Die CER-Richtlinie (Directive (EU) 2022/2557, offiziell „Richtlinie über die Resilienz kritischer Einrichtungen") ist die Schwesterrichtlinie von NIS2: Während NIS2 die Cyber- und Netzwerksicherheit regelt, schreibt die CER-Richtlinie die physische Resilienz kritischer Einrichtungen vor – also den Schutz vor Sabotage, Terrorismus, Naturkatastrophen und anderen physischen Bedrohungen. Diese Seite erklärt, wer betroffen ist, welche Pflichten gelten und wie Deutschland die Richtlinie umsetzt.
Was ist die CER-Richtlinie?
Die CER-Richtlinie wurde am 14. Dezember 2022 verabschiedet und trat am 16. Januar 2023 in Kraft – zeitgleich mit NIS2 und als Teil desselben Cybersicherheitspakets der EU-Kommission. Sie löst die deutlich ältere „Europäische Richtlinie über kritische Infrastrukturen" (2008/114/EG) ab, die sich nur auf die Sektoren Energie und Verkehr beschränkte. Als Richtlinie musste auch CER bis zum 17. Oktober 2024 von jedem Mitgliedstaat in nationales Recht umgesetzt werden – exakt dieselbe Frist wie bei NIS2.
Wer ist von der CER-Richtlinie betroffen? Die 11 Sektoren
Die CER-Richtlinie erfasst Betreiber kritischer Einrichtungen in 11 Sektoren, die weitgehend den Sektoren hoher Kritikalität aus NIS2 Anhang I entsprechen, sich aber nicht vollständig decken:
Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum sowie Produktion, Verarbeitung und Vertrieb von Lebensmitteln.
Der auffälligste Unterschied zu NIS2: Der Lebensmittelsektor ist unter CER ein vollwertiger Sektor mit potenziell „kritischen" Einrichtungen, während er in NIS2 nur zu den weniger streng beaufsichtigten Anhang-II-Sektoren zählt. Umgekehrt kennt CER keinen eigenen Sektor „IKT-Dienstleistungsmanagement (B2B)", der in NIS2 Anhang I enthalten ist.
Ob eine konkrete Organisation als „kritische Einrichtung" gilt, entscheidet nicht die Richtlinie selbst, sondern ein zweistufiger nationaler Prozess: Zunächst führen die Mitgliedstaaten bis zum 17. Januar 2026 eine nationale Risikobewertung für alle relevanten Sektoren durch. Auf dieser Grundlage identifizieren sie anschließend bis spätestens 17. Juli 2026 die konkreten kritischen Einrichtungen und benachrichtigen diese individuell. Erst mit dieser Benachrichtigung entstehen die konkreten Pflichten für die betroffene Organisation.
Anders als NIS2, das feste Mitarbeiter- und Umsatzschwellen für „wesentliche" und „wichtige" Einrichtungen vorgibt, kennt CER keine starren Größenschwellen. Stattdessen bewerten die Mitgliedstaaten anhand qualitativer Kriterien, wie vieler Nutzer von einer Organisation abhängen, ob es zumutbare Alternativen zu ihrem Dienst gibt, welchen Marktanteil sie hält, wie groß das geografisch betroffene Gebiet im Störungsfall wäre und welche Bedeutung sie für die öffentliche Sicherheit und Ordnung hat. Dadurch kann auch ein mittelständisches Unternehmen als kritische Einrichtung eingestuft werden, wenn es in seiner Region eine Versorgungsfunktion ohne praktikable Ausweichmöglichkeit erfüllt – unabhängig von Mitarbeiterzahl oder Jahresumsatz.
Kernpflichten für kritische Einrichtungen
Sobald eine Organisation als kritische Einrichtung identifiziert und benachrichtigt wurde, verlangt die CER-Richtlinie im Kern vier Maßnahmenbündel:
- Eigene Risikobewertung: Analyse aller relevanten Risiken für die Erbringung des wesentlichen Dienstes – Naturkatastrophen, von Menschen verursachte Bedrohungen (Sabotage, Terrorismus, Innentäter), Gesundheitsnotstände und hybride Bedrohungen eingeschlossen, auf Basis der nationalen Risikobewertung.
- Resilienzmaßnahmen: technische, sicherheitsbezogene und organisatorische Maßnahmen – u. a. physischer Schutz von Gebäuden und Anlagen, Zutrittskontrollen, Redundanzen, Notfall- und Betriebskontinuitätspläne sowie Wiederherstellungsverfahren nach einem Vorfall.
- Personalsicherheit: Sicherheitsüberprüfungen (Background-Checks) für Mitarbeitende in sicherheitskritischen Funktionen sowie Sensibilisierungsmaßnahmen für die gesamte Belegschaft.
- Vorfallsmeldung: unverzügliche Meldung von Vorfällen, die den wesentlichen Dienst erheblich stören oder stören könnten, an die zuständige nationale Behörde.
Anders als bei NIS2 gibt es auf EU-Ebene kein starres 24-72-Stunden-Fristenmodell für Vorfallsmeldungen; die Richtlinie verlangt „unverzügliches" Handeln, konkretisiert durch die jeweilige nationale Umsetzung. Ergänzend sieht CER vor, dass kritische Einrichtungen der zuständigen Behörde eine Kontaktstelle benennen und sich behördlichen Kontrollen unterziehen müssen: Die nationale Aufsichtsbehörde kann Vor-Ort-Prüfungen durchführen, Nachweise und Unterlagen anfordern und bei festgestellten Mängeln eine Frist zur Nachbesserung setzen.
Fristen im Überblick
| Datum | Ereignis |
|---|---|
| 16.01.2023 | CER-Richtlinie tritt EU-weit in Kraft |
| 17.10.2024 | Ende der EU-weiten Umsetzungsfrist für Mitgliedstaaten |
| 17.01.2026 | Mitgliedstaaten müssen nationale Risikobewertung abgeschlossen haben |
| 17.07.2026 | Mitgliedstaaten müssen konkrete kritische Einrichtungen identifiziert und benachrichtigt haben |
| 17.03.2026 | Deutschland: KRITIS-Dachgesetz tritt in Kraft |
| ab 17.07.2026 | Deutschland: Registrierungspflicht für erfasste Betreiber beim BBK (spätestens 3 Monate nach Einstufung) |
Besonderer Status: Kritische Einrichtungen von besonderer europäischer Bedeutung
Erbringt eine kritische Einrichtung ihren wesentlichen Dienst in oder für sechs oder mehr Mitgliedstaaten, gilt sie als „kritische Einrichtung von besonderer europäischer Bedeutung". Für solche Einrichtungen kann die Europäische Kommission auf Antrag eines betroffenen Mitgliedstaats eine Beratungsmission organisieren: Ein Team aus Vertretern der Kommission und mehrerer Mitgliedstaaten bewertet vor Ort die Risikobewertung und die getroffenen Resilienzmaßnahmen der Einrichtung und legt der Kommission, den betroffenen Mitgliedstaaten und der Einrichtung selbst innerhalb von drei Monaten nach Abschluss der Mission einen Bericht mit den Ergebnissen vor.
Sanktionen bei Verstößen
Wie NIS2 überlässt auch die CER-Richtlinie die konkrete Höhe der Bußgelder den Mitgliedstaaten – sie müssen lediglich „wirksam, verhältnismäßig und abschreckend" sein. Anders als bei NIS2 (Art. 34: harmonisierte 10 Mio. € / 2 % Jahresumsatz) gibt es bei CER keinen EU-weit einheitlichen Bußgeldrahmen. Die nationalen Umsetzungen unterscheiden sich entsprechend deutlich: Irland sieht beispielsweise bis zu 500.000 € für Organisationen und bis zu 50.000 € für Einzelpersonen vor. In Deutschland staffelt § 24 KRITIS-Dachgesetz die Bußgelder je nach Verstoß: bis zu 100.000 € bei verspäteter oder unvollständiger Registrierung, bis zu 200.000 € bei fehlender Risikobewertung oder fehlendem Resilienzplan, bis zu 500.000 € bei Verstößen gegen Prüf- und Meldepflichten und bis zu 1 Mio. € bei Nichtbefolgen behördlicher Anordnungen des BBK.
Deutschland: Das KRITIS-Dachgesetz
Deutschland hat die EU-weite Umsetzungsfrist vom 17. Oktober 2024 deutlich überschritten – die verspätete Umsetzung führte zu einem Vertragsverletzungsverfahren der EU-Kommission gegen die Bundesrepublik. Das Bundeskabinett beschloss den Regierungsentwurf des „Gesetzes zur Umsetzung der CER-Richtlinie und zur Stärkung der Resilienz kritischer Einrichtungen" (KRITIS-Dachgesetz, KRITISDachG) am 6. November 2024; nach parlamentarischer Beratung trat es am 17. März 2026 in Kraft.
Zentrale Aufsichts- und Anlaufstelle ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), das auch als Verbindungsstelle im Sinne der CER-Richtlinie für die grenzüberschreitende Zusammenarbeit mit anderen Mitgliedstaaten fungiert. Die fachliche Aufsicht über einzelne kritische Dienstleistungen verbleibt jedoch bei den jeweils zuständigen Fachbehörden des Bundes; für Dienstleistungen ohne zugewiesene Bundesbehörde bestimmen die Länder die zuständige Landesbehörde. Nach aktuellen Schätzungen sind rund 1.300 Betreiber in Deutschland vom KRITIS-Dachgesetz erfasst. Erfasste Betreiber müssen sich spätestens drei Monate nach ihrer Einstufung als kritische Anlage beim BBK registrieren – frühestens jedoch ab dem 17. Juli 2026 – und anschließend innerhalb von neun Monaten eine Risikoanalyse sowie innerhalb von zehn Monaten einen Resilienzplan mit konkreten Maßnahmen vorlegen.
Verhältnis zu NIS2
CER und NIS2 sind bewusst als Zwillingsrichtlinien konzipiert: Viele Organisationen, die als „kritische Einrichtung" nach CER eingestuft werden, sind gleichzeitig „wesentliche Einrichtung" nach NIS2 – dieselbe Organisation, zwei parallele Pflichtenkataloge. NIS2 verlangt ein Risikomanagement für Netz- und Informationssysteme (Cybersicherheit), CER verlangt ein separates Risikomanagement für die physische Resilienz (Gebäudeschutz, Zutrittskontrolle, Personalsicherheit, Betriebskontinuität bei physischen Vorfällen). In Deutschland spiegelt sich diese Zweiteilung auch institutionell: Für die Cyber-Seite ist das BSI über §30 BSIG zuständig, für die physische Seite das BBK über das KRITIS-Dachgesetz. In der Praxis bedeutet das für Betreiber kritischer Infrastruktur: Sie benötigen typischerweise beide Programme – ein NIS2-Cybersicherheitsprogramm und ein CER/KRITIS-Resilienzprogramm für die physische Seite. Sinnvoll ist eine koordinierte Steuerung (z. B. gemeinsames Risikoregister, ein Krisenstab für Cyber- und physische Vorfälle) statt zweier getrennter Silos mit doppeltem Aufwand. Einen vollständigen Überblick bietet unser EU Cyber-Regulierung Wiki.
Praktische nächste Schritte
- Prüfen, ob Ihre Organisation in einem der 11 CER-Sektoren tätig ist und Post von der zuständigen Fachbehörde bzw. dem BBK zur Einstufung erwarten könnte.
- Bei bereits laufender NIS2-Betroffenheit: klären, ob dieselben Anlagen auch unter CER/KRITIS-Dachgesetz fallen könnten – Sektorenüberschneidung prüfen.
- Physische Resilienzmaßnahmen (Zutrittskontrolle, Redundanzen, Betriebskontinuität) mit den bestehenden NIS2-Maßnahmen abgleichen statt doppelt aufzubauen.
- Nach Einstufung: Fristen für Registrierung (BBK), Risikoanalyse (9 Monate) und Resilienzplan (10 Monate) im Kalender hinterlegen.
- Für die NIS2-Seite auf fertige NIS2-Vorlagen zurückgreifen, um Ressourcen für den physischen Resilienzaufbau freizumachen.
Häufig gestellte Fragen zur CER-Richtlinie
NIS2 regelt die Cyber- und Netzwerksicherheit, die CER-Richtlinie die physische Resilienz kritischer Einrichtungen – also Objektschutz, Betriebskontinuität und Personalsicherheit gegenüber physischen Bedrohungen wie Sabotage oder Naturkatastrophen.
11 Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum sowie Produktion, Verarbeitung und Vertrieb von Lebensmitteln.
Über das KRITIS-Dachgesetz, das nach verspäteter Umsetzung am 17. März 2026 in Kraft trat. Zuständige Behörde ist das BBK; betroffene Betreiber müssen sich ab 17. Juli 2026 registrieren.
Eine Einrichtung, die ihren wesentlichen Dienst in oder für sechs oder mehr Mitgliedstaaten erbringt. Sie kann zusätzlich von einer Beratungsmission der Europäischen Kommission profitieren, die ihre Risikobewertung und Resilienzmaßnahmen begutachtet.
Anders als bei NIS2 gibt es keinen EU-weit harmonisierten Rahmen; jeder Mitgliedstaat legt eigene, wirksame, verhältnismäßige und abschreckende Bußgelder fest. In Deutschland reichen die Sätze nach § 24 KRITIS-Dachgesetz gestaffelt bis zu 1 Mio. €.