Kurzdefinition: Die CER-Richtlinie (Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen) stärkt die Widerstandsfähigkeit kritischer Infrastrukturen — anders als die NIS-2-Richtlinie nicht in erster Linie gegen Cyberrisiken, sondern gegen physische Bedrohungen wie Naturkatastrophen, Sabotage und Terror. Kritische Einrichtungen führen mindestens alle vier Jahre eine Risikobewertung durch und ergreifen technische, sicherheitsbezogene und organisatorische Resilienzmaßnahmen. In Deutschland setzt das KRITIS-Dachgesetz die Richtlinie um. [N-CER-13]
Der Normwortlaut
Art. 12 Abs. 1 der CER-Richtlinie verpflichtet die Mitgliedstaaten, sicherzustellen, dass kritische Einrichtungen „innerhalb von neun Monaten nach Erhalt der … Mitteilung und anschließend im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikobewertung“ durchführen. Nach Art. 13 Abs. 1 ergreifen sie „geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zur Gewährleistung ihrer Resilienz“. [N-CER-12] [N-CER-13]
Was regelt die CER-Richtlinie?
Die physische Resilienz kritischer Einrichtungen. Sie schafft einen übergreifenden Rahmen, der die Widerstandsfähigkeit gegenüber allen relevanten Bedrohungen stärkt — mit Schwerpunkt auf physischen Risiken. Damit ergänzt sie die auf Cybersicherheit ausgerichtete NIS-2-Richtlinie. [N-CER-13]
Was unterscheidet die CER-Richtlinie von NIS-2?
Der Blickwinkel. Während NIS-2 die Cybersicherheit von Netz- und Informationssystemen regelt, richtet sich die CER-Richtlinie auf die physische Resilienz — etwa gegen Naturkatastrophen, Unfälle, hybride und terroristische Bedrohungen. Beide Rechtsakte greifen bei kritischen Einrichtungen ineinander. [N-CER-12]
Wie oft ist eine Risikobewertung durchzuführen?
Mindestens alle vier Jahre. Nach Art. 12 Abs. 1 der CER-Richtlinie führen kritische Einrichtungen die Risikobewertung innerhalb von neun Monaten nach der Mitteilung und danach mindestens alle vier Jahre durch. Sie trägt natürlichen und vom Menschen verursachten Risiken Rechnung. [N-CER-12]
Welche Resilienzmaßnahmen verlangt die Richtlinie?
Ein Bündel. Nach Art. 13 Abs. 1 der CER-Richtlinie gehören dazu Maßnahmen, um Sicherheitsvorfälle zu verhindern, einen angemessenen physischen Schutz der Räumlichkeiten und Infrastrukturen zu gewährleisten, auf Vorfälle zu reagieren, nach Vorfällen die Wiederherstellung zu sichern, ein angemessenes Personal-Sicherheitsmanagement zu betreiben und das Personal zu sensibilisieren. [N-CER-13]
Was ist der Resilienzplan?
Das zentrale Nachweisdokument. Nach Art. 13 Abs. 2 der CER-Richtlinie müssen kritische Einrichtungen über einen Resilienzplan oder ein gleichwertiges Dokument verfügen, in dem die Maßnahmen nach Absatz 1 beschrieben werden, und diesen anwenden. Der Plan belegt gegenüber der Behörde die Pflichterfüllung. [N-CER-13]
Häufige Fehlannahmen
- „Die CER-Richtlinie regelt die Cybersicherheit.“ Nein. Sie richtet sich auf die physische Resilienz; die Cybersicherheit regelt NIS-2. [N-CER-13]
- „Eine einmalige Risikobewertung genügt.“ Nein. Sie ist mindestens alle vier Jahre zu wiederholen. [N-CER-12]
- „Es geht nur um technische Maßnahmen.“ Nein. Verlangt sind technische, sicherheitsbezogene und organisatorische Maßnahmen, auch zum Personal. [N-CER-13]
- „Ein Resilienzplan ist optional.“ Nein. Kritische Einrichtungen müssen über einen Resilienzplan oder ein gleichwertiges Dokument verfügen und es anwenden. [N-CER-13]
- „Die CER-Richtlinie gilt in Deutschland unmittelbar.“ Nicht als Richtlinie. Sie wird in Deutschland durch das KRITIS-Dachgesetz umgesetzt. [N-CER-13]
- „Physischer Schutz meint nur Zäune.“ Nicht nur. Erfasst sind auch Überwachung, Detektion und Zugangskontrollen. [N-CER-13]
Was die Geschäftsleitung tun sollte
- Betroffenheit klären. Prüfen, ob die Einrichtung als kritische Einrichtung nach dem KRITIS-Dachgesetz gilt.
- Risikobewertung takten. Die mindestens vierjährliche Risikobewertung einplanen.
- Resilienzmaßnahmen umsetzen. Physischen Schutz, Reaktion, Wiederherstellung und Personal-Sicherheit organisieren.
- Resilienzplan führen. Einen Resilienzplan erstellen, anwenden und aktuell halten.
Für die Geschäftsleitung
Die CER-Richtlinie ist die physische Schwester von NIS-2: Sie verlangt, dass kritische Einrichtungen ihre Widerstandsfähigkeit gegen Katastrophen, Sabotage und Angriffe stärken — mit regelmäßiger Risikobewertung, konkreten Resilienzmaßnahmen und einem Resilienzplan. In Deutschland wird sie über das KRITIS-Dachgesetz greifbar.
Quellen
- [N-CER-12] Art. 12 CER-Richtlinie (RL (EU) 2022/2557, Risikobewertungen durch kritische Einrichtungen), Abs. 1 und 2. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2557
- [N-CER-13] Art. 13 CER-Richtlinie (Resilienzmaßnahmen kritischer Einrichtungen), Abs. 1 und 2. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2557
