Die Richtlinie verpflichtet Betreiber kritischer Einrichtungen, ihre physische Widerstandsfähigkeit zu prüfen und zu dokumentieren. Wir liefern Test und Prüfbericht.
Artikel 13 verlangt angemessene und verhältnismäßige Maßnahmen entlang von vier Zielen. Ein Physical Penetration Test ist das Prüfinstrument für die wichtigsten davon.
Maßnahmen, die einen Vorfall gar nicht erst zulassen.
Wir versuchen den unbefugten Zutritt tatsächlich. Was uns gelingt, hat die Prävention nicht verhindert.
Test belegt das direktZutrittskontrolle, Perimeter, Absicherung der kritischen Bereiche.
Zäune, Schließanlagen, Ausweislogik und der Weg zur Leitwarte werden einzeln auf Wirksamkeit geprüft.
Test belegt das direktErkennen, melden, eingreifen. Erstmeldung nach Art. 15 binnen 24 Stunden.
Wir protokollieren mit Zeitstempel, ob und wann jemand den Eindringling bemerkt und meldet.
Test misst die ErkennungBetrieb wiederherstellen, Ursachen abstellen, ausführlicher Bericht binnen eines Monats.
Kein Gegenstand eines Pentests. Unsere Findings gehen als Eingangsgröße in eure Maßnahmenplanung.
außerhalb unseres UmfangsDas KRITIS-Dachgesetz gilt seit dem 17. März 2026. Die Registrierung über das Portal von BBK und BSI beginnt mit der Rechtsverordnung, die kritische Anlagen festlegt; danach bleiben drei Monate.
Bußgelder bis zu 1 Mio. € nach § 24 KRITIS-Dachgesetz, behördliche Anordnungen bis hin zu vorläufigen Betriebseinschränkungen, öffentliche Bekanntmachung von Verstößen.
§ 20 KRITIS-Dachgesetz nimmt die Geschäftsleitung in die Pflicht. Verletzt sie diese, haftet sie ihrer eigenen Einrichtung. Abgeben lässt sich die Pflicht nicht.
Wir führen den Test durch und dokumentieren ihn als technischen Nachweis für Auditoren und Aufsichtsbehörden. Ob ihr als kritisch geltet, regelt die Rechtsverordnung; die Registrierung erledigt ihr selbst. Rechtsberatung und Zertifizierungen bieten wir nicht an.
Nur autorisierte Personen in kritische Bereiche. Der Test zeigt, ob die Regel im Betrieb hält oder nur auf dem Papier steht.
Zäune, Kameras, Beleuchtung und Barrieren sollen einen entschlossenen Angreifer aufhalten, nicht nur abschrecken.
Nicht jede Bedrohung kommt von außen. Social-Engineering- und Insider-Szenarien zeigen, wie weit jemand von innen kommt.
Wir prüfen, ob Tailgating, Vorwände und Manipulationsversuche erkannt werden oder ob die Tür aufgehalten wird.
Wie schnell fällt ein physischer Eindringling auf, und wie schnell wird er gemeldet?
Server, Steuersysteme und Leitwarten brauchen den höchsten Schutz. Den testen wir gezielt.
Artikel 13 verlangt auch Background-Checks für sicherheitsrelevantes Personal und die vertragliche Weitergabe der Resilienzpflichten an Dienstleister.
Elf Sektoren im Anhang der Richtlinie. Der Verkehrssektor umfasst Luft, Schiene, Straße, Wasser und ÖPNV und steht hier nach Verkehrsträgern in zwei Feldern.
Kritisch ist ein Betreiber, wenn er eine wesentliche Dienstleistung in einem dieser Sektoren erbringt und ein Vorfall sie erheblich stören würde. In Deutschland legt eine Rechtsverordnung zum KRITIS-Dachgesetz die Schwellenwerte fest.
Der Abschlussbericht enthält alle Testhandlungen mit Zeitstempel, jedes Finding nach Schweregrad und Ausnutzbarkeit bewertet, die Zuordnung zum Anforderungskatalog aus Artikel 13, einen priorisierten Maßnahmenplan und eine Management-Summary für Geschäftsführung, Aufsichtsrat und Behörden.
Nein. Die Richtlinie nennt keine Testmethode, verlangt aber, dass Betreiber ihre physischen Maßnahmen testen, bewerten und dokumentieren. Der Physical Penetration Test liefert dafür reale Erkenntnisse statt eines Risikomodells auf Papier.
Ja. Ein kombiniertes Assessment testet physische und digitale Angriffswege in einem Durchgang. Beide Nachweise bleiben aber getrennt: CER (Richtlinie 2022/2557) und NIS2 (Richtlinie 2022/2555) stammen aus demselben EU-Paket, ein CER-Nachweis ersetzt jedoch keinen NIS2-Nachweis und umgekehrt.
Artikel 15 verlangt eine Erstmeldung ohne unangemessene Verzögerung, spätestens 24 Stunden, nachdem der Vorfall bekannt wurde, soweit operativ möglich. Ein ausführlicher Bericht folgt spätestens einen Monat später.
30 Minuten Erstgespräch, kostenlos. Wir besprechen eure Einrichtungen und klären den Scope, danach folgt ein unverbindliches Angebot.
