This document is an excerpt from the EUR-Lex website
Stärkung der Resilienz kritischer Einrichtungen
ZUSAMMENFASSUNG DES DOKUMENTS:
Richtlinie 2022/2557 über die Resilienz kritischer Einrichtungen
WAS IST DER ZWECK DER RICHTLINIE?
Ziel der Richtlinie ist es:
- Schwachstellen verringern und die physikalische Resistenz1 stärken von kritischen Einrichtungen in der Europäischen Union (EU), um die ununterbrochene Bereitstellung von Dienstleistungen sicherzustellen, die für die Wirtschaft und Gesellschaft insgesamt von wesentlicher Bedeutung sind;
- die Resilienz der kritischen Einrichtungen, die diese Dienste erbringen, stärken.
WICHTIGE ECKPUNKTE
Die Mitgliedstaaten der EU müssen im Anschluss an eine Risikobewertung kritische Einrichtungen ermitteln, die Dienstleistungen erbringen, die für die Aufrechterhaltung wesentlicher Funktionen für die Gesellschaft, die Wirtschaft, die öffentliche Gesundheit und die Sicherheit oder die Umwelt von wesentlicher Bedeutung sind, und ermitteln, in denen ein Vorfall erhebliche Störungen für diese wesentlichen Dienste zur Folge hätte. Dies gilt für Einrichtungen in den folgenden Sektoren:
- Energie, einschließlich Betreiber von Strom, Fernwärme, Öl, Gas und Wasserstoff;
- Verkehr auf dem Luft-, Schienen-, Wasser- und Straßenweg, einschließlich des öffentlichen Verkehrs;
- Bankwesen, das auch der Verordnung (EU) 2022/2554 (dem Gesetz über die digitale operationale Resilienz – siehe Zusammenfassung) unterliegt;
- Finanzmarktinfrastruktur, einschließlich der Handelsplätze, die ebenfalls dem Gesetz über die digitale operationale Resilienz unterliegt;
- Gesundheitswesen, einschließlich Gesundheitsdienstleistern, Herstellern grundlegender Arzneimittel und kritischer Produkte, sowie Forschung und Entwicklung von Arzneimitteln;
- Versorger und Verteiler von Trinkwasser;
- Entsorgung und Aufbereitung von Abwasser;
- digitale Infrastruktur, einschließlich elektronischer Kommunikationsdienste und Datenzentren, die ebenfalls der Richtlinie (EU) 2022/2555 (siehe Zusammenfassung) unterliegt;
- Einrichtungen der öffentlichen Verwaltung auf zentralstaatlicher Ebene, ausgenommen nationale Sicherheit, öffentliche Sicherheit, Verteidigung und Strafverfolgung;
- Raumfahrt-Betreiber von Bodeninfrastrukturen; und
- Lebensmittel-Unternehmen, die ausschließlich in der Logistik und dem Großhandelsvertrieb sowie in der groß angelegten Industrieproduktion und -verarbeitung tätig sind.
Es ist zu beachten, dass bestimmte Teile der Richtlinie nicht für Unternehmen in den Sektoren Banken, Finanzmarktinfrastruktur und digitale Infrastruktur gelten.
Jeder Mitgliedstaat muss:
- eine nationale Strategie verabschieden und regelmäßige Risikobewertungen durchführen;
- die Ergebnisse der Risikobewertungen berücksichtigen, Einrichtungen ermitteln, die auf kritische Infrastrukturen bauen, die wesentliche Dienstleistungen für die Gesellschaft, die Wirtschaft, die öffentliche Gesundheit und die Sicherheit oder die Umwelt erbringen;
- die identifizierten kritischen Einrichtungen bei der Verbesserung ihrer Resilienz unterstützen, z. B. durch Leitfäden, Übungen, Beratung und Schulung;
- sicherstellen, dass die nationalen Behörden über die Befugnisse, Ressourcen und Mittel verfügen, um ihre Aufsichtsaufgaben wahrzunehmen, einschließlich der Durchführung von Kontrollen vor Ort bei kritischen Einrichtungen und der Einführung von Sanktionen für Verstöße im Rahmen eines Durchsetzungsmechanismus;
- die Bedingungen festlegen, unter denen eine kritische Einrichtung Anträge auf Hintergrundprüfungen von Personal mit sensiblen Funktionen stellen kann.
Die Mitgliedstaaten müssen bis zum die kritischen Einrichtungen für die im Anhang der Richtlinie aufgeführten Sektoren und Teilsektoren bestimmen.
Kritische Einrichtungen müssen:
- eigene Risikobewertungen durchführen, um Risiken zu ermitteln, die ihre Fähigkeit zur Bereitstellung wesentlicher Dienste beeinträchtigen könnten;
- technische, sicherheitspolitische und organisatorische Maßnahmen ergreifen, um ihre Resilienz zu stärken;
- den nationalen Behörden erhebliche Störfälle melden.
Wenn kritische Einrichtungen in sechs oder mehr Mitgliedstaaten wesentliche Dienstleistungen erbringen, könnten sie zusätzliche Beratung in Form von Beratenden Missionen erhalten, die die Risikobewertung und die Maßnahmen zur Stärkung der Resilienz der Einrichtung evaluieren.
Die Europäische Kommission hat die Delegierte Verordnung (EU) 2023/2450 angenommen, mit der eine nicht erschöpfende Liste der wesentlichen Dienstleistungen in den oben genannten Sektoren und Teilsektoren festgelegt wird. Die zuständigen Behörden der Mitgliedstaaten verwenden diese Liste für die Durchführung einer Risikobewertung, die dann zur Ermittlung kritischer Einrichtungen verwendet wird.
Die Gruppe für Resilienz in kritischen Einrichtungen ermöglicht die Zusammenarbeit zwischen den Mitgliedstaaten, einschließlich des Austauschs von Informationen und bewährten Verfahren.
Die Kommission bietet Unterstützung, unter anderem in Bezug auf sektorübergreifende Risiken, bewährte Verfahren, Methoden, grenzüberschreitende Ausbildung und Übungen, um die Resilienz kritischer Einrichtungen zu testen.
WANN TRETEN DIE VORSCHRIFTEN IN KRAFT?
Die Richtlinie musste bis in nationales Recht umgesetzt werden. Diese Vorschriften werden ab dem gelten.
HINTERGRUND
Die Strategie der EU-Sicherheitsunion der Kommission und die Agenda zur Terrorismusbekämpfung für die EU heben hervor, wie wichtig es ist, die Resilienz kritischer Einrichtungen gegenüber physischen und digitalen Risiken zu gewährleisten.
Diese Richtlinie ist Teil eines Pakets legislativer Maßnahmen zur Verbesserung der Resilienz und der Reaktionsfähigkeit öffentlicher und privater Einrichtungen in der EU im Bereich der Cybersicherheit und des Schutzes kritischer Infrastrukturen.
Im Januar 2023 gab der Rat außerdem eine Empfehlung zu einem EU-weiten koordinierten Ansatz für die Stärkung der Resilienz kritischer Infrastruktur heraus.
Weiterführende Informationen:
- Wie die EU auf Krisen reagiert und Resilienz schafft (Europäischer Rat, Rat der Europäischen Union)
- Kritische Infrastruktur (Europäische Kommission).
SCHLÜSSELBEGRIFFE
- Resilienz. Die Fähigkeit, Vorfällen, die unter anderem durch Naturkatastrophen wie Krisen im Bereich der öffentlichen Gesundheit oder von Menschen ausgehende Bedrohungen wie Terrorismus, Sabotage oder hybride Bedrohungen verursacht werden können, vorzubeugen, sich davor zu schützen, darauf zu reagieren, Widerstand zu leisten, sie abzumildern, sie abzufedern, sich für sie zu wappnen und sich von ihnen zu erholen. Hybride Bedrohungen treten auf, wenn staatliche oder nichtstaatliche Akteure versuchen, die Schwachstellen kritischer Infrastrukturen auszunutzen, indem sie auf koordinierte Weise eine Mischung aus Maßnahmen (z. B. diplomatische, militärische, wirtschaftliche, technologische) verwenden und dabei unter der Schwelle der formalen Kriegsführung bleiben – wie etwa Massen-Desinformationskampagnen, die den demokratischen Prozess bei Wahlen behindern.
HAUPTDOKUMENT
Richtlinie (EU) 2022/2557 des Europäischen Parlaments und des Rates vom über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG des Rates (ABl. L 333 vom , S. 164-198).
Letzte Aktualisierung