Der Schutz sicherheitskritischer Infrastrukturen ist eine branchenübergreifende Herausforderung, welche nicht zuletzt alle Betreiber von Versorgungs- und Mobilitätsinfrastrukturen betrifft. Die steigende Zahl an Cyberangriffen, wachsende physische und hybride Bedrohungen, geopolitische Entwicklungen sowie Folgen des Klimawandels erhöhen die Gefährdungen für die Geschäftsmodelle der Betreiber. Gleichzeitig sind die zunehmenden Anforderungen aus Gesetzgebung und Regulatorik abzudecken.
Unsere Expertise: Sicherheitskompetenz AUFGRUND langjährigeR Erfahrung mit komplexen Infrastrukturen
30 Jahre Erfahrung in komplexen Infrastrukturen
Langjährige Projekterfahrung mit Infrastrukturbetreibern schafft ein tiefes Verständnis für deren Strukturen, Prozesse und Steuerungsmechanismen – von strategischen Fragestellungen bis in den operativen Betrieb. Dazu gehören auch die besonderen Anforderungen räumlich verteilter Assets und ausgeprägter Flächenorganisationen.
Zusammenführung von Safety und Security
Anforderungen an die Sicherheit kritischer Infrastrukturen haben sich grundlegend verändert. Während die Beherrschung unbeabsichtigter Ereignisse und damit das Thema Safety lange Zeit im Vordergrund standen, sind mittlerweile zunehmend Risiken durch bewusst herbeigeführte Ereignisse in den Fokus gerückt (Security). Cybersecurity und physische Sicherheit wurden in der Vergangenheit oftmals als getrennte Themen betrachtet. Heutzutage setzt sich jedoch zunehmend ein integrierter Sicherheitsansatz durch, der beide Perspektiven zusammenführt und ganzheitlich betrachtet.
Expertenwissen für wirksame Unterstützung
Fontin & Company zeichnet ein fundiertes Verständnis für das Management und den Betrieb komplexer Infrastrukturen aus - mit umfassender Expertise in den Bereichen Safety und Security.
Durch diese integrierte Sichtweise ist Fontin & Company in der Lage, Sicherheitsanforderungen praxistauglich in die operativen Prozesse und Geschäftsabläufe seiner Kunden einzubinden und so wirksame und nachhaltige Lösungen für den Schutz kritischer Infrastrukturen zu schaffen.
Sicherheit und Resilienz gewinnen an Bedeutung.
Betreiber sicherheitskritischer Infrastrukturen müssen sich heute mit einer breiteren und dynamischeren Risikolage auseinandersetzen. Mutwillige Angriffe, zunehmende Folgen des Klimawandels und der Erneuerungsbedarf kritischer Assets erfordern entsprechende Maßnahmen. Diese Entwicklungen unterscheiden sich in ihren Ursachen, können jedoch gleichermaßen die Verfügbarkeit kritischer Dienstleistungen beeinträchtigen und damit das jeweilige Geschäftsmodell bedrohen. Gleichzeitig gilt es die regulatorischen Anforderungen umzusetzen und die erforderliche Compliance sicherzustellen.
VIER ENTWICKLUNGEN ERHÖHEN DEN HANDLUNGSDRUCK
Mutwillige Angriffe
Cyberangriffe, physische Sabotage und hybride Angriffe, die gezielt auf IT, OT, Anlagen, Standorte oder betriebliche Abläufe wirken, nehmen zu.
Zu beobachten ist dabei, dass die Angriffe auch vermehrt auf die Lieferkette abzielen („Drittparteien-Breaches“).
Ein alleiniger Fokus auf Aktivitäten zum Schutz für das eigene Unternehmen wird nicht mehr ausreichen.
Rund 335.000
Cybercrime-Delikte wurden in Deutschland im Jahr 2025 registriert
> 1.000
Verdächtige Drohnenflüge über militärische Einrichtungen und kritische Infrastrukturen in Deutschland in 2025
Quelle: BKA (2025)
Zunehmende Regulatorik
Mit NIS-2 und dem KRITIS-Dachgesetz werden Anforder-ungen an Cyber- und physische Resilienz deutlich verbindlicher. Betreiber müssen Risiken syste-matischer bewerten, geeignete Maßnahmen umsetzen und deren Einhaltung nachvollzieh-bar dokumentieren. Zugleich befinden sich einzelne Konkreti-sierungen des KRITIS-Dach-gesetzes noch in Erarbeitung.
Mehr als 30.000
Unternehmen sind von NIS-2 betroffen, in Q2/26 erst rd. 17.700 Unternehmen registriert
Mehr als 1.200
Betreiber mit 2.180 kritischen Anlagen sind derzeit beim BSI registriert – der Ausfall einer einzigen kritischen Anlage kann mehr als 500.000 Menschen betreffen (Stand: 30.06.2026)
Quellen: openkritis.de, BSI, Bundesregierung (2026)
Folgen Klimawandel
Starkregen, Hochwasser, Hitze, Dürre und Stürme können Anlagen beschädigen, Betriebsabläufe einschränken und mehrere Infrastruktur-sektoren gleichzeitig treffen. Die Flutkatastrophe 2021 verdeutlicht, welche volkswirtschaftlichen Schäden Extremereignisse innerhalb kurzer Zeit verursachen können.
33,4 Mrd. EUR
Gesamtschaden der Flut-
katastrophe im Ahrtal 2021, davon 4,8 Mrd. EUR direkte Schäden im Bereich Verkehr
und Verkehrsinfrastruktur (Straßen, Brücken, Schienen, Bahnübergänge, Stellwerke, etc.)
Quelle: BMWK/ Prognos AG (2022)
Alterung kritischer Assets
Viele Betreiber müssen bestehende Infrastruktur parallel sichern, erneuern und transformieren. Allein bei den Strom-Verteilnetzen entstehen neben dem Ausbau erhebliche Ersatzinvestitionen – ein Beispiel für den wachsenden Zielkonflikt zwischen Verfüg-barkeit, Erneuerung und Investitionspriorisierung.
> 500.000 km Kabel
sowie rd. 500.000 Transforma-toren werden für ein zukunfts-fähiges Stromnetz bis 2045 benötigt
55,4 Mrd. EUR
beträgt der Investitions-rückstand kommunaler Straßen- und Verkehrsinfrastruktur
Quellen: BDEW/ ZVEI (2024), KfW (2025)
Typische Herausforderungen in der Umsetzung.
Unabhängig vom konkreten Auslöser entscheidet insbesondere die organisatorische und operative Vorbereitung darüber, wie wirksam Betreiber Risiken beherrschen und im Ereignisfall handlungsfähig bleiben. Erfahrungsgemäß sehen sie sich dabei folgenden Herausforderungen gegenüber:
- Fehlendes Gesamtsicht: Risiken, kritische Assets, Abhängigkeiten und bestehende Maßnahmen werden häufig nicht in einem konsistenten Gesamtbild zusammengeführt.
- Nicht belegte Wirksamkeit: Schutzmaßnahmen sind vorhanden, ihre tatsächliche Wirksamkeit wird jedoch nicht immer regelmäßig geprüft, getestet und nachvollziehbar belegt.
- Unzureichende Sensibilisierung von Mitarbeitenden: Meldewege, erwartetes Verhalten und der Umgang mit verdächtigen Beobachtungen oder Ereignissen sind nicht durchgängig im Arbeitsalltag verankert.
- Unklare Verantwortlichkeiten: Rollen, Fähigkeiten, notwendige Kompetenzen und Verantwortung für Sicherheit und Resilienz sind insbesondere an Schnittstellen zwischen IT, OT, Betrieb und Organisation nicht immer eindeutig geregelt.
- Falsche Priorisierung von Maßnahmen: Investitionen und Schutzmaßnahmen müssen risikoorientiert priorisiert werden, damit Mittel verhältnismäßig dort eingesetzt werden, wo sie die größte Wirkung entfalten.
- Nichtberücksichtigung der Lieferketten: Externe Dienstleister, Zulieferer und technische Abhängigkeiten können die eigene Resilienz wesentlich beeinflussen und müssen systematisch in die Risikobetrachtung einbezogen werden.
- Mangelnde Transparenz über Technologien und Services: Unklare Abhängigkeiten, Lebenszyklen, Serviceverantwortlichkeiten oder Schutzanforderungen erschweren eine belastbare Bewertung kritischer Systeme und Leistungen.
F&C Ansatz. Sicherheit und Resilienz kontinuierlich weiterentwickeln.
Die Weiterentwicklung von Sicherheit und Resilienz ist bei Betreibern kritischer Infrastrukturen kein einmaliges Projekt. Entscheidend ist vielmehr ein wiederkehrender Prozess, der Transparenz über die Ausgangssituation schafft, daraus ein priorisiertes Handlungsprogramm ableitet, Maßnahmen konsequent umsetzt und deren Wirksamkeit systematisch überprüft.
Der Mehrwert dieses Vorgehens liegt in einer gesteuerten und kontinuierlichen Weiterentwicklung statt in punktuellen Einzelmaßnahmen. Handlungsbedarfe werden nachvollziehbar priorisiert, Ressourcen gezielter eingesetzt und Erkenntnisse aus Betrieb, Übungen oder Vorfällen systematisch in die weitere Verbesserung überführt.
So entsteht ein belastbarer Rahmen, um Sicherheit und Resilienz schrittweise auszubauen und Maßnahmen nicht nur abzuleiten, sondern ihre Umsetzung und Wirkung dauerhaft im Blick zu behalten.
Transparenz schaffen. Identifikation von Lücken und Ableitung von Handlungsbedarfen.
Die Schaffung von Transparenz bildet den Ausgangspunkt für die Optimierung von Sicherheit und Resilienz. Ziel ist ein konsistentes Gesamtbild über Risiken, kritische Assets, Abhängigkeiten, bestehende Maßnahmen sowie organisatorische Voraussetzungen. In der Praxis existieren häufig zahlreiche Einzelmaßnahmen in Bereichen wie Security, BCM, Krisenmanagement oder Cybersecurity, jedoch fehlt oftmals eine integrierte Sicht auf die tatsächliche Sicherheits- und Resilienzfähigkeit der Organisation. Auf Basis unserer langjährigen Erfahrung in den Branchen Energie, Mobilität und Infrastruktur haben wir ein strukturiertes KRITIS-Framework entwickelt, das Transparenz schafft, Lücken identifiziert, Zusammenhänge sichtbar macht und eine fundierte und nachvollziehbare Ableitung von Handlungsbedarfen ermöglicht. Dies erfolgt entlang von vier Tätigkeitsfeldern:
Das KRITIS-Framework unterstützt Entscheider dabei, Transparenz über die organisatorische Befähigung des Unternehmens zu gewinnen, Lücken frühzeitig zu erkennen und Sicherheits- sowie Resilienzmaßnahmen zielgerichtet weiterzuentwickeln. So entsteht ein nachvollziehbares Gesamtbild, das die Grundlage für wirksame und nachhaltige Verbesserungen schafft.
Sicherheit und Resilienz wirksam weiterentwickeln.
Sie möchten Sicherheit und Resilienz in Ihrer Organisation ganzheitlich weiterentwickeln? Wir unterstützen Betreiber kritischer Infrastrukturen dabei, Transparenz zu schaffen, Handlungsbedarfe strukturiert abzuleiten und geeignete Maßnahmen wirksam umzusetzen.
Fontin & Company. AKTUELLES.
Hintergründe und Analysen zu aktuellen Themen rund um Sicherheit, Resilienz und kritische Infrastrukturen.
