Die CER-Richtlinie ist die physische Schwester von NIS2: Sie verpflichtet Betreiber kritischer Einrichtungen, ihre physische Widerstandsfähigkeit systematisch zu prüfen und nachzuweisen, genau wie NIS2 es für Cybersicherheit verlangt. In Deutschland ist die Umsetzung seit dem 17. März 2026 als KRITIS-Dachgesetz in Kraft; als kritisch eingestufte Betreiber müssen sich binnen drei Monaten, nachdem eine Anlage als kritisch gilt bei BBK und BSI registrieren. Wer das ignoriert, haftet persönlich.
Dokumentierter Nachweis, dass eure physischen Sicherheitsmaßnahmen getestet und bewertet wurden, verwertbar für CER-Audits und Behörden.
Statt eines theoretischen Risikomodells testen wir tatsächlich, ob unbefugter Zutritt zu euren kritischen Bereichen möglich ist.
Die meisten physischen Sicherheitslücken entstehen durch den Faktor Mensch. Wir testen beides zusammen, für ein realistisches Gesamtbild.
Jedes Finding mit konkreter Maßnahme: Was muss sofort behoben werden, was ist mittelfristig zu adressieren?
Unser Bericht dokumentiert physische Schwachstellen nach den Anforderungen der CER-Richtlinie und ist für interne und externe Audits sowie Behördennachweise geeignet.
Viele Organisationen haben umfangreiche Cybersicherheitsmaßnahmen eingeführt und lassen diese regelmäßig testen. Die CER-Richtlinie verlangt exakt dasselbe für die physische Sicherheit. Das Konzept ist identisch, nur die Angriffsvektoren unterscheiden sich.
Unternehmen, die NIS2 bereits ernst nehmen, haben gelernt: systematisches Testen ist besser als blindes Vertrauen in Sicherheitsmaßnahmen. CER überträgt dieses Prinzip auf die physische Welt, mit denselben rechtlichen Konsequenzen bei Verstößen.
CER und NIS2 stammen aus demselben EU-Gesetzespaket von 2022 und richten sich oft an dieselben Betreiber, trotzdem sind es zwei getrennte Nachweispflichten, die häufig verwechselt werden.
Regelt Cybersicherheit: Schutz von Netzwerken, IT-Systemen und Daten kritischer und wichtiger Einrichtungen. Umsetzung in Deutschland über das NIS2UmsuCG.
Regelt physische und organisatorische Resilienz derselben Betreiberkategorie: Schutz vor Sabotage, Naturkatastrophen, technischem Versagen und Terror. Umsetzung in Deutschland über das KRITIS-Dachgesetz.
Ein CER-Nachweis ersetzt keinen NIS2-Nachweis und umgekehrt. Wer in beiden Richtlinien betroffen ist, braucht auf beiden Ebenen dokumentierte Prüfergebnisse.
CER gilt für Betreiber kritischer Einrichtungen in elf Sektoren des Anhangs der Richtlinie, der Verkehrssektor umfasst dabei Luft, Schiene, Straße, Wasser und ÖPNV. Die Überschneidung mit NIS2 ist erheblich: Viele Betreiber sind von beiden Richtlinien gleichzeitig betroffen und müssen sowohl Cyber- als auch physische Resilienz nachweisen.
CER ist kein Empfehlungskatalog, sondern verbindliches EU-Recht mit echten Konsequenzen.
§ 20 KRITIS-Dachgesetz nimmt die Geschäftsleitung in die Pflicht: Sie muss die Resilienzmaßnahmen umsetzen und ihre Umsetzung organisatorisch sicherstellen. Verletzt sie das, haftet sie ihrer eigenen Einrichtung für den Schaden, nach den Regeln, die für ihre Rechtsform ohnehin gelten. Abgeben lässt sich die Pflicht nicht.
Deutschland hat die EU-Umsetzungsfrist vom 17. Oktober 2024 verpasst. Das KRITIS-Dachgesetz wurde am 10. September 2025 vom Bundeskabinett beschlossen, am 29. Januar 2026 vom Bundestag verabschiedet, am 6. März 2026 vom Bundesrat gebilligt und ist seit dem 17. März 2026 in Kraft. Wann die Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) fällig wird, steht noch nicht fest: Sie beginnt erst mit der Rechtsverordnung nach § 5 Abs. 1 KRITIS-Dachgesetz, die festlegt, welche Anlagen als kritisch gelten. Ab diesem Zeitpunkt bleiben drei Monate.
Artikel 13 CER verlangt von Betreibern 'angemessene und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen' entlang vier Zielen: Vorfälle verhindern, physischen Schutz sicherstellen, auf Vorfälle reagieren und sich davon erholen. Ein Physical Penetration Test ist das Prüfinstrument für die wichtigsten davon und liefert zugleich den Nachweis, den Behörden erwarten.
Betreiber müssen sicherstellen, dass nur autorisierte Personen Zugang zu kritischen Bereichen erhalten. Ein Pentest zeigt, ob diese Kontrollen in der Praxis standhalten oder nur auf dem Papier existieren.
Physical PentestZäune, Kameras, Beleuchtung und Barrieren müssen effektiv sein. Wir prüfen, ob sie einen entschlossenen Angreifer tatsächlich aufhalten oder nur abschrecken sollen.
Physical PentestNicht alle Bedrohungen kommen von außen. Social Engineering und Insider-Szenarien zeigen, wie resilient eure Organisation gegen interne Risiken wirklich ist.
Social EngineeringMitarbeiter sind die erste und letzte Verteidigungslinie. Wir testen, ob sie Tailgating, Vorwände und Manipulationsversuche erkennen oder bereitwillig die Tür öffnen.
Social EngineeringWie schnell wird ein physischer Eindringling entdeckt und gemeldet? Wir prüfen die Erkennungs- und Reaktionsfähigkeit eurer Organisation unter realistischen Bedingungen.
Physical PentestServer, Steuersysteme, Leitwarten: die sensibelsten Bereiche brauchen den höchsten Schutz. Wir testen gezielt deren Absicherung und zeigen, wo die Lücken liegen.
Physical PentestArt. 13 verlangt auch Background-Checks für sicherheitsrelevantes Personal sowie die vertragliche Weitergabe von Resilienzpflichten an Lieferanten und Dienstleister. Wir prüfen, ob diese Pflichten in der Praxis wirklich greifen oder nur auf dem Papier stehen.
Social EngineeringSystematisch, dokumentiert und CER-konform: unser Vorgehen liefert den Nachweis, den die Richtlinie fordert und den Behörden erwarten.
Welche Bereiche, Gebäude und Szenarien sollen getestet werden? Wir definieren gemeinsam den Scope, unter Berücksichtigung eurer betrieblichen Anforderungen und CER-Pflichten.
Informationssammlung über euren Standort, öffentlich sichtbare Sicherheitsmaßnahmen, Mitarbeiterbewegungen und potenzielle Einstiegspunkte.
Simulierter Einbruchsversuch unter realistischen Bedingungen: Tailgating, Lock Picking, Social Engineering, USB-Drops, je nach vereinbartem Scope.
Lückenlose Protokollierung aller Testhandlungen, Findings und Zeitpunkte. Bewertung nach Schweregrad, Ausnutzbarkeit und regulatorischer Relevanz.
Vollständiger Bericht mit allen Findings, Handlungsempfehlungen und CER-Mapping gemäß Art. 13. Geeignet als Prüfnachweis für Aufsichtsbehörden und die Geschäftsführung.
CER fokussiert auf physische Resilienz. Diese drei Module decken die zentralen Anforderungen der Richtlinie ab und liefern den Nachweis, den Behörden erwarten.
Simulierter Einbruchsversuch in eure Einrichtungen: Tailgating, Lock Picking, Perimeter-Tests. Das Kernmodul für den CER-Nachweis: Wir testen, ob unbefugter Zutritt möglich ist.
Mehr erfahrenPhishing, Vishing, persönliche Manipulation: die meisten physischen Sicherheitslücken entstehen durch den Faktor Mensch. Wir zeigen, wie weit gezielte Täuschung führt.
Mehr erfahrenFür CER reicht der Test allein nicht, der Nachweis muss auch dokumentiert und behördentauglich sein. Wir liefern einen strukturierten Abschlussbericht als vollwertiges Audit-Dokument.
Mehr erfahren