherung, Gefahrstofftrennung oder Zutrittskontrolle dagegen nicht.

Aktivierungs- und Abbruchkriterien sind eindeutig zu formulieren. Der Notbetrieb darf nur aufgenommen werden, wenn die erforderlichen Mindestressourcen verfügbar sind und die verbleibenden Risiken akzeptabel sind. Werden Sicherheitsgrenzen überschritten oder wesentliche Schutzfunktionen verloren, ist der Betrieb kontrolliert einzustellen.

Der Wiederanlauf erfolgt entsprechend den Prozessabhängigkeiten und den festgelegten Kritikalitätsklassen. Vorrang haben Gefahrenabwehr, Alarmierung, Energie- und Kommunikationsversorgung, sichere Gebäudezugänge, Beleuchtung, zentrale IT-/OT-Systeme sowie die für den Warenfluss benötigte Lager- und Fördertechnik.

Die Wiederherstellung sollte stufenweise erfolgen. Nach jeder Stufe sind technische Funktion, Datenqualität, Sicherheit und verfügbare Kapazität zu prüfen. Erst nach Freigabe darf der nächste Prozessabschnitt aktiviert werden. Dadurch wird vermieden, dass unerkannte Fehler oder instabile Systeme zu weiteren Störungen führen.

Operative Prioritäten sind vorab festzulegen. Dazu können sicherheitskritische Waren, Produktionsversorgung, verderbliche Produkte oder vertraglich besonders zeitkritische Sendungen gehören. Die Entscheidung darf nicht ausschließlich danach getroffen werden, welcher Bereich den größten aktuellen Druck ausübt.

Die Wiederanlaufsteuerung benötigt eine zentrale Lageübersicht. Diese muss Ausfallumfang, verfügbare Ressourcen, erreichte Wiederherstellungszeiten, offene Risiken und geplante nächste Schritte darstellen.

Die Rückkehr zum Regelbetrieb erfolgt kontrolliert und nach dokumentierter Funktionsprüfung. Technische Anlagen, Sicherheitsfunktionen, IT-/OT-Systeme, Verkehrswege und betriebliche Schnittstellen müssen stabil verfügbar sein. Provisorische Konfigurationen oder Umgehungslösungen sind zu erfassen und nach Möglichkeit zurückzubauen.

Manuelle Buchungen, Bestandsabweichungen, offene Aufträge und Versandnachweise sind abzugleichen. Bei temperaturgeführten oder sensiblen Waren müssen mögliche Abweichungen bewertet werden. Betroffene Produkte sind bis zur fachlichen Entscheidung eindeutig gesperrt zu halten.

Aufgelaufene Rückstände dürfen nicht durch unkontrollierte Überlastung der Anlagen oder des Personals abgebaut werden. Für die Nachholphase sind Kapazität, Schichtplanung, Wartungsbedarf und Arbeitsschutz gesondert zu bewerten.

Der Normalbetrieb gilt erst nach formaler Freigabe durch die zuständigen Funktionen als wiederhergestellt. Anschließend sind verbrauchte Notfallmittel zu ersetzen, temporäre Zugriffsrechte zu entziehen und festgestellte Schwachstellen in einen Maßnahmenplan zu überführen.

Verantwortlichkeiten für Prozessbewertung, Schutzmaßnahmen, Notbetrieb und Wiederanlauf sind zwischen Facility Management, Logistikbetrieb, IT/OT, Arbeitssicherheit, Brandschutz, Security und Standortleitung eindeutig abzugrenzen. Für jeden kritischen Prozess ist eine verantwortliche Funktion zu benennen, die Bewertung, Dokumentation und Aktualisierung sicherstellt.

Das Facility Management verantwortet insbesondere die Transparenz über technische Anlagen, Versorgungen, Instandhaltung, Betreiberpflichten und FM-Dienstleister. Der Logistikbetrieb definiert operative Prioritäten und Mindestleistungen. IT/OT verantwortet Systemverfügbarkeit, Datensicherung und technische Wiederherstellung. Arbeitssicherheit, Brandschutz und Security bestimmen die notwendigen Schutz- und Freigabeanforderungen.

Die Standortleitung genehmigt Prioritäten, wesentliche Investitionen und verbleibende Risiken. Für den Ereignisfall sind Entscheidungsgrenzen, Eskalationsstufen, Stellvertretungen und eine besondere Führungsorganisation festzulegen. Ansprechpartner müssen auch außerhalb der regulären Arbeitszeit erreichbar sein.

Externe Dienstleister sind in die Governance einzubeziehen. Ihre Rollen, Meldepflichten, Zugangsberechtigungen und Entscheidungsbefugnisse müssen mit der internen Organisation abgestimmt und vertraglich abgesichert sein.

Das Verzeichnis kritischer Prozesse, die Kritikalitätsbewertungen und die zugehörigen Schutzziele sind zentral und versionskontrolliert zu dokumentieren. Zu jedem Prozess gehören mindestens Verantwortlicher, Abhängigkeiten, Ausfallfolgen, zeitliche Zielwerte, Mindestbetrieb, Schutzmaßnahmen, Rückfallebene und Wiederanlaufreihenfolge.

Notfallrelevante Dokumente müssen auch bei Ausfall der regulären IT verfügbar sein. Ausdrucke oder offline gespeicherte Versionen sind vor unbefugtem Zugriff zu schützen und regelmäßig auf Aktualität zu prüfen. Es muss eindeutig erkennbar sein, welche Version verbindlich ist.

Aktualisierungen erfolgen insbesondere bei Prozessänderungen, Umbauten, neuen Anlagen, veränderten Warenarten, neuen Dienstleistern, geänderten Schichtmodellen oder wesentlichen Störungen. Zusätzlich ist eine regelmäßige Gesamtprüfung vorzusehen.

Änderungsprojekte müssen vor Freigabe bewerten, ob neue Einzel-Ausfallpunkte entstehen, Wiederanlaufzeiten verlängert werden oder bestehende Ersatzverfahren ihre Wirksamkeit verlieren.

Notbetriebs- und Wiederanlaufverfahren sind regelmäßig durch Dokumentenprüfungen, Alarmierungsübungen, Planspiele, technische Funktionstests und praktische Simulationen zu überprüfen. Die Übungstiefe richtet sich nach Kritikalität und Risiko. Hochkritische Funktionen benötigen realistischere und häufigere Prüfungen als Prozesse mit geringer Auswirkung.

Jede Übung muss klare Ziele, ein definiertes Szenario, Sicherheitsgrenzen und Bewertungskriterien haben. Zu messen sind unter anderem Erkennungszeit, Alarmierungszeit, Entscheidungsdauer, Umschaltzeit, tatsächlich erreichte Wiederanlaufzeit und nutzbare Mindestkapazität.

Auch externe Dienstleister und Schnittstellen sind einzubeziehen. Ein intern funktionierendes Verfahren ist nicht ausreichend, wenn erforderliche Ersatzteile, Transporte oder Freigaben im Ereignisfall nicht rechtzeitig verfügbar sind.

Festgestellte Schwachstellen werden mit Verantwortlichem, Priorität und Termin in Maßnahmenpläne überführt. Eine Maßnahme gilt erst als abgeschlossen, wenn ihre Umsetzung nachgewiesen und bei wesentlichen Änderungen erneut getestet wurde.

Geeignete Kennzahlen sind die Verfügbarkeit kritischer Anlagen, die Einhaltung definierter Wiederanlaufzeiten, die Anzahl und Dauer ungeplanter Ausfälle, die Funktionsfähigkeit von Ersatzsystemen, der Bearbeitungsstand kritischer Maßnahmen und die Ergebnisse aus Notfallübungen.

Ergänzend sind vorausschauende Kennzahlen zu verwenden. Dazu zählen überfällige Instandhaltungsarbeiten, nicht getestete Ersatzaggregate, fehlende kritische Ersatzteile, abgelaufene Dienstleistervereinbarungen, unbesetzte Stellvertretungen und nicht geschlossene Übungsmaßnahmen.

Kennzahlen müssen eindeutig definiert, vergleichbar und auf die tatsächliche Risikosteuerung ausgerichtet sein. Eine hohe technische Verfügbarkeit ist beispielsweise nicht ausreichend, wenn Störungen regelmäßig zu erheblichen Kapazitäts- oder Qualitätsverlusten führen.

Die Ergebnisse sind regelmäßig an Standortleitung und verantwortliche Fachbereiche zu berichten. Überschrittene Schwellenwerte müssen konkrete Entscheidungen oder Maßnahmen auslösen. Das Kennzahlensystem dient damit nicht nur der Berichterstattung, sondern der kontinuierlichen Verbesserung der Resilienz.