Mobile-Menu

Definition CER | Critical Entities Resilience Directive Was ist die Critical Entities Resilience Directive (CER)?

Von Dipl.-Ing. (FH) Stefan Luber 5 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH
cyberintelligence.institute GmbH

Die Critical Entities Resilience Directive ist eine Richtlinie der EU zur Stärkung der Resilienz kritischer Einrichtungen. Ihre praktische Umsetzung erfolgt in Deutschland durch das KRITIS-Dachgesetz. Der Schwerpunkt der CER-Richtlinie liegt auf der physischen Resilienz kritischer Einrichtungen.

Die Critical Entities Resilience Directive (CER) ist eine EU-Richtlinie über die Resilienz kritischer Einrichtungen. Sie hat die Stärkung der Widerstandsfähigkeit kritischer Einrichtungen in der Europäischen Union zum, Ziel.(Bild: gemeinfrei / Pixabay)
Die Critical Entities Resilience Directive (CER) ist eine EU-Richtlinie über die Resilienz kritischer Einrichtungen. Sie hat die Stärkung der Widerstandsfähigkeit kritischer Einrichtungen in der Europäischen Union zum, Ziel.
(Bild: gemeinfrei / Pixabay)

Das Kürzel CER steht für Critical Entities Resilience Directive. Manchmal wird der Begriff REC-Direktive verwendet. REC steht für Directive on the Resilience of Critical Entities. Es handelt sich um eine Richtlinie der Europäischen Union zur Stärkung der Resilienz kritischer Einrichtungen. Die offizielle deutsche Bezeichnung lautet „Richtlinie über die Resilienz kritischer Einrichtungen (EU 2022/2557)“.

Verabschiedet wurde die CER-Richtlinie bereits im Jahr 2022. Sie ersetzt die vorige Richtlinie für kritische Infrastrukturen in der EU EPCIP (European Programme for Critical Infrastructure Protection). Die Umsetzung in nationales Recht muss in der EU bis 2024 erfolgt sein. In Deutschland regelt das sogenannte KRITIS-Dachgesetz, abgekürzt KRITIS-DachG, die praktische Umsetzung der Critical Entities Resilience Directive. Der Schwerpunkt der CER-Richtlinie liegt auf der physischen Resilienz kritischer Einrichtungen.

Die CER-Richtlinie kann als Ergänzung zu NIS2 gesehen werden. NIS2 beschäftigt sich vornehmlich mit der Cybersicherheit kritischer Infrastrukturen. CER ist auf kritische Einrichtungen und physische Bedrohungen beschränkt. Als kritische Einrichtungen sind Einrichtungen definiert, die wesentliche Leistungen zur Aufrechterhaltung lebenswichtiger gesellschaftlicher Funktionen, der öffentlichen Sicherheit, der öffentlichen Gesundheit, der Umwelt und der wirtschaftlichen Abläufe erbringen. Insgesamt werden elf Sektoren benannt, in denen kritische Einrichtungen die Anforderungen der Direktive zu erfüllen haben. Die Mitgliedstaaten der EU sind durch die CER-Richtlinie und die Umsetzung in nationales Recht dazu verpflichtet, kritische Einrichtungen zu identifizieren und deren Widerstandsfähigkeit gegenüber physischen Bedrohungen zu stärken.

Die Ziele der Critical Entities Resilience Directive

Das wichtigste Ziel der Critical Entities Resilience Directive ist die Stärkung der Ausfallsicherheit und Widerstandsfähigkeit von kritischen Einrichtungen gegenüber physischen Bedrohungen wie Naturkatastrophen, terroristische Bedrohungen oder Sabotage und anderen. Die kritischen Einrichtungen in den einzelnen EU-Mitgliedstaaten sollen auf potenzielle Bedrohungen vorbereitet sein. Betreiber kritischer Einrichtungen sollen in die Lage versetzt werden, auf solche Bedrohungen angemessen zu reagieren, sie abzuwehren, zu bewältigen und sich schnell davon zu erholen. Die Widerstandsfähigkeit gegen physische Bedrohungen ist von Grund auf zu berücksichtigen und in die Struktur der kritischen Einrichtungen zu integrieren. Nationale und EU-weite Notlagen sollen sich dadurch verhindern lassen.

Die von Directive on the Resilience of Critical Entities benannten Sektoren

Von der Critical Entities Resilience Directive betroffen sind die Betreiber von kritischen Einrichtungen, die wichtige Services in bestimmten Sektoren erbringen. Insgesamt benennt die Richtlinie elf Sektoren. In Teilen sind sie deckungsgleich mit NIS2, aber etwas weniger als die KRITIS-Sektoren. Die elf Sektoren sind:

  • Energieversorgung
  • Transport und Verkehr
  • Banken
  • Finanzmarktinfrastrukturen
  • Gesundheitswesen
  • Trinkwasser
  • Abwasser
  • Ernährung
  • Digitale Infrastruktur (Informationstechnik und Telekommunikation)
  • Raumfahrt
  • Öffentliche Verwaltung

Betreiber aus den benannten Sektoren sind unter anderem dazu verpflichtet, entsprechende Resilienzpläne zu erstellen.

Anforderungen und Pflichten der Critical Entities Resilience Directive für die EU-Mitgliedstaaten

Gemäß der Critical Entities Resilience Directive sind die EU-Mitgliedstaaten unter Einhaltung einer Übergangsfrist dazu verpflichtet, basierend auf nationalen Risikoanalysen die kritischen Einrichtungen in den elf benannten Sektoren zu identifizieren und diese zu registrieren. Als Kriterien gelten, dass für das jeweilige Land essenzielle Services in den Sektoren erbracht werden und ein Ausfall zu disruptiven Effekten für die Serviceerbringung führt. Die Mitgliedstaaten haben sicherzustellen, dass angemessene Vorkehrungsmaßnahmen gegen Bedrohungen und Serviceausfälle getroffen werden. Die nationalen Behörden haben die Pflicht, kritische Einrichtungen zu überwachen und die Einhaltung der Critical Entities Resilience Directive sicherzustellen. Darüber hinaus werden innerhalb der EU kritische Betreiber mit besonderer europäischer Relevanz identifiziert. Sie erbringen für eine Mindestanzahl an EU-Mitgliedstaaten essenzielle Services. Diese Betreiber werden besonders überwacht.

Anforderungen und Pflichten für die Betreiber kritischer Einrichtungen

Die von den EU-Mitgliedstaaten identifizierten Betreiber kritischer Einrichtungen haben gemäß CER bestimmte Anforderungen und Pflichten zu erfüllen. Sie sind dazu verpflichtet, die für die Erbringung grundlegender Services relevanten Risiken zu ermitteln und entsprechende technische, organisatorische und personelle Maßnahmen umzusetzen, um die Resilienz zu stärken und die Bereitstellung der essenziellen Services aufrechtzuerhalten. Neben der Einrichtung eines betrieblichen Risiko- und Krisenmanagements, der Durchführung von Risikoanalysen und Risikobewertungen und der Entwicklung von Resilienzplänen besteht die Pflicht, Vorfälle, die die Erbringung essenzieller Services stören oder stören könnten, unverzüglich an die zuständigen Behörden zu melden. Eine weitere Anforderung der Critical Entities Resilience Directive an die Betreiber kritischer Einrichtungen ist die Überprüfung des Hintergrunds von Mitarbeitern in sensiblen Positionen. Auch die Benennung eines Ansprechpartners für die Behörden zählt zu den CER-Anforderungen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Die Rolle der Critical Entities Resilience Group (CERG)?

Im Rahmen der Critical Entities Resilience Directive erfolgt die Einrichtung einer Critical Entities Resilience Group (CERG). Sie soll die Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten und der Kommission erleichtern und verbessern. Die CERG setzt sich aus Experten und Vertretern der einzelnen EU-Mitgliedstaaten und der EU-Kommission zusammen. Den Vorsitz der Gruppe führt die Kommission. Zu den Tätigkeiten der Critical Entities Resilience Group zählen unter anderem:

  • Teilen von Informationen über Risiken, Gefahren und Sicherheitslücken
  • Analyse von Strategien
  • Informationsaustausch zu Best Practices zur Stärkung der Resilienz kritischer Einrichtungen und Infrastrukturen
  • Prüfung der Abhängigkeiten zwischen den einzelnen Mitgliedstaaten
  • Unterstützung der Kommission bei der Beratung der Mitgliedstaaten
  • Unterstützung der Kommission beim Erstellen von Richtlinien und Regeln

Sanktionierung von Verstößen gegen die Critical Entities Resilience Directive

Die Sanktionen bei Verstößen gegen die Critical Entities Resilience Directive werden von den Mitgliedsstaaten durch die Umsetzung in nationales Recht festgelegt und durchgesetzt. Einheitliche Bußgelder oder Strafen auf EU-Ebene sind von der CER selbst nicht vorgesehen. Die Strafen können daher von Mitgliedstaat zu Mitgliedstaat variieren. Die CER gibt vor, dass die Sanktionen wirksam, abschreckend und verhältnismäßig sind. Ähnlich wie bei der NIS2-Richtlinie ist von Bußgeldern bis in den mehrstelligen Millionenbereich oder einem bestimmten Prozentsatz des Jahresumsatzes auszugehen.

Abgrenzung der Critical Entities Resilience Directive zur NIS2-Richtlinie

Die Critical Entities Resilience Directive und die NIS2-Richtlinie (zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit) sollen ein gemeinsames, robustes Rahmenwerk zur Stärkung der Resilienz und zum Schutz kritischer Infrastrukturen und kritischer Einrichtungen innerhalb der EU schaffen. Bei den beiden Richtlinien stehen jedoch unterschiedliche Aspekte der Resilienz im Fokus. Während sich die CER-Richtlinie auf physische Aspekte der Resilienz konzentriert, stehen bei der NIS2-Richtlinie die auf die Cybersecurity bezogenen Gesichtspunkte im Mittelpunkt. Sowohl CER als auch NIS2 wurden 2022 von der EU verabschiedet und müssen bis 2024 in den Mitgliedstaaten in nationales Recht umgesetzt sein. Von den Cybersicherheitsvorgaben der NIS2-Richtlinie sind mehr Sektoren und Unternehmen betroffen. Zudem reguliert NIS2 die Unternehmen basierend auf ihrer Größe.

Das KRITIS-Dachgesetz und die weiteren Termine

Die Umsetzung der Critical Entities Resilience Directive erfolgt in Deutschland durch das KRITIS-Dachgesetz. Sie soll europaweit bis spätestens Oktober 2024 erfolgt sein. Bis voraussichtlich 17. Juli 2026 müssen die EU-Mitgliedstaaten die aufgrund der Risikoanalysen identifizierten Betreiber kritischer Einrichtungen nennen. Diese werden registriert und haben nach der Registrierung und dem Erhalt der Mitteilung, dass sie als kritische Einrichtung eingestuft sind, voraussichtlich neun Monate Zeit, die geforderten Maßnahmen umzusetzen. Es gelten dann auch die Meldepflichten für Vorfälle und Sanktionen wie Bußgelder können ebenfalls verhängt werden.

(ID:50147725)

Weiterführende Inhalte