Mit der CER-Richtlinie verfolgt die Europäische Union einen ganzheitlichen Ansatz zur Stärkung der Resilienz kritischer Einrichtungen, der weit über die klassische Cybersicherheit hinausgeht. Unternehmen müssen künftig physische und digitale Risiken gemeinsam betrachten und ihre Widerstandsfähigkeit systematisch stärken.
Spätestens seit den Sabotageakten auf kritische Infrastruktur ist deutlich geworden: Der Schutz zentraler Versorgungseinrichtungen lässt sich nicht mehr allein als IT-Thema verstehen. Mit der Richtlinie über die Resilienz kritischer Einrichtungen (Critical Entities Resilience Directive, CER) reagiert die Europäische Union auf diese Entwicklung. Sie wurde am 14. Dezember 2022 verabschiedet und trat am 16. Januar 2023 mit dem Ziel in Kraft, die Widerstandsfähigkeit jener Einrichtungen zu stärken, deren Ausfall erhebliche Auswirkungen auf Gesellschaft, Wirtschaft und öffentliche Sicherheit hätte. Bis zum 17. Oktober 2024 hatten die Mitgliedsstaaten Zeit, sie in nationales Recht umzusetzen.
Ein neuer europäischer Rahmen
Mit der Richtlinie wird die bisherige über europäische kritische Infrastrukturen aus dem Jahr 2008 ersetzt, deren Fokus auf Energie und Verkehr angesichts hybrider Bedrohungen nicht mehr ausreicht. Die EU verfolgt deshalb einen sektorübergreifenden Ansatz, der die Widerstandsfähigkeit kritischer Einrichtungen europaweit harmonisieren soll; gleichzeitig wird der Kreis der betroffenen Branchen deutlich erweitert. Neben Energie, Verkehr und Gesundheit zählen unter anderem Wasser- und Abwasserversorgung, digitale Infrastruktur, Finanzwesen, Ernährung, öffentliche Verwaltung sowie Teile der Raumfahrt zu den erfassten Sektoren.
Die zentrale Neuerung besteht darin, Gefährdungen nicht mehr isoliert zu betrachten.
Umsetzung erfolgt stufenweise
Zunächst verpflichtet die CER-Richtlinie die Mitgliedstaaten, nationale Resilienzstrategien zu entwickeln, zuständige Behörden zu benennen und kritische Einrichtungen zu identifizieren. Erst auf dieser Grundlage werden Unternehmen offiziell als »kritische Einrichtung« eingestuft und unterliegen den konkreten Anforderungen der Richtlinie. Die Umsetzung erfolgt damit risikobasiert und schrittweise. Für betroffene Organisationen empfiehlt es sich dennoch, bestehende Sicherheits- und Governance-Strukturen frühzeitig an den künftigen Anforderungen auszurichten.
Hybride Bedrohungen im Fokus
Die zentrale Neuerung besteht darin, Gefährdungen nicht mehr isoliert zu betrachten. Organisationen sollen ihre Widerstandsfähigkeit gegenüber sämtlichen Gefährdungen bewerten, und zwar unabhängig davon, ob diese durch Cyberangriffe, physische Sabotage, Naturkatastrophen oder menschliches Versagen entstehen. Hintergrund ist die zunehmende Verzahnung physischer und digitaler Bedrohungen. Ein Cyberangriff kann physische Produktionsausfälle verursachen, während Sabotage an Anlagen digitale Systeme beeinträchtigt. Hier setzt die CER-Richtlinie an und fordert einen ganzheitlichen Schutzansatz.
Konkrete Pflichten für Unternehmen
Für betroffene Einrichtungen erwachsen daraus weitreichende organisatorische Anforderungen. Am Anfang steht eine umfassende Risikoanalyse. Sie soll sämtliche relevanten Gefährdungen identifizieren und bewerten. Auf dieser Grundlage müssen Unternehmen geeignete Schutz- und Vorsorgemaßnahmen entwickeln und kontinuierlich ausbauen. Dazu gehören unter anderem Sicherheitskonzepte, Notfall- und Krisenmanagement, Business-Continuity-Planung, Wiederanlaufprozesse sowie der Schutz kritischer Standorte und Lieferketten. Ebenso verlangt die Richtlinie klare Verantwortlichkeiten innerhalb der Organisation sowie regelmäßige Überprüfungen der Wirksamkeit getroffener Maßnahmen.
Wer physische Sicherheit, Cybersecurity und organisatorische Vorsorge konsequent verzahnt, schafft nicht nur die Grundlage für regulatorische Compliance, sondern stärkt zugleich die eigene Krisenfestigkeit und Wettbewerbsfähigkeit.
Resilienz als Governance-Thema
Damit rückt das Thema zunehmend auf die Ebene der Unternehmensführung. Resilienz ist keine rein operative Sicherheitsaufgabe mehr, sondern Bestandteil guter Corporate Governance. Geschäftsleitungen müssen sicherstellen, dass Risiken systematisch erfasst, Entscheidungen dokumentiert und Schutzmaßnahmen angemessen finanziert werden. Gleichzeitig gewinnt die bereichsübergreifende Zusammenarbeit an Bedeutung. Informationssicherheit, physischer Objektschutz, Compliance, Risikomanagement und Krisenvorsorge können nicht länger getrennt voneinander agieren, sondern müssen ihre Prozesse eng verzahnen.
Zusammenspiel mit NIS2
Besondere Aufmerksamkeit verdient das Verhältnis zur NIS2-Richtlinie. Beide Regelwerke verfolgen unterschiedliche Schwerpunkte, ergänzen sich jedoch inhaltlich. Während NIS2 Mindestanforderungen an die Cybersicherheit wesentlicher und wichtiger Einrichtungen definiert, adressiert die Richtlinie die gesamte operative Widerstandsfähigkeit kritischer Einrichtungen. Einrichtungen, die unter beide Regelwerke fallen, sollten Doppelstrukturen vermeiden und stattdessen integrierte Governance-, Risiko- und Compliance-Prozesse etablieren. Gemeinsame Risikoanalysen, abgestimmte Meldewege und ein einheitliches Krisenmanagement reduzieren nicht nur regulatorischen Aufwand, sondern erhöhen zugleich die tatsächliche Widerstandsfähigkeit.
Strategischer Handlungsbedarf
Mit dem Inkrafttreten des KRITIS-Dachgesetzes verfügt Deutschland inzwischen über den nationalen Rechtsrahmen zur Umsetzung der Richtlinie. Für betroffene Unternehmen rückt damit weniger die Regulierung selbst als deren praktische Umsetzung in den Mittelpunkt. Bestehende Sicherheitsstrukturen gilt es nun kritisch zu überprüfen und gezielt weiterzuentwickeln.
Wer physische Sicherheit, Cybersecurity und organisatorische Vorsorge konsequent verzahnt, schafft nicht nur die Grundlage für regulatorische Compliance, sondern stärkt zugleich die eigene Krisenfestigkeit und Wettbewerbsfähigkeit. Die eigentliche Botschaft der CER-Richtlinie reicht deshalb weit über regulatorische Compliance hinaus. Sie macht Resilienz zu einem strategischen Erfolgsfaktor. Wer Bedrohungen frühzeitig erkannt und organisatorisch beherrscht, stärkt nicht nur seine Rechtskonformität, sondern auch seine wirtschaftliche Stabilität.
Schreibe einen Kommentar