Sicherheitslagebild nach DIN SPEC 14027. Die fünf Phasen aus Abschnitt 6

Die DIN SPEC 14027, der vom Bundesministerium des Innern initiierte Standard für physische Unternehmenssicherheit ², widmet dem Sicherheitslagebild ein eigenes Handlungsfeld. Gemeint ist die laufende Erfassung, Bewertung und Darstellung aller Informationen, die für die Sicherheitslage der Organisation von Bedeutung sind. Das reicht von möglichen Bedrohungen über konkrete Risiken bis zu Vorfällen, die bereits eingetreten sind. Form und Tiefe richten sich nach dem Informationsbedarf der Empfänger, erlaubt ist alles von der Zahlenübersicht bis zur Karte ¹. Zweck ist, Bedrohungen früh zu erkennen und Transparenz zu schaffen, damit die Leitung informierte Entscheidungen treffen kann.

Entscheidend ist das Wort fortlaufend. Ein Lagebild im Sinne der Norm ist kein Dokument, das einmal im Jahr entsteht, sondern ein Prozess mit festen Rollen, Quellen, Bewertungsregeln und Produkten. Umfang und Tiefe dürfen an das Sicherheitsniveau der Organisation angepasst werden, die fünf Phasen selbst müssen aber alle durchlaufen werden.

Bevor die erste Meldung ausgewertet wird, verlangt die Norm Grundlagen. Die oberste Leitung trägt die Verantwortung, benennt eine zuständige Funktion mit den nötigen Kompetenzen und legt den Empfängerkreis fest. Die Mindestanforderungen an Lagebild und Prozess müssen in einem Regelwerk dokumentiert sein, mit Geltungsbereich, Zielen, Rollen und Schnittstellen. Außerdem braucht es ein Monitoringsystem und einen Monitoringprozess. Auf den Sicherheitsniveaus A und B ist das Monitoringsystem Pflicht, auf C und D eine Empfehlung. Für Organisationen mit hohem Schutzbedarf kommt die Prüfung hinzu, ob ein strategisches Lagezentrum eingerichtet werden soll. Die Norm verlangt das Lagezentrum nicht, sie verlangt die Prüfung.

Die erste Phase beantwortet die Frage, wer welche Information in welcher Form wann und zu welchem Zweck braucht. Eine Werkleitung braucht etwas anderes als der Vorstand, der Krisenstab etwas anderes als die Verantwortlichen für Reisesicherheit. Der Bedarf kann dauerhaft sein, etwa die laufende Beobachtung der Standortumgebung, oder zeitlich begrenzt, etwa für eine Großveranstaltung oder eine Dienstreise in eine Krisenregion. Festgelegt wird auch der Turnus, in dem die oberste Leitung informiert wird. Wer diese Phase überspringt, produziert später Berichte, die niemand liest.

Die zweite Phase ist die systematische und andauernde Sammlung von Informationen. Quellen sind intern und extern. Intern melden Beschäftigte, Werkschutz, Personalabteilung oder IT. Extern kommen befreundete Organisationen, Behörden, Dienstleister und offen verfügbare Quellen wie Medien und soziale Netzwerke hinzu. Die Norm verlangt, die Meldequellen zu identifizieren, festzulegen und zu dokumentieren, und sie erlaubt ausdrücklich, einen externen Dienstleister einzubinden, wenn die Organisation die Sammlung nicht selbst leisten kann ¹. Zum Beobachtungsgegenstand gehören neben der allgemeinen Lage auch die eigenen Anlagen, Einrichtungen und Dienstleister.

Gesammelte Meldungen sind noch kein Lagebild. In der dritten Phase werden sie nach einer festgelegten Systematik mit Schwellenwerten analysiert, bewertet und eingestuft. Die Norm nennt dafür die fünf W. Wer, was, wo, wann und warum. Dazu kommen eine Bewertung der Situation, bei Bedarf eine Prognose und eine Einschätzung der Auswirkungen auf die Organisation und ihre Werte. Wichtig ist, Zusammenhänge zwischen Meldungen und wiederkehrende Muster zu erkennen. Eine einzelne Meldung sagt wenig, zehn ähnliche Meldungen in drei Monaten sagen viel.

Die vierte Phase macht aus der Bewertung Produkte für die Empfänger, in einem vorab festgelegten Format. Als Beispiele nennt die Norm einen wöchentlichen Lagebericht und einen vierteljährlichen Bedrohungskatalog. In der Praxis kommen Meldungen zu einzelnen Vorfällen und Lagebilder zu bestimmten Anlässen hinzu, etwa zu einer Veranstaltung oder einer Dienstreise. Die Norm verlangt, dass die Produkte zielgruppengerecht aufbereitet sind. Bewährt haben sich dafür klare Sprache, nachvollziehbare Quellen und eine Einordnung, was die Information für die Organisation bedeutet. Die oberste Leitung wird in regelmäßigen Abständen und im Bedarfsfall informiert, bei sehr hohem Schutzbedarf zeitnah. Außerdem muss das Lagebild an andere Managementsysteme und vorhandene Lagebilder anschlussfähig sein, damit Informationen nicht in Silos verschwinden.

Die fünfte Phase schließt den Kreis. Der gesamte Prozess wird regelmäßig daraufhin überprüft, ob er den Bedarf trifft, ob die Quellen noch die richtigen sind und ob die Produkte bei den Empfängern ankommen. Die Erkenntnisse des Lagebilds fließen außerdem in die Schutzbedarfsermittlung ein, und ein veränderter Schutzbedarf wird den betroffenen Stellen mitgeteilt. Das Ergebnis fließt zurück in die erste Phase. Diese Evaluation ist der Unterschied zwischen einem Lagebild, das nach einem Jahr zur Routine erstarrt ist, und einem, das mit der Organisation wächst.

Das Sicherheitslagebild steht nicht allein. Die Norm nennt als Schnittstellen die Schutzbedarfsermittlung, die das Lagebild mit Informationen zur Bedrohungsintensität versorgt, das Störungs-, Notfall- und Krisenmanagement, den Veranstaltungsschutz, die Reisesicherheit, die Standortsicherheit, den Know-how-Schutz, die Lieferkettensicherheit und das Sicherheitsmanagementsystem ¹. In der Praxis heißt das, dass die zuständige Funktion mit den Verantwortlichen dieser Felder feste Übergabepunkte vereinbaren sollte. Wann bekommt der Krisenstab eine Ad-hoc-Meldung, wann fließt eine Beobachtung in die Bedrohungsintensität eines Standorts ein, wer informiert die Reisesicherheit über eine veränderte Lage im Zielland.

Drei Fehler treten in der Praxis häufig auf. Erstens wird mit der Quellenbeobachtung begonnen, bevor der Bedarf geklärt ist, mit dem Ergebnis, dass viel gesammelt und wenig genutzt wird. Zweitens fehlt die Bewertungssystematik, sodass jede Meldung gleich dringend wirkt und der Empfängerkreis abstumpft. Drittens wird die Evaluation vergessen, weshalb Quellen veralten und Produkte an Empfängern vorbeigehen, die längst andere Aufgaben haben. Alle drei Fehler lassen sich mit den fünf Phasen der Norm vermeiden, wenn man sie in der vorgegebenen Reihenfolge angeht.

Von den fünf Phasen lassen sich vor allem die Informationssammlung und Teile der Bewertung technisch unterstützen. Ein OSINT-Monitoring beobachtet offene Quellen in vielen Sprachen rund um die Uhr, ordnet Meldungen Themen und Orten zu, prüft Behauptungen gegen unabhängige Berichterstattung und verdichtet das Ergebnis zu einem laufend aktualisierten Lagebild mit Quellenbelegen. Bedarfsermittlung, Schwellenwerte, interne Quellen und die Bewertung für die eigene Organisation bleiben Aufgabe der zuständigen Funktion. Wie der AegisSight Monitor die Umsetzung des Handlungsfelds unterstützt und was bei der Organisation bleibt, zeigt die Zuordnung auf unserer Seite Sicherheitslagebild nach DIN SPEC 14027.