Cybersicherheit in der Energiebranche: Meine Mission als CISO

Strom ist keine Selbstverständlichkeit

Strom ist das Fundament unserer modernen Gesellschaft. Er beleuchtet unsere Häuser, kühlt unsere Lebensmittel, ermöglicht Kommunikation und Mobilität. Doch was passiert, wenn ein Cyberangriff genau diese Infrastruktur trifft? Für mich als CISO in der Energiebranche ist das keine abstrakte Frage – es ist der Antrieb, der mich jeden Tag motiviert. Cybersicherheit in der Energiebranche bedeutet: Schutz für alle.

Warum Cybersicherheit in der Energiebranche so wichtig ist

Die Energieversorgung ist mehr als Stromleitungen und Kraftwerke. Sie ist das Rückgrat unserer Gesellschaft. Fällt sie aus, gehen nicht nur Lichter aus – ganze Produktionsprozesse, Krankenhäuser und Kommunikationsnetze können betroffen sein.

Genau deshalb ist Cybersicherheit in der Energiebranche kein optionales Thema. Es ist eine Grundvoraussetzung für Betriebskontinuität und gesellschaftliche Stabilität. Wer heute noch glaubt, Cyberangriffe seien ein Problem der grossen Konzerne, unterschätzt die Realität: Auch regionale Energieversorger und KMU stehen im Visier.

Digitale Transformation: Chancen nutzen, Risiken kennen

Die Energiebranche befindet sich in einem tiefgreifenden Wandel. Smart Meter, vernetzte Leitsysteme und die zunehmende Verbindung von IT und OT (also Büro-IT und Betriebstechnik wie Steuerungsanlagen) eröffnen neue Möglichkeiten – aber auch neue Angriffsflächen.

Konkret bedeutet das:

• Kundendaten müssen zuverlässig geschützt werden.

• Systemintegrität – also die Sicherheit, dass Steuerungssysteme korrekt funktionieren – muss jederzeit gewährleistet sein.

• Digitale Prozesse müssen so gestaltet sein, dass sie Effizienz bringen, ohne die Sicherheit zu gefährden.

Diese Aufgabe aktiv mitzugestalten, ist für mich eine der spannendsten Herausforderungen meiner beruflichen Laufbahn.

IKT-Minimalstandard: Regulierung als Chance verstehen

Ein Thema, das mich intensiv beschäftigt, ist der IKT-Minimalstandard. Dieser legt verbindliche Anforderungen an die Informations- und Kommunikationstechnologie von Unternehmen der kritischen Infrastruktur fest – darunter auch Energieversorger.

Viele Unternehmen erleben diese Regulierung zunächst als Belastung. Ich sehe das anders: Der IKT-Minimalstandard schafft klare Rahmenbedingungen, an denen sich Energieversorger orientieren können. Er hilft, ein einheitliches Sicherheitsniveau zu erreichen und die Resilienz der Energieinfrastruktur zu stärken.

2024 hatte ich die Möglichkeit, am IKT-Minimalstandard Leitfaden GAS mitzuarbeiten. Diese Erfahrung hat meine Überzeugung bestärkt: Wer Regulierung als Orientierungshilfe versteht, ist klar im Vorteil.

Früh handeln zahlt sich aus

Schon 2019 war mir klar: Cybersicherheit ist für Energieversorger kein «Nice-to-have», sondern ein «Must-have». Diese Einschätzung hat mich dazu bewogen, bei der Regionalwerke AG Baden ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 einzuführen – und es 2024 erfolgreich zertifizieren zu lassen.

Ein ISMS ist kein Papierstapel. Es ist ein Steuerungsinstrument, das Risiken sichtbar macht, Verantwortlichkeiten klärt und Massnahmen priorisiert. Wer früh damit beginnt, hat einen entscheidenden Vorsprung gegenüber den sich ständig weiterentwickelnden Bedrohungen.

Meine Erfahrung zeigt: Wer Trends frühzeitig erkennt und mit Tatendrang handelt, schützt sein Unternehmen wirksamer als jemand, der erst reagiert, wenn es zu spät ist.

Praxisbeispiel: Wenn Sicherheit im Alltag ankommt

Ein mittelgrosser Energieversorger führte ein Awareness-Programm für seine Mitarbeitenden ein. Ziel war es, das Bewusstsein für Phishing-Angriffe und sichere Passwortnutzung zu schärfen.

Das Ergebnis überraschte selbst die Geschäftsleitung: Mitarbeitende begannen, auch privat auf verdächtige E-Mails zu achten. Sie meldeten intern Vorfälle, die früher unbemerkt geblieben wären. Die Sicherheitskultur veränderte sich – nicht durch Technik, sondern durch Menschen.

Genau das ist für mich das schönste Feedback: wenn Sicherheit nicht nur im System, sondern im Alltag der Menschen ankommt.

Jetzt den ersten Schritt machen

Cybersicherheit in der Energiebranche beginnt nicht mit einem grossen Projekt. Sie beginnt mit einer ehrlichen Bestandsaufnahme: Wo stehen wir heute? Was sind unsere grössten Risiken? Was müssen wir als Nächstes tun?

Wenn Sie diese Fragen noch nicht klar beantworten können, ist jetzt der richtige Zeitpunkt, damit anzufangen.

Bereit für den nächsten Schritt?

Ich begleite Energieversorger und KMU dabei, Cybersicherheit pragmatisch und wirksam umzusetzen – von der ersten Risikoeinschätzung bis zur Zertifizierung. Nehmen Sie Kontakt auf und wir schauen gemeinsam, wo der grösste Handlungsbedarf liegt.

Jetzt unverbindlich Kontakt aufnehmen

Häufige Fragen zur Cybersicherheit in der Energiebranche

Was ist der IKT-Minimalstandard und wen betrifft er?
Der IKT-Minimalstandard ist eine regulatorische Vorgabe des Bundes für Unternehmen der kritischen Infrastruktur – darunter Energieversorger. Er legt fest, welche Mindestanforderungen an die Informationssicherheit erfüllt sein müssen, um die Versorgungssicherheit zu gewährleisten.

Was ist ein ISMS und warum braucht ein Energieversorger eines?
Ein Informationssicherheits-Managementsystem (ISMS) ist ein strukturiertes System zur Steuerung von Informationssicherheitsrisiken. Es hilft Energieversorgern, Risiken zu erkennen, Verantwortlichkeiten zu klären und regulatorische Anforderungen wie ISO 27001 oder den IKT-Minimalstandard zu erfüllen.

Wie gefährlich sind Cyberangriffe auf die Energieversorgung wirklich?
Sehr gefährlich. Ein erfolgreicher Angriff auf Steuerungssysteme kann zu Betriebsunterbrüchen führen, die weit über das betroffene Unternehmen hinausgehen. Regionale Energieversorger sind dabei genauso im Visier wie grosse Konzerne – oft sogar stärker, weil ihre Schutzmassnahmen weniger ausgereift sind.

Wie lange dauert es, ein ISMS einzuführen?
Das hängt von der Ausgangslage ab. In der Praxis rechnet man für eine erste, funktionsfähige Umsetzung mit 12 bis 24 Monaten. Entscheidend ist, pragmatisch zu starten und Schritt für Schritt vorzugehen – nicht alles auf einmal.