Datum der Veröffentlichung: 27. Juli 2026

DVGW Kongress: 

Herr Schickenberg, das KRITIS-Dachgesetz beschäftigt derzeit viele Betreiber. Was verändert sich dadurch konkret?

Phillip Schickenberg:

Beim Schutz kritischer Infrastruktur wurde bisher oft zuerst an Cyberangriffe und IT-Sicherheit gedacht. Das ist wichtig, keine Frage – aber das neue Gesetz rückt jetzt auch die physische Sicherheit deutlich stärker in den Fokus.

Betreiber müssen sich also fragen: Wie gut sind unsere Gebäude, unsere Technikräume, unsere dezentralen Anlagen eigentlich gegen Einbruch, Sabotage, Vandalismus oder Naturereignisse geschützt? Und – mindestens genauso wichtig – können wir im Ernstfall lückenlos nachvollziehen, wer wann Zugang zu einem kritischen Bereich hatte?

Mit dem KRITIS-Dachgesetz bekommen wir zum ersten Mal bundeseinheitliche, verbindliche Mindestanforderungen an die physische Resilienz – an den baulichen, technischen und organisatorischen Schutz.

Das wirklich Neue und Entscheidende dabei ist der sogenannte All-Hazards-Ansatz: Naturkatastrophen, Extremwetter, Pandemien oder menschliches Versagen werden jetzt genauso ernst genommen wie gezielte Terror- oder Sabotageakte. Die Betrachtung wird also deutlich ganzheitlicher.

Für Betreiber entstehen daraus ganz konkrete Pflichten – angefangen bei der offiziellen Registrierung, über regelmäßige Risikoanalysen und Resilienzpläne, bis hin zu klaren Schutzmaßnahmen für Anlagen und Personal sowie einem funktionierenden Meldewesen. Wer das vernachlässigt, riskiert empfindliche Sanktionen: Bußgelder von bis zu einer Million Euro sind hier durchaus möglich.

DVGW Kongress: 

Welche Unternehmen betrifft das besonders?

Phillip Schickenberg:

Das KRITIS-Dachgesetz deckt insgesamt elf kritische Sektoren ab – darunter Energie, Wasser, Transport, Gesundheit, Ernährung sowie IT und Telekommunikation. Als Richtwert gilt eine Versorgungsschwelle von mindestens 500.000 versorgten Personen. Hier ist aber Vorsicht geboten: Über die Länderöffnungsklausel können Landesbehörden auch Anlagen unterhalb dieser Grenze als kritisch einstufen, wenn die regionale Bedeutung entsprechend hoch ist.

Insgesamt sprechen wir ab 2026 von weit über 1.700 betroffenen Betreibern. Besonders relevant ist das Thema für Stadtwerke, Energie- und Wasserversorger, Telekommunikationsunternehmen sowie generell für Betreiber mit vielen verteilten Standorten.

Aber auch kleinere Betreiber sollten das Thema keinesfalls auf die leichte Schulter nehmen: Wenn eine Anlage für die Versorgung einer Region unverzichtbar ist, kann sie unabhängig von ihrer Größe als kritisch eingestuft werden – die 500.000-Personen-Schwelle ist also kein verlässlicher Freibrief.

Und unabhängig von der gesetzlichen Einstufung sollte es ohnehin die intrinsische Motivation jedes Betreibers sein, seine Anlagen und Netze so resilient wie möglich aufzustellen. Denn am Ende geht es nicht nur um regulatorische Pflichterfüllung, sondern darum, Versorgungssicherheit tatsächlich zu garantieren – und nicht zuletzt darum, schlechte Presse im Ernstfall zu vermeiden.

DVGW Kongress: 

Wo sehen Sie aktuell die größten Schwachstellen?

Phillip Schickenberg:

Der größte blinde Fleck liegt eindeutig in der Peripherie, bei den unbemannten Außenstandorten. Während Hauptzentralen und Büros meist hochgradig digitalisiert und überwacht sind, stehen in der Fläche hunderte Trafohäuschen, Pumpwerke, Schächte oder Netzstationen – und genau dort fehlt es oft an einer digitalen Zugangskontrolle.

Die zweite große Schwachstelle ist das Festhalten an klassischer Mechanik, insbesondere bei der Schlüsselverwaltung. Häufig weiß niemand mehr genau, wie viele Schlüssel überhaupt im Umlauf sind, wer sie besitzt oder ob im Laufe der Zeit Kopien angefertigt wurden. Mechanische Schlüssel lassen sich ohne großen Aufwand kopieren, ein Verlust wird oft viel zu spät bemerkt – und lässt sich der Zugang dann nicht einfach sperren, muss im schlimmsten Fall die ganze Anlage neu verschlossen werden.

Hinzu kommt: Ein mechanischer Schlüssel hinterlässt keinen digitalen Fußabdruck. Es fehlt die Dokumentation, wer wann an welcher Anlage war. Im Falle einer Sabotage ist damit keine forensische Auswertung möglich. Das ist nicht nur ein Sicherheitsproblem – ein mechanisches Schloss verstößt damit im Grunde bereits gegen die gesetzliche Pflicht zur Zutrittsprotokollierung und wird bei Risikoanalysen, Audits und im Vorfallsmanagement zukünftig schlicht nicht mehr genügen.

DVGW Kongress: 

Was muss eine moderne Zutrittslösung leisten, gerade auch im Hinblick auf die neuen regulatorischen Anforderungen?

Phillip Schickenberg:

Eine moderne Zutrittslösung muss vor allem drei Dinge vereinen: Sicherheit, Nachvollziehbarkeit und volle Ausfallsicherheit – und dabei trotzdem alltagstauglich bleiben.

Das beginnt bei der Rechtevergabe: Zugangsmedien müssen kopiergeschützt sein, Berechtigungen sollten sich gezielt und zeitlich begrenzt vergeben lassen. Bei einem Schlüsselverlust oder Personalwechsel muss der Zugang sofort entziehbar sein, und jede Öffnung muss lückenlos und auditierbar protokolliert werden.

Ganz entscheidend ist außerdem die physische Härtung für den Einsatz im Außenbereich. Extreme Kälte darf zum Beispiel nicht dazu führen, dass Batterien versagen – deshalb setzen wir auf batterielose Schließtechnologie, bei der die Energie direkt über den Schlüssel geliefert wird. Dazu kommt eine vollständig geschlossene Bauform ohne Schlüsselloch, um Vandalismus durch Klebstoff oder Fremdkörper zu verhindern. Und im Krisenfall, etwa bei einem Blackout, muss das System im echten Offline-Betrieb – ohne Stromnetz oder Mobilfunk – zu hundert Prozent verlässlich funktionieren.

Genau das leistet unser smartes Zutrittssystem PYLOCX: Es verbindet eine digitale, flexible Rechteverwaltung mit batterielosen und offlinefähigen Schlössern. Der Nutzer erhält beispielsweise einen zeitlich begrenzten Einmalcode, den er über den mobilen PYKEY an das Schloss überträgt. Je nach Anwendungsfall lässt sich das System flexibel konfigurieren – ob Einmalcode, Fixcode oder Access on Key. Das Schloss selbst kommt ohne Batterie und ohne permanente Strom- oder Internetverbindung aus, dokumentiert aber trotzdem jede Öffnung zuverlässig. Gerade für weit verteilte und unbemannte Standorte ist das ein entscheidender Vorteil.

DVGW Kongress: 

Müssen Betreiber dafür ihre gesamte bestehende Infrastruktur austauschen?

Phillip Schickenberg:

Nein, absolut nicht – das wäre in der Praxis auch gar nicht wirtschaftlich oder umsetzbar. Niemand kann und möchte hunderte Standorte auf einen Schlag komplett umbauen. Für uns ist der erste Weg deshalb immer der Retrofit an bestehenden Türen, Schachtdeckeln und Toren – ganz ohne Umbaumaßnahme und in wenigen Minuten ausgetauscht. Sinnvoll ist es, mit den besonders kritischen Anlagen zu beginnen und das System anschließend schrittweise auszuweiten.

Ein zukunftssicheres System presst den Betreiber nicht in ein starres Standard-Korsett, sondern passt sich flexibel an bestehende Prozesse an. Über Schnittstellen binden wir unsere Lösung nahtlos in bereits genutzte Gefahrenmanagement- oder Zutrittskontrollsysteme ein. Auch bei der IT-Architektur hat der Betreiber die freie Wahl: Ob On-Premise, Private Cloud oder Public Cloud – das System fügt sich in die Infrastruktur ein, die beim Kunden bereits etabliert ist.

Und wo eine Standardlösung an ihre Grenzen stößt, gehen wir noch einen Schritt weiter: In vielen Projekten entwickeln wir eine kundenindividuelle Lösung – gerade dann, wenn ein Standardschloss nur mit großen baulichen oder organisatorischen Änderungen nutzbar gewesen wäre. Wir zwingen den Kunden also nicht, sich an unsere Technik anzupassen, sondern entwickeln die Lösung, die zu ihm und seiner Anwendung passt.

DVGW Kongress: 

Wie sollten Unternehmen jetzt starten und was möchten Sie den Betreibern abschließend mitgeben?

Phillip Schickenberg:

Das Wichtigste zuerst: Das Thema physische Sicherheit muss zwingend auf die C-Level-Ebene rücken. Durch das KRITIS-Dachgesetz ist Resilienz kein untergeordnetes Haustechnik-Projekt mehr, sondern eine direkte Organpflicht des Managements, für die Geschäftsleiter persönlich haften.

Konkret starten sollte man mit einer ehrlichen Bestandsaufnahme. Betreiber sollten sich drei einfache Fragen stellen: Wissen Sie genau, wer Zugang zu Ihren kritischen Standorten hat? Können Sie eine Berechtigung im Zweifel sofort entziehen? Und können Sie jeden Zutritt lückenlos nachvollziehen? Wenn Sie eine dieser Fragen nicht eindeutig beantworten können, sollten Sie sich das Thema Zutrittslösung genauer ansehen.

Darauf aufbauend empfiehlt sich eine strukturierte Gap-Analyse, um bestehende Sicherheitslücken zu erkennen und Maßnahmen zu priorisieren – idealerweise beginnend bei den kritischsten Standorten. Mein Rat ist klar: Nicht warten, bis eine Behörde eine Prüfung ankündigt. Viele Standorte und Prozesse sind über Jahre gewachsen, und eine saubere Umstellung braucht Zeit.

Mein Appell an alle Betreiber lautet daher: Physische Resilienz als ganzheitliche Chefsache begreifen und die eigenen unbemannten Standorte nicht länger als ungeschütztes, schwächstes Glied in der Sicherheitskette belassen. Setzen Sie auf Systeme, die krisenfest, auditsicher, prozesskonform und flexibel agieren – dann wird der Weg zur KRITIS-Konformität zu einem gut planbaren Prozess und nicht zu einer Notoperation unter Zeitdruck.

Vielen Dank für das Gespräch, Herr Schickenberg! Wir freuen uns schon auf den gemeinsamen Austausch auf dem DVGW Kongress 2026 in Bonn.