Andere Cookies sind konfigurierbar.
KRITIS und CER: Resilienz als überwachte Rechtspflicht.
Europa reguliert nun nicht nur die Cybersicherheit, sondern auch die physische und organisatorische Resilienz seiner kritischen Infrastrukturen. Die CER-Richtlinie ergänzt NIS2 auf EU-Ebene, und das deutsche KRITIS-System zeigt, wie die nationale Umsetzung aussieht. Hier finden Sie die Architektur, die Fristen und die Pflichten.
Was sind CER und KRITIS?
Die Richtlinie (EU) 2022/2557 zur Stärkung der Resilienz kritischer Einrichtungen ist das EU-Regelwerk für die physische und organisatorische Resilienz kritischer Einrichtungen. Sie ist seit dem 16. Januar 2023 in Kraft und gilt ab dem 18. Oktober 2024. Die Mitgliedstaaten sind verpflichtet, bis zum 17. Januar 2026 nationale Resilienzstrategien zu verabschieden und bis zum 17. Juli 2026 ihre kritischen Einrichtungen in elf Sektoren, darunter Energie, Verkehr, Bankwesen, Gesundheitswesen, Wasserwirtschaft und digitale Infrastruktur, zu identifizieren. Die identifizierten Einrichtungen müssen ihre Risiken bewerten, technische und organisatorische Resilienzmaßnahmen ergreifen, schwerwiegende Vorfälle melden und gegebenenfalls Hintergrundprüfungen durchführen.
CER ist bewusst als Gegenstück zu NIS2 konzipiert: Das eine befasst sich mit der physischen und organisatorischen Dimension kritischer Einrichtungen, das andere mit der Cyber-Dimension. Beide sind so ausgelegt, dass sie koordiniert in denselben Organisationen angewendet werden. Für die Führungsebene bedeutet dies, dass Resilienz nun als Governance-Pflicht mit entsprechender Aufsicht verstanden wird und nicht mehr als bloße operative Pflicht.
KRITIS ist die in Deutschland seit Langem etablierte nationale Umsetzung desselben Konzepts. Gemäß dem BSI-Gesetz müssen Betreiber kritischer Infrastrukturen, deren Gefahren die Schwellenwerte der KRITIS-Verordnung überschreiten, technische und organisatorische Maßnahmen nach dem Stand der Technik umsetzen, deren Wirksamkeit alle zwei Jahre dem Bundesamt nachweisen und schwerwiegende Vorfälle melden. Deutschland weitet dieses System durch das geplante KRITIS-Rahmengesetz, das die CER in nationales Recht umsetzt, von Cybersicherheit auf die physische Resilienz aller Gefahren aus. Zusammen mit dem Schweizer ISG und dem österreichischen Netz- und Informationssicherheitsgesetz bildet dies die DACH-Landschaft, in der sich unsere Mandanten am häufigsten bewegen.
Was eine identifizierte kritische Einheit tun muss
Häufig gestellte Fragen
Worin besteht der Unterschied zwischen CER und NIS2?+
Es handelt sich um zwei Richtlinien für dieselben kritischen Organisationen: CER regelt die physische und organisatorische Resilienz sowie alle Gefahren, während NIS2 Cybersicherheit und die Meldung von Sicherheitsvorfällen regelt. Eine als kritisch eingestufte Organisation sollte damit rechnen, beiden Richtlinien mit einer einzigen, einheitlichen Funktion und nicht mit zwei separaten Programmen nachkommen zu müssen.
Welche Sektoren deckt CER ab?+
Elf: Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Raumfahrt sowie Lebensmittelproduktion und -verteilung.
Wann werden wir wissen, ob wir ein kritischer Akteur sind?+
Die Mitgliedstaaten müssen ihre kritischen Einrichtungen bis zum 17. Juli 2026 auf der Grundlage nationaler Strategien, die bis zum 17. Januar 2026 vorzulegen sind, identifizieren. Organisationen in den elf Sektoren sollten nicht auf das Schreiben warten: Die Aufgaben sind vorhersehbar und der Aufbau der entsprechenden Kapazitäten dauert länger, als die Frist vorsieht.
Was ist KRITIS in Deutschland?+
Das in Deutschland geltende Regelwerk für kritische Infrastrukturen gemäß BSI-Gesetz sieht vor, dass Betreiber, deren Infrastrukturen die Schwellenwerte der KRITIS-Verordnung überschreiten, modernste Sicherheitsmaßnahmen implementieren, diese alle zwei Jahre dem BSI nachweisen und Vorfälle melden müssen. Deutschland weitet dieses Regelwerk durch das geplante KRITIS-Rahmengesetz, das die CER-Regelung umsetzt, von der Cyber- auf die physische Resilienz aus.
Wir sind in der Schweiz tätig; gilt die CER für uns?+
Nicht direkt, da die Schweiz kein EU-Mitgliedstaat ist. Schweizer Betreiber kritischer Infrastrukturen tragen jedoch die entsprechenden ISG-Pflichten, und Schweizer Konzerne mit EU-Aktivitäten werden häufig über ihre Tochtergesellschaften in die CER- und NIS2-Regelungen einbezogen. Weitere Informationen finden Sie in unserem Schweizer ISG-Briefing.
Verwandte Dienstleistungen
Organisatorische Resilienz
Die Struktur über den Plänen: Risiko, Kontinuität, Krise, Cyber und Personal auf einer gemeinsamen Grundlage gemäß ISO 22316.
NIS2-Konformität
Von der Festlegung des Anwendungsbereichs bis hin zu den Maßnahmen nach Artikel 21 und der 24-Stunden-Meldebereitschaft gemäß Richtlinie (EU) 2022/2555.
Krisenmanagement
Doktrin, Strukturen und Kommunikationsmaßnahmen, die den Höhepunkt eindämmen und die Erholung verkürzen, verankert in ISO 22361.
Geschäftskontinuitätsmanagement
BIA, ISO 22301-konforme Strategie, Pläne und Validierung: ein Kontinuitätsprogramm, das so konzipiert ist, dass es auch bei einer echten Störung bestehen kann.
Übungen zur Geschäftskontinuität
Planspiele, Funktionsübungen, Cyber-Übungen und Großübungen, die die Pläne und Nachweise gemäß ISO 22301, NIS2 und DORA belegen.
Cyberresilienz
Über die Prävention hinaus: die Fähigkeit, Widerstand zu leisten, zu reagieren und sich zu erholen, während die grundlegenden Dienstleistungen weiterlaufen.
Lieferkettensicherheit
Das Risiko, das Sie von Lieferanten und gemeinsam genutzten Plattformen übernehmen: erfasst, zugesichert, vertraglich festgelegt und ausgeübt, gemäß ISO 28000, NIS2 und DORA.
DAEDALUS Flughafen-Resilienz-Rahmenwerk
Das Airport Resilience Framework: fünf Domänen als ein Betriebsmodell für den gesamten Flugplatz, angetrieben vom 7A-Motor, in den Editionen für kommerzielle Luftfahrt, Fracht- und Geschäftsluftfahrt.
Risikomanagement
Vom Risikouniversum zum kontrollierten Risiko: Identifizierung, stressbewusste Bewertung, eigenverantwortliche Behandlung und Live-Überwachung.
DORA-Konformität
Die fünf Säulen der Verordnung (EU) 2022/2554, die für Finanzinstitute und ihre kritischen IKT-Anbieter umgesetzt wurden.
Informationssicherheit
Vertraulichkeit, Integrität und Verfügbarkeit werden durch ein lebendiges ISMS geschützt, das auf ISO 27001 ausgerichtet ist.
7A Risikomanagement-Rahmenwerk
Unser firmeneigenes, entscheidungsorientiertes Betriebsmodell: Exposition und Entscheidungssicherheit werden für den Vorstand separat gemessen.
KI-Governance und Resilienz
Governance ist in jede Ebene intelligenter Systeme integriert, vom Modellverhalten bis zur Rechenschaftspflicht des Vorstands und der ISO 42001.
Seien Sie bereit, bevor das Identifikationsschreiben eintrifft.
Fordern Sie von uns eine CER-Bereitschaftsanalyse an: Ihre voraussichtliche Einstufung, Ihre Lücken im Hinblick auf die Aufgaben und die Reihenfolge, in der Sie diese bis zu den relevanten Terminen schließen können.
Vereinbaren Sie einen Beratungstermin