NIS 2 vs CER-Richtlinie: Cyberresilienz neben physischer Resilienz
Zwei Richtlinien, am selben Tag verabschiedet, mit derselben Umsetzungsfrist, für fast dieselben kritischen Sektoren, aus zwei verschiedenen Blickwinkeln.
Zwei Richtlinien, ein Resilienzpaket
Am 14. Dezember 2022 hat die EU zwei Richtlinien parallel verabschiedet. Richtlinie (EU) 2022/2555 (NIS 2) ist die Cybersicherheitsrichtlinie. Richtlinie (EU) 2022/2557 (CER) ist die Richtlinie über die Resilienz kritischer Einrichtungen. Beide mussten bis zum 17. Oktober 2024 umgesetzt werden.
NIS 2 schützt Netz- und Informationssysteme. CER schützt den physischen Betrieb kritischer Einrichtungen gegen nichtcyberbezogene Bedrohungen wie Naturgefahren, Sabotage, Terrorismus, Innentaeter und Pandemien. Die abgedeckten Sektoren überschneiden sich stark, das Schutzobjekt ist jedoch unterschiedlich.
Für Betreiber in Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitaler Infrastruktur, öffentlicher Verwaltung und Raumfahrt gelten häufig beide Richtlinien parallel. Diese Wikiseite zeigt, wo sich beide treffen und wo sie auseinandergehen.
NIS 2, Artikel 2 Absatz 3 (wörtlich)
Diese Richtlinie gilt für Einrichtungen, die als kritische Einrichtungen im Sinne der Richtlinie (EU) 2022/2557 ermittelt werden.
Artikel 2 Absatz 3 NIS 2 verknüpft beide Richtlinien ausdrücklich: Wer von einem Mitgliedstaat als kritische Einrichtung nach CER bestimmt wird, fällt in den Anwendungsbereich von NIS 2 und gilt nach Artikel 3 Absatz 1 Buchstabe f NIS 2 als wesentliche Einrichtung.
CER, Artikel 1 (Gegenstand, wörtlich)
Diese Richtlinie legt Verpflichtungen der Mitgliedstaaten fest, spezifische Maßnahmen zu treffen, mit denen sichergestellt werden soll, dass Dienste, die für die Aufrechterhaltung lebenswichtiger gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten innerhalb des Anwendungsbereichs des Artikels 5 wesentlich sind, im Binnenmarkt ungehindert erbracht werden, insbesondere Verpflichtungen der Mitgliedstaaten zur Ermittlung kritischer Einrichtungen und zur Unterstützung kritischer Einrichtungen bei der Erfüllung der ihnen auferlegten Pflichten.
CER konzentriert sich auf die Kontinuität wesentlicher Dienste gegenüber physischen, natürlichen, hybriden und vom Menschen verursachten Bedrohungen. Cyberrisiken sind NIS 2 vorbehalten.
Nationale Umsetzung (Deutschland)
NIS 2 wird in Deutschland durch das BSIG (Entwurf NIS2UmsuCG) umgesetzt. CER wird durch ein eigenständiges KRITIS-Dachgesetz umgesetzt, federführend beim Bundesministerium des Innern.
Beide Richtlinien werden durch zwei verschiedene nationale Gesetze umgesetzt und durch zwei verschiedene Bundesbehörden beaufsichtigt. Stand Juni 2026 ist die deutsche NIS 2 Umsetzung weiterhin im Gesetzgebungsverfahren, das KRITIS-Dachgesetz parallel im Entwurfsstadium.
Sektorlisten überschneiden sich, aber nicht vollständig
Die Anhänge I und II von NIS 2 nennen 18 Sektoren. Der Anhang der CER-Richtlinie nennt 11 Sektoren. Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung und Raumfahrt erscheinen in beiden. CER erfasst zusätzlich die Erzeugung, Verarbeitung und den Vertrieb von Lebensmitteln, der außerhalb von NIS 2 liegt.
Netz- und Informationssysteme gegenüber physischer Dienstkontinuität
NIS 2 schützt die Cybersicherheit der Netz- und Informationssysteme, die die Einrichtung nutzt. CER schützt die Fähigkeit der Einrichtung, den wesentlichen Dienst gegen physische, natürliche und vom Menschen verursachte Störungen weiter zu erbringen. Derselbe Betreiber, zwei verschiedene Risikoperspektiven.
Kritische Einrichtungen nach CER sind wesentliche Einrichtungen nach NIS 2
Artikel 2 Absatz 3 NIS 2 führt jede nach CER bestimmte kritische Einrichtung unmittelbar als wesentliche Einrichtung in NIS 2 ein. Umgekehrt gilt das nicht automatisch: Wer in den Anwendungsbereich von NIS 2 fällt, wird damit noch nicht als kritische Einrichtung nach CER bestimmt.
Cyberrisiken sind keine physischen Risiken
Artikel 21 NIS 2 verlangt Cybersicherheitsmaßnahmen zum Risikomanagement (Leitlinien, Bewältigung von Sicherheitsvorfällen, Geschäftskontinuität, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptographie und weitere). Die Artikel 12 und 13 CER verlangen einen Resilienzplan mit physischen Schutzmaßnahmen, Redundanz, Geschäftskontinuität und Personalsicherheit. Nachweise überschneiden sich teilweise, etwa bei Geschäftskontinuitätsplänen, der Risikokatalog ist aber unterschiedlich.
Oft derselbe Betreiber, zwei Berichte, zwei Behörden
Ein Wasserversorger, ein Krankenhausverbund, ein Energieverteiler oder eine Behörde kann gleichzeitig Pflichten aus beiden Richtlinien haben. Das bedeutet in der Regel zwei parallele Risikobewertungen und zwei parallele Berichtslinien: eine an die NIS 2 Behörde, eine an die CER Behörde.
BSI
In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zuständige Behörde für die Umsetzung von NIS 2. Das BSI nimmt Registrierungen und Meldungen entgegen und beaufsichtigt die NIS 2 Cybersicherheitsmaßnahmen.
BBK
Federführend für CER ist in Deutschland das Bundesamt für Bevoelkerungsschutz und Katastrophenhilfe (BBK), nicht das BSI. Das BBK soll im Rahmen des geplanten KRITIS-Dachgesetzes die Bestimmung kritischer Einrichtungen und deren physische Resilienz beaufsichtigen.
ENISA und die Critical Entities Resilience Group
Auf der Cyberseite unterstützt ENISA Mitgliedstaaten und Betreiber unter NIS 2. Auf der CER Seite koordiniert die nach Artikel 19 CER eingerichtete Critical Entities Resilience Group zwischen den Mitgliedstaaten. Die Kommission begleitet beide Ebenen, die Cyberseite und die physische Seite bleiben auf EU Ebene jedoch institutionell getrennt.
CER deckt auch Cybersicherheit ab, also reicht ein Projekt
CER regelt keine Cybersicherheit. Erwägungsgrund 4 und die Anwendungsbereichsvorschriften der CER Richtlinie überlassen Cyberrisiken ausdrücklich der NIS 2. CER richtet sich auf physische, natürliche und vom Menschen verursachte Bedrohungen des Dienstes. Ein reines Cyber ISMS erfüllt CER nicht. Ein reiner physischer Resilienzplan erfüllt NIS 2 nicht.
Beide Richtlinien gelten für genau dieselben Betreiber
Die Sektorüberschneidung ist hoch, aber nicht vollständig. CER erfasst zusätzlich Erzeugung, Verarbeitung und Vertrieb von Lebensmitteln. NIS 2 erfasst ICT Service Management und mehrere digitale Dienstekategorien, die in CER fehlen. Selbst wo beide gelten, verlangt CER eine ausdrückliche Bestimmung durch den Mitgliedstaat, während NIS 2 überwiegend über Selbsteinstufung anhand von Größen- und Sektorkriterien funktioniert.
KRITIS ist die deutsche CER Umsetzung
KRITIS ist ein eigenständiges deutsches Konzept, das beiden Richtlinien vorausgeht und derzeit in BSIG, BSI-KritisV und sektorspezifischen Gesetzen verteilt ist. Das geplante KRITIS-Dachgesetz soll CER umsetzen, deckt aber nicht denselben Perimeter wie das bestehende KRITIS Konzept und ist nicht die NIS 2 Umsetzung. Drei getrennte Arbeitsstroenge, nicht einer.
Ein regionaler Energieverteiler mit rund 400 Beschäftigten betreibt ein ISMS für NIS 2 (Maßnahmen nach Artikel 21, Meldung von Sicherheitsvorfällen an das BSI innerhalb von 24 Stunden, Lieferkettensicherheit, Schulungen). Parallel führt derselbe Verteiler einen Resilienzplan nach CER für kritische Einrichtungen mit physischem Standortschutz, Redundanz von Umspannwerken, Personalzuverlässigkeit und Geschäftskontinuität für physische Störungen. Beide Pläne teilen sich Eingaben zur Geschäftskontinuität, leben aber unter zwei getrennten Governance Linien.
In der täglichen Praxis ist die saubere Lösung ein gemeinsames Risikoregister, das jedes Risiko als cyber, physisch oder beides markiert und in zwei Ergebnisse muendet: auf der einen Seite die Cybersicherheitsmaßnahmen nach NIS 2, auf der anderen Seite den Resilienzplan nach CER. Das vermeidet Doppelarbeit bei Asset Inventar und Geschäftskontinuität und hält die regulatorischen Ergebnisse trotzdem getrennt.
Diese Plattform setzt die Pflichten aus Artikel 21 NIS 2 als Pflichtenregister um: Asset Inventar, Lieferantenverzeichnis, Risikoregister, Bewältigung von Sicherheitsvorfällen, Geschäftskontinuität, Schulungen und Aufsichtsnachweise. CER ist nicht Bestandteil der Plattform.
Betreiber mit Pflichten aus beiden Richtlinien können das Asset Inventar und das Lieferantenverzeichnis aus NIS 2 als Eingabe für ihren CER Resilienzplan wiederverwenden. Der CER Resilienzplan selbst liegt in einem getrennten Arbeitsstrang unter Aufsicht der CER Behörde.
- Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 (NIS 2). EUR-Lex: 32022L2555.
- Richtlinie (EU) 2022/2557 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 (CER). EUR-Lex: 32022L2557.
- NIS 2, Artikel 2 Absatz 3 zum Verweis auf CER. NIS 2, Anhänge I und II zu den Sektoren.
- CER, Artikel 1 (Gegenstand), Artikel 5 (Sektoren), Artikel 6 (Kriterien zur Ermittlung kritischer Einrichtungen), Artikel 12 und 13 zum Resilienzplan.
- Bundesamt für Sicherheit in der Informationstechnik (BSI), nationale Umsetzungsseite zu NIS 2.
- Bundesamt für Bevoelkerungsschutz und Katastrophenhilfe (BBK), nationale Umsetzungsseite zu CER.