Warum Kommunikation zur Schlüsselressource resilienter Infrastrukturen wird

Die neuen europäischen CER-Leitlinien verändern den Blick auf kritische Infrastruktur. Resilienz bedeutet nicht länger nur, Gebäude, Netze und technische Anlagen gegen Ausfälle zu schützen. Entscheidend ist vielmehr, ob wesentliche Dienstleistungen auch unter außergewöhnlichen Bedingungen weiter funktionieren. Damit gewinnt ein Faktor an Bedeutung, der in Sicherheitskonzepten häufig hinter Sensorik, Cybersecurity und Redundanz zurücktritt: die Kommunikation zwischen Menschen.

Wenn kritische Infrastruktur in eine Krise gerät, muss nicht zwangsläufig die gesamte Technik ausfallen. Mitunter genügt es bereits, dass Informationen ihre Empfänger nicht mehr rechtzeitig erreichen, Verantwortlichkeiten unklar sind oder verschiedene Stellen über kein gemeinsames Lagebild verfügen. Dann können selbst vorhandene Redundanzen und ausgefeilte Sicherheitssysteme ihre Wirkung verlieren. Dieser Zusammenhang erhält durch die im Juli 2026 veröffentlichten Leitlinien der Europäischen Kommission zur Anwendung von Artikel 13 Absatz 5 der CER-Richtlinie neue Bedeutung. Unter der Bezeichnung C/2026/3712 konkretisiert die Kommission mögliche technische, sicherheitsbezogene und organisatorische Maßnahmen, mit denen kritische Einrichtungen ihre Widerstandsfähigkeit erhöhen können. Die Leitlinien sind nicht rechtsverbindlich, zeigen aber deutlich, welches Verständnis von Resilienz sich auf europäischer Ebene durchsetzt. Im Mittelpunkt steht nicht mehr allein die Frage, wie eine einzelne Anlage geschützt werden kann. Entscheidend ist vielmehr, ob die von einer kritischen Einrichtung erbrachte wesentliche Dienstleistung trotz einer Störung weiter verfügbar bleibt oder möglichst schnell wiederhergestellt werden kann. Der Blick verschiebt sich damit vom Schutz einzelner Assets hin zur Funktionsfähigkeit ganzer Organisationen und ihrer Abhängigkeiten.

Vom Schutz der Infrastruktur zur Sicherung der Dienstleistung

Traditionelle Sicherheitskonzepte folgen häufig einer vergleichsweise klaren Logik: Gebäude werden gegen unbefugtes Eindringen geschützt, Rechenzentren erhalten redundante Stromversorgung, Netzwerke werden segmentiert, Anlagen durch Videoüberwachung, Brandmeldetechnik und Zutrittskontrolle abgesichert. All diese Maßnahmen bleiben notwendig. Der CER-Ansatz erweitert jedoch die Perspektive und betrachtet Resilienz gegenüber einem breiten Spektrum natürlicher und menschengemachter Gefahren – von Extremwetter und technischen Störungen bis zu Sabotage, Cyberangriffen oder anderen vorsätzlich beziehungsweise unbeabsichtigt verursachten Ereignissen.
Nicht mehr der Schutz des einzelnen Objekts allein ist deshalb der Maßstab, sondern die Fähigkeit der Organisation, ihre wesentlichen Dienste aufrechtzuerhalten. Damit verändert sich auch die Rolle der Sicherheitstechnik. Ein Generator ist nur dann Bestandteil eines resilienten Systems, wenn klar ist, wann er benötigt wird, wer seinen Betrieb verantwortet und welche Prozesse bei einer Störung greifen. Eine Kamera liefert ein Bild, löst aber noch keine koordinierte Reaktion aus. Eine Zutrittskontrolle kann einen Bereich sperren, entscheidet jedoch nicht, welche Personen ihn in einer Ausnahmesituation betreten müssen. Je stärker Resilienz als Fähigkeit einer gesamten Organisation verstanden wird, desto wichtiger werden deshalb die Verbindungen zwischen den einzelnen Systemen – und diese bestehen nicht ausschließlich aus Datenleitungen.

Kommunikation wird Teil der Sicherheitsarchitektur

Bemerkenswert an den CER-Leitlinien ist weniger ein einzelnes Kapitel über Kommunikation als vielmehr die Vielzahl der Stellen, an denen Informationsaustausch für das Funktionieren anderer Resilienzmaßnahmen vorausgesetzt wird. Für die Reaktion auf Sicherheitsvorfälle werden unter anderem klare Entscheidungshierarchien, definierte Rollen, die Zusammenarbeit mit Behörden und privaten Akteuren sowie strukturierte Krisenkommunikationsprozesse hervorgehoben.

Besonders konkret wird die Leitlinie dort, wo sie Krisenkommunikationsprotokolle fordert, die eine zeitnahe und korrekte Weitergabe von Informationen an interne und externe Stellen ermöglichen sollen. Vorgesehen sind unter anderem vordefinierte Kommunikationsabläufe, Mehrkanal-Kommunikationsfähigkeiten und redundante Systeme. Auch unterschiedliche Zielgruppen, mehrere Sprachen sowie Anforderungen an die Barrierefreiheit sollen berücksichtigt werden. Darüber hinaus empfiehlt die Kommission Mehrkanal-Warnsysteme, klare Kommunikationsketten und benannte Sprecher für Notfallsituationen. Kommunikation wird damit zu einem infrastrukturellen Bindeglied zwischen technischer Detektion, menschlicher Beurteilung und operativer Reaktion.
Das klingt zunächst selbstverständlich. In hochautomatisierten Sicherheitsarchitekturen ist es das jedoch immer weniger. Während erhebliche Investitionen in Sensorik, Videoanalyse, KI-gestützte Erkennung oder Security Operations Center fließen, wird häufig vorausgesetzt, dass aus technischen Informationen automatisch die richtige Reaktion entsteht. Genau hier liegt eine zentrale Schwachstelle moderner Resilienzkonzepte.

Das größere Risiko ist häufig ein verlorenes Lagebild

Moderne Sicherheitszentralen leiden meist nicht unter Informationsmangel. Das Gegenteil ist der Fall. Videoanlagen erzeugen Bilder und Metadaten, Einbruchmeldesysteme liefern Zustände, Zutrittskontrollen dokumentieren Bewegungen, Brandmeldetechnik erzeugt Alarme, Gebäudemanagementsysteme melden technische Abweichungen und Cybersecurity-Plattformen überwachen Netzwerke und Endpunkte. Die eigentliche Herausforderung liegt zunehmend darin, aus diesen Signalen schnell ein belastbares Lagebild zu gewinnen.
Ein Alarm allein beantwortet noch keine der entscheidenden Fragen: Was ist tatsächlich passiert? Welche Bereiche sind betroffen? Wer befindet sich dort? Welche Dienste könnten ausfallen? Muss evakuiert werden? Welche Einsatzkräfte sind bereits unterwegs und welche Entscheidungen wurden getroffen? Resilienz entsteht deshalb nicht allein durch die Fähigkeit, Ereignisse zu erkennen. Sie entsteht dadurch, dass Informationen interpretiert, weitergegeben und in koordiniertes Handeln übersetzt werden können.
Hier liegt der Unterschied zwischen Daten und Lagebewusstsein. Eine Kamera kann zeigen, dass sich Rauch entwickelt, ein Sensor kann einen Temperaturanstieg melden und ein Analyseprogramm mehrere Ereignisse miteinander korrelieren. Doch erst die Abstimmung zwischen Leitstelle, Betriebspersonal, Feuerwehr, Sicherheitsdienst und weiteren Verantwortlichen schafft ein gemeinsames operatives Verständnis. Kommunikation ist damit nicht lediglich das Anhängsel einer Sicherheitsarchitektur. Sie ist der Mechanismus, durch den aus einzelnen technischen Systemen ein handlungsfähiges Gesamtsystem wird.

Warum Sprache im Krisenfall besonders relevant bleibt

Die Digitalisierung hat die Zahl möglicher Kommunikationskanäle deutlich erweitert. Apps, Messenger, Dashboards, automatisierte Workflows, mobile Alarmierung und digitale Leitstellenlösungen gehören inzwischen zum Standard moderner Sicherheits- und Gebäudetechnik. Trotzdem behält Sprachkommunikation in zeitkritischen Situationen eine besondere Stellung, weil sie unmittelbar und dialogfähig ist.
In einer unübersichtlichen Lage können Rückfragen gestellt, Missverständnisse sofort geklärt und Prioritäten verändert werden. Dringlichkeit, Unsicherheit oder Eskalation lassen sich unmittelbar vermitteln, während der Empfänger zugleich bestätigen kann, dass eine Information angekommen und verstanden worden ist. Genau das unterscheidet Sprache von vielen einseitigen Alarmierungsformen. Eine Textmeldung kann eine Anweisung transportieren, ein Display einen Alarm anzeigen und eine App eine Evakuierungsaufforderung auslösen. Bei komplexen oder unerwarteten Ereignissen entsteht jedoch häufig zusätzlicher Informationsbedarf. Dann wird Kommunikation dialogisch.

Für Betreiber kritischer Einrichtungen bedeutet dies nicht, dass klassische Intercom-, Telefon-, Sprachalarmierungs- oder Beschallungssysteme plötzlich wichtiger wären als alle anderen Technologien. Wohl aber sollte ihre Rolle innerhalb eines übergreifenden Resilienzkonzepts neu bewertet werden. Entscheidend ist nicht allein, ob ein Kommunikationssystem im Normalbetrieb funktioniert, sondern ob es auch dann noch verfügbar bleibt, wenn Netzwerkverbindungen gestört, einzelne Standorte isoliert oder andere Kommunikationskanäle überlastet sind.

Redundanz gilt auch für Kommunikation

Gerade daraus ergibt sich eine der praktisch wichtigsten Konsequenzen des europäischen Resilienzansatzes. Wer für Stromversorgung, Server, Netzwerke oder Leitstellen Redundanzen vorsieht, sollte Kommunikation nicht davon ausnehmen. Krisenkommunikation, die ausschließlich von einem einzigen IP-Netz, einer Cloud-Plattform oder einem Mobilfunkanbieter abhängt, kann selbst zum Single Point of Failure werden.
Resiliente Kommunikation verlangt deshalb unterschiedliche Übertragungswege, klare Eskalationsstufen und gegebenenfalls Möglichkeiten, auch dann weiterzuarbeiten, wenn Teile der digitalen Infrastruktur ausgefallen sind. Das kann je nach Einrichtung unterschiedliche Formen annehmen: lokale Sprachkommunikation zusätzlich zu zentralen Plattformen, unabhängige Alarmierungswege, Notrufpunkte, alternative Netzverbindungen oder Systeme, die bei Verlust einer übergeordneten Verbindung grundlegende Funktionen lokal aufrechterhalten.
Damit verschiebt sich die Bewertung technischer Kommunikationssysteme. Künftig dürfte nicht nur entscheidend sein, welche Funktionen ein System im Normalbetrieb bietet, sondern ebenso, wie es sich im Ausfall anderer Systeme verhält und ob alternative Kommunikationswege tatsächlich vorhanden sind.

Cybersecurity allein reicht nicht aus

Die CER-Perspektive korrigiert zugleich eine Verkürzung, die sich in den vergangenen Jahren zunehmend eingeschlichen hat: Resilienz und Cybersecurity sind nicht dasselbe. Cybersecurity bleibt für moderne kritische Infrastruktur unverzichtbar. Eine Organisation kann jedoch hervorragend gegen bestimmte Cyberangriffe geschützt und dennoch schlecht auf einen länger andauernden Stromausfall, Hochwasser, einen physischen Angriff oder den Verlust wichtiger Beschäftigter vorbereitet sein.
Umgekehrt können funktionierende Notfallorganisation, alternative Betriebsverfahren und redundante Kommunikationswege dazu beitragen, die Folgen eines Cyberangriffs zu begrenzen. Die CER-Richtlinie und die dazugehörigen Leitlinien denken technologische, organisatorische und physische Sicherheit deshalb stärker gemeinsam. Die Verbindung zur NIS2-Regulierung ist dabei ausdrücklich vorgesehen, die Zielrichtungen unterscheiden sich jedoch: NIS2 konzentriert sich auf die Sicherheit von Netz- und Informationssystemen, während CER breiter auf die Widerstandsfähigkeit kritischer Einrichtungen und die Aufrechterhaltung wesentlicher Dienste zielt.
Für Betreiber ergibt sich daraus eine klare Konsequenz: Sicherheitsdisziplinen, die organisatorisch lange voneinander getrennt behandelt wurden, können zunehmend weniger unabhängig voneinander geplant werden.

Menschliche Entscheidung bleibt Teil der Resilienz

Besonders interessant ist in diesem Zusammenhang, dass die CER-Leitlinien auch menschliches Eingreifen ausdrücklich berücksichtigen. Für bestimmte automatisierte und KI-gestützte Systeme wird unter anderem die Fähigkeit zum manuellen Betrieb bei Ausfall oder Manipulation angesprochen. Gleichzeitig spielen klar definierte Verantwortlichkeiten, Krisenteams, Schulungen, Eskalationsprozesse und Übungen eine zentrale Rolle.
Das steht nicht im Widerspruch zur Automatisierung, sondern beschreibt vielmehr deren Grenze. Automatisierte Systeme können wiederkehrende Ereignisse schneller erkennen und vorgegebene Reaktionen auslösen. In außergewöhnlichen Situationen steigt jedoch die Wahrscheinlichkeit, dass genau jene Bedingungen eintreten, die bei der Konzeption eines Systems nicht vollständig vorhergesehen wurden. Dann benötigt Resilienz menschliche Urteilskraft.
Je stärker technische Systeme miteinander vernetzt und Prozesse automatisiert werden, desto wichtiger wird daher die Frage, wie Menschen in einer Ausnahmesituation weiterhin eingreifen, Informationen austauschen und Entscheidungen korrigieren können. Technologie kann menschliches Handeln beschleunigen und unterstützen, sie kann es in komplexen Krisensituationen jedoch nicht vollständig ersetzen.

Gute Resilienz ist häufig unspektakulär

Die wirkungsvollsten Resilienzmaßnahmen fallen im Alltag kaum auf. Ein Notruf wird unmittelbar beantwortet, eine Meldung erreicht die richtige Leitstelle, Verantwortliche kennen ihre Befugnisse, Einsatzkräfte erhalten eindeutige Informationen, Beschäftigte verstehen eine Durchsage und eine Leitstelle kann mit einem entfernten Standort kommunizieren. Fällt ein primärer Kommunikationsweg aus, steht ein alternativer Kanal zur Verfügung.
Technologisch wirken solche Anforderungen weniger spektakulär als KI-basierte Videoanalyse oder autonome Sicherheitssysteme. Operativ können sie jedoch entscheidender sein. Denn Resilienz zeigt sich nicht daran, wie viele Sicherheitssysteme installiert wurden, sondern daran, wie gut eine Organisation funktioniert, wenn ihr Normalbetrieb nicht mehr zur Verfügung steht.
Genau deshalb verändert sich auch die Sicherheitsplanung. Kommunikationsysteme sollten nicht erst am Ende eines Projekts als Ergänzung zu Videoüberwachung, Zutrittskontrolle oder Gefahrenmanagement betrachtet werden, sondern bereits in die Risikoanalyse einfließen. Planer müssen fragen, wer bei einem bestimmten Ereignis mit wem kommunizieren muss, welche Informationen benötigt werden, wie schnell diese übermittelt werden müssen und welche Systeme dafür auch beim Ausfall einzelner Infrastrukturen zur Verfügung stehen.

Intercom als Teil einer vernetzten Resilienzarchitektur

Moderne Intercom-Lösungen zeigen exemplarisch, wie sich diese Anforderungen in die technische Sicherheitsarchitektur übersetzen lassen. Sie verbinden Sprachkommunikation zunehmend mit Zutrittskontrolle, Video, Leitstellen- und Gebäudemanagementsystemen und können dadurch weit über die Funktion einer klassischen Gegensprechanlage hinausgehen. Notrufstellen, Zugangspunkte, Leitstände und dezentrale Standorte lassen sich miteinander vernetzen, während die Einbindung von Video- oder Gefahrenmanagementsystemen zusätzliche Informationen zum jeweiligen Ereignis bereitstellen kann.

Für resiliente Infrastrukturen ist dabei nicht allein die Integration entscheidend. Maßgeblich ist, ob Kommunikation auch unter erschwerten Bedingungen verständlich, unmittelbar und zuverlässig verfügbar bleibt. Hohe Sprachverständlichkeit in lauten Umgebungen, robuste Endgeräte, priorisierte Notrufe, definierte Weiterleitungswege und lokale Funktionen bei Störungen können dazu beitragen, die Kommunikation auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten. Intercom-
Technik kann damit eine wichtige Schnittstelle zwischen automatisierter Ereigniserkennung und menschlicher Entscheidung bilden, insbesondere dann, wenn zusätzliche Informationen, Rückfragen oder unmittelbare Unterstützung notwendig werden.

Im Kontext der CER-Anforderungen liegt die Bedeutung solcher Systeme deshalb weniger in einer einzelnen Produktfunktion als in ihrer Rolle innerhalb einer Mehrkanal- und Redundanzstrategie. Je stärker Intercom, Beschallung, Video, Zutrittskontrolle und Leitstellenplattformen miteinander verknüpft werden, desto wichtiger werden zugleich die Cyberresilienz der Kommunikationssysteme selbst und klar definierte Fallback-Szenarien.

Resilienz bleibt eine menschliche Fähigkeit

Die europäischen Leitlinien schreiben kritischen Einrichtungen nicht vor, bestimmte Sprachkommunikations- oder Intercom-Systeme einzusetzen. Eine solche Interpretation wäre zu weitgehend. Sie machen jedoch etwas Grundsätzlicheres sichtbar: Resilienz entsteht nicht allein daraus, dass technische Systeme unter Belastung weiterarbeiten. Sie entsteht daraus, dass eine Organisation weiterhin beobachten, beurteilen, entscheiden und handeln kann.

Dafür müssen Menschen erreichbar bleiben, Informationen müssen zuverlässig weitergegeben werden, Zuständigkeiten müssen bekannt sein und Behörden, Betreiber sowie Einsatzkräfte müssen sich abstimmen können. Warnungen müssen nicht nur versendet, sondern verstanden werden. Genau darin liegt die strategische Bedeutung von Kommunikation, die in klassischen Sicherheitsarchitekturen häufig unterschätzt wurde.

Die paradoxe Entwicklung lautet deshalb: Je digitaler, automatisierter und intelligenter kritische Infrastruktur wird, desto wertvoller wird die Fähigkeit zur unmittelbaren menschlichen Verständigung. Denn am Ende entscheidet nicht allein, ob ein technisches System einen Vorfall erkennt. Entscheidend ist, ob aus dieser Erkenntnis rechtzeitig gemeinsames Handeln entsteht.

Die entscheidende Qualität resilienter Infrastruktur zeigt sich deshalb nicht allein darin, wie lange technische Systeme einem Ausfall standhalten. Sie zeigt sich ebenso darin, ob Betreiber, Sicherheitskräfte und Einsatzorganisationen auch unter außergewöhnlichen Bedingungen ein gemeinsames Lagebild herstellen, Entscheidungen koordinieren und zuverlässig miteinander kommunizieren können.

Quellen
Europäische Kommission: Leitlinien für die Anwendung von Artikel 13 Absatz 5 der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen, C/2026/3712, veröffentlicht am 13. Juli 2026.:
eur-lex.europa.eu/ legalcontent/DE/TXT/ ?uri=CELEX:52026XC03712
OpenKRITIS: CER-Guidelines for Resilience: C/2026/3712 – Übersicht und Einordnung der CER-Leitlinien.:
www.openkritis.de/massnahmen/cer-guidelines.html