13. KRITIS PRAXIS Forum 2026

Solange Krisenszenarien theoretisch bleiben, werden Risiken häufig anders bewertet als in dem Moment, in dem ein konkreter Vorfall das eigene Unternehmen unmittelbar betrifft. Die Wahrnehmung verändert sich – ebenso wie der Blick auf Resilienz, Sicherheitsmaßnahmen und unternehmerische Entscheidungen.

Bastian Lemmer berichtet aus seiner persönlichen Erfahrung im Zusammenhang mit dem Vorfall bei der Stromnetz Berlin GmbH. Er beschreibt, wie sich Prioritäten, Entscheidungsprozesse und die Bewertung von Risiken verändert haben und welche Erkenntnisse sich daraus für den Aufbau resilienter Strukturen ableiten lassen.

Die Keynote eröffnet das Forum mit einem ehrlichen Erfahrungsbericht darüber, wie sich der Blick auf Sicherheit und Resilienz verändert, wenn aus einem theoretischen Szenario eine konkrete Herausforderung wird – und welche Impulse andere Betreiber daraus für ihre eigene Organisation mitnehmen können.

Der Branchentreff Netzbetreiber bietet Raum zum Kennenlernen und zum Austausch über aktuelle Schwerpunkte im Netzbetrieb. Im Mittelpunkt stehen Themen wie Regulierung, IT-/OT-Sicherheit, Resilienz und praktische Umsetzung im laufenden Betrieb. Die Runde hilft, branchenspezifische Fragestellungen früh zu bündeln und Anknüpfungspunkte für die weiteren Programmpunkte des Forums sichtbar zu machen.

Der Branchentreff Kraftwerke bietet Raum zum Kennenlernen und zum Austausch über aktuelle Herausforderungen in der Energieerzeugung. Im Mittelpunkt stehen Themen wie Resilienz von Erzeugungsanlagen, IT-/OT-Sicherheit, regulatorische Anforderungen und der Umgang mit einer veränderten Bedrohungslage. Die Runde hilft, branchenspezifische Fragestellungen früh zu bündeln und Anknüpfungspunkte für die weiteren Programmpunkte des Forums sichtbar zu machen.

Betreiber von Schienenverkehr, ÖPNV und weiterer Verkehrsinfrastruktur stehen vor der Herausforderung, ihre Organisationen gegenüber unterschiedlichsten Krisenszenarien resilient aufzustellen. Neben Extremwetter, Sabotage oder technischen Ausfällen gewinnen auch Cyberangriffe und hybride Bedrohungen zunehmend an Bedeutung. Entscheidend ist dabei das Zusammenspiel von physischer und digitaler Resilienz, um den sicheren Betrieb auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten.

Im Mittelpunkt des Branchentreffs stehen aktuelle Herausforderungen aus der Praxis. Diskutiert werden Erfahrungen zum Schutz kritischer Infrastrukturen, das Zusammenspiel von physischer und personeller Sicherheit sowie die Umsetzung neuer regulatorischer Anforderungen. Dabei sollen insbesondere Maßnahmen und Lösungsansätze betrachtet werden, die sich im täglichen Betrieb bewährt haben.

Der Branchentreff bietet den Teilnehmenden die Möglichkeit, Erfahrungen auszutauschen, gemeinsame Herausforderungen zu diskutieren und sich mit Kolleginnen und Kollegen aus dem Transport- und Verkehrssektor über praxistaugliche Ansätze zur Stärkung der Resilienz zu vernetzen.

Der Branchentreff Gasspeicher bietet Raum zum Kennenlernen und zum Austausch über aktuelle Schwerpunkte beim Betrieb von Gasspeicheranlagen. Im Mittelpunkt stehen Themen wie Versorgungssicherheit, Resilienz kritischer Infrastruktur, physische und digitale Sicherheit sowie regulatorische Anforderungen. Die Runde hilft, branchenspezifische Fragestellungen früh zu bündeln und Anknüpfungspunkte für die weiteren Programmpunkte des Forums sichtbar zu machen.

Der Branchentreff Wasser bietet Raum zum Kennenlernen und zum Austausch über aktuelle Schwerpunkte der Wasserwirtschaft. Im Mittelpunkt stehen Themen wie Versorgungssicherheit, IT-/OT-Sicherheit, Resilienz kritischer Anlagen, Digitalisierung sowie regulatorische Anforderungen. Die Runde hilft, branchenspezifische Fragestellungen früh zu bündeln und Anknüpfungspunkte für die weiteren Programmpunkte des Forums sichtbar zu machen.

Der Branchentreff Abwasser bietet Raum zum Kennenlernen und zum Austausch über aktuelle Schwerpunkte der Abwasserwirtschaft. Im Mittelpunkt stehen Themen wie der sichere Betrieb von Kläranlagen und Kanalnetzen, IT-/OT-Sicherheit, Resilienz kritischer Infrastruktur, Digitalisierung sowie regulatorische Anforderungen. Die Runde hilft, branchenspezifische Fragestellungen früh zu bündeln und Anknüpfungspunkte für die weiteren Programmpunkte des Forums sichtbar zu machen.

Die thermische Abfallbehandlung steht vor der Herausforderung, Entsorgungssicherheit, Energieversorgung und KRITIS-Anforderungen gleichermaßen zuverlässig zu gewährleisten. Der Branchentreff bietet die Gelegenheit, aktuelle Entwicklungen und Erfahrungen aus der Praxis gemeinsam zu diskutieren – von der Absicherung thermischer Anlagen über regulatorische Anforderungen bis hin zu Resilienz und Krisenvorsorge. Im Mittelpunkt steht der offene Austausch zwischen Betreibern und Verantwortlichen der Branche.

Cyberangriffe auf Energieversorger gehören längst zur Realität Europas. Am Beispiel aktueller Vorfälle in Polen zeigt der Vortrag, welche Angriffsmuster beobachtet wurden, wie Betreiber und Behörden reagiert haben und welche Erkenntnisse sich daraus für deutsche Energieversorger und ähnliche OT-lastige KRITIS-Betreiber ableiten lassen. Im Mittelpunkt stehen praxisnahe Lehren für die Vorbereitung auf vergleichbare Bedrohungslagen sowie die Stärkung der Resilienz Kritischer Infrastrukturen.

Mit der Umsetzung von NIS-2 und dem KRITIS-Dachgesetz steht der lang erwartete neue IT-Sicherheitskatalog für Energieversorger bevor. Die Konsultationsfassung soll voraussichtlich im September veröffentlicht werden und bringt zahlreiche Änderungen für Netzbetreiber mit sich.

Der Vortrag stellt die wesentlichen Neuerungen vor – darunter Anforderungen an Systeme zur Angriffserkennung, Business Continuity Management (BCM) und die physische Sicherheit. Darüber hinaus wird erläutert, wie die bisherigen Vorgaben aus § 11 Abs. 1a und 1b EnWG in einem einheitlichen Nachweisverfahren zusammengeführt werden und worauf sich Betreiber bereits heute vorbereiten sollten.

Die Usergroup der KRITIS-Defender-Nutzer ist inzwischen über 200 Teilnehmer groß und trifft sich regelmäßig online. Das KRITIS PRAXIS Forum bietet jährlich eine hervorragende Möglichkeit, dies auch persönlich zu tun. Besprochen werden die Entwicklungs-Roadmap und neue Funktionen, aber auch die aktuelle Sicherheitslage und Erfahrungen der Teilnehmer im Kontext der Cyberangriffserkennung.

Die Teilnahme ist auf KRITIS-Defender-Nutzer begrenzt und ein NDA ermöglicht den Austausch auch vertraulicher Informationen.

Wie lässt sich der nach § 39 BSIG geforderte BCMS-Reifegrad mit möglichst geringem Zusatzaufwand erreichen? Der Vortrag verbindet zwei Perspektiven: die praktische Umsetzung im Unternehmen und die Sicht des Auditors. Dabei wird gezeigt, wie BCM-Anforderungen effizient in ein bestehendes ISMS integriert werden können, welche Nachweise sich daraus ableiten lassen und worauf es bei der Einreichung gegenüber BSI und BBK ankommt.

Diskutiert wird außerdem, welcher Reifegrad in der Praxis sinnvoll ist, welche Nachweise einen echten Mehrwert bieten und ob ein möglichst hoher Reifegrad tatsächlich das richtige Ziel ist – auch mit Blick auf die zu erwartenden Anforderungen des KRITIS-Dachgesetzes.

Was bedeutet NIS-2 konkret für die eigene Organisation und wie wird aus den gesetzlichen Anforderungen ein umsetzbares Informationssicherheitsmanagement? Der Workshop startet mit einem kompakten Überblick über die wesentlichen Pflichten und konzentriert sich anschließend auf deren praktische Umsetzung.

Anhand eines konkreten Umsetzungsbeispiels wird gemeinsam betrachtet, mit welchem Ansatz die erforderlichen Grundlagen geschaffen werden können, um die Sicherheitsmaßnahmen nach § 30 BSIG umzusetzen. Dabei geht es bewusst ins Detail: Wo entstehen in der Praxis Schwierigkeiten? Wie tief müssen einzelne Anforderungen umgesetzt werden? Wie lässt sich die Angemessenheit von Maßnahmen bestimmen und nachvollziehbar dokumentieren?

Der Schwerpunkt liegt auf der gemeinsamen Diskussion konkreter Umsetzungsfragen und Praxiserfahrungen. Die Teilnehmenden können eigene Herausforderungen einbringen und unterschiedliche Lösungswege für eine pragmatische §30-Umsetzung diskutieren.

Mit dem KRITIS-Dachgesetz entstehen erstmals umfassende Anforderungen an die physische Resilienz Kritischer Infrastrukturen. Nach einem kompakten Überblick über den aktuellen Stand der Resilienzkataloge und die wesentlichen regulatorischen Entwicklungen steht vor allem der Austausch im Mittelpunkt.

Auf Basis der Erfahrungen aus laufenden Projekten bei einigen der größten Netzbetreiber Deutschlands werden konkrete Praxisbeispiele vorgestellt und gemeinsam diskutiert. Im Fokus der anschließenden Diskussionsrunde stehen die Fragen: Welche Maßnahmen sind bereits heute sinnvoll? Wo liegen die größten Herausforderungen bei der Umsetzung? Und wie lassen sich die neuen Anforderungen pragmatisch in bestehende Prozesse integrieren?

Der Vortrag richtet sich an Verantwortliche, die nicht nur den regulatorischen Stand verstehen, sondern insbesondere von den Erfahrungen anderer Betreiber profitieren und eigene Fragestellungen in die Diskussion einbringen möchten.

Der Cyber Resilience Act verändert die rechtlichen Rahmenbedingungen für Hersteller, Lieferanten und Betreiber Kritischer Infrastrukturen. Gemeinsam mit den Teilnehmenden diskutiert Rechtsanwalt Wolfgang Schmid die praktischen Auswirkungen auf Beschaffung, Vertragsgestaltung und Lieferantenmanagement.

Im Mittelpunkt stehen unter anderem folgende Fragestellungen: Inwieweit begründet die Konformität eines Produkts mit dem Cyber Resilience Act eine haftungs- oder nachweisrelevante Entlastung für den Betreiber? Welche Sorgfalts- und Prüfpflichten verbleiben trotz CRA im Rahmen des Lieferantenmanagements nach BSIG, NIS-2 und KRITIS-Dachgesetz? Wie sollten Service Level Agreements, Wartungsverträge und Sicherheitsvereinbarungen künftig ausgestaltet werden? Welche CRA-Anforderungen wirken sich unmittelbar auf den Betrieb Kritischer Infrastrukturen aus? Welche zusätzlichen Verpflichtungen entstehen, wenn KRITIS-Betreiber selbst digitale Produkte, Software oder Managed Services bereitstellen?

Die Diskussion soll dabei helfen, die eigene Verantwortlichkeit gegenüber Herstellern und Dienstleistern rechtlich einzuordnen und praktische Konsequenzen für Einkauf, Betrieb und Compliance abzuleiten.

Die Härtung von Leitsystemen ist eine der wirksamsten Maßnahmen zur Erhöhung der Cyberresilienz – gleichzeitig stellen gewachsene Infrastrukturen, Herstellerabhängigkeiten und betriebliche Anforderungen Betreiber regelmäßig vor Herausforderungen. Der Vortrag zeigt anhand praktischer Beispiele, welche Maßnahmen sich in Leittechnikumgebungen bewährt haben und wie sich Sicherheitsanforderungen mit den Anforderungen an Verfügbarkeit und Betrieb in Einklang bringen lassen.

Neben bewährten Härtungsmaßnahmen fließen auch Erfahrungen aus realen Sicherheitsvorfällen ein und zeigen, welche Erkenntnisse Betreiber daraus für die Weiterentwicklung ihrer Systeme gewinnen können. Der Vortrag vermittelt praxisnahe Ansätze zur Absicherung von Leittechnik und bietet Raum für den Austausch über aktuelle Herausforderungen und zukünftige Entwicklungen.

Die Usergroup der KRITIS-Defender-Nutzer ist inzwischen über 200 Teilnehmer groß und trifft sich regelmäßig online. Das KRITIS PRAXIS Forum bietet jährlich eine hervorragende Möglichkeit, dies auch persönlich zu tun. Besprochen werden die Entwicklungs-Roadmap und neue Funktionen, aber auch die aktuelle Sicherheitslage und Erfahrungen der Teilnehmer im Kontext der Cyberangriffserkennung.

Die Teilnahme ist auf KRITIS-Defender-Nutzer begrenzt und ein NDA ermöglicht den Austausch auch vertraulicher Informationen.

Ein Business Continuity Management System entfaltet seinen Wert erst dann, wenn es im Ernstfall funktioniert. Der Vortrag zeigt anhand praktischer Erfahrungen, wie BCM im Alltag aufgebaut, im Unternehmen verankert und durch regelmäßige Übungen kontinuierlich weiterentwickelt werden kann.

Im Mittelpunkt stehen dabei Fragen wie: Welche Erkenntnisse ergeben sich aus realen Sicherheitsvorfällen? Wie lässt sich BCM in einer komplexen Unternehmens- und Konzernstruktur etablieren? Welche Übungen schaffen einen echten Mehrwert und wie wird aus dokumentierten Prozessen gelebte Krisenvorsorge?

Neben konkreten Praxiserfahrungen bietet der Vortrag Raum für den Austausch über bewährte Ansätze, typische Herausforderungen und Lösungswege, die sich auf andere Betreiber Kritischer Infrastrukturen übertragen lassen.

Betreiber Kritischer Infrastrukturen erfüllen bereits heute umfangreiche Anforderungen aus § 39 BSIG, § 5c EnWG und den branchenspezifischen Sicherheitskatalogen. Mit NIS-2 erweitert sich der Geltungsbereich auf die gesamte Einrichtung – auch bei Betriebsführern und Dienstleistern. Dadurch müssen bestehende Sicherheits- und Compliance-Strukturen organisationsübergreifend harmonisiert werden.

Der Workshop beleuchtet die unterschiedlichen Perspektiven von Eigentümer und Betriebsführer und diskutiert, wie sich Verantwortlichkeiten, ISMS, BCM, Nachweisführung und Sicherheitsprozesse über mehrere Unternehmen hinweg sinnvoll verzahnen lassen. Ein besonderer Fokus liegt auf der Ausgestaltung von Betriebsführungs- und Dienstleisterverträgen sowie der Frage, wie Doppelstrukturen vermieden und regulatorische Anforderungen effizient in einer gemeinsamen Governance umgesetzt werden können.

Mit dem KRITIS-Dachgesetz erhalten branchenspezifische Resilienzstandards eine zentrale Bedeutung für die praktische Umsetzung der gesetzlichen Anforderungen. Das Gesetz sieht ausdrücklich vor, dass Branchenverbände solche Standards entwickeln und gemeinsam mit den zuständigen Behörden abstimmen können.

Der Vortrag gibt einen aktuellen Einblick in den Stand der Arbeiten des BDEW an den branchenspezifischen Resilienzstandards für die Energie- und Wasserwirtschaft. Im Mittelpunkt stehen die laufende Abstimmung mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) sowie weiteren beteiligten Behörden, die Zielsetzung des Verbands und der geplante Weg hin zu einem praxistauglichen und möglichst einheitlichen Nachweisrahmen für Betreiber.

Darüber hinaus wird ein Ausblick auf die nächsten Entwicklungsschritte gegeben und diskutiert, welche Bedeutung die Resilienzstandards künftig für die Umsetzung des KRITIS-Dachgesetzes und den Nachweis angemessener Resilienzmaßnahmen haben können.

Cyberangriffe, Sabotage, Naturereignisse oder technische Störungen – Betreiber Kritischer Infrastrukturen müssen auf unterschiedlichste Krisenszenarien vorbereitet sein. Doch wie werden in einer akuten Lage Entscheidungen getroffen? Welche Informationen werden benötigt? Und wie gelingt die Zusammenarbeit zwischen Unternehmensleitung, Fachbereichen und externen Stellen?

Die Podiumsdiskussion beleuchtet anhand praktischer Erfahrungen, wie Krisensituationen vorbereitet, bewältigt und nachbereitet werden können. Im Mittelpunkt stehen organisatorische Abläufe, Entscheidungsprozesse, Kommunikation sowie die Zusammenarbeit mit Behörden und weiteren Beteiligten. Die Referenten diskutieren aktuelle Herausforderungen, teilen Erfahrungen aus der Praxis und geben den Teilnehmern Gelegenheit, eigene Fragestellungen einzubringen.

Warum scheitern viele Sicherheitskonzepte bereits an den Grundlagen? Der Workshop nimmt typische Netzwerkarchitekturen in OT-Umgebungen unter die Lupe und diskutiert, welche Prinzipien sich in der Praxis bewährt haben – von Netzwerksegmentierung und Layer-Modellen über Kommunikationsbeziehungen bis hin zu sicheren Übergängen zwischen IT und OT.

Statt theoretischer Idealbilder stehen reale Infrastrukturen im Mittelpunkt: Welche Architekturentscheidungen erhöhen tatsächlich die Resilienz? Wo entstehen unnötige Komplexität und Scheinsicherheit? Und welche Grundsätze sollten Betreiber kennen, bevor sie über Firewalls, Angriffserkennung oder Zero Trust diskutieren?

Der Workshop richtet sich an alle, die Netzwerksicherheit nicht nur umsetzen, sondern verstehen möchten – fachlich anspruchsvoll, praxisnah und mit ausreichend Raum für Diskussionen und spontane Exkurse.

Wie gut funktioniert ein Angriffserkennungssystem gegen reale Angriffe? Im Purple Teaming treffen Offensive und Defensive unmittelbar aufeinander. Während Elias Härtle typische Angriffswege demonstriert, zeigt Sebastian Dirl, wie diese Aktivitäten erkannt, bewertet und eingeordnet werden.

Alexander Sturz steht für Fragen rund um die gezeigten Angriffstechniken zur Verfügung und bringt seine Erfahrung aus zahlreichen Penetrationstests in IT- und OT-Umgebungen Kritischer Infrastrukturen ein.

Gemeinsam diskutieren die Referenten, welche Angriffstechniken heute tatsächlich erfolgreich sind, welche Spuren sie hinterlassen und welche Erkenntnisse sich daraus für Detection Engineering, Angriffserkennung und die kontinuierliche Verbesserung von Sicherheitsmaßnahmen ableiten lassen. Im Mittelpunkt stehen reale Vorgehensweisen, nachvollziehbare Analysen und der direkte Austausch zwischen Angreifer und Verteidiger.

Business Impact Analysis (BIA), Wiederanlaufplanung und Notfallkonzepte müssen nicht zwangsläufig komplexe Werkzeuge oder monatelange Projekte erfordern. Der Workshop zeigt anhand eines bewusst einfachen Praxisansatzes, wie sich die wesentlichen Anforderungen mit Standardwerkzeugen – beispielsweise Excel – strukturiert, nachvollziehbar und auditgerecht umsetzen lassen.

Im Mittelpunkt stehen die richtige Abstraktionsebene, die sinnvolle Priorisierung von Geschäftsprozessen und Systemen sowie die Frage, wie sich eine BIA und Notfallplanung erstellen lassen, die im Ernstfall tatsächlich nutzbar sind. Ergänzt wird der Workshop durch zahlreiche Praxiserfahrungen und Tipps, mit denen sich der Umsetzungsaufwand deutlich reduzieren lässt, ohne die Anforderungen aus ISMS, BCM und regulatorischen Vorgaben aus den Augen zu verlieren.

OT-Sicherheit hat sich in den vergangenen Jahrzehnten grundlegend verändert – von einzelnen technischen Schutzmaßnahmen hin zu einem ganzheitlichen Sicherheitsverständnis aus Technik, Organisation und Mensch. Aus seiner langjährigen Praxis zeigt Wolfgang Zimmermann, welche Entwicklungen die Branche geprägt haben, welche Maßnahmen sich nachhaltig bewährt haben und welche Erkenntnisse er heute mit dem Wissen von damals anders angehen würde.

Im Mittelpunkt stehen weniger einzelne Technologien als die Erfahrungen aus der praktischen Umsetzung: Wie entwickelt sich eine Sicherheitskultur? Welche Investitionen haben langfristig den größten Nutzen gebracht? Und welche Grundsätze bleiben trotz neuer Bedrohungen und regulatorischer Anforderungen unverändert? Der Workshop lädt dazu ein, von den Erfahrungen eines der frühen Wegbereiter der OT-Sicherheit zu profitieren und diese auf die heutigen Herausforderungen zu übertragen.

Der physische Schutz von Rechenzentren gewinnt durch NIS-2, das KRITIS-Dachgesetz und die veränderte Bedrohungslage zunehmend an Bedeutung. Gemeinsam mit einem Betreiber gibt Dennis Johe Einblicke in die praktische Umsetzung moderner Sicherheitskonzepte – von der Planung über den Betrieb bis hin zur kontinuierlichen Weiterentwicklung.

Im Mittelpunkt stehen Erfahrungen aus realen Projekten: Welche Schutzmaßnahmen haben sich bewährt? Wie lassen sich Sicherheit, Verfügbarkeit und Betriebsabläufe sinnvoll miteinander verbinden? Und welche Erkenntnisse können andere Betreiber für den Schutz ihrer eigenen kritischen Einrichtungen mitnehmen?

Cyberangriffe entwickeln sich rasant weiter – insbesondere durch den Einsatz neuer Werkzeuge und künstlicher Intelligenz. In einer Live-Demonstration zeigt Alexander Sturz, wie moderne Angriffe auf OT-Umgebungen heute vorbereitet, durchgeführt und kontinuierlich angepasst werden.

Im Mittelpunkt stehen reale Vorgehensweisen aus Penetrationstests bei KRITIS-Betreibern: Wie verschaffen sich Angreifer einen ersten Zugang? Welche Rolle spielen Automatisierung und KI bei Aufklärung und Angriff? Und welche Schwachstellen werden in industriellen Netzen besonders häufig ausgenutzt?

Der Vortrag vermittelt nicht nur spektakuläre Live-Einblicke, sondern ordnet die gezeigten Techniken fachlich ein und zeigt, welche Schutzmaßnahmen Betreiber daraus ableiten können.

Die Anforderungen an Betreiber thermischer Abfallbehandlungsanlagen entwickeln sich mit NIS-2, dem KRITIS-Dachgesetz und dem BSIG kontinuierlich weiter. Der Workshop verbindet aktuelle regulatorische Entwicklungen mit Praxiserfahrungen aus der Branche und bietet Raum für den Austausch über physische Sicherheit, Nachweisführung und die Umsetzung neuer Anforderungen im Betriebsalltag.

Ein Erfahrungsbericht über einen erfolgreich abgeschlossenen § 8a-BSIG-Nachweis – einschließlich der Rückmeldungen des BSI und der Nachbereitung des Verfahrens – dient dabei als Ausgangspunkt für die Diskussion. Gemeinsam wird betrachtet, welche Erkenntnisse sich daraus für die künftigen Nachweise nach § 39 BSIG sowie die praktische Umsetzung der neuen regulatorischen Anforderungen ableiten lassen.

Staatliche und nichtstaatliche Akteure verfolgen unterschiedliche Ziele. Ihre Vorgehensweisen ähneln sich jedoch häufig. Der Vortrag beleuchtet, wie moderne Angriffe auf Kritische Infrastrukturen vorbereitet werden, welche Verwundbarkeiten gezielt ausgenutzt werden und warum sich Angreifer selten auf Cyberangriffe allein beschränken.

Im Mittelpunkt stehen aktuelle Angriffsvektoren wie Social Engineering, Insider-Bedrohungen, Spionage, Sabotage und hybride Einflussnahme sowie das gezielte Zusammenspiel physischer und digitaler Angriffe. Ihnen werden konkrete Gegenmaßnahmen gegenübergestellt: von Sensibilisierung und Sicherheitskultur über Informationsgewinnung und Lagebewertung bis zu Krisenorganisation, Entscheidungsprozessen und Resilienz.

Der Vortrag zeigt, wie Angreifer denken, Prioritäten setzen und Chancen erkennen. Ziel ist es, Bedrohungen früher zu erkennen, Sicherheitsmaßnahmen gezielter auszurichten und Krisen mit einem klaren Lagebild und belastbaren Entscheidungsstrukturen zu begegnen. Für Entscheiderinnen und Entscheider heißt das: Sicherheit ist Führungsaufgabe, nicht allein Sache der IT.

Technische Sicherheitsmaßnahmen allein reichen nicht aus. Der Mensch bleibt einer der wichtigsten Erfolgsfaktoren – und gleichzeitig eines der größten Risiken für Kritische Infrastrukturen. Der Workshop verbindet die Perspektive des staatlichen Wirtschaftsschutzes mit den regulatorischen Anforderungen an Betreiber und diskutiert, wie personelle Sicherheit wirksam und zugleich praxistauglich umgesetzt werden kann.

Im Mittelpunkt stehen unter anderem folgende Fragestellungen: Welche Maßnahmen zur Personalauswahl und Zuverlässigkeitsprüfung sind sinnvoll und rechtlich zulässig? Welchen Stellenwert haben Führungszeugnisse, Referenzen und weitere Prüfmechanismen in der Praxis? Wie lassen sich Risiken durch bestehendes Personal frühzeitig erkennen und organisatorisch begrenzen? Welche Anforderungen stellen ISO 27001, B3S, IT-Sicherheitskatalog und BSIG an personelle Sicherheitsmaßnahmen? Wie gelingt der Ausgleich zwischen Sicherheitsanforderungen, Fachkräftemangel und einer vertrauensvollen Unternehmenskultur?

Der Workshop zeigt anhand praktischer Erfahrungen, wie personelle Sicherheitsmaßnahmen mit Augenmaß umgesetzt werden können und wo sich organisatorische, rechtliche und menschliche Aspekte sinnvoll ergänzen. Dabei steht der Austausch über bewährte Vorgehensweisen und unterschiedliche Erfahrungen ausdrücklich im Vordergrund.

Drohnen bieten Betreibern Kritischer Infrastrukturen vielfältige Einsatzmöglichkeiten – von der Inspektion technischer Anlagen über die Unterstützung bei Sicherheitsrundgängen bis hin zur Lageerkundung in Krisensituationen. Gleichzeitig stellen sich Fragen nach rechtlichen Rahmenbedingungen, Wirtschaftlichkeit, organisatorischem Aufwand und dem Schutz vor missbräuchlich eingesetzten Drohnen.

Die Diskussionsrunde bringt unterschiedliche Perspektiven zusammen: Die rechtlichen Möglichkeiten und Grenzen des Drohneneinsatzes werden den praktischen Anforderungen eines Betreibers gegenübergestellt. Im Mittelpunkt stehen Fragen wie: Für welche Anwendungsfälle lohnt sich eine eigene Drohne? Welche organisatorischen und rechtlichen Voraussetzungen müssen erfüllt sein? Welche Kosten entstehen? Wo liegt der tatsächliche Mehrwert – für Resilienz, Betrieb und Instandhaltung? Und wie lässt sich mit der zunehmenden Bedrohung durch fremde Drohnen umgehen?

Ziel ist ein praxisnaher Austausch, der Chancen und Grenzen des Drohneneinsatzes aus Betreiberperspektive beleuchtet und den Teilnehmern eine fundierte Grundlage für eigene Entscheidungen vermittelt.

Drohnen bieten Betreibern Kritischer Infrastrukturen vielfältige Einsatzmöglichkeiten – von der Inspektion technischer Anlagen über die Unterstützung bei Sicherheitsrundgängen bis hin zur Lageerkundung in Krisensituationen. Gleichzeitig stellen sich Fragen nach rechtlichen Rahmenbedingungen, Wirtschaftlichkeit, organisatorischem Aufwand und dem Schutz vor missbräuchlich eingesetzten Drohnen.

Die Diskussionsrunde bringt unterschiedliche Perspektiven zusammen: Die rechtlichen Möglichkeiten und Grenzen des Drohneneinsatzes werden den praktischen Anforderungen eines Betreibers gegenübergestellt. Im Mittelpunkt stehen Fragen wie: Für welche Anwendungsfälle lohnt sich eine eigene Drohne? Welche organisatorischen und rechtlichen Voraussetzungen müssen erfüllt sein? Welche Kosten entstehen? Wo liegt der tatsächliche Mehrwert – für Resilienz, Betrieb und Instandhaltung? Und wie lässt sich mit der zunehmenden Bedrohung durch fremde Drohnen umgehen?

Ziel ist ein praxisnaher Austausch, der Chancen und Grenzen des Drohneneinsatzes aus Betreiberperspektive beleuchtet und den Teilnehmern eine fundierte Grundlage für eigene Entscheidungen vermittelt.

Den ersten Veranstaltungstag lassen wir in besonderer Atmosphäre ausklingen: Unter der UNESCO-Welterbestätte Residenz Würzburg lädt der Staatliche Hofkeller zum gemeinsamen Abend ein. In einem der größten historischen Weinkeller Deutschlands erwartet die Teilnehmenden fränkische Gastfreundschaft mit Speisen, regionalen Weinen und ausreichend Gelegenheit für persönliche Gespräche.

Abseits des Konferenzprogramms stehen der fachliche und persönliche Austausch im Mittelpunkt. Nutzen Sie die entspannte Atmosphäre, um Kontakte zu vertiefen, neue Perspektiven kennenzulernen und den Tag gemeinsam mit Kolleginnen und Kollegen aus der KRITIS-Community ausklingen zu lassen.

Der Operationsplan Deutschland bildet den militärischen Anteil an der Gesamtverteidigung Deutschlands ab und führt zentrale militärische Bestandteile der Landes- und Bündnisverteidigung mit notwendigen zivilen Unterstützungsleistungen zusammen. Kritische Infrastrukturen nehmen dabei eine zentrale Rolle ein: Ohne eine funktionierende Energie-, Wasser-, Verkehrs- und Kommunikationsversorgung sind staatliche Handlungsfähigkeit und militärische Einsatzbereitschaft nicht aufrechtzuerhalten.

Die Keynote gibt nach der Einordnung der aktuellen Sicherheits- und Bedrohungslage einen Einblick in Ziele und Inhalte des Operationsplans Deutschland und zeigt auf, welche Bedeutung Betreiber Kritischer Infrastrukturen künftig im gesamtstaatlichen Sicherheitskonzept einnehmen. Im Mittelpunkt stehen die Zusammenarbeit zwischen Staat und Wirtschaft, die Vorbereitung auf außergewöhnliche Lagen sowie die Frage, welche organisatorischen und infrastrukturellen Voraussetzungen geschaffen werden müssen, um die Resilienz Deutschlands nachhaltig zu stärken.

Mit dem KRITIS-Dachgesetz übernimmt das BBK eine zentrale Rolle bei der Stärkung der physischen Resilienz Kritischer Infrastrukturen. Der Vortrag gibt einen Einblick in die Aufgaben des BBK bei der Umsetzung des Gesetzes und zeigt auf, welche Erwartungen an Betreiber in den kommenden Jahren gestellt werden.

Im Mittelpunkt stehen die Registrierung von KRITIS-Betreibern, die Anforderungen an Risikoanalysen und Resilienzmaßnahmen sowie die geplante Entwicklung branchenspezifischer Resilienzstandards. Darüber hinaus erläutert Peter Lauwe den aktuellen Stand der Nationalen Risikoanalyse und der Nationalen Resilienzstrategie und ordnet ein, wie diese Instrumente künftig zusammenwirken sollen.

Der Vortrag vermittelt die Zielvision des BBK: einen ganzheitlichen Allgefahrenansatz, der Betreiber auf unterschiedlichste Krisenszenarien vorbereitet – von Naturereignissen über technische Ausfälle bis hin zu Sabotage und hybriden Bedrohungen. Damit geht der Ansatz bewusst über einzelne Bedrohungslagen hinaus und verfolgt das Ziel, die Widerstandsfähigkeit Kritischer Infrastrukturen dauerhaft zu stärken.

NIS-2 ist nur ein Baustein einer umfassenden europäischen Strategie zur Stärkung der digitalen Souveränität und Resilienz. Der Vortrag ordnet aktuelle gesetzgeberische Entwicklungen ein und zeigt, wie sich europäische Initiativen – vom Cloud and AI Development Act über den Cyber Solidarity Act bis hin zu NIS-2 – zu einem gemeinsamen regulatorischen Rahmen entwickeln.

Im Mittelpunkt stehen die Auswirkungen auf Betreiber Kritischer Infrastrukturen und andere NIS-2-Einrichtungen: Welche politischen Ziele verfolgt die Europäische Union? Welche Anforderungen werden Unternehmen in den kommenden Jahren zusätzlich beschäftigen? Und wie verändern sich Erwartungen an Lieferketten, IT-Souveränität, Resilienz und den Einsatz europäischer Technologien?

Der Vortrag gibt einen Ausblick auf die regulatorische Entwicklung und diskutiert, welche Weichen Betreiber bereits heute stellen sollten, um langfristig auf die zunehmenden Anforderungen an digitale Souveränität und Cybersicherheit vorbereitet zu sein.

NIS-2, BSIG, EnWG, der Cyber Resilience Act und das KRITIS-Dachgesetz übertragen der Unternehmensleitung neue Pflichten – lassen jedoch gleichzeitig erheblichen Beurteilungs- und Ermessensspielraum. Der Workshop beleuchtet, wie Geschäftsleitungen diesen rechtssicher nutzen können und welche Konsequenzen sich aus ihren Entscheidungen ergeben.

Im Mittelpunkt stehen unter anderem folgende Fragestellungen: Welche Organisations- und Überwachungspflichten treffen Geschäftsleitung und Aufsichtsorgane – und wo beginnt die persönliche Haftung? Welches Sicherheits- und Resilienzniveau muss die Unternehmensleitung nachweislich gewährleisten? Welche Governance-, Budget- und Ressourcenentscheidungen sind rechtlich vertretbar? Wie lassen sich Melde-, Dokumentations- und Entscheidungspflichten belastbar erfüllen? Wie sind Verantwortlichkeiten zwischen Unternehmen, Organmitgliedern, Dienstleistern, Betriebsführern und Herstellern rechtssicher abzugrenzen?

Der Workshop diskutiert die unterschiedlichen Rechtsgrundlagen im Zusammenhang und zeigt auf, welche Entscheidungen heute auf Ebene der Unternehmensleitung getroffen werden sollten, um Haftungsrisiken zu begrenzen, Handlungsspielräume zu erhalten und regulatorischen Anforderungen belastbar zu begegnen.

Mit NIS-2, dem KRITIS-Dachgesetz, dem EnWG und europäischen Vorgaben entstehen zunehmend Anforderungen, die Cyber- und physische Sicherheit gemeinsam betrachten. Der Vortrag zeigt, wie diese Regelwerke künftig ineinandergreifen und welche Auswirkungen sich daraus für Betreiber der Energiewirtschaft ergeben.

Im Mittelpunkt stehen die Zusammenführung bestehender Anforderungen – insbesondere der Sicherheitskataloge – sowie die Frage, wie ein möglichst konsistenter regulatorischer Rahmen geschaffen werden kann. Darüber hinaus wird ein Ausblick auf die Weiterentwicklung der Anforderungen gegeben: Welche Rolle spielen internationale Entwicklungen und die veränderte Bedrohungslage? Wie beeinflussen sie die Angemessenheit von Sicherheitsmaßnahmen? Und worauf sollten sich Betreiber bereits heute einstellen, um ihre Sicherheits- und Resilienzkonzepte zukunftssicher auszurichten?

Wie werden mechanische und elektromechanische Schließsysteme auf ihre Widerstandsfähigkeit untersucht? Der Workshop gibt einen Einblick in die Arbeit des Research & Security Centers von ASSA ABLOY und zeigt, mit welchen Methoden Sicherheitsforscher Produkte aus der Perspektive eines realen Angreifers analysieren und bewerten.

Im Mittelpunkt stehen reale Angriffstechniken auf mechanische Schließsysteme – darunter Lockpicking und weitere manipulative Öffnungsverfahren –, die in einer Live-Demonstration vorgestellt werden. Ergänzend wird erläutert, warum auch digitale Schließsysteme immer auf einer mechanischen Sicherheitsbasis aufbauen und weshalb die mechanische Konstruktion weiterhin ein wesentlicher Bestandteil ihrer Widerstandsfähigkeit ist.

Der Workshop vermittelt, wie Sicherheitsforscher bei der Untersuchung von Schließsystemen vorgehen, welche Erkenntnisse sich aus realistischen Angriffsszenarien gewinnen lassen und wie diese in die Weiterentwicklung sicherer Produkte einfließen. Wer möchte, kann die gezeigten Lockpicking-Techniken im Anschluss selbst am Stand ausprobieren.

Der Führungskräftedialog bietet Geschäftsleitungen und Führungskräften der Energiewirtschaft die Möglichkeit zum offenen Austausch mit Dennis Volk und seinem Team aus dem Bereich Krisenvorsorge und Cybersicherheit der Bundesnetzagentur.

Im Mittelpunkt stehen die Perspektiven beider Seiten: Welche Ziele verfolgt der Gesetzgeber mit den aktuellen regulatorischen Entwicklungen? Vor welchen Herausforderungen stehen Betreiber bei der Umsetzung? Wo bestehen Handlungsspielräume, wo stoßen Unternehmen und Behörden an praktische Grenzen? In einem moderierten Dialog werden Erwartungen, Erfahrungen und unterschiedliche Sichtweisen zusammengeführt, um gegenseitiges Verständnis zu fördern und den direkten Austausch zwischen Regulierungsbehörde und Unternehmensleitungen zu stärken.