Ein baden-württembergischer Landkreis führt sein Informationssicherheits-Managementsystem und die KRITIS-Nachweispflichten seiner Beteiligungen in einem gemeinsamen Programm zusammen. ATM Consulting begleitet Aufbau, Methodik und Umsetzung – von der Betroffenheitsanalyse bis zur Vorbereitung der Nachweisprüfung.
Projektzeitraum Mai 2026 bis 2028 · laufendes Programm · Sektor Siedlungsabfallentsorgung
Ausgangslage
Der Landkreis betreibt über eigene Gesellschaften kommunale Kliniken sowie die Abfallwirtschaft – Sammlung und Beförderung, Wertstoffhöfe, Kompostierung und Vergärung, Behandlungsanlagen. Ein ISMS nach ISO 27001 auf Basis IT-Grundschutz war in der Kernverwaltung angelegt, in den Beteiligungen jedoch unterschiedlich weit gediehen. Parallel wurden mehrere Anlagen der Abfallwirtschaft vom BSI als kritische Anlagen bestimmt, mit gesetzlichen Nachweisfristen in 2028.
Damit stand die Frage im Raum, die viele kommunale Konzerne beschäftigt: ein eigenes Managementsystem je Gesellschaft – oder ein gemeinsames, das trägt.
Auftrag
Der Landkreis beauftragte ATM Consulting mit der methodischen Führung des Programms: die Betroffenheit der einzelnen Gesellschaften belastbar klären, den Geltungsbereich festlegen, das Managementsystem einheitlich aufsetzen und die Beteiligungen so anschließen, dass Nachweispflichten aus KRITIS und Anforderungen aus ISO 27001 in einem Zug bedient werden – ohne doppelte Dokumentation und ohne parallele Regelwerke.
Vorgehen
Betroffenheit und Geltungsbereich
Prüfung je Gesellschaft und Anlage anhand von BSI-KritisV und KRITIS-Dachgesetz, einschließlich der Frage, welche Pflichten für den Sektor Siedlungsabfallentsorgung tatsächlich greifen und welche ausgenommen sind. Ergebnis war eine Zuordnung mit Fundstelle statt einer pauschalen Annahme – und für einzelne Gesellschaften eine spürbar schmalere Pflichtenlage als zunächst erwartet.
Ein Managementsystem statt vieler
Die Beteiligungen treten dem ISMS des Landkreises bei und übernehmen dessen Leit- und Richtlinien; eigene Methodik entfällt. In der eingesetzten GRC-Plattform bilden sich die Gesellschaften als Unternehmenseinheiten ab. Das hält Lizenzlast, Pflegeaufwand und Abstimmungsschleifen niedrig.
Struktur und Methodik
Aufbau der Prozessstruktur entlang des branchenspezifischen Sicherheitsstandards Siedlungsabfallentsorgung, Business-Impact-Analyse und Untragbarkeitsniveau nach BSI-Standard 200-4, Schutzbedarfsfeststellung am Prozess, anschließend Asset-Register und Risikoanalyse nach BSI-Standard 200-3 – in dieser Reihenfolge, weil jeder Schritt den nächsten trägt.
Bestandsübernahme
Feststellungen und Maßnahmen aus internen Audits, KRITIS-Vorprüfung und Managementbewertung wurden konsolidiert und toolgestützt nachverfolgbar gemacht, statt in Einzellisten weiterzulaufen.
Entscheidungsreife für die Geschäftsführung
Für die Leitungsebene entstand ein Briefing zum KRITIS-Dachgesetz: Pflichten, Fristen, Haftung und Handlungsoptionen – jede Aussage mit Fundstelle, ohne Dramatisierung, mit klar benannten Beschlusspunkten.
Ergebnis
Das Programm läuft. Der Geltungsbereich ist beschlossen, die Beteiligungen sind angeschlossen, die Nachweistermine werden gebündelt vorbereitet. Die Geschäftsführung entscheidet auf einer Grundlage, die Rechtsstand und Aufwand transparent nebeneinanderstellt – und das Haus baut dort auf, wo es nachweisen muss, statt Strukturen später umzubauen.
Unsere Leistungen im Projekt
- Betroffenheits- und Geltungsbereichsanalyse nach BSI-KritisV und KRITIS-Dachgesetz
- ISMS-Rahmenplanung nach ISO 27001 auf Basis IT-Grundschutz
- Prozess- und Assetstrukturierung entlang des branchenspezifischen Sicherheitsstandards
- Schutzbedarfsfeststellung, Business-Impact-Analyse und Risikomanagement
- Konsolidierung der Maßnahmen aus Audits und Vorprüfungen
- Interne Audits und Vorbereitung der KRITIS-Nachweisprüfung
- Briefing und Entscheidungsvorlagen für die Geschäftsleitung
Eingesetzte Standards und Methoden
| Bereich | Grundlage |
|---|---|
| Managementsystem | ISO/IEC 27001, BSI-Standard 200-1 und 200-2 (IT-Grundschutz) |
| Risikomanagement | BSI-Standard 200-3 |
| Notfallmanagement | BSI-Standard 200-4 (BIA, Untragbarkeitsniveau) |
| Regulierung | KRITIS-Dachgesetz, BSI-KritisV, NIS-2 / BSIG n. F. |
| Branchenbezug | Branchenspezifischer Sicherheitsstandard Siedlungsabfallentsorgung |
| Werkzeug | Toolgestütztes GRC-Management |
Ähnliche Projekte
Wie ein solches Programm im Sektor Energie aussieht, zeigt unsere Fallstudie KRITIS-Sektor Stadtwerk – Re-Zertifizierung und Zertifikat-Transfer.