NIS 2 vs CER-Richtlinie: Cyberresilienz neben physischer Resilienz
Zwei Richtlinien, am selben Tag verabschiedet, mit derselben Umsetzungsfrist, fuer fast dieselben kritischen Sektoren, aus zwei verschiedenen Blickwinkeln.
Zwei Richtlinien, ein Resilienzpaket
Am 14. Dezember 2022 hat die EU zwei Richtlinien parallel verabschiedet. Richtlinie (EU) 2022/2555 (NIS 2) ist die Cybersicherheitsrichtlinie. Richtlinie (EU) 2022/2557 (CER) ist die Richtlinie ueber die Resilienz kritischer Einrichtungen. Beide mussten bis zum 17. Oktober 2024 umgesetzt werden.
NIS 2 schuetzt Netz- und Informationssysteme. CER schuetzt den physischen Betrieb kritischer Einrichtungen gegen nichtcyberbezogene Bedrohungen wie Naturgefahren, Sabotage, Terrorismus, Innentaeter und Pandemien. Die abgedeckten Sektoren ueberschneiden sich stark, das Schutzobjekt ist jedoch unterschiedlich.
Fuer Betreiber in Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitaler Infrastruktur, oeffentlicher Verwaltung und Raumfahrt gelten haeufig beide Richtlinien parallel. Diese Wikiseite zeigt, wo sich beide treffen und wo sie auseinandergehen.
NIS 2, Artikel 2 Absatz 3 (woertlich)
Diese Richtlinie gilt fuer Einrichtungen, die als kritische Einrichtungen im Sinne der Richtlinie (EU) 2022/2557 ermittelt werden.
Artikel 2 Absatz 3 NIS 2 verknuepft beide Richtlinien ausdruecklich: Wer von einem Mitgliedstaat als kritische Einrichtung nach CER bestimmt wird, faellt in den Anwendungsbereich von NIS 2 und gilt nach Artikel 3 Absatz 1 Buchstabe f NIS 2 als wesentliche Einrichtung.
CER, Artikel 1 (Gegenstand, woertlich)
Diese Richtlinie legt Verpflichtungen der Mitgliedstaaten fest, spezifische Massnahmen zu treffen, mit denen sichergestellt werden soll, dass Dienste, die fuer die Aufrechterhaltung lebenswichtiger gesellschaftlicher Funktionen oder wirtschaftlicher Taetigkeiten innerhalb des Anwendungsbereichs des Artikels 5 wesentlich sind, im Binnenmarkt ungehindert erbracht werden, insbesondere Verpflichtungen der Mitgliedstaaten zur Ermittlung kritischer Einrichtungen und zur Unterstuetzung kritischer Einrichtungen bei der Erfuellung der ihnen auferlegten Pflichten.
CER konzentriert sich auf die Kontinuitaet wesentlicher Dienste gegenueber physischen, natuerlichen, hybriden und vom Menschen verursachten Bedrohungen. Cyberrisiken sind NIS 2 vorbehalten.
Nationale Umsetzung (Deutschland)
NIS 2 wird in Deutschland durch das BSIG (Entwurf NIS2UmsuCG) umgesetzt. CER wird durch ein eigenstaendiges KRITIS-Dachgesetz umgesetzt, federfuehrend beim Bundesministerium des Innern.
Beide Richtlinien werden durch zwei verschiedene nationale Gesetze umgesetzt und durch zwei verschiedene Bundesbehoerden beaufsichtigt. Stand Juni 2026 ist die deutsche NIS 2 Umsetzung weiterhin im Gesetzgebungsverfahren, das KRITIS-Dachgesetz parallel im Entwurfsstadium.
Sektorlisten ueberschneiden sich, aber nicht vollstaendig
Die Anhaenge I und II von NIS 2 nennen 18 Sektoren. Der Anhang der CER-Richtlinie nennt 11 Sektoren. Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, oeffentliche Verwaltung und Raumfahrt erscheinen in beiden. CER erfasst zusaetzlich die Erzeugung, Verarbeitung und den Vertrieb von Lebensmitteln, der ausserhalb von NIS 2 liegt.
Netz- und Informationssysteme gegenueber physischer Dienstkontinuitaet
NIS 2 schuetzt die Cybersicherheit der Netz- und Informationssysteme, die die Einrichtung nutzt. CER schuetzt die Faehigkeit der Einrichtung, den wesentlichen Dienst gegen physische, natuerliche und vom Menschen verursachte Stoerungen weiter zu erbringen. Derselbe Betreiber, zwei verschiedene Risikoperspektiven.
Kritische Einrichtungen nach CER sind wesentliche Einrichtungen nach NIS 2
Artikel 2 Absatz 3 NIS 2 fuehrt jede nach CER bestimmte kritische Einrichtung unmittelbar als wesentliche Einrichtung in NIS 2 ein. Umgekehrt gilt das nicht automatisch: Wer in den Anwendungsbereich von NIS 2 faellt, wird damit noch nicht als kritische Einrichtung nach CER bestimmt.
Cyberrisiken sind keine physischen Risiken
Artikel 21 NIS 2 verlangt Cybersicherheitsmassnahmen zum Risikomanagement (Leitlinien, Bewaeltigung von Sicherheitsvorfaellen, Geschaeftskontinuitaet, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptographie und weitere). Die Artikel 12 und 13 CER verlangen einen Resilienzplan mit physischen Schutzmassnahmen, Redundanz, Geschaeftskontinuitaet und Personalsicherheit. Nachweise ueberschneiden sich teilweise, etwa bei Geschaeftskontinuitaetsplaenen, der Risikokatalog ist aber unterschiedlich.
Oft derselbe Betreiber, zwei Berichte, zwei Behoerden
Ein Wasserversorger, ein Krankenhausverbund, ein Energieverteiler oder eine Behoerde kann gleichzeitig Pflichten aus beiden Richtlinien haben. Das bedeutet in der Regel zwei parallele Risikobewertungen und zwei parallele Berichtslinien: eine an die NIS 2 Behoerde, eine an die CER Behoerde.
BSI
In Deutschland ist das Bundesamt fuer Sicherheit in der Informationstechnik (BSI) die zustaendige Behoerde fuer die Umsetzung von NIS 2. Das BSI nimmt Registrierungen und Meldungen entgegen und beaufsichtigt die NIS 2 Cybersicherheitsmassnahmen.
BBK
Federfuehrend fuer CER ist in Deutschland das Bundesamt fuer Bevoelkerungsschutz und Katastrophenhilfe (BBK), nicht das BSI. Das BBK soll im Rahmen des geplanten KRITIS-Dachgesetzes die Bestimmung kritischer Einrichtungen und deren physische Resilienz beaufsichtigen.
ENISA und die Critical Entities Resilience Group
Auf der Cyberseite unterstuetzt ENISA Mitgliedstaaten und Betreiber unter NIS 2. Auf der CER Seite koordiniert die nach Artikel 19 CER eingerichtete Critical Entities Resilience Group zwischen den Mitgliedstaaten. Die Kommission begleitet beide Ebenen, die Cyberseite und die physische Seite bleiben auf EU Ebene jedoch institutionell getrennt.
CER deckt auch Cybersicherheit ab, also reicht ein Projekt
CER regelt keine Cybersicherheit. Erwaegungsgrund 4 und die Anwendungsbereichsvorschriften der CER Richtlinie ueberlassen Cyberrisiken ausdruecklich der NIS 2. CER richtet sich auf physische, natuerliche und vom Menschen verursachte Bedrohungen des Dienstes. Ein reines Cyber ISMS erfuellt CER nicht. Ein reiner physischer Resilienzplan erfuellt NIS 2 nicht.
Beide Richtlinien gelten fuer genau dieselben Betreiber
Die Sektorueberschneidung ist hoch, aber nicht vollstaendig. CER erfasst zusaetzlich Erzeugung, Verarbeitung und Vertrieb von Lebensmitteln. NIS 2 erfasst ICT Service Management und mehrere digitale Dienstekategorien, die in CER fehlen. Selbst wo beide gelten, verlangt CER eine ausdrueckliche Bestimmung durch den Mitgliedstaat, waehrend NIS 2 ueberwiegend ueber Selbsteinstufung anhand von Groessen- und Sektorkriterien funktioniert.
KRITIS ist die deutsche CER Umsetzung
KRITIS ist ein eigenstaendiges deutsches Konzept, das beiden Richtlinien vorausgeht und derzeit in BSIG, BSI-KritisV und sektorspezifischen Gesetzen verteilt ist. Das geplante KRITIS-Dachgesetz soll CER umsetzen, deckt aber nicht denselben Perimeter wie das bestehende KRITIS Konzept und ist nicht die NIS 2 Umsetzung. Drei getrennte Arbeitsstroenge, nicht einer.
Ein regionaler Energieverteiler mit rund 400 Beschaeftigten betreibt ein ISMS fuer NIS 2 (Massnahmen nach Artikel 21, Meldung von Sicherheitsvorfaellen an das BSI innerhalb von 24 Stunden, Lieferkettensicherheit, Schulungen). Parallel fuehrt derselbe Verteiler einen Resilienzplan nach CER fuer kritische Einrichtungen mit physischem Standortschutz, Redundanz von Umspannwerken, Personalzuverlaessigkeit und Geschaeftskontinuitaet fuer physische Stoerungen. Beide Plaene teilen sich Eingaben zur Geschaeftskontinuitaet, leben aber unter zwei getrennten Governance Linien.
In der taeglichen Praxis ist die saubere Loesung ein gemeinsames Risikoregister, das jedes Risiko als cyber, physisch oder beides markiert und in zwei Ergebnisse muendet: auf der einen Seite die Cybersicherheitsmassnahmen nach NIS 2, auf der anderen Seite den Resilienzplan nach CER. Das vermeidet Doppelarbeit bei Asset Inventar und Geschaeftskontinuitaet und haelt die regulatorischen Ergebnisse trotzdem getrennt.
Diese Plattform setzt die Pflichten aus Artikel 21 NIS 2 als Pflichtenregister um: Asset Inventar, Lieferantenverzeichnis, Risikoregister, Bewaeltigung von Sicherheitsvorfaellen, Geschaeftskontinuitaet, Schulungen und Aufsichtsnachweise. CER ist nicht Bestandteil der Plattform.
Betreiber mit Pflichten aus beiden Richtlinien koennen das Asset Inventar und das Lieferantenverzeichnis aus NIS 2 als Eingabe fuer ihren CER Resilienzplan wiederverwenden. Der CER Resilienzplan selbst liegt in einem getrennten Arbeitsstrang unter Aufsicht der CER Behoerde.
- Richtlinie (EU) 2022/2555 des Europaeischen Parlaments und des Rates vom 14. Dezember 2022 (NIS 2). EUR-Lex: 32022L2555.
- Richtlinie (EU) 2022/2557 des Europaeischen Parlaments und des Rates vom 14. Dezember 2022 (CER). EUR-Lex: 32022L2557.
- NIS 2, Artikel 2 Absatz 3 zum Verweis auf CER. NIS 2, Anhaenge I und II zu den Sektoren.
- CER, Artikel 1 (Gegenstand), Artikel 5 (Sektoren), Artikel 6 (Kriterien zur Ermittlung kritischer Einrichtungen), Artikel 12 und 13 zum Resilienzplan.
- Bundesamt fuer Sicherheit in der Informationstechnik (BSI), nationale Umsetzungsseite zu NIS 2.
- Bundesamt fuer Bevoelkerungsschutz und Katastrophenhilfe (BBK), nationale Umsetzungsseite zu CER.