13. KRITIS PRAXIS Forum 2026

Solange Krisenszenarien theoretisch bleiben, werden Risiken häufig anders bewertet als in dem Moment, in dem ein konkreter Vorfall das eigene Unternehmen unmittelbar betrifft. Die Wahrnehmung verändert sich – ebenso wie der Blick auf Resilienz, Sicherheitsmaßnahmen und unternehmerische Entscheidungen.

Bastian Lemmer berichtet aus seiner persönlichen Erfahrung im Zusammenhang mit dem Vorfall bei der Stromnetz Berlin GmbH. Er beschreibt, wie sich Prioritäten, Entscheidungsprozesse und die Bewertung von Risiken verändert haben und welche Erkenntnisse sich daraus für den Aufbau resilienter Strukturen ableiten lassen.

Die Keynote eröffnet das Forum mit einem ehrlichen Erfahrungsbericht darüber, wie sich der Blick auf Sicherheit und Resilienz verändert, wenn aus einem theoretischen Szenario eine konkrete Herausforderung wird – und welche Impulse andere Betreiber daraus für ihre eigene Organisation mitnehmen können.

Der Branchentreff Netzbetreiber bietet Raum zum Kennenlernen und zum Austausch über aktuelle Schwerpunkte im Netzbetrieb. Im Mittelpunkt stehen Themen wie Regulierung, IT-/OT-Sicherheit, Resilienz und praktische Umsetzung im laufenden Betrieb. Die Runde hilft, branchenspezifische Fragestellungen früh zu bündeln und Anknüpfungspunkte für die weiteren Programmpunkte des Forums sichtbar zu machen.

Der Branchentreff Kraftwerke bietet Raum zum Kennenlernen und zum Austausch über aktuelle Herausforderungen in der Energieerzeugung. Im Mittelpunkt stehen Themen wie Resilienz von Erzeugungsanlagen, IT-/OT-Sicherheit, regulatorische Anforderungen und der Umgang mit einer veränderten Bedrohungslage. Die Runde hilft, branchenspezifische Fragestellungen früh zu bündeln und Anknüpfungspunkte für die weiteren Programmpunkte des Forums sichtbar zu machen.

Betreiber von Schienenverkehr, ÖPNV und weiterer Verkehrsinfrastruktur stehen vor der Herausforderung, ihre Organisationen gegenüber unterschiedlichsten Krisenszenarien resilient aufzustellen. Neben Extremwetter, Sabotage oder technischen Ausfällen gewinnen auch Cyberangriffe und hybride Bedrohungen zunehmend an Bedeutung. Entscheidend ist dabei das Zusammenspiel von physischer und digitaler Resilienz, um den sicheren Betrieb auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten.

Im Mittelpunkt des Branchentreffs stehen aktuelle Herausforderungen aus der Praxis. Diskutiert werden Erfahrungen zum Schutz kritischer Infrastrukturen, das Zusammenspiel von physischer und personeller Sicherheit sowie die Umsetzung neuer regulatorischer Anforderungen. Dabei sollen insbesondere Maßnahmen und Lösungsansätze betrachtet werden, die sich im täglichen Betrieb bewährt haben.

Der Branchentreff bietet den Teilnehmenden die Möglichkeit, Erfahrungen auszutauschen, gemeinsame Herausforderungen zu diskutieren und sich mit Kolleginnen und Kollegen aus dem Transport- und Verkehrssektor über praxistaugliche Ansätze zur Stärkung der Resilienz zu vernetzen.

Der Branchentreff Gasspeicher bietet Raum zum Kennenlernen und zum Austausch über aktuelle Schwerpunkte beim Betrieb von Gasspeicheranlagen. Im Mittelpunkt stehen Themen wie Versorgungssicherheit, Resilienz kritischer Infrastruktur, physische und digitale Sicherheit sowie regulatorische Anforderungen. Die Runde hilft, branchenspezifische Fragestellungen früh zu bündeln und Anknüpfungspunkte für die weiteren Programmpunkte des Forums sichtbar zu machen.

Der Branchentreff Wasser bietet Raum zum Kennenlernen und zum Austausch über aktuelle Schwerpunkte der Wasserwirtschaft. Im Mittelpunkt stehen Themen wie Versorgungssicherheit, IT-/OT-Sicherheit, Resilienz kritischer Anlagen, Digitalisierung sowie regulatorische Anforderungen. Die Runde hilft, branchenspezifische Fragestellungen früh zu bündeln und Anknüpfungspunkte für die weiteren Programmpunkte des Forums sichtbar zu machen.

Der Branchentreff Abwasser bietet Raum zum Kennenlernen und zum Austausch über aktuelle Schwerpunkte der Abwasserwirtschaft. Im Mittelpunkt stehen Themen wie der sichere Betrieb von Kläranlagen und Kanalnetzen, IT-/OT-Sicherheit, Resilienz kritischer Infrastruktur, Digitalisierung sowie regulatorische Anforderungen. Die Runde hilft, branchenspezifische Fragestellungen früh zu bündeln und Anknüpfungspunkte für die weiteren Programmpunkte des Forums sichtbar zu machen.

Die thermische Abfallbehandlung steht vor der Herausforderung, Entsorgungssicherheit, Energieversorgung und KRITIS-Anforderungen gleichermaßen zuverlässig zu gewährleisten. Der Branchentreff bietet die Gelegenheit, aktuelle Entwicklungen und Erfahrungen aus der Praxis gemeinsam zu diskutieren – von der Absicherung thermischer Anlagen über regulatorische Anforderungen bis hin zu Resilienz und Krisenvorsorge. Im Mittelpunkt steht der offene Austausch zwischen Betreibern und Verantwortlichen der Branche.

Cyberangriffe auf Energieversorger gehören längst zur Realität Europas. Am Beispiel aktueller Vorfälle in Polen zeigt der Vortrag, welche Angriffsmuster beobachtet wurden, wie Betreiber und Behörden reagiert haben und welche Erkenntnisse sich daraus für deutsche Energieversorger und ähnliche OT-lastige KRITIS-Betreiber ableiten lassen. Im Mittelpunkt stehen praxisnahe Lehren für die Vorbereitung auf vergleichbare Bedrohungslagen sowie die Stärkung der Resilienz Kritischer Infrastrukturen.

Mit der Umsetzung von NIS-2 und dem KRITIS-Dachgesetz steht der lang erwartete neue IT-Sicherheitskatalog für Energieversorger bevor. Die Konsultationsfassung soll voraussichtlich im September veröffentlicht werden und bringt zahlreiche Änderungen für Netzbetreiber mit sich.

Der Vortrag stellt die wesentlichen Neuerungen vor – darunter Anforderungen an Systeme zur Angriffserkennung, Business Continuity Management (BCM) und die physische Sicherheit. Darüber hinaus wird erläutert, wie die bisherigen Vorgaben aus § 11 Abs. 1a und 1b EnWG in einem einheitlichen Nachweisverfahren zusammengeführt werden und worauf sich Betreiber bereits heute vorbereiten sollten.

Die Usergroup der KRITIS-Defender-Nutzer ist inzwischen über 200 Teilnehmer groß und trifft sich regelmäßig online. Das KRITIS PRAXIS Forum bietet jährlich eine hervorragende Möglichkeit, dies auch persönlich zu tun. Besprochen werden die Entwicklungs-Roadmap und neue Funktionen, aber auch die aktuelle Sicherheitslage und Erfahrungen der Teilnehmer im Kontext der Cyberangriffserkennung.

Die Teilnahme ist auf KRITIS-Defender-Nutzer begrenzt und ein NDA ermöglicht den Austausch auch vertraulicher Informationen.

Wie lässt sich der nach § 39 BSIG geforderte BCMS-Reifegrad mit möglichst geringem Zusatzaufwand erreichen? Der Vortrag verbindet zwei Perspektiven: die praktische Umsetzung im Unternehmen und die Sicht des Auditors. Dabei wird gezeigt, wie BCM-Anforderungen effizient in ein bestehendes ISMS integriert werden können, welche Nachweise sich daraus ableiten lassen und worauf es bei der Einreichung gegenüber BSI und BBK ankommt.

Diskutiert wird außerdem, welcher Reifegrad in der Praxis sinnvoll ist, welche Nachweise einen echten Mehrwert bieten und ob ein möglichst hoher Reifegrad tatsächlich das richtige Ziel ist – auch mit Blick auf die zu erwartenden Anforderungen des KRITIS-Dachgesetzes.

Was bedeutet NIS-2 konkret für die eigene Organisation und wie wird aus den gesetzlichen Anforderungen ein umsetzbares Informationssicherheitsmanagement? Der Workshop startet mit einem kompakten Überblick über die wesentlichen Pflichten und konzentriert sich anschließend auf deren praktische Umsetzung.

Anhand eines konkreten Umsetzungsbeispiels wird gemeinsam betrachtet, mit welchem Ansatz die erforderlichen Grundlagen geschaffen werden können, um die Sicherheitsmaßnahmen nach § 30 BSIG umzusetzen. Dabei geht es bewusst ins Detail: Wo entstehen in der Praxis Schwierigkeiten? Wie tief müssen einzelne Anforderungen umgesetzt werden? Wie lässt sich die Angemessenheit von Maßnahmen bestimmen und nachvollziehbar dokumentieren?

Der Schwerpunkt liegt auf der gemeinsamen Diskussion konkreter Umsetzungsfragen und Praxiserfahrungen. Die Teilnehmenden können eigene Herausforderungen einbringen und unterschiedliche Lösungswege für eine pragmatische §30-Umsetzung diskutieren.

Der physische Schutz von Rechenzentren gewinnt durch NIS-2, das KRITIS-Dachgesetz und die veränderte Bedrohungslage zunehmend an Bedeutung. Gemeinsam mit einem Betreiber gibt Dennis Johe Einblicke in die praktische Umsetzung moderner Sicherheitskonzepte – von der Planung über den Betrieb bis hin zur kontinuierlichen Weiterentwicklung.

Im Mittelpunkt stehen Erfahrungen aus realen Projekten: Welche Schutzmaßnahmen haben sich bewährt? Wie lassen sich Sicherheit, Verfügbarkeit und Betriebsabläufe sinnvoll miteinander verbinden? Und welche Erkenntnisse können andere Betreiber für den Schutz ihrer eigenen kritischen Einrichtungen mitnehmen?

Der Cyber Resilience Act verändert die rechtlichen Rahmenbedingungen für Hersteller, Lieferanten und Betreiber Kritischer Infrastrukturen. Gemeinsam mit den Teilnehmenden diskutiert Rechtsanwalt Wolfgang Schmid die praktischen Auswirkungen auf Beschaffung, Vertragsgestaltung und Lieferantenmanagement.

Im Mittelpunkt stehen unter anderem folgende Fragestellungen: Inwieweit begründet die Konformität eines Produkts mit dem Cyber Resilience Act eine haftungs- oder nachweisrelevante Entlastung für den Betreiber? Welche Sorgfalts- und Prüfpflichten verbleiben trotz CRA im Rahmen des Lieferantenmanagements nach BSIG, NIS-2 und KRITIS-Dachgesetz? Wie sollten Service Level Agreements, Wartungsverträge und Sicherheitsvereinbarungen künftig ausgestaltet werden? Welche CRA-Anforderungen wirken sich unmittelbar auf den Betrieb Kritischer Infrastrukturen aus? Welche zusätzlichen Verpflichtungen entstehen, wenn KRITIS-Betreiber selbst digitale Produkte, Software oder Managed Services bereitstellen?

Die Diskussion soll dabei helfen, die eigene Verantwortlichkeit gegenüber Herstellern und Dienstleistern rechtlich einzuordnen und praktische Konsequenzen für Einkauf, Betrieb und Compliance abzuleiten.

NIS-2 ist nur ein Baustein einer umfassenden europäischen Strategie zur Stärkung der digitalen Souveränität und Resilienz. Der Vortrag ordnet aktuelle gesetzgeberische Entwicklungen ein und zeigt, wie sich europäische Initiativen – vom Cloud and AI Development Act über den Cyber Solidarity Act bis hin zu NIS-2 – zu einem gemeinsamen regulatorischen Rahmen entwickeln.

Im Mittelpunkt stehen die Auswirkungen auf Betreiber Kritischer Infrastrukturen und andere NIS-2-Einrichtungen: Welche politischen Ziele verfolgt die Europäische Union? Welche Anforderungen werden Unternehmen in den kommenden Jahren zusätzlich beschäftigen? Und wie verändern sich Erwartungen an Lieferketten, IT-Souveränität, Resilienz und den Einsatz europäischer Technologien?

Der Vortrag gibt einen Ausblick auf die regulatorische Entwicklung und diskutiert, welche Weichen Betreiber bereits heute stellen sollten, um langfristig auf die zunehmenden Anforderungen an digitale Souveränität und Cybersicherheit vorbereitet zu sein.

Die Usergroup der KRITIS-Defender-Nutzer ist inzwischen über 200 Teilnehmer groß und trifft sich regelmäßig online. Das KRITIS PRAXIS Forum bietet jährlich eine hervorragende Möglichkeit, dies auch persönlich zu tun. Besprochen werden die Entwicklungs-Roadmap und neue Funktionen, aber auch die aktuelle Sicherheitslage und Erfahrungen der Teilnehmer im Kontext der Cyberangriffserkennung.

Die Teilnahme ist auf KRITIS-Defender-Nutzer begrenzt und ein NDA ermöglicht den Austausch auch vertraulicher Informationen.

Ein Business Continuity Management System entfaltet seinen Wert erst dann, wenn es im Ernstfall funktioniert. Der Vortrag zeigt anhand praktischer Erfahrungen, wie BCM im Alltag aufgebaut, im Unternehmen verankert und durch regelmäßige Übungen kontinuierlich weiterentwickelt werden kann.

Im Mittelpunkt stehen dabei Fragen wie: Welche Erkenntnisse ergeben sich aus realen Sicherheitsvorfällen? Wie lässt sich BCM in einer komplexen Unternehmens- und Konzernstruktur etablieren? Welche Übungen schaffen einen echten Mehrwert und wie wird aus dokumentierten Prozessen gelebte Krisenvorsorge?

Neben konkreten Praxiserfahrungen bietet der Vortrag Raum für den Austausch über bewährte Ansätze, typische Herausforderungen und Lösungswege, die sich auf andere Betreiber Kritischer Infrastrukturen übertragen lassen.

Betreiber Kritischer Infrastrukturen erfüllen bereits heute umfangreiche Anforderungen aus § 39 BSIG, § 5c EnWG und den branchenspezifischen Sicherheitskatalogen. Mit NIS-2 erweitert sich der Geltungsbereich auf die gesamte Einrichtung – auch bei Betriebsführern und Dienstleistern. Dadurch müssen bestehende Sicherheits- und Compliance-Strukturen organisationsübergreifend harmonisiert werden.

Der Workshop beleuchtet die unterschiedlichen Perspektiven von Eigentümer und Betriebsführer und diskutiert, wie sich Verantwortlichkeiten, ISMS, BCM, Nachweisführung und Sicherheitsprozesse über mehrere Unternehmen hinweg sinnvoll verzahnen lassen. Ein besonderer Fokus liegt auf der Ausgestaltung von Betriebsführungs- und Dienstleisterverträgen sowie der Frage, wie Doppelstrukturen vermieden und regulatorische Anforderungen effizient in einer gemeinsamen Governance umgesetzt werden können.

Mit dem KRITIS-Dachgesetz erhalten branchenspezifische Resilienzstandards eine zentrale Bedeutung für die praktische Umsetzung der gesetzlichen Anforderungen. Das Gesetz sieht ausdrücklich vor, dass Branchenverbände solche Standards entwickeln und gemeinsam mit den zuständigen Behörden abstimmen können.

Der Vortrag gibt einen aktuellen Einblick in den Stand der Arbeiten des BDEW an den branchenspezifischen Resilienzstandards für die Energie- und Wasserwirtschaft. Im Mittelpunkt stehen die laufende Abstimmung mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) sowie weiteren beteiligten Behörden, die Zielsetzung des Verbands und der geplante Weg hin zu einem praxistauglichen und möglichst einheitlichen Nachweisrahmen für Betreiber.

Darüber hinaus wird ein Ausblick auf die nächsten Entwicklungsschritte gegeben und diskutiert, welche Bedeutung die Resilienzstandards künftig für die Umsetzung des KRITIS-Dachgesetzes und den Nachweis angemessener Resilienzmaßnahmen haben können.

Cyberangriffe, Sabotage, Naturereignisse oder technische Störungen – Betreiber Kritischer Infrastrukturen müssen auf unterschiedlichste Krisenszenarien vorbereitet sein. Doch wie werden in einer akuten Lage Entscheidungen getroffen? Welche Informationen werden benötigt? Und wie gelingt die Zusammenarbeit zwischen Unternehmensleitung, Fachbereichen und externen Stellen?

Die Podiumsdiskussion beleuchtet anhand praktischer Erfahrungen, wie Krisensituationen vorbereitet, bewältigt und nachbereitet werden können. Im Mittelpunkt stehen organisatorische Abläufe, Entscheidungsprozesse, Kommunikation sowie die Zusammenarbeit mit Behörden und weiteren Beteiligten. Die Referenten diskutieren aktuelle Herausforderungen, teilen Erfahrungen aus der Praxis und geben den Teilnehmern Gelegenheit, eigene Fragestellungen einzubringen.

Warum scheitern viele Sicherheitskonzepte bereits an den Grundlagen? Der Workshop nimmt typische Netzwerkarchitekturen in OT-Umgebungen unter die Lupe und diskutiert, welche Prinzipien sich in der Praxis bewährt haben – von Netzwerksegmentierung und Layer-Modellen über Kommunikationsbeziehungen bis hin zu sicheren Übergängen zwischen IT und OT.

Statt theoretischer Idealbilder stehen reale Infrastrukturen im Mittelpunkt: Welche Architekturentscheidungen erhöhen tatsächlich die Resilienz? Wo entstehen unnötige Komplexität und Scheinsicherheit? Und welche Grundsätze sollten Betreiber kennen, bevor sie über Firewalls, Angriffserkennung oder Zero Trust diskutieren?

Der Workshop richtet sich an alle, die Netzwerksicherheit nicht nur umsetzen, sondern verstehen möchten – fachlich anspruchsvoll, praxisnah und mit ausreichend Raum für Diskussionen und spontane Exkurse.

Mit dem KRITIS-Dachgesetz entstehen erstmals umfassende Anforderungen an die physische Resilienz Kritischer Infrastrukturen. Nach einem kompakten Überblick über den aktuellen Stand der Resilienzkataloge und die wesentlichen regulatorischen Entwicklungen steht vor allem der Austausch im Mittelpunkt.

Auf Basis der Erfahrungen aus laufenden Projekten bei einigen der größten Netzbetreiber Deutschlands werden konkrete Praxisbeispiele vorgestellt und gemeinsam diskutiert. Im Fokus der anschließenden Diskussionsrunde stehen die Fragen: Welche Maßnahmen sind bereits heute sinnvoll? Wo liegen die größten Herausforderungen bei der Umsetzung? Und wie lassen sich die neuen Anforderungen pragmatisch in bestehende Prozesse integrieren?

Der Vortrag richtet sich an Verantwortliche, die nicht nur den regulatorischen Stand verstehen, sondern insbesondere von den Erfahrungen anderer Betreiber profitieren und eigene Fragestellungen in die Diskussion einbringen möchten.

Business Impact Analysis (BIA), Wiederanlaufplanung und Notfallkonzepte müssen nicht zwangsläufig komplexe Werkzeuge oder monatelange Projekte erfordern. Der Workshop zeigt anhand eines bewusst einfachen Praxisansatzes, wie sich die wesentlichen Anforderungen mit Standardwerkzeugen – beispielsweise Excel – strukturiert, nachvollziehbar und auditgerecht umsetzen lassen.

Im Mittelpunkt stehen die richtige Abstraktionsebene, die sinnvolle Priorisierung von Geschäftsprozessen und Systemen sowie die Frage, wie sich eine BIA und Notfallplanung erstellen lassen, die im Ernstfall tatsächlich nutzbar sind. Ergänzt wird der Workshop durch zahlreiche Praxiserfahrungen und Tipps, mit denen sich der Umsetzungsaufwand deutlich reduzieren lässt, ohne die Anforderungen aus ISMS, BCM und regulatorischen Vorgaben aus den Augen zu verlieren.

OT-Sicherheit hat sich in den vergangenen Jahrzehnten grundlegend verändert – von einzelnen technischen Schutzmaßnahmen hin zu einem ganzheitlichen Sicherheitsverständnis aus Technik, Organisation und Mensch. Aus seiner langjährigen Praxis zeigt Wolfgang Zimmermann, welche Entwicklungen die Branche geprägt haben, welche Maßnahmen sich nachhaltig bewährt haben und welche Erkenntnisse er heute mit dem Wissen von damals anders angehen würde.

Im Mittelpunkt stehen weniger einzelne Technologien als die Erfahrungen aus der praktischen Umsetzung: Wie entwickelt sich eine Sicherheitskultur? Welche Investitionen haben langfristig den größten Nutzen gebracht? Und welche Grundsätze bleiben trotz neuer Bedrohungen und regulatorischer Anforderungen unverändert? Der Workshop lädt dazu ein, von den Erfahrungen eines der frühen Wegbereiter der OT-Sicherheit zu profitieren und diese auf die heutigen Herausforderungen zu übertragen.

Wie gut funktioniert ein Angriffserkennungssystem gegen reale Angriffe? Im Purple Teaming treffen Offensive und Defensive unmittelbar aufeinander. Während Elias Härtle typische Angriffswege demonstriert, zeigt Sebastian Dirl, wie diese Aktivitäten erkannt, bewertet und eingeordnet werden.

Alexander Sturz steht für Fragen rund um die gezeigten Angriffstechniken zur Verfügung und bringt seine Erfahrung aus zahlreichen Penetrationstests in IT- und OT-Umgebungen Kritischer Infrastrukturen ein.

Gemeinsam diskutieren die Referenten, welche Angriffstechniken heute tatsächlich erfolgreich sind, welche Spuren sie hinterlassen und welche Erkenntnisse sich daraus für Detection Engineering, Angriffserkennung und die kontinuierliche Verbesserung von Sicherheitsmaßnahmen ableiten lassen. Im Mittelpunkt stehen reale Vorgehensweisen, nachvollziehbare Analysen und der direkte Austausch zwischen Angreifer und Verteidiger.

Cyberangriffe entwickeln sich rasant weiter – insbesondere durch den Einsatz neuer Werkzeuge und künstlicher Intelligenz. In einer Live-Demonstration zeigt Alexander Sturz, wie moderne Angriffe auf OT-Umgebungen heute vorbereitet, durchgeführt und kontinuierlich angepasst werden.

Im Mittelpunkt stehen reale Vorgehensweisen aus Penetrationstests bei KRITIS-Betreibern: Wie verschaffen sich Angreifer einen ersten Zugang? Welche Rolle spielen Automatisierung und KI bei Aufklärung und Angriff? Und welche Schwachstellen werden in industriellen Netzen besonders häufig ausgenutzt?

Der Vortrag vermittelt nicht nur spektakuläre Live-Einblicke, sondern ordnet die gezeigten Techniken fachlich ein und zeigt, welche Schutzmaßnahmen Betreiber daraus ableiten können.

Die Anforderungen an Betreiber thermischer Abfallbehandlungsanlagen entwickeln sich mit NIS-2, dem KRITIS-Dachgesetz und dem BSIG kontinuierlich weiter. Der Workshop verbindet aktuelle regulatorische Entwicklungen mit Praxiserfahrungen aus der Branche und bietet Raum für den Austausch über physische Sicherheit, Nachweisführung und die Umsetzung neuer Anforderungen im Betriebsalltag.

Ein Erfahrungsbericht über einen erfolgreich abgeschlossenen § 8a-BSIG-Nachweis – einschließlich der Rückmeldungen des BSI und der Nachbereitung des Verfahrens – dient dabei als Ausgangspunkt für die Diskussion. Gemeinsam wird betrachtet, welche Erkenntnisse sich daraus für die künftigen Nachweise nach § 39 BSIG sowie die praktische Umsetzung der neuen regulatorischen Anforderungen ableiten lassen.

Wie lässt sich der IT-Grundschutz so weiterentwickeln, dass seine bewährten Prinzipien erhalten bleiben, die praktische Umsetzung aber flexibler und mit geringerem methodischem Aufwand möglich wird? Lars Sänger, Co-Editor einer Arbeitsgruppe der BSI-Community, gibt einen Einblick in die Entstehung und Zielsetzung des Grundschutz++ sowie in das daraus hervorgegangene Vorgehensmodell, das gemeinsam mit dem BSI im Rahmen von WiBA weiterentwickelt wird. Dabei fließen sowohl Anforderungen aus der Praxis als auch Erfahrungen aus der konkreten Anwendung im kommunalen Umfeld ein.

Wie sich der Ansatz auf reale technische Systeme übertragen lässt, wird anschließend am Beispiel der Verkehrstechnik gezeigt. Simone Küster bringt als fachlich Verantwortliche für Verkehrstechnik die Betreiberperspektive ein, Ruben Ebersold ergänzt die Erfahrungen von Yunex Traffic insbesondere zum sicheren Betrieb von Lichtsignalanlagen und zur praktischen Anwendung in Gießen. Anhand zentraler Systeme und Komponenten im Feld wird gezeigt, wie aus Anforderungen konkrete Sicherheitsmaßnahmen entstehen und auf unterschiedliche Systeme und Anwendungsfälle skaliert werden können.

Der Vortrag gibt zugleich einen Einblick in den aktuellen Stand der Blaupause B3S Verkehrstechnik der BSI-Community. Gemeinsam mit den Teilnehmenden werden die bisherigen Praxiserfahrungen, Chancen und Herausforderungen diskutiert – einschließlich der Frage, wo Grundschutz++ bereits eine belastbare Grundlage bietet und an welchen Stellen der Ansatz gemeinsam mit dem BSI noch weiterentwickelt werden muss.

Staatliche und nichtstaatliche Akteure verfolgen unterschiedliche Ziele. Ihre Vorgehensweisen ähneln sich jedoch häufig. Der Vortrag beleuchtet, wie moderne Angriffe auf Kritische Infrastrukturen vorbereitet werden, welche Verwundbarkeiten gezielt ausgenutzt werden und warum sich Angreifer selten auf Cyberangriffe allein beschränken.

Im Mittelpunkt stehen aktuelle Angriffsvektoren wie Social Engineering, Insider-Bedrohungen, Spionage, Sabotage und hybride Einflussnahme sowie das gezielte Zusammenspiel physischer und digitaler Angriffe. Ihnen werden konkrete Gegenmaßnahmen gegenübergestellt: von Sensibilisierung und Sicherheitskultur über Informationsgewinnung und Lagebewertung bis zu Krisenorganisation, Entscheidungsprozessen und Resilienz.

Der Vortrag zeigt, wie Angreifer denken, Prioritäten setzen und Chancen erkennen. Ziel ist es, Bedrohungen früher zu erkennen, Sicherheitsmaßnahmen gezielter auszurichten und Krisen mit einem klaren Lagebild und belastbaren Entscheidungsstrukturen zu begegnen. Für Entscheiderinnen und Entscheider heißt das: Sicherheit ist Führungsaufgabe, nicht allein Sache der IT.

Technische Sicherheitsmaßnahmen allein reichen nicht aus. Der Mensch bleibt einer der wichtigsten Erfolgsfaktoren – und gleichzeitig eines der größten Risiken für Kritische Infrastrukturen. Der Workshop verbindet die Perspektive des staatlichen Wirtschaftsschutzes mit den regulatorischen Anforderungen an Betreiber und diskutiert, wie personelle Sicherheit wirksam und zugleich praxistauglich umgesetzt werden kann.

Im Mittelpunkt stehen unter anderem folgende Fragestellungen: Welche Maßnahmen zur Personalauswahl und Zuverlässigkeitsprüfung sind sinnvoll und rechtlich zulässig? Welchen Stellenwert haben Führungszeugnisse, Referenzen und weitere Prüfmechanismen in der Praxis? Wie lassen sich Risiken durch bestehendes Personal frühzeitig erkennen und organisatorisch begrenzen? Welche Anforderungen stellen ISO 27001, B3S, IT-Sicherheitskatalog und BSIG an personelle Sicherheitsmaßnahmen? Wie gelingt der Ausgleich zwischen Sicherheitsanforderungen, Fachkräftemangel und einer vertrauensvollen Unternehmenskultur?

Der Workshop zeigt anhand praktischer Erfahrungen, wie personelle Sicherheitsmaßnahmen mit Augenmaß umgesetzt werden können und wo sich organisatorische, rechtliche und menschliche Aspekte sinnvoll ergänzen. Dabei steht der Austausch über bewährte Vorgehensweisen und unterschiedliche Erfahrungen ausdrücklich im Vordergrund.

Drohnen bieten Betreibern Kritischer Infrastrukturen vielfältige Einsatzmöglichkeiten – von der Inspektion technischer Anlagen über die Unterstützung bei Sicherheitsrundgängen bis hin zur Lageerkundung in Krisensituationen. Gleichzeitig stellen sich Fragen nach rechtlichen Rahmenbedingungen, Wirtschaftlichkeit, organisatorischem Aufwand und dem Schutz vor missbräuchlich eingesetzten Drohnen.

Die Diskussionsrunde bringt unterschiedliche Perspektiven zusammen: Die rechtlichen Möglichkeiten und Grenzen des Drohneneinsatzes werden den praktischen Anforderungen eines Betreibers gegenübergestellt. Im Mittelpunkt stehen Fragen wie: Für welche Anwendungsfälle lohnt sich eine eigene Drohne? Welche organisatorischen und rechtlichen Voraussetzungen müssen erfüllt sein? Welche Kosten entstehen? Wo liegt der tatsächliche Mehrwert – für Resilienz, Betrieb und Instandhaltung? Und wie lässt sich mit der zunehmenden Bedrohung durch fremde Drohnen umgehen?

Ziel ist ein praxisnaher Austausch, der Chancen und Grenzen des Drohneneinsatzes aus Betreiberperspektive beleuchtet und den Teilnehmern eine fundierte Grundlage für eigene Entscheidungen vermittelt.

Drohnen bieten Betreibern Kritischer Infrastrukturen vielfältige Einsatzmöglichkeiten – von der Inspektion technischer Anlagen über die Unterstützung bei Sicherheitsrundgängen bis hin zur Lageerkundung in Krisensituationen. Gleichzeitig stellen sich Fragen nach rechtlichen Rahmenbedingungen, Wirtschaftlichkeit, organisatorischem Aufwand und dem Schutz vor missbräuchlich eingesetzten Drohnen.

Die Diskussionsrunde bringt unterschiedliche Perspektiven zusammen: Die rechtlichen Möglichkeiten und Grenzen des Drohneneinsatzes werden den praktischen Anforderungen eines Betreibers gegenübergestellt. Im Mittelpunkt stehen Fragen wie: Für welche Anwendungsfälle lohnt sich eine eigene Drohne? Welche organisatorischen und rechtlichen Voraussetzungen müssen erfüllt sein? Welche Kosten entstehen? Wo liegt der tatsächliche Mehrwert – für Resilienz, Betrieb und Instandhaltung? Und wie lässt sich mit der zunehmenden Bedrohung durch fremde Drohnen umgehen?

Ziel ist ein praxisnaher Austausch, der Chancen und Grenzen des Drohneneinsatzes aus Betreiberperspektive beleuchtet und den Teilnehmern eine fundierte Grundlage für eigene Entscheidungen vermittelt.

Den ersten Veranstaltungstag lassen wir in besonderer Atmosphäre ausklingen: Unter der UNESCO-Welterbestätte Residenz Würzburg lädt der Staatliche Hofkeller zum gemeinsamen Abend ein. In einem der größten historischen Weinkeller Deutschlands erwartet die Teilnehmenden fränkische Gastfreundschaft mit Speisen, regionalen Weinen und ausreichend Gelegenheit für persönliche Gespräche.

Abseits des Konferenzprogramms stehen der fachliche und persönliche Austausch im Mittelpunkt. Nutzen Sie die entspannte Atmosphäre, um Kontakte zu vertiefen, neue Perspektiven kennenzulernen und den Tag gemeinsam mit Kolleginnen und Kollegen aus der KRITIS-Community ausklingen zu lassen.

Der Operationsplan Deutschland bildet den militärischen Anteil an der Gesamtverteidigung Deutschlands ab und führt zentrale militärische Bestandteile der Landes- und Bündnisverteidigung mit notwendigen zivilen Unterstützungsleistungen zusammen. Kritische Infrastrukturen nehmen dabei eine zentrale Rolle ein: Ohne eine funktionierende Energie-, Wasser-, Verkehrs- und Kommunikationsversorgung sind staatliche Handlungsfähigkeit und militärische Einsatzbereitschaft nicht aufrechtzuerhalten.

Die Keynote gibt nach der Einordnung der aktuellen Sicherheits- und Bedrohungslage einen Einblick in Ziele und Inhalte des Operationsplans Deutschland und zeigt auf, welche Bedeutung Betreiber Kritischer Infrastrukturen künftig im gesamtstaatlichen Sicherheitskonzept einnehmen. Im Mittelpunkt stehen die Zusammenarbeit zwischen Staat und Wirtschaft, die Vorbereitung auf außergewöhnliche Lagen sowie die Frage, welche organisatorischen und infrastrukturellen Voraussetzungen geschaffen werden müssen, um die Resilienz Deutschlands nachhaltig zu stärken.

Mit dem KRITIS-Dachgesetz wird der Schutz Kritischer Infrastrukturen um verbindliche Anforderungen an die physische Resilienz erweitert. Gleichzeitig wächst die Bedeutung einer engen Zusammenarbeit zwischen Staat, Betreibern und weiteren Akteuren, um den aktuellen Bedrohungen wirksam begegnen zu können.

Der Vortrag gibt einen Einblick in die Ziele des KRITIS-Dachgesetzes und die dahinterstehende Resilienzstrategie des Bundes. Im Mittelpunkt stehen die Erwartungen an die praktische Umsetzung, der aktuelle Stand der Arbeiten sowie die Frage, wie Staat und Wirtschaft gemeinsam zu einer widerstandsfähigeren KRITIS-Landschaft beitragen können. Darüber hinaus werden aktuelle Entwicklungen und die nächsten Schritte bei der Umsetzung des Gesetzes aus Sicht des Bundesministeriums des Innern eingeordnet.

Mit NIS-2, dem NIS-2-Umsetzungsgesetz und dem KRITIS-Dachgesetz entwickelt sich der regulatorische Rahmen für Betreiber Kritischer Infrastrukturen umfassend weiter. Als Leiter des Grundsatzreferats für Kritische Infrastrukturen betrachtet Dr. Henning-Timm Langwald diese Entwicklung sektorübergreifend und ordnet sie aus Sicht des BSI ein. Dr. Langwald verknüpft seinen Blick auf die Weiterentwicklung des regulatorischen Rahmens mit dem Blick auf die Bedrohungslage für Kritische Infrastrukturen. Er gibt einen Einblick in den aktuellen Stand der konkreten Umsetzung des Rahmens sowie anstehende nächste Schritte aus Sicht des BSI. Dabei stehen Kernaspekte des Zusammenspiels von BSI und Betreibern im Mittelpunkt.

Mit dem KRITIS-Dachgesetz übernimmt das BBK eine zentrale Rolle bei der Stärkung der physischen Resilienz Kritischer Infrastrukturen. Der Vortrag gibt einen Einblick in die Aufgaben des BBK bei der Umsetzung des Gesetzes und zeigt auf, welche Erwartungen an Betreiber in den kommenden Jahren gestellt werden.

Im Mittelpunkt stehen die Registrierung von KRITIS-Betreibern, die Anforderungen an Risikoanalysen und Resilienzmaßnahmen sowie die geplante Entwicklung branchenspezifischer Resilienzstandards. Darüber hinaus erläutert Markus Hasch-Gleumes den aktuellen Stand der Nationalen Risikoanalyse und der Nationalen Resilienzstrategie und ordnet ein, wie diese Instrumente künftig zusammenwirken sollen.

Der Vortrag vermittelt die Zielvision des BBK: einen ganzheitlichen Allgefahrenansatz, der Betreiber auf unterschiedlichste Krisenszenarien vorbereitet – von Naturereignissen über technische Ausfälle bis hin zu Sabotage und hybriden Bedrohungen. Damit geht der Ansatz bewusst über einzelne Bedrohungslagen hinaus und verfolgt das Ziel, die Widerstandsfähigkeit Kritischer Infrastrukturen dauerhaft zu stärken.

Naturereignisse, großflächige Infrastrukturausfälle, Sabotage oder hybride Bedrohungen können sehr unterschiedliche Krisendynamiken entwickeln. Gleichzeitig bestehen zwischen Staat, Wirtschaft und Kritischen Infrastrukturen zahlreiche Abhängigkeiten, die bei der Bewältigung komplexer Lagen berücksichtigt werden müssen.
Der Vortrag gibt Einblicke in das Lage- und Krisenmanagement des BBK und zeigt, wie sich der Bevölkerungsschutz auf solche Szenarien vorbereitet. Im Mittelpunkt stehen die Gewinnung und Bewertung von Lageinformationen, die Zusammenarbeit der beteiligten Akteure sowie die Strukturen, mit denen auch bei dynamischen Entwicklungen Handlungsfähigkeit sichergestellt werden soll. Dabei wird auch beleuchtet, welche Rolle Warnung und ein belastbares gemeinsames Lageverständnis für die Bewältigung übergreifender Krisen spielen.

Die Härtung von Leitsystemen ist eine der wirksamsten Maßnahmen zur Erhöhung der Cyberresilienz – gleichzeitig stellen gewachsene Infrastrukturen, Herstellerabhängigkeiten und betriebliche Anforderungen Betreiber regelmäßig vor Herausforderungen. Der Vortrag zeigt anhand praktischer Beispiele, welche Maßnahmen sich in Leittechnikumgebungen bewährt haben und wie sich Sicherheitsanforderungen mit den Anforderungen an Verfügbarkeit und Betrieb in Einklang bringen lassen.

Neben bewährten Härtungsmaßnahmen fließen auch Erfahrungen aus realen Sicherheitsvorfällen ein und zeigen, welche Erkenntnisse Betreiber daraus für die Weiterentwicklung ihrer Systeme gewinnen können. Der Vortrag vermittelt praxisnahe Ansätze zur Absicherung von Leittechnik und bietet Raum für den Austausch über aktuelle Herausforderungen und zukünftige Entwicklungen.

NIS-2, BSIG, EnWG, der Cyber Resilience Act und das KRITIS-Dachgesetz übertragen der Unternehmensleitung neue Pflichten – lassen jedoch gleichzeitig erheblichen Beurteilungs- und Ermessensspielraum. Der Workshop beleuchtet, wie Geschäftsleitungen diesen rechtssicher nutzen können und welche Konsequenzen sich aus ihren Entscheidungen ergeben.

Im Mittelpunkt stehen unter anderem folgende Fragestellungen: Welche Organisations- und Überwachungspflichten treffen Geschäftsleitung und Aufsichtsorgane – und wo beginnt die persönliche Haftung? Welches Sicherheits- und Resilienzniveau muss die Unternehmensleitung nachweislich gewährleisten? Welche Governance-, Budget- und Ressourcenentscheidungen sind rechtlich vertretbar? Wie lassen sich Melde-, Dokumentations- und Entscheidungspflichten belastbar erfüllen? Wie sind Verantwortlichkeiten zwischen Unternehmen, Organmitgliedern, Dienstleistern, Betriebsführern und Herstellern rechtssicher abzugrenzen?

Der Workshop diskutiert die unterschiedlichen Rechtsgrundlagen im Zusammenhang und zeigt auf, welche Entscheidungen heute auf Ebene der Unternehmensleitung getroffen werden sollten, um Haftungsrisiken zu begrenzen, Handlungsspielräume zu erhalten und regulatorischen Anforderungen belastbar zu begegnen.

Mit NIS-2, dem KRITIS-Dachgesetz, dem EnWG und europäischen Vorgaben entstehen zunehmend Anforderungen, die Cyber- und physische Sicherheit gemeinsam betrachten. Der Vortrag zeigt, wie diese Regelwerke künftig ineinandergreifen und welche Auswirkungen sich daraus für Betreiber der Energiewirtschaft ergeben.

Im Mittelpunkt stehen die Zusammenführung bestehender Anforderungen – insbesondere der Sicherheitskataloge – sowie die Frage, wie ein möglichst konsistenter regulatorischer Rahmen geschaffen werden kann. Darüber hinaus wird ein Ausblick auf die Weiterentwicklung der Anforderungen gegeben: Welche Rolle spielen internationale Entwicklungen und die veränderte Bedrohungslage? Wie beeinflussen sie die Angemessenheit von Sicherheitsmaßnahmen? Und worauf sollten sich Betreiber bereits heute einstellen, um ihre Sicherheits- und Resilienzkonzepte zukunftssicher auszurichten?

Wie werden mechanische und elektromechanische Schließsysteme auf ihre Widerstandsfähigkeit untersucht? Der Workshop gibt einen Einblick in die Arbeit des Research & Security Centers von ASSA ABLOY und zeigt, mit welchen Methoden Sicherheitsforscher Produkte aus der Perspektive eines realen Angreifers analysieren und bewerten.

Im Mittelpunkt stehen reale Angriffstechniken auf mechanische Schließsysteme – darunter Lockpicking und weitere manipulative Öffnungsverfahren –, die in einer Live-Demonstration vorgestellt werden. Ergänzend wird erläutert, warum auch digitale Schließsysteme immer auf einer mechanischen Sicherheitsbasis aufbauen und weshalb die mechanische Konstruktion weiterhin ein wesentlicher Bestandteil ihrer Widerstandsfähigkeit ist.

Der Workshop vermittelt, wie Sicherheitsforscher bei der Untersuchung von Schließsystemen vorgehen, welche Erkenntnisse sich aus realistischen Angriffsszenarien gewinnen lassen und wie diese in die Weiterentwicklung sicherer Produkte einfließen. Wer möchte, kann die gezeigten Lockpicking-Techniken im Anschluss selbst am Stand ausprobieren.

Der Vortrag knüpft an den Beitrag des Bundeskriminalamts aus dem vergangenen Jahr an und ergänzt ihn um die Perspektive der operativen Ermittlungsarbeit. Im Mittelpunkt steht die Frage, wie die Zusammenarbeit zwischen Betreibern Kritischer Infrastrukturen und den Ermittlungsbehörden in der Praxis funktioniert.
Anhand konkreter Erfahrungen aus der täglichen Ermittlungsarbeit zeigt Nick Kiefer, wie Cybercrime-Verfahren ablaufen, welche Informationen für Ermittlungen besonders relevant sind und welche Rolle Betreiber im weiteren Verlauf eines Vorfalls spielen. Darüber hinaus gibt er praktische Hinweise für die Zusammenarbeit mit den Strafverfolgungsbehörden – von der ersten Kontaktaufnahme über die Beweissicherung bis hin zur gemeinsamen Aufarbeitung eines Cyberangriffs.
Der Vortrag vermittelt einen seltenen Einblick in die operative Arbeit des BKA und zeigt auf, wie eine frühzeitige und vertrauensvolle Zusammenarbeit dazu beitragen kann, Ermittlungen zu unterstützen und Cyberangriffe auf Kritische Infrastrukturen wirksam aufzuarbeiten.

Energieversorgungsnetze sind weitläufig, dezentral aufgebaut und in vielen Bereichen frei zugänglich. Ein vollständiger physischer Schutz aller Anlagen war weder möglich noch angesichts der bisherigen Risikobewertung erforderlich. Sicherheitsmaßnahmen mussten sich deshalb schon immer an der Kritikalität einzelner Standorte, realistischen Bedrohungsszenarien und der Verhältnismäßigkeit des Schutzes orientieren.

Die jüngsten Vorfälle unter anderem in Reutlingen, Garching, Regensburg und Berlin geben Anlass, diese Bewertung neu zu diskutieren. Guido Rüther bringt dabei die Perspektive der Netze BW, eigene Erfahrungen aus dem Umfeld des Vorfalls in Reutlingen sowie seine Arbeit im BDEW und an den neuen Resilienzstandards ein.
Im Mittelpunkt steht die gemeinsame Einordnung: Wie hat sich die Bedrohungslage tatsächlich verändert? Welche Anlagen und Prozesse werden zu relevanten Zielen? Welche zusätzlichen Schutz- und Resilienzmaßnahmen sind dadurch gerechtfertigt – und wo bleiben technische, wirtschaftliche und organisatorische Grenzen?

Daran schließt sich die übergreifende Frage an, wie die Energiebranche mit dieser Entwicklung umgehen sollte: Welche Aufgaben können einzelne Betreiber selbst lösen, wo braucht es gemeinsame Ansätze und Standards und an welchen Stellen ist eine stärkere Zusammenarbeit innerhalb der Branche sowie mit Behörden und Sicherheitsakteuren erforderlich?

Krisenvorsorge ist längst keine Aufgabe einzelner Behörden mehr. Im Führungskräfte-Dialog diskutiert Dr. Christoph Groneberg und Peter Lauwe vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, wie sich Staat, Betreiber Kritischer Infrastrukturen und Wirtschaft auf zunehmend komplexe Krisenszenarien vorbereiten können. Im Mittelpunkt stehen strategische Führungsfragen, die Zusammenarbeit zwischen den Akteuren sowie die Bedeutung belastbarer Lagebilder und Entscheidungsstrukturen für eine resiliente Gesamtverteidigung und den Bevölkerungsschutz

Der Führungskräftedialog bietet Geschäftsleitungen und Führungskräften der Energiewirtschaft die Möglichkeit zum offenen Austausch mit Dennis Volk und seinem Team aus dem Bereich Krisenvorsorge und Cybersicherheit der Bundesnetzagentur.

Im Mittelpunkt stehen die Perspektiven beider Seiten: Welche Ziele verfolgt der Gesetzgeber mit den aktuellen regulatorischen Entwicklungen? Vor welchen Herausforderungen stehen Betreiber bei der Umsetzung? Wo bestehen Handlungsspielräume, wo stoßen Unternehmen und Behörden an praktische Grenzen? In einem moderierten Dialog werden Erwartungen, Erfahrungen und unterschiedliche Sichtweisen zusammengeführt, um gegenseitiges Verständnis zu fördern und den direkten Austausch zwischen Regulierungsbehörde und Unternehmensleitungen zu stärken.