Österreich · RKEG
Seit 1. März 2026 gilt das Resilienz kritischer Einrichtungen-Gesetz. Zehn Monate nach dem Einstufungsbescheid müssen eure Resilienzmaßnahmen stehen. Ein Physical Pentest zeigt vorher, ob Zaun, Zutritt und Personal halten.
§ 15 Abs. 2 Z 2 RKEG verlangt angemessenen physischen Schutz, die Erläuterungen nennen Zäune, Absperrungen, Überwachung, Detektion und Zugangskontrollen. Wir gehen den Weg eines Täters, Zone für Zone.
Zaun, Tor, Beleuchtung, Detektion: Wo kommt jemand ungesehen aufs Gelände, und schlägt die Überwachung an?
Nebeneingänge, Lieferzone, Fluchttüren, Fenster im Erdgeschoß: Welche Tür gibt nach, ohne dass etwas beschädigt wird?
Als Techniker, Lieferant oder neue Kollegin: Fragt jemand nach dem Ausweis, fällt das Hinterhergehen auf?
Leitwarte, Schaltanlage, Serverraum. Kommen wir bis hierher, und wie lange dauert es, bis jemand reagiert?
„Bauliche Schutzmaßnahmen sollen auf praktische Wirksamkeit geprüft werden.“ Leitfäden kritische Einrichtungen zu § 15 Abs. 2 RKEG, veröffentlicht von der DSN, Juni 2026, S. 33
Das BMI kann Risikoanalyse, Plan und Nachweise verlangen, angekündigt vor Ort kontrollieren und ein Audit anordnen (§ 20).
Bis 50.000 €, wiederholt 100.000 €, etwa bei verspäteter Risikoanalyse. Bis 500.000 € bei Meldeverstoß oder missachtetem Mängelbescheid (§ 23).
Der Testbericht belegt mit Fotos und Zeitstempeln, dass ihr eure Maßnahmen geprüft habt, Befund für Befund nach § 15 Abs. 2.
Wir testen und dokumentieren. Risikoanalyse und Resilienzplan bleiben eure Sache, Rechtsberatung bieten wir nicht an.
Eine Testmethode schreibt das RKEG nicht vor. Die Erläuterungen verlangen aber, Maßnahmen und Resilienzplan regelmäßig auf Schwachstellen zu prüfen.
Samt Katastrophenvorsorge und Klimawandel. Wir prüfen den Teil, der Vorsatz betrifft: Kommt ein Täter überhaupt so weit?
Zäune, Absperrungen, Überwachung, Detektion, Zugangskontrollen. Das ist der Kern eines Physical Pentests.
Krisenmanagement und Notfallpläne. Wir protokollieren, ob und wann jemand den Eindringling bemerkt und meldet.
Wiederanlauf und alternative Lieferketten sind kein Gegenstand eines Pentests. Unsere Befunde fließen in eure Planung ein.
Auch für externe Dienstleister, mit Zugangsberechtigungen. Wir prüfen, ob ein falscher Dienstleister ohne Berechtigung durchkommt.
Schulung des Personals in kritischen Funktionen. Social-Engineering-Szenarien zeigen, ob sie wirkt.
Nur wer per Bescheid als kritische Einrichtung eingestuft ist: im Inland tätig, mit kritischer Infrastruktur im Inland und einem wesentlichen Dienst, bei dem ein Sicherheitsvorfall eintreten kann. Die Schwellenwerte je Sektor legt die RKEV fest (BGBl. II Nr. 91/2026).
Elf Sektoren laut Anhang der CER-Richtlinie. Für die drei gestrichelten gelten Risikoanalyse, Resilienzmaßnahmen und Meldepflicht des RKEG nicht (§ 18 Abs. 3), dort bleibt das NISG 2026.
Risikoanalyse, Resilienzplan und sonstige Nachweise, binnen angemessener Frist (§ 20 Abs. 1).
Reichen die Nachweise nicht für eine Beurteilung, kann das BMI ein Audit durch einen zugelassenen Resilienzauditor verlangen (§§ 20, 21).
Das BMI darf Infrastruktur und Räumlichkeiten vor Ort kontrollieren. Ihr wirkt mit und stellt fachkundiges Personal bei (§ 20 Abs. 3).
Ein Physical Pentest ist die Generalprobe dafür: Was wir finden, behebt ihr, bevor eine Kontrolle daraus einen Mängelbescheid macht.
Nein, keine bestimmte Methode. Die Erläuterungen verlangen aber eine Prüfung auf Schwachstellen, und die DSN-Leitfäden empfehlen, bauliche Schutzmaßnahmen auf praktische Wirksamkeit zu prüfen.
Ja, wenn ihr mit einer Einstufung rechnet. Ab dem Bescheid bleiben zehn Monate für Maßnahmen und Plan. Wer die Schwachstellen vorher kennt, plant gleich die richtigen Maßnahmen.
Ja. Kritische Einrichtungen gelten nach § 24 Abs. 1 Z 1 lit. f NISG 2026 größenunabhängig als wesentliche Einrichtungen. Auf Wunsch testen wir Gelände und Netz in einem Auftrag.
Ja. Grundlage ist eine schriftliche Testautorisierung mit Notfallkontakt. Wir öffnen nichts mit Gewalt, schalten keine Sicherheitstechnik ab und stören den Betrieb nicht.
30 Minuten Erstgespräch, kostenlos. Wir klären Standorte und Scope, danach bekommt ihr ein Festpreisangebot.
