KRITIS-Personal planen: Zuständigkeit und Abdeckung sichern

KI Dieser Artikel wurde mit Hilfe von KI erstellt.

Welche Schutzaufgaben brauchen eine klare Zuständigkeit?

Der Personalbedarf eines KRITIS-Betreibers beginnt nicht mit einer Teamgröße, sondern mit einer Aufgabenliste. Das BSIG liefert sie: § 30 verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, deren Einhaltung dokumentiert werden muss. Konkret benennt das Gesetz unter anderem die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs mit Backup-Management und Wiederherstellung nach einem Notfall, die Sicherheit der Lieferkette sowie Konzepte für die Sicherheit des Personals und die Zugriffskontrolle. Für Betreiber kritischer Anlagen kommt in § 31 eine Verschärfung hinzu: Sie müssen Systeme zur Angriffserkennung einsetzen, die Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten.

Diese Pflichten liest du am besten als Rollenprofil, nicht als Rechtskommentar. Jede Schutzaufgabe bekommt drei Verbindungen: eine namentlich verantwortliche Person, einen belastbaren Nachweis und eine definierte Vertretung. Genau daraus entsteht der Personalbedarf, denn die Verantwortung für die vollständige Abdeckung liegt beim Betreiber, unabhängig davon, wer technisch ausführt.

• Vorfallbewältigung: Wer bewertet Sicherheitsvorfälle, wer leitet Maßnahmen ein, wer meldet an Behörden und interne Stellen?

• Aufrechterhaltung des Betriebs: Wer verantwortet Backup-Management und Wiederherstellung nach einem Notfall, und wer stellt die Krisenkommunikation sicher?

• Lieferkettensicherheit: Wer prüft Anbieter und Dienstleister auf sicherheitsbezogene Aspekte, bevor sie in den Betrieb gehen?

• Sicherheit des Personals und Zugriffskontrolle: Wer pflegt Konzepte und Prozesse, wer zieht sie bei Personalwechseln nach?

• Angriffserkennung: Wer betreibt die Systeme, wer hält Signaturen und Analyseparameter aktuell, wer reagiert auf Alarme?

Wichtig zur Einordnung: Das Gesetz schreibt keine Mindestzahl an Beschäftigten vor und verlangt auch keine pauschale interne Vollbesetzung. Es fordert Wirksamkeit und Dokumentation. Genau deshalb ist die Aufgabenliste der richtige Startpunkt: Sie zeigt, welche Kompetenzen irgendwo verfügbar sein müssen, ob intern, über Dienstleister oder in Mischform, und macht sichtbar, wo eine einzelne Person stillschweigend fünf Pflichten trägt.

Wie wird kontinuierliche Angriffserkennung organisatorisch betreut?

Systeme zur Angriffserkennung laufen kontinuierlich und automatisch, aber der Betrieb um sie herum ist eine Organisationsaufgabe. Technischen Erkennungsbetrieb und menschliche Bewertung musst du sauber trennen: Jede Alarmmeldung braucht jemanden, der sie bewertet, bei Bedarf eskaliert und gegenüber dem BSI nachweist. Die BSI-Orientierungshilfe zu Systemen zur Angriffserkennung macht daraus konkrete Anforderungen: benannte Verantwortliche für die Detektion, dokumentierte Richtlinien mit geregelten Melde- und Alarmierungswegen sowie eine Logging- und Erkennungsinfrastruktur, die ausreichend mit personellen, technischen und finanziellen Ressourcen dimensioniert und budgetiert ist.

An dieser Stelle lohnt eine ehrliche Wirtschaftlichkeitsrechnung. Ein eigenes 24/7-SOC erfordert ein mehrköpfiges Team aus Vollzeitanalysten in mehreren Schichten, dazu Schichtleitung, Engineering und Threat Hunting, und entsprechend hohe Personalkosten pro Jahr. Für viele Betreiber ist das allein für die Analyse nicht wirtschaftlich. Das ist kein Argument gegen die Pflicht, sondern eines für ein bewusstes Betriebsmodell: intern, extern oder hybrid, mit klar geregelter Überwachung.

Prüfe die eigene Abdeckung am laufenden Betrieb, nicht am Organigramm:

• Wer bewertet Alarme nachts, am Wochenende und an Feiertagen, und in welcher Zeitspanne reagiert diese Person?

• Wer meldet innerhalb der gesetzlichen Meldefristen an das BSI, und wer vertritt diese Person im Urlaub?

• Wer hält Signaturen, Analyseparameter und Angriffsmuster aktuell, und wie wird das dokumentiert?

• Welche Rollen müssen daraus intern besetzt sein, weil dir Verantwortung, Kontextwissen oder Reaktionsgeschwindigkeit sonst fehlen?

Aus diesen Antworten folgt direkt der Personalbedarf: Rollen, die dir nur Nachweise und Entscheidungsrechte sichern können, gehören intern an fest angestellte Leute. Reine Auswertungskapazität lässt sich dagegen oft über Dienstleister abdecken, solange du die Überwachungspflicht selbst trägst.

Wo fehlen Vertretung und Betriebswissen?

Eine Zuständigkeit ohne Vertretung ist im Ernstfall keine. Urlaub, Krankheit, Fluktuation und Übergaben sind keine Randfälle, sondern der Normalbetrieb jedes Security-Teams. Wenn die Person, die Alarme bewertet oder Vorfälle an das BSI meldet, zwei Wochen nicht erreichbar ist, brauchst du eine zweite befähigte Person, die dasselbe kann und dieselben Prozesse kennt. Sonst steht die kontinuierliche Angriffserkennung auf dem Papier, aber nicht im Betrieb.

• Benenne für jede Schutzaufgabe eine zweite befähigte Person, nicht nur eine verantwortliche.

• Plane Übergaben explizit: Dokumentation, Prozesse und Zugänge müssen so aufgebaut sein, dass eine Vertretung ohne Wochen Einarbeitung übernehmen kann.

• Prüfe Vertretungen realistisch, etwa im Rahmen von Übungen, statt sie nur im Organigramm zu führen.

Gesondert bewerten solltest du das Betriebswissen bei OT-Anlagen. NIST SP 800-82 Rev. 3 fordert, Operational Technology zu sichern und dabei die besonderen Performance-, Zuverlässigkeits- und Sicherheitsanforderungen des Anlagenbetriebs zu wahren. Ein klassisches IT-Security-Profil deckt das allein nicht ab: Wer eine Produktionsanlage, ein Leit- oder ein Energiesystem kennt, versteht auch, welche Maßnahme den Betrieb gefährdet. Dazu kommt die IT-/OT-Konvergenz als Angriffsvektor: Monitoring, das nur klassische IT abdeckt, lässt genau die Netzübergänge unbeobachtet, über die Angriffe in die Anlagenebene wandern. Für diese Schnittstelle brauchst du Profile mit echtem OT-Kontext, und die sind am Markt die knappsten.

Welche Kompetenzen müssen intern verfügbar bleiben?

Vor der Priorisierung trennst du eigene Fähigkeiten von externen Leistungen, und zwar nach zwei Kriterien: Steuerbarkeit und Verfügbarkeit. Die rechtliche Verantwortung bleibt beim Betreiber, Outsourcing entbindet nicht von der Überwachungspflicht. Rollen mit Entscheidungsrechten, Meldepflichten und Anlagenkontext gehören intern fest verankert, während eng umrissene Auswertungsleistungen auch extern besetzt werden können.

Welche Personalmandate haben zuerst Priorität?

Am Ende übersetzt du die Abdeckungslücken in priorisierte Suchprofile. Der Markt macht das nicht leicht: 90 Prozent der befragten Organisationen in Deutschland haben Schwierigkeiten, qualifizierte Cyber-Fachkräfte zu gewinnen. Der größte Personalmangel herrscht laut der Strategy&-Studie 2025 in Risikomanagement mit 57 Prozent, Incident Response mit 46 Prozent und Cloud Security mit 39 Prozent. Genau dort, wo die Lücken am größten sind, konkurrierst du also am härtesten.

Für die priorisierten Mandate gilt: Sie sind selten, schwer zu finden und zu wichtig, um sie über ein generisches Volumen-Sourcing zu besetzen. Genau dafür ist Festanstellung (Permanent Recruitment) von Nova Search gebaut: über ein zweistufiges Screening aus technischer Tiefenprüfung und Culture-Interview erhältst du eine erste qualifizierte Shortlist in 5 Werktagen, und mit der 90-Tage-Garantie trägt Nova Search das Risiko mit. Wenn du deine KRITIS-Security-Besetzungen priorisieren willst, starte mit dem Briefing über deine priorisierten Profile und bringe dein Suchprofil in 5 Tagen statt 5 Monaten auf den Tisch.