CER-Richtlinie · Physische Resilienz · EU

CER-Pentest:
Was ihr für Cyber tut, jetzt auch für physische Sicherheit

Die CER-Richtlinie ist die physische Schwester von NIS2: Sie verpflichtet Betreiber kritischer Einrichtungen, ihre physische Widerstandsfähigkeit systematisch zu prüfen und nachzuweisen, genau wie NIS2 es für Cybersicherheit verlangt. In Deutschland ist die Umsetzung seit dem 17. März 2026 als KRITIS-Dachgesetz in Kraft; als kritisch eingestufte Betreiber müssen sich binnen drei Monaten, nachdem eine Anlage als kritisch gilt bei BBK und BSI registrieren. Wer das ignoriert, haftet persönlich.

Prüfnachweis für den CER-Nachweis Fokus auf physische Resilienz Kostenloses Erstgespräch
Einbruch und WiederanlaufSchematisch
Resilienzkurve: Betriebsfähigkeit vor, während und nach einer Störung, geprüft gegen ungeprüft Störung geprüft ungeprüft Zeit Betriebsfähigkeit
Geprüft: der Einbruch bleibt flach, der Betrieb läuft schnell wieder an.
Ungeprüft: tieferer Ausfall, längerer Wiederanlauf, selten zurück auf das alte Niveau.
Was ihr bekommt
  1. 01
    Physischer Resilienznachweis

    Dokumentierter Nachweis, dass eure physischen Sicherheitsmaßnahmen getestet und bewertet wurden, verwertbar für CER-Audits und Behörden.

  2. 02
    Reale Angriffssimulation

    Statt eines theoretischen Risikomodells testen wir tatsächlich, ob unbefugter Zutritt zu euren kritischen Bereichen möglich ist.

  3. 03
    Physical & Social Engineering kombiniert

    Die meisten physischen Sicherheitslücken entstehen durch den Faktor Mensch. Wir testen beides zusammen, für ein realistisches Gesamtbild.

  4. 04
    Klare Handlungsempfehlungen

    Jedes Finding mit konkreter Maßnahme: Was muss sofort behoben werden, was ist mittelfristig zu adressieren?

Unser Bericht dokumentiert physische Schwachstellen nach den Anforderungen der CER-Richtlinie und ist für interne und externe Audits sowie Behördennachweise geeignet.

NIS2 trifft CER

Was ist die CER-Richtlinie?

Viele Organisationen haben umfangreiche Cybersicherheitsmaßnahmen eingeführt und lassen diese regelmäßig testen. Die CER-Richtlinie verlangt exakt dasselbe für die physische Sicherheit. Das Konzept ist identisch, nur die Angriffsvektoren unterscheiden sich.

Was ihr für Cyber macht, jetzt auch für physische Sicherheit

Cybersicherheit (NIS2)
  • Penetrationstest auf IT-Systeme
  • Firewall & Zugriffskontrollen prüfen
  • Schwachstellenscans & Risikoanalyse
  • Dokumentierter Prüfbericht für Behörden
Derselbe Betrieb, zwei Ebenen CER fordert dasselbe
Physische Sicherheit (CER)
  • Physical Pentest auf Gebäude & Anlagen
  • Zutrittskontrolle & Schließanlagen testen
  • Social Engineering & Tailgating simulieren
  • Dokumentierter Resilienznachweis für Behörden

Unternehmen, die NIS2 bereits ernst nehmen, haben gelernt: systematisches Testen ist besser als blindes Vertrauen in Sicherheitsmaßnahmen. CER überträgt dieses Prinzip auf die physische Welt, mit denselben rechtlichen Konsequenzen bei Verstößen.

Ein Rechtspaket, zwei Pflichten

CER vs. NIS2: gleiches Paket, unterschiedlicher Fokus

CER und NIS2 stammen aus demselben EU-Gesetzespaket von 2022 und richten sich oft an dieselben Betreiber, trotzdem sind es zwei getrennte Nachweispflichten, die häufig verwechselt werden.

NIS2: Richtlinie (EU) 2022/2555

NIS2

Regelt Cybersicherheit: Schutz von Netzwerken, IT-Systemen und Daten kritischer und wichtiger Einrichtungen. Umsetzung in Deutschland über das NIS2UmsuCG.

CER: Richtlinie (EU) 2022/2557

CER

Regelt physische und organisatorische Resilienz derselben Betreiberkategorie: Schutz vor Sabotage, Naturkatastrophen, technischem Versagen und Terror. Umsetzung in Deutschland über das KRITIS-Dachgesetz.

Ein CER-Nachweis ersetzt keinen NIS2-Nachweis und umgekehrt. Wer in beiden Richtlinien betroffen ist, braucht auf beiden Ebenen dokumentierte Prüfergebnisse.

Betroffene Einrichtungen

Für wen gilt die CER-Richtlinie?

CER gilt für Betreiber kritischer Einrichtungen in elf Sektoren des Anhangs der Richtlinie, der Verkehrssektor umfasst dabei Luft, Schiene, Straße, Wasser und ÖPNV. Die Überschneidung mit NIS2 ist erheblich: Viele Betreiber sind von beiden Richtlinien gleichzeitig betroffen und müssen sowohl Cyber- als auch physische Resilienz nachweisen.

  1. 01Energie
  2. 02Verkehr: Luft & Schiene
  3. 03Verkehr: Straße, Wasser & ÖPNV
  4. 04Bankwesen
  5. 05Finanzmarktinfrastrukturen
  6. 06Gesundheit
  7. 07Trinkwasser
  8. 08Abwasser
  9. 09Digitale Infrastruktur
  10. 10Öffentliche Verwaltung
  11. 11Weltraum
  12. 12Lebensmittel: Produktion, Verarbeitung & Vertrieb

Was droht bei Nichteinhaltung?

CER ist kein Empfehlungskatalog, sondern verbindliches EU-Recht mit echten Konsequenzen.

  1. 01Bußgelder bis zu 1 Mio. € nach § 24 KRITIS-Dachgesetz, gestaffelt nach Verstoß – umsatzbezogene Bußgelder wie bei NIS2 gibt es hier nicht
  2. 02Anordnungen zur sofortigen Umsetzung von Maßnahmen durch zuständige Behörden, einschließlich vorläufiger Betriebseinschränkungen
  3. 03Öffentliche Bekanntmachung von Verstößen, mit erheblichen Reputationsschäden gegenüber Kunden, Partnern und Investoren
  4. 04Haftung gegenüber Dritten bei Vorfällen, wenn nachgewiesen wird, dass Sicherheitspflichten vernachlässigt wurden

Verantwortung der Geschäftsleitung: nicht delegierbar

§ 20 KRITIS-Dachgesetz nimmt die Geschäftsleitung in die Pflicht: Sie muss die Resilienzmaßnahmen umsetzen und ihre Umsetzung organisatorisch sicherstellen. Verletzt sie das, haftet sie ihrer eigenen Einrichtung für den Schaden, nach den Regeln, die für ihre Rechtsform ohnehin gelten. Abgeben lässt sich die Pflicht nicht.

Status in Deutschland: das KRITIS-Dachgesetz

Deutschland hat die EU-Umsetzungsfrist vom 17. Oktober 2024 verpasst. Das KRITIS-Dachgesetz wurde am 10. September 2025 vom Bundeskabinett beschlossen, am 29. Januar 2026 vom Bundestag verabschiedet, am 6. März 2026 vom Bundesrat gebilligt und ist seit dem 17. März 2026 in Kraft. Wann die Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) fällig wird, steht noch nicht fest: Sie beginnt erst mit der Rechtsverordnung nach § 5 Abs. 1 KRITIS-Dachgesetz, die festlegt, welche Anlagen als kritisch gelten. Ab diesem Zeitpunkt bleiben drei Monate.

CER-Anforderungen

Was fordert Art. 13 CER von Betreibern?

Artikel 13 CER verlangt von Betreibern 'angemessene und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen' entlang vier Zielen: Vorfälle verhindern, physischen Schutz sicherstellen, auf Vorfälle reagieren und sich davon erholen. Ein Physical Penetration Test ist das Prüfinstrument für die wichtigsten davon und liefert zugleich den Nachweis, den Behörden erwarten.

  1. Verhindern Art. 13 (1) a
  2. Schützen Art. 13 (1) b
  3. Reagieren Art. 13 (1) c
  4. Erholen Art. 13 (1) d
  1. 01

    Physische Zugangskontrollen

    Betreiber müssen sicherstellen, dass nur autorisierte Personen Zugang zu kritischen Bereichen erhalten. Ein Pentest zeigt, ob diese Kontrollen in der Praxis standhalten oder nur auf dem Papier existieren.

    Physical Pentest
  2. 02

    Perimetersicherheit

    Zäune, Kameras, Beleuchtung und Barrieren müssen effektiv sein. Wir prüfen, ob sie einen entschlossenen Angreifer tatsächlich aufhalten oder nur abschrecken sollen.

    Physical Pentest
  3. 03

    Schutz vor Insider-Bedrohungen

    Nicht alle Bedrohungen kommen von außen. Social Engineering und Insider-Szenarien zeigen, wie resilient eure Organisation gegen interne Risiken wirklich ist.

    Social Engineering
  4. 04

    Sicherheitsbewusstsein der Mitarbeiter

    Mitarbeiter sind die erste und letzte Verteidigungslinie. Wir testen, ob sie Tailgating, Vorwände und Manipulationsversuche erkennen oder bereitwillig die Tür öffnen.

    Social Engineering
  5. 05

    Notfall- & Incident Response

    Wie schnell wird ein physischer Eindringling entdeckt und gemeldet? Wir prüfen die Erkennungs- und Reaktionsfähigkeit eurer Organisation unter realistischen Bedingungen.

    Physical Pentest
  6. 06

    Schutz kritischer Ressourcen

    Server, Steuersysteme, Leitwarten: die sensibelsten Bereiche brauchen den höchsten Schutz. Wir testen gezielt deren Absicherung und zeigen, wo die Lücken liegen.

    Physical Pentest
  7. 07

    Personal- & Lieferkettenprüfung

    Art. 13 verlangt auch Background-Checks für sicherheitsrelevantes Personal sowie die vertragliche Weitergabe von Resilienzpflichten an Lieferanten und Dienstleister. Wir prüfen, ob diese Pflichten in der Praxis wirklich greifen oder nur auf dem Papier stehen.

    Social Engineering
Unser Vorgehen

Wie läuft ein CER Physical Pentest ab?

Systematisch, dokumentiert und CER-konform: unser Vorgehen liefert den Nachweis, den die Richtlinie fordert und den Behörden erwarten.

  1. 01

    Scoping & Zieldefinition

    Welche Bereiche, Gebäude und Szenarien sollen getestet werden? Wir definieren gemeinsam den Scope, unter Berücksichtigung eurer betrieblichen Anforderungen und CER-Pflichten.

  2. 02

    Reconnaissance & Vorbereitung

    Informationssammlung über euren Standort, öffentlich sichtbare Sicherheitsmaßnahmen, Mitarbeiterbewegungen und potenzielle Einstiegspunkte.

  3. 03

    Physical Penetration Test

    Simulierter Einbruchsversuch unter realistischen Bedingungen: Tailgating, Lock Picking, Social Engineering, USB-Drops, je nach vereinbartem Scope.

  4. 04

    Dokumentation & Analyse

    Lückenlose Protokollierung aller Testhandlungen, Findings und Zeitpunkte. Bewertung nach Schweregrad, Ausnutzbarkeit und regulatorischer Relevanz.

  5. 05

    CER-konformer Abschlussbericht

    Vollständiger Bericht mit allen Findings, Handlungsempfehlungen und CER-Mapping gemäß Art. 13. Geeignet als Prüfnachweis für Aufsichtsbehörden und die Geschäftsführung.

11
Betroffene Sektoren unter CER
Art. 13
CER-Kernartikel für physische Maßnahmen
24 Std.
Erstmeldefrist für Vorfälle (Art. 15 CER)
3 Monate
Registrierungsfrist ab dem Zeitpunkt, zu dem eine Anlage als kritisch gilt
Relevante Pentest-Module

Welche Bausteine braucht euer CER-Nachweis?

CER fokussiert auf physische Resilienz. Diese drei Module decken die zentralen Anforderungen der Richtlinie ab und liefern den Nachweis, den Behörden erwarten.

Physical Penetration Test

Simulierter Einbruchsversuch in eure Einrichtungen: Tailgating, Lock Picking, Perimeter-Tests. Das Kernmodul für den CER-Nachweis: Wir testen, ob unbefugter Zutritt möglich ist.

Mehr erfahren

Social Engineering Assessment

Phishing, Vishing, persönliche Manipulation: die meisten physischen Sicherheitslücken entstehen durch den Faktor Mensch. Wir zeigen, wie weit gezielte Täuschung führt.

Mehr erfahren

Resilienz-Dokumentation

Für CER reicht der Test allein nicht, der Nachweis muss auch dokumentiert und behördentauglich sein. Wir liefern einen strukturierten Abschlussbericht als vollwertiges Audit-Dokument.

Mehr erfahren

Was unser CER-Bericht enthält

  1. Vollständige Dokumentation aller durchgeführten Testhandlungen mit Zeitstempeln
  2. Bewertung jedes Findings nach Schweregrad und Ausnutzbarkeit
  3. Mapping auf Art. 13 CER-Anforderungskatalog
  4. Priorisierter Maßnahmenplan mit konkreten Empfehlungen
  5. Management-Summary für Geschäftsführung, Aufsichtsrat und Behörden
Häufige Fragen

CER & Physical Security Testing: eure Fragen

NIS2 regelt die Cybersicherheit kritischer Einrichtungen, also den Schutz von IT-Systemen, Netzwerken und Daten. CER ist das physische Gegenstück: Sie verpflichtet dieselben Betreiber dazu, auch ihre physische Widerstandsfähigkeit systematisch zu prüfen. Kurz: NIS2 ist für die digitale Seite, CER für die physische. Beide sind verbindliches EU-Recht, und beide haben echte Sanktionen bei Nichteinhaltung.
CER schreibt keine spezifische Testmethode vor, verlangt aber, dass Betreiber ihre physischen Sicherheitsmaßnahmen testen, bewerten und dokumentieren. Ein Physical Penetration Test ist das anerkannte und praxisnahe Instrument hierfür: Er liefert reale Erkenntnisse statt theoretischer Risikomodelle und den Prüfnachweis, den Aufsichtsbehörden erwarten. Wer nur auf Papierdokumentationen setzt und nie wirklich getestet hat, steht im Ernstfall ohne Nachweis da.
Nein, und das ist einer der wichtigsten Punkte der CER-Richtlinie. Die Pflicht liegt nach § 20 KRITIS-Dachgesetz auf der Leitungsebene; gehaftet wird gegenüber der eigenen Einrichtung, nach den Regeln der jeweiligen Rechtsform. Geschäftsführer und Vorstandsmitglieder haften persönlich für die Erfüllung dieser Pflichten. Das Thema kann intern koordiniert werden, aber die Verantwortung bleibt beim Management. Im Schadensfall prüfen Behörden und Gerichte, ob die Leitungsebene ihrer Aufsichtspflicht nachgekommen ist.
Art. 22 CER nennt keine Beträge, sondern verlangt wirksame, verhältnismäßige und abschreckende Sanktionen. Das deutsche KRITIS-Dachgesetz beziffert sie in § 24: bis zu 1 Mio. €, gestaffelt nach Verstoß. Hinzu kommen Anordnungen zur sofortigen Maßnahmenumsetzung, mögliche Betriebseinschränkungen und die öffentliche Bekanntmachung von Verstößen. Bei nachgewiesener Fahrlässigkeit droht außerdem zivilrechtliche Haftung gegenüber Dritten. Die Kombination aus Bußgeld, Reputationsschaden und persönlicher Haftung macht Nichtstun zur teuersten Option.
Ja, und das empfehlen wir allen Betreibern, die von beiden Richtlinien betroffen sind. Ein kombiniertes Assessment testet sowohl physische als auch digitale Angriffsvektoren in einem Durchgang und liefert einen integrierten Bericht, der für beide Richtlinien als Nachweis dient. Das spart Aufwand und zeigt das vollständige Sicherheitsbild. Sprecht uns auf ein maßgeschneidertes Kombinationspaket an.
Das lässt sich pauschal nicht sagen: Scope, Anzahl der Standorte, gewünschte Szenarien und Berichtstiefe beeinflussen den Aufwand erheblich. Was wir sagen können: Was wir sagen können: Ein Ausfall, den niemand geübt hat, kostet in aller Regel ein Vielfaches dessen, was der Test gekostet hätte. Nach einem kostenlosen Erstgespräch erhaltet ihr ein transparentes Festpreisangebot.
Die Feststellung läuft über die Mitgliedstaaten: Grundlage ist eine nationale Strategie zur Stärkung der Resilienz kritischer Einrichtungen sowie eine nationale Risikobewertung. Als kritisch gilt ein Betreiber, wenn er eine wesentliche Dienstleistung in einem der elf CER-Sektoren erbringt, im jeweiligen Mitgliedstaat ansässig ist und ein Vorfall die Erbringung dieser Dienstleistung erheblich stören würde. In Deutschland erfolgt die formale Einstufung durch das BBK auf Basis des KRITIS-Dachgesetzes; betroffene Betreiber werden von den zuständigen Behörden benachrichtigt und müssen sich anschließend registrieren.
Art. 15 CER schreibt eine Erstmeldung an die zuständige Behörde ohne unangemessene Verzögerung vor, spätestens jedoch 24 Stunden, nachdem der Vorfall bekannt wurde, sofern operativ möglich. Ein ausführlicher Bericht mit Details zu Ursache, betroffenen Nutzern, Ausfalldauer und geografischer Ausdehnung folgt spätestens einen Monat später. Ob eure Organisation einen physischen Vorfall überhaupt rechtzeitig bemerkt, testen wir gezielt im Baustein Notfall- & Incident Response.