CER-Richtlinie: Wie weit ist die Umsetzung in Europa?
Veröffentlicht am 26. Januar 2026
- Cyber Security
In Kürze
- Die europäische CER-Richtlinie (Critical Entities Resilience Directive) zielt darauf ab, die Widerstandsfähigkeit kritischer Infrastrukturen (Energie, Verkehr, Gesundheit usw.) in ganz Europa zu stärken.
- Ihre Umsetzung schreitet in Europa sehr uneinheitlich voran. Die Länder lassen sich dabei in unterschiedliche Reifegrade einteilen:
- Fortgeschrittene Länder: Gesetzesentwurf verabschiedet
- Mittelweit fortgeschrittene Länder: Gesetzesentwurf in Bearbeitung
- Wenig fortgeschrittene Länder: mittlerer Umsetzungsstand
Was ist die CER-Richtlinie?
Die Richtlinie (EU) 2022/2557 vom 14. Dezember 2022, bekannt als Richtlinie über die Resilienz kritischer Einrichtungen (CER), schafft einen europäischen Rechtsrahmen, um die kontinuierliche Erbringung von Diensten, die für die Aufrechterhaltung lebenswichtiger gesellschaftlicher oder wirtschaftlicher Funktionen unerlässlich sind, im gesamten Binnenmarkt sicherzustellen. Sie ersetzt die Richtlinie 2008/114/EG, da diese angesichts der zunehmenden Zahl von Bedrohungen (Cyber-, physische, klimatische, hybride) und der wachsenden gegenseitigen Abhängigkeit der Infrastrukturen in ganz Europa als veraltet angesehen wird.
Die Richtlinie verpflichtet die Mitgliedstaaten dazu, öffentliche oder private Einrichtungen, die in elf kritischen Bereichen wie Energie, Verkehr, Gesundheit und Wasser tätig sind, zu identifizieren, zu überwachen und zu unterstützen. Diese Einrichtungen müssen organisatorische und technische Maßnahmen ergreifen, um Vorfälle, die sich auf die Erbringung wesentlicher Dienstleistungen auswirken könnten, zu verhindern, ihnen zu widerstehen, sie abzuschwächen und sich von ihnen zu erholen.
Die Richtlinie musste bis spätestens zum 17. Oktober 2024 in nationales Recht umgesetzt werden, was den nationalen Behörden einen engen Zeitplan auferlegte. Der Text verlangt zudem, dass jeder Mitgliedstaat bis zum 17. Januar 2026 eine nationale Resilienzstrategie auf der Grundlage einer Risikobewertung verabschiedet und diese durch Unterstützungsmaßnahmen begleitet. Darüber hinaus sieht er eine verstärkte Koordinierung zwischen nationalen und europäischen Behörden vor, die eng mit den Cybersicherheitsanforderungen der NIS2-Richtlinie verknüpft ist.
Die Umsetzung der Richtlinie schreitet innerhalb der Union jedoch uneinheitlich voran. Einige Mitgliedstaaten haben die Anforderungen bereits vollständig in ihre nationalen Rechtsvorschriften übernommen. In diesem Artikel werden die Umsetzungsstände in den einzelnen Mitgliedstaaten zum 9. Januar 2025 verglichen.
Finden Sie außerdem eine Bestandsaufnahme zur Umsetzung der NIS2-Richtlinie.
CER-Umsetzungen auf europäischer Ebene
Diese am 9. Januar 2026 aktualisierte Karte zeigt die unterschiedlichen Reifegrade aller europäischen Länder in Bezug auf die CER-Richtlinie.
- Reifegrad 1:
Begrenzte Fortschritte oder unzureichende Informationen zur Umsetzung. Kein Land befindet sich auf Reifegrad 1. - Reifegrad 2:
Mehrere wichtige Meilensteine erreicht, mit einem moderaten Umsetzungsgrad. Betroffene Länder: Malta, Schweden, Bulgarien. - Reifegrad 3:
Gesetzentwurf zur Verabschiedung durch den Gesetzgeber vorgelegt. Betroffene Länder: Polen, Luxemburg, Frankreich, Spanien, Niederlande, Deutschland. - Reifegrad 4:
Gesetzesentwurf verabschiedet. Betroffene Länder: Dänemark, Irland, Italien, Portugal, Estland, Slowakei, Litauen, Ungarn, Rumänien, Slowenien, Finnland, Belgien, Kroatien, Griechenland, Lettland, Tschechien, Österreich, Zypern.
Länder mit verabschiedeter Umsetzung (Reifegrad 4)
Länder mit bedeutenden Fortschritten im Umsetzungsprozess (Reifegrad 3)
Länder mit mittlerem Umsetzungsstand (Reifegrad 2)
Fokus auf ausgewählte europäische Länder
Reifegrad: 4
Das Gesetz LXXXIV 2024 wurde am 30. Dezember 2024 verabschiedet und trat mit seiner Veröffentlichung im Magyar Közlöny (Ungarisches Amtsblatt) in Kraft. Die Regierungsverordnung 474/2024 (XII. 31.) regelt die Umsetzung des Gesetzes im Einzelnen.
Nationale Besonderheiten:
- Die von Ungarn veröffentlichte Durchführungsverordnung enthält eine gemeinsame Grundlage von 16 Maßnahmen, die für alle kritischen Einrichtungen im Land gelten. Darüber hinaus gibt es eine Liste ergänzender Maßnahmen, die je nach Kritikalitätsstufe auf die verschiedenen Einrichtungen anzuwenden sind: zwei Maßnahmen für Stufe 1, 18 Maßnahmen für Stufe 2 und 25 Maßnahmen für Stufe 3.
- Die zuständigen Behörden legen diese drei Kritikalitätsstufen auf der Grundlage der Anzahl der vom Unternehmen bedienten Nutzer, der geografischen Abdeckung des Dienstes, der Anzahl der betroffenen Sektoren sowie der Auswirkungen eines außergewöhnlichen Ereignisses fest.
Zuständige Behörde(n):
- Die zuständigen Behörden sind die Fachministerien, die für die kritischen Organisationen zuständig sind, unter der Leitung eines interministeriellen Ausschusses für Resilienz (CIR). In Ungarn wurde die zentrale Fachbehörde für Katastrophenmanagement als allgemeine Behörde für die Ausweisung kritischer Infrastrukturen benannt.
Reifegrad: 3
Das Bundeskabinett (BMI) hat am 2. September 2025 einen neuen Gesetzentwurf zur Resilienz kritischer Infrastrukturen (KritisDG) verabschiedet. Der Entwurf wird derzeit im Bundestag geprüft.
Wichtige Schritte:
- 28. Juli 2023: Das BMI veröffentlicht den ersten Entwurf
- 21. Dezember 2023: Das BMI aktualisiert den ersten Entwurf.
- 24. Januar 2024: Es wird ein zweiter Entwurf veröffentlicht, der die Umsetzung der CER-Richtlinie präzisiert.
- 10. April 2024: Eine Überarbeitung des zweiten Entwurfs wird veröffentlicht.
- 6. November 2024: Das Bundeskabinett verabschiedet den aktuellen Gesetzentwurf des KRITIS-Dachgesetzes und billigt damit den Regierungsentwurf. Damit wird offiziell die parlamentarische Phase des Gesetzgebungsverfahrens eingeleitet.
- 10. September 2025: Das Bundeskabinett billigt den aktualisierten Entwurf des KRITIS-Dachgesetzes und nimmt damit den Regierungsentwurf an.
- 6. November 2025: Die erste Lesung des neuen Entwurfs findet im Bundestag statt.
Nationale Besonderheiten:
- Deutschland hat bereits 2009 eine Liste von „KRITIS“-Betreibern erstellt. Dabei handelt es sich um Unternehmen, deren Aktivitäten für die nationale Infrastruktur von entscheidender Bedeutung sind.
- Im Jahr 2015 wurde das IT-Sicherheitsgesetz eingeführt, welches den Anwendungsbereich des bisherigen Gesetzes erweiterte.
- Der Gesetzentwurf für ein KRITIS-Dachgesetz ist ein nationales Rahmengesetz, das allgemeine, bereichsübergreifende und verhältnismäßige Verpflichtungen für den physischen Schutz kritischer Infrastrukturen nach einem „All-Risks“-Ansatz einführt. Die CER-Verpflichtungen sollen daher zunächst für bestehende KRITIS-Betreiber gelten und anschließend auf weitere Sektoren und Einrichtungen ausgeweitet werden.
- Der Gesetzentwurf führt für zehn Sektoren einheitliche Mindeststandards ein. Diese werden durch sektorspezifische Resilienzstandards ergänzt, die gemeinsam mit Branchenverbänden entwickelt wurden.
Zuständige Behörde(n):
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK)
Reifegrad: 3
Der Gesetzentwurf, der NIS2, CER und den Text zur Resilienz des Finanzsektors zusammenfasst, wurde am 15. Oktober 2024 im Ministerrat vorgestellt. Er wird derzeit in der Nationalversammlung geprüft.
Wichtige Schritte:
- 15. Oktober 2024: Einreichung des Gesetzentwurfs beim Senat durch die Regierung, mit dem Verfahren der beschleunigten Beratung.
- 12. März 2025: Verabschiedung in erster Lesung durch den Senat (Text Nr. 78, 2024-2025) und Übermittlung des Textes an die Nationalversammlung am 13. März.
- März bis Juli 2025: Sitzungen von Experten, die von der Sonderkommission befragt wurden.
- 10. September 2025: Veröffentlichung des Berichts der Sonderkommission und einstimmige Annahme.
Nationale Besonderheiten:
- Frankreich hat sich dafür entschieden, die CER-Richtlinie zu integrieren, indem es seinen im Jahr 2006 geschaffenen nationalen Rahmen für die Sicherheit von Aktivitäten von entscheidender Bedeutung (SAIV) ergänzt und dabei insbesondere die strukturierenden Konzepte des nationalen Rechts beibehält. Kritische Infrastrukturen werden als Points d’Importance Vitale (PIV) und Systèmes d’Information d’Importance Vitale (SIIV) definiert. Ihr Anwendungsbereich wird um die neuen europäischen Verpflichtungen erweitert.
- Die OIVs (Operators of Vital Importance) müssen angepasste Resilienzmaßnahmen in einem „Plan de résilience opérateur“ (PRO) sowie einem „Plan particulier de résilience“ (PPR) für jeden Point d’Importance Vitale (PIV) detaillieren.
Zuständige Behörde(n):
- Agence nationale de la sécurité des systèmes d’information (ANSSI)
- Secrétariat général de la défense et de la sécurité nationale (SGDSN)
Reifegrad: 4
Italien hat die Umsetzung der CER-Richtlinie mit dem Gesetzesdekret Nr. 134 vom 4. September 2024 abgeschlossen. Das Dekret wurde im Amtsblatt Nr. 223 vom 23. September 2024 veröffentlicht. Im Juli wurde der Abschlussbericht der Konsultation zur Strategie für die Resilienz kritischer Einrichtungen veröffentlicht. Dies markiert einen Fortschritt bei der Entwicklung der nationalen Strategie gemäß der Richtlinie.
Nationale Besonderheiten:
- Bislang wurde noch kein Referenzrahmen veröffentlicht.
- Die italienische nationale Umsetzung der CER-Richtlinie umfasst neben den elf ursprünglich im europäischen Rahmen vorgesehenen Sektoren ausdrücklich auch den Bewässerungswassersektor.
Zuständige Behörde(n):
- Die zuständigen Behörden sind die aufsichtsführenden Ministerien der kritischen Einrichtungen. Diese werden von einem interministeriellen Ausschuss für Resilienz (CIR) geleitet, der wiederum der allgemeinen Aufsicht der Delegation des Staatssekretärs Alfredo Monatavano untersteht.
Reifegrad: 3
Der Gesetzentwurf „Ley de medidas para la protección y resiliencia de las entidades críticas“ wurde am 27. Mai 2025 genehmigt und die Umsetzungsorgane wurden bereits identifiziert. Am 10. Juni wurde eine Phase der öffentlichen Konsultation abgeschlossen.
Wichtige Schritte:
- 29. Oktober 2024: Kongress zum Schutz von Infrastrukturen und zur Resilienz kritischer Einrichtungen.
- 27. Mai 2025: Genehmigung des Gesetzentwurfs durch den Ministerrat.
- 27. Mai bis 10. Juni: Phase der öffentlichen Konsultation.
Nationale Besonderheiten:
- Der Text sieht die Einrichtung eines nationalen Zertifizierungsmechanismus vor, mit dem die Qualität, Sicherheit und Konformität der Einrichtungen bescheinigt werden sollen. Die Inhalte und der Mechanismus der Zertifizierung werden durch zukünftige Verordnungen festgelegt.
Zuständige Behörde(n):
- Das Staatssekretariat für Sicherheit ist die zentrale zuständige Behörde und verantwortlich für die Aufsicht, die Erstellung von Plänen sowie die Umsetzung des Zertifizierungsmechanismus.
- Das CNPREC (Centro Nacional para la Protección y la Resiliencia de las Entidades Críticas) ist für die Identifizierung kritischer Einrichtungen zuständig und benachrichtigt diese im Bedarfsfall. Darüber hinaus fungiert es als Ansprechpartner im Falle eines Vorfalls.
- Die Nationale Kommission für Schutz und Resilienz kritischer Einrichtungen ist ein kollegiales Gremium. Es genehmigt strategische Sektorpläne und identifiziert die betroffenen Einrichtungen.
- Die interministerielle Arbeitsgruppe unterstützt sowohl die Entwicklung der nationalen Strategie als auch die Bewertung von Bedrohungen.
Reifegrad: 4
Das Dekretgesetz Nr. 22/2025 zur Umsetzung der CER-Richtlinie wurde am 12. März genehmigt und am 19. März 2025 veröffentlicht. Es trat am 24. März 2025 in Kraft.
Nationale Besonderheiten:
- Bislang wurde noch kein Referenzrahmen veröffentlicht.
- Kritische Einrichtungen müssen ihre Resilienz- und Sicherheitspläne regelmäßig durch Übungen testen. Diese werden von den sektoralen Behörden und dem Generalsekretär des Systems der inneren Sicherheit (SGSSI) überwacht. Die Übungen müssen vorher angekündigt werden. Nach der Übung sind Berichte vorzulegen. Es besteht die Möglichkeit, grenzüberschreitende Übungen unter Einbeziehung anderer EU-Mitgliedstaaten durchzuführen.
Zuständige Behörde(n):
Die Umsetzung der CER-Richtlinie (Richtlinie EU 2022/2557) durch das Dekretgesetz Nr. 22/2025 sieht einen zweistufigen Governance-Rahmen vor:
- National: Der Generalsekretär des Systems der Inneren Sicherheit (SGSSI) koordiniert Aktivitäten im Zusammenhang mit der Resilienz kritischer Einrichtungen und ist zentraler Ansprechpartner für die europäische Zusammenarbeit.
- Sektorbezogen: Jede Autoridade Setorial Competente (ASC) ist für die Identifizierung der kritischen Einrichtungen ihres Sektors verantwortlich. Zudem überwacht sie die Umsetzung von Resilienzmaßnahmen und leitet die entsprechenden Informationen an den SGSSI weiter.
Reifegrad: 3
Die öffentliche Konsultation zum Gesetzentwurf „Wet wederkerige entiteiten (Wwke)” schloss am 1. Juli 2024. Am 20. Februar 2025 erhielt er die Stellungnahme des Staatsrats und wurde dem Abgeordnetenhaus vorgelegt, welches am 4. September 2025 seinen Bericht zum Gesetzentwurf veröffentlichte.
Wichtige Schritte:
- Mai 2024: Veröffentlichung des Gesetzentwurfs zur Umsetzung der NIS2-Richtlinie und des Gesetzentwurfs zur Resilienz kritischer Einrichtungen (Wwke).
- Mai – 2. Juli 2024: Öffentliche Konsultation.
- Juli 2024: Abschluss der internen Konsultation zur Resilienz kritischer Einrichtungen.
- Februar 2025: Der Gesetzentwurf wurde vom Staatsrat genehmigt.
- September 2025: Das Abgeordnetenhaus hat seinen Bericht zum Gesetzentwurf veröffentlicht.
- November – 21. Dezember 2025: Neue Phase der öffentlichen Konsultation zum Gesetzentwurf.
Nationale Besonderheiten:
- Die zuständige Behörde kann bestimmte sektorspezifische EU-Akte als gleichwertig zu den in Artikel 16 festgelegten Maßnahmen anerkennen. Dieser verpflichtet kritische Einrichtungen dazu, angemessene technische, Sicherheits- und Organisationsmaßnahmen umzusetzen, um ihre Resilienz zu gewährleisten. In diesem Fall gelten die in den betreffenden Akten festgelegten Maßnahmen nicht für die betroffenen Einrichtungen.
- Die Niederlande verfügen bereits über eine Politik zum Schutz und zur zyklischen Stärkung der kritischen Infrastruktur (Aanpak vitaal), die durch CER gestärkt wird. Diese Politik basiert auf dem Instrumentarium Vitaal, einem Prozesszyklus, der mindestens alle vier Jahre wiederholt wird.
- Das Verfahren wird vom zuständigen Minister angewendet. Es kann vor Ablauf der vier Jahre auf Entscheidung des zuständigen Ministers oder des Ministers für Justiz und Sicherheit angewendet werden, falls eine Entwicklung, ein aktuelles Ereignis oder eine Bedrohung dies rechtfertigt.
Zuständige Behörde(n):
- Das Ministerium für Justiz und Sicherheit koordiniert die nationale Strategie.
Die einzelnen Ministerien sind jeweils für die Einrichtungen in ihrem eigenen Sektor zuständig. - Die Ministerien benennen Aufsichtsbehörden, die die Einhaltung der Verpflichtungen kontrollieren. Dazu führen sie unter anderem Audits und Inspektionen durch.
Die CER Richtlinie und ihre nationale Umsetzung über das KRITIS Dachgesetz erfordern frühzeitige Vorbereitung. Organisationen sollten jetzt ihre Resilienzstrategie überprüfen.
