Die CER-Richtlinie in Abgrenzung zur NIS2-Richtlinie
Neben der NIS2-Richtlinie gibt es außerdem die CER-Richtlinie (engl. EU RCE Directive), deren Umsetzung durch das KRITIS-Dachgesetz erfolgt. Was sind ihre Anforderungen und wo liegen die Unterschiede zur NIS2-Richtlinie?
Was ist die CER-Richtlinie?
CER steht für Critical Entities Resilience (dt. Resilienz kritischer Einrichtungen) und beschreibt das Ziel der Richtlinie: die EU-weite einheitliche Stärkung der Cyberresilienz von kritischen Infrastrukturen. Die CER-Richtlinie wird vom deutschen KRITIS-Dachgesetz umgesetzt.
Wer ist von der CER-Richtlinie betroffen?
Betreiber von kritischen Infrastrukturen in den nachstehenden Sektoren, wenn sie bestimmte Schwellenwerte erreichen. Diese werden in der KRITIS-Verordnung definiert.
Die CER-Sektoren: Energie, Transport und Verkehr, Finanz-/Versicherungswesen*, Gesundheitsweisen, Trinkwasser, Abwasser, Ernährung, Informationstechnik und Telekommunikation*, Weltraum, Siedlungsabfallentsorgung
* mit Ausnahmen
Wie grenzt sich die CER-Richtlinie von der NIS2-Richtlinie ab?
Während die NIS-2-Richtlinie und das entsprechende deutsche Umsetzungsgesetz NIS2UmsuCG die Cybersicherheit und die dafür erforderlichen präventiven Maßnahmen im Fokus haben, soll mit der CER-Richtlinie Cyberresilienz gewährleistet werden. Dazu gehören sowohl präventive Maßnahmen als auch entsprechende Reaktionen, um die Ausfallsicherheit eines Unternehmens zu stärken und Folgeschäden eines IT-Sicherheitsvorfalls so klein wie möglich zu halten.
Damit die Geschäftstätigkeit aufrechterhalten bzw. schnell wieder aufgenommen werden kann, sind unter anderem folgende Maßnahmen empfehlenswert:
- Backup-Systeme
- (Cloud Disaster) Recovery-Systeme
- Business-Continuity-Strategien
Wann tritt das KRITIS-Dachgesetz in Kraft?
am 17. Oktober 2024