Sichere Digitalisierung in der kritischen Infrastruktur: Meine Vision

Sichere Digitalisierung bedeutet, technologischen Fortschritt und Informationssicherheit von Anfang an gemeinsam zu denken – nicht nacheinander. Gerade für Unternehmen der kritischen Infrastruktur, also Energieversorger, Industriebetriebe und produzierende Unternehmen, ist das keine Kür, sondern eine Grundvoraussetzung für einen stabilen Betrieb. Als Geschäftsführer und CISO bei SecuraNova begleite ich Unternehmen auf genau diesem Weg – mit dem Ziel, Sicherheit nicht als Bremse, sondern als Fundament für Wachstum zu verankern.

Warum sichere Digitalisierung heute keine Option mehr ist

Unsere Welt ist vernetzt. Produktionsanlagen kommunizieren mit IT-Systemen, Energieversorger steuern Infrastrukturen digital, und Mitarbeitende arbeiten von überall. Diese Entwicklung bringt enorme Chancen – aber auch neue Risiken.

Wer Digitalisierung ohne Sicherheitsstrategie vorantreibt, baut auf einem unsicheren Fundament. Ein einziger Cybervorfall kann den Betrieb lahmlegen, Kundendaten gefährden oder regulatorische Konsequenzen auslösen. Für Geschäftsführer, IT-Leiter und Verwaltungsräte ist das kein abstraktes Szenario mehr – es ist eine reale Bedrohung, die täglich zunimmt.

Was ich mit meiner Arbeit langfristig erreichen möchte

Mein Ziel ist nicht, Angst zu verbreiten. Mein Ziel ist Klarheit.

Ich bin überzeugt, dass Cybersicherheit dann wirkt, wenn sie tief in der Unternehmenskultur verankert ist – nicht als Checkliste, sondern als gelebte Haltung. Das bedeutet:

• Führungskräfte verstehen Cyberrisiken und können fundierte Entscheidungen treffen.

• IT-Teams erhalten die Rückendeckung und die Werkzeuge, die sie brauchen.

• Mitarbeitende erkennen Bedrohungen wie Phishing-Mails und handeln richtig.

Genau das ist für mich echter Erfolg: wenn jemand aus einem meiner Schulungsprogramme erzählt, dass er eine Phishing-Mail erkannt und nicht darauf hereingefallen ist. Das zeigt, dass Sicherheit im Alltag angekommen ist.

Meine Vision für die kritische Infrastruktur in der Schweiz

Die kritische Infrastruktur – Energieversorgung, Wasserversorgung, Produktion – ist das Rückgrat unserer Gesellschaft. Ein Ausfall hat weitreichende Folgen, weit über das betroffene Unternehmen hinaus.

Deshalb ist es mir ein besonderes Anliegen, dass Unternehmen in diesem Sektor ihre digitale Transformation sicher gestalten. Das umfasst drei Bereiche:

• Regulatorische Anforderungen erfüllen: Der IKT-Minimalstandard ist für viele Unternehmen der kritischen Infrastruktur bereits Pflicht. Wer ihn kennt und umsetzt, schützt sich und erfüllt gleichzeitig seine gesetzlichen Verpflichtungen.

• Resilienz aufbauen: Sicherheit bedeutet nicht nur Schutz vor Angriffen, sondern auch die Fähigkeit, nach einem Vorfall schnell wieder handlungsfähig zu sein.

• IT und OT zusammendenken: In vielen Betrieben laufen IT-Systeme und Produktionsanlagen (OT) noch getrennt. Diese Silos sind ein Sicherheitsrisiko. Eine ganzheitliche Sicherheitsstrategie verbindet beide Welten.

Was ich hinterlassen möchte

Wenn ich eines Tages auf meine Karriere zurückblicke, möchte ich sagen können, dass ich einen wesentlichen Beitrag zu einer sicheren und stabilen Energieversorgung in der Schweiz geleistet habe.

Das ist kein kurzfristiges Projektziel. Es geht um etwas Grösseres: eine Sicherheitskultur, die in Organisationen lebt und wächst – unabhängig von einzelnen Massnahmen oder Technologien. Eine Kultur, in der Sicherheit selbstverständlich wird, weil alle Beteiligten verstehen, warum sie wichtig ist.

Praxisbezug: Wenn Schulung wirklich wirkt

Ein Energieversorger mit rund 80 Mitarbeitenden hatte kein dediziertes Sicherheitsteam. Die IT lief «neben dem Tagesgeschäft», und das Bewusstsein für Cyberrisiken war kaum vorhanden.

Im Rahmen eines massgeschneiderten Awareness-Programms wurden alle Mitarbeitenden – von der Produktion bis zur Geschäftsleitung – mit praxisnahen Szenarien sensibilisiert. Phishing-Simulationen zeigten, wo Lücken bestanden. Kurze, verständliche Trainings vermittelten, wie man im Alltag richtig handelt.

Das Ergebnis: Mitarbeitende begannen, verdächtige E-Mails aktiv zu melden. Die Geschäftsleitung erhielt erstmals einen klaren Überblick über die Risikolage. Und das Unternehmen machte einen entscheidenden Schritt in Richtung einer echten Sicherheitskultur.

Mein Experten-Tipp

Starten Sie mit einem konkreten ersten Schritt: Prüfen Sie, ob Ihr Unternehmen die Anforderungen des IKT-Minimalstandards kennt und erfüllt. Das ist keine bürokratische Übung – es ist der Einstieg in eine strukturierte, nachhaltige Sicherheitsstrategie.

Bereit für den nächsten Schritt?

Ich begleite Unternehmen der kritischen Infrastruktur und des produzierenden Gewerbes auf dem Weg zu einer sicheren Digitalisierung – pragmatisch, verständlich und auf Ihre Situation zugeschnitten. Kontaktieren Sie mich für ein unverbindliches Erstgespräch.

Häufig gestellte Fragen

Was bedeutet sichere Digitalisierung für ein KMU?
Sichere Digitalisierung bedeutet, dass technologische Veränderungen – neue Systeme, vernetzte Anlagen, digitale Prozesse – von Anfang an mit einer klaren Sicherheitsstrategie begleitet werden. Für KMU heisst das: Risiken kennen, Prioritäten setzen und Massnahmen umsetzen, die im Alltag funktionieren.

Was ist der IKT-Minimalstandard und wen betrifft er?
Der IKT-Minimalstandard ist ein regulatorisches Rahmenwerk für Unternehmen der kritischen Infrastruktur in der Schweiz, zum Beispiel Energieversorger. Er definiert Mindestanforderungen an die Informationssicherheit und ist für betroffene Unternehmen verbindlich. Wer ihn noch nicht kennt, sollte jetzt handeln.

Was ist eine Sicherheitskultur und wie entsteht sie?
Eine Sicherheitskultur entsteht nicht durch Technik allein, sondern durch Verhalten. Sie ist dann vorhanden, wenn Mitarbeitende auf allen Ebenen wissen, wie sie mit Cyberrisiken umgehen – und dieses Wissen im Alltag anwenden. Gezielte Schulungen, realistische Szenarien und klare Kommunikation sind der Weg dorthin.

Braucht ein KMU einen eigenen CISO?
Nicht zwingend. Viele KMU profitieren von einem externen CISO auf Mandatsbasis – dem sogenannten CISO-as-a-Service (CISOaaS). Das gibt ihnen eine erfahrene Sicherheitsverantwortung, ohne eine Vollzeitstelle besetzen zu müssen.