Die Versorgung mit Strom, Wasser, Mobilität oder Gesundheitsleistungen gilt als Rückgrat der Gesellschaft. Mit der Richtlinie über die Resilienz kritischer Einrichtungen (Critical Entities Resilience Directive, CER) schafft die Europäische Union einen neuen Rechtsrahmen, um diese lebenswichtigen Strukturen besser gegen hybride Bedrohungen zu schützen.
Sabotageakte auf kritische Infrastrukturen, Cyberangriffe und die Folgen extremer Wetterereignisse machen deutlich, wie verwundbar zentrale Versorgungssysteme sind. Gleichzeitig wächst die gegenseitige Abhängigkeit zwischen digitalen Technologien und physischen Infrastrukturen. Fällt beispielsweise ein Stromnetz aus, sind häufig auch Kommunikationssysteme, Wasser- oder Wärmeversorgung betroffen. Vor diesem Hintergrund verfolgt die Europäische Union mit der CER-Richtlinie das Ziel, die Widerstandsfähigkeit besonders wichtiger Einrichtungen nachhaltig zu stärken und europaweit einheitliche Mindeststandards zu schaffen.
Vom Objektschutz zur Resilienz
Die CER-Richtlinie ersetzt die bisherige Richtlinie über europäische kritische Infrastrukturen aus dem Jahr 2008. Während diese im Wesentlichen auf den Schutz einzelner Anlagen in den Bereichen Energie und Verkehr ausgerichtet war, verfolgt der neue Rechtsrahmen einen deutlich umfassenderen Ansatz. Im Fokus stehen nicht mehr ausschließlich einzelne Infrastrukturen, sondern die Fähigkeit kritischer Einrichtungen, auch unter außergewöhnlichen Belastungen handlungsfähig zu bleiben. Resilienz umfasst damit weit mehr als klassische Sicherheitsmaßnahmen. Sie schließt organisatorische Vorsorge, Krisenmanagement, Wiederanlaufplanung und die zeitnahe Reaktion auf Störungen ein.
Neben Energie, Verkehr und Gesundheitswesen rücken unter anderem Trinkwasser- und Abwasserversorgung, digitale Infrastruktur, Finanzwesen, öffentliche Verwaltung, Ernährung sowie Teile der Raumfahrt in den Fokus.
Mehr Sektoren im Blick
Der Kreis der betroffenen Einrichtungen wächst erheblich. Neben Energie, Verkehr und Gesundheitswesen rücken unter anderem Trinkwasser- und Abwasserversorgung, digitale Infrastruktur, Finanzwesen, öffentliche Verwaltung, Ernährung sowie Teile der Raumfahrt in den Fokus. Damit geht die Richtlinie auf die Erkenntnis ein, dass die Funktionsfähigkeit moderner Gesellschaften auf eng miteinander vernetzten Versorgungssystemen beruht. Der Ausfall eines einzelnen Bereichs kann weitreichende Folgen für zahlreiche weitere Sektoren nach sich ziehen.
Bedeutung öffentlicher Einrichtungen
Betroffen sind insbesondere Einrichtungen, die Aufgaben der öffentlichen Daseinsvorsorge erfüllen. Energieversorger, Verkehrsunternehmen, Betreiber von Wasserwerken, Krankenhäuser oder öffentliche Dienstleister übernehmen Funktionen, deren Ausfall erhebliche gesellschaftliche und wirtschaftliche Auswirkungen hätte. Die CER-Richtlinie verpflichtet die Mitgliedstaaten deshalb zunächst dazu, kritische Einrichtungen systematisch zu identifizieren und auf Grundlage nationaler Risikobewertungen zu benennen. Erst anschließend greifen die konkreten Anforderungen für die betroffenen Organisationen.
Neue Anforderungen an Betreiber
Für Betreiber kritischer Einrichtungen entstehen daraus umfassende Pflichten. Ausgangspunkt ist eine strukturierte Risikoanalyse, die physische, digitale und natürliche Gefährdungen gleichermaßen berücksichtigt. Darauf aufbauend müssen geeignete Schutz- und Vorsorgemaßnahmen entwickelt, Krisen- und Notfallpläne erstellt sowie Prozesse zur Aufrechterhaltung des Betriebs etabliert werden. Ebenso verlangt die Richtlinie klare Verantwortlichkeiten innerhalb der Organisation, regelmäßige Überprüfungen der Wirksamkeit sowie eine enge Zusammenarbeit mit den zuständigen Behörden.
KRITIS und CER zusammendenken
In Deutschland wird die CER-Richtlinie über das KRITIS-Dachgesetz umgesetzt. Ziel ist es, bestehende Regelungen zum Schutz kritischer Infrastrukturen weiterzuentwickeln und an die europäische Vorgabe anzupassen. Dabei geht es nicht allein um neue Compliance-Anforderungen. Vielmehr sollen bestehende Sicherheitsstrukturen, Risikoanalysen und Meldeprozesse stärker miteinander verzahnt werden. Für viele Betreiber bedeutet dies, vorhandene Governance-Strukturen zu überprüfen und organisatorisch weiterzuentwickeln.
Schnittstelle zu NIS2
Besondere Bedeutung kommt dem Zusammenspiel von CER und NIS2 zu. Während die NIS2-Richtlinie Mindestanforderungen an die Cybersicherheit definiert, richtet die CER-Richtlinie den Blick auf die gesamte Resilienz kritischer Einrichtungen. Beide Regelwerke ergänzen sich und verlangen einen integrierten Ansatz. Wer physische Sicherheit, Informationssicherheit, Risikomanagement und Krisenvorsorge getrennt organisiert, wird den regulatorischen Anforderungen künftig kaum gerecht. Gefordert ist vielmehr eine bereichsübergreifende Governance, die technische und organisatorische Maßnahmen miteinander verbindet.
Im Mittelpunkt steht nicht mehr allein der Schutz vor einzelnen Gefahren, sondern die Fähigkeit, auch unter außergewöhnlichen Bedingungen funktionsfähig zu bleiben.
Standortfaktor Resilienz
Für Betreiber kritischer Einrichtungen markiert die CER-Richtlinie damit einen grundlegenden Perspektivwechsel. Im Mittelpunkt steht nicht mehr allein der Schutz vor einzelnen Gefahren, sondern die Fähigkeit, auch unter außergewöhnlichen Bedingungen funktionsfähig zu bleiben. Gerade für Einrichtungen der öffentlichen Daseinsvorsorge wird Resilienz damit zu einer zentralen Managementaufgabe. Wer Risiken frühzeitig erkennt, Prozesse systematisch absichert und organisatorische Verantwortung klar verankert, erfüllt nicht nur regulatorische Vorgaben. Er stärkt zugleich die Stabilität kritischer Versorgungsstrukturen – und damit eine wesentliche Voraussetzung für wirtschaftliche Leistungsfähigkeit und gesellschaftliche Sicherheit.
Schreibe einen Kommentar