Kurz gefasst
Die Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) — Richtlinie (EU) 2022/2557 — hat die Regeln von 2008 zu europäischen kritischen Infrastrukturen abgelöst. Sie ist am 16. Januar 2023 in Kraft getreten und musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. Während NIS2 die Cybersicherheit regelt, erfasst die CER-Richtlinie alles andere, was einen wesentlichen Dienst zum Erliegen bringen kann: Sabotage, Terrorismus, Naturkatastrophen, Unfälle und hybride Bedrohungen — nach dem Wortlaut der Richtlinie alle „durch Naturkatastrophen oder vom Menschen verursachten, unbeabsichtigten oder vorsätzlichen“ Gefahren.
Die Mitgliedstaaten mussten ihre kritischen Einrichtungen bis zum 17. Juli 2026 ermitteln und sie binnen eines Monats darüber unterrichten. Ab dieser Mitteilung läuft die Frist: 9 Monate für die Risikobewertung, 10 Monate, bis die Resilienzmaßnahmen gelten.
Für einen Betreiber, der im August 2026 unterrichtet wurde, heißt das: Risikobewertung bis Mai 2027, Resilienzmaßnahmen ab Juni 2027.
Warum jetzt
Die Bedrohungen, für die die CER-Richtlinie geschrieben wurde, sind keine Theorie mehr. Im Januar 2026 unterbrach ein Brandanschlag auf Hochspannungskabel in Berlin die Stromversorgung von rund 45.000 Haushalten und 2.200 Betrieben — teils über Tage. Der Generalbundesanwalt ermittelt wegen des Verdachts der Sabotage. Der niederländische Nachrichtendienst AIVD verzeichnet seit dem Sommer 2025 eine allmähliche Zunahme von Sabotage und Sabotagevorbereitungen sowie mehr Drohnen in der Nähe vitaler Infrastruktur. Bei der belgischen Staatssicherheit (VSSE) erreichten die Meldungen von Drohnen über Flughäfen, militärischen Anlagen und Kernkraftwerken im Herbst 2025 ihren Höhepunkt.
Wer betroffen ist
Die CER-Richtlinie umfasst elf Sektoren. Innerhalb dieser Sektoren ermittelt jeder Mitgliedstaat die Einrichtungen, deren Störung erhebliche Auswirkungen auf einen wesentlichen Dienst hätte:
- Energie, Verkehr, Gesundheit, Trinkwasser und Abwasser
- Bankwesen, Finanzmarktinfrastruktur und digitale Infrastruktur
- Öffentliche Verwaltung, Weltraum sowie Produktion, Verarbeitung und Vertrieb von Lebensmitteln
Für Bankwesen, Finanzmarktinfrastruktur und digitale Infrastruktur entfallen die meisten der unten beschriebenen operativen Pflichten, weil DORA und NIS2 diese Sektoren bereits abdecken (Artikel 8). Zudem gilt nach NIS2 jede als kritisch eingestufte Einrichtung unabhängig von ihrer Größe auch als wesentliche Einrichtung.
Was kritische Einrichtungen tun müssen
- 01
Risikobewertung — binnen 9 Monaten
Alle relevanten Risiken für den Dienst bewerten: natürliche, unfallbedingte, hybride und terroristische. Die Bewertung wird wiederholt, wann immer es nötig ist, mindestens aber alle vier Jahre (Artikel 12).
- 02
Resilienzmaßnahmen — ab 10 Monaten
Maßnahmen, um Sicherheitsvorfälle zu verhindern; um einen physischen Schutz zu gewährleisten — die Richtlinie verweist etwa auf das Aufstellen von „Zäunen und Sperren, Instrumenten und Verfahren für die Überwachung der Umgebung, Detektionsgeräten und Zugangskontrollen“; um auf Vorfälle zu reagieren, sie abzuwehren und ihre Folgen zu begrenzen; um den Betrieb wiederherzustellen; für das Sicherheitsmanagement hinsichtlich der Mitarbeiter; und zur Sensibilisierung (Artikel 13). Die Maßnahmen werden in einem Resilienzplan festgehalten, und ein Verbindungsbeauftragter wird benannt.
- 03
Zuverlässigkeitsüberprüfungen
Für Personen in sensiblen Funktionen oder mit Zugang zu Räumlichkeiten, Informationen oder Kontrollsystemen können die Mitgliedstaaten Zuverlässigkeitsüberprüfungen vorsehen — mindestens zur Identität und zum Strafregister (Artikel 14).
- 04
Meldepflicht — binnen 24 Stunden
Sicherheitsvorfälle, die den wesentlichen Dienst erheblich stören oder stören könnten, werden der zuständigen Behörde binnen 24 Stunden gemeldet, nachdem die Einrichtung davon Kenntnis erlangt hat. Gegebenenfalls folgt binnen eines Monats ein ausführlicher Bericht (Artikel 15).
- 05
Aufsicht
Die Behörden können Vor-Ort-Kontrollen und Audits durchführen und Abhilfe anordnen. Sanktionen müssen „wirksam, verhältnismäßig und abschreckend“ sein; ihre Höhe legt jeder Mitgliedstaat selbst fest (Artikel 21 und 22).
CER und NIS2: zwei Hälften einer Pflicht
| Regelwerk | Was es abdeckt |
|---|---|
| NIS2 — Richtlinie (EU) 2022/2555 | Cybersicherheit von Netz- und Informationssystemen: Risikomanagement, Meldung von Sicherheitsvorfällen, Sicherheit der Lieferkette. |
| CER — Richtlinie (EU) 2022/2557 | Alles andere, was den Dienst zum Erliegen bringen kann: physische Angriffe, Sabotage, Naturgefahren, Unfälle, Innentäter. Wo NIS2 bereits greift, gilt die CER-Richtlinie nicht. |
| In der Praxis | Ein Vorfall ist oft beides. Ein durchtrenntes Glasfaserkabel, ein brennendes Umspannwerk oder eine Drohne über einem Standort können sowohl eine Meldung nach CER als auch eine nach NIS2 erfordern — jeweils mit einer ersten Meldung binnen 24 Stunden. |
Wo die einzelnen Länder stehen
| Land | Stand am 2. Oktober 2026 |
|---|---|
| Deutschland | KRITIS-Dachgesetz vom 11. März 2026 (BGBl. 2026 I Nr. 66), in Kraft seit dem 17. März 2026. Kritische Einrichtungen heißen hier Betreiber kritischer Anlagen. Regelschwellenwert: eine Anlage, die 500.000 Menschen oder mehr versorgt (§ 5 Abs. 2 KRITISDachG). Die Betreiber registrieren sich über die gemeinsame Plattform von BBK und BSI (§ 8). Risikoanalyse nach 9 Monaten, danach mindestens alle 4 Jahre (§ 12); Resilienzmaßnahmen und Resilienzplan nach 10 Monaten (§ 13). Vorfälle werden binnen 24 Stunden gemeldet, ein ausführlicher Bericht folgt binnen eines Monats — über die gemeinsame Meldestelle von BSI und BBK (§ 18). Die Rechtsverordnung mit den Schwellenwerten je Sektor (KritisV) lag, soweit wir das prüfen konnten, noch als Entwurf vor. Bußgelder bis zu 1 Mio. € (§ 24). |
| Belgien | Belgisches Gesetz über die Resilienz kritischer Einrichtungen vom 19. Dezember 2025, in Kraft seit seiner Veröffentlichung am 19. Januar 2026. Die Koordination liegt beim Nationalen Krisenzentrum (NCCN); die Sektorbehörden haben die Einrichtungen bis zum 17. Juli 2026 benannt, und Betreiber, die nach dem Gesetz von 2011 ausgewiesen waren, wurden an diesem Tag zu kritischen Einrichtungen. Verwaltungsbußgelder bis zu 100.000 €, bei Behinderung einer Kontrolle bis zu 125.000 €. |
| Niederlande | Wet weerbaarheid kritieke entiteiten (Wwke, Gesetz über die Resilienz kritischer Einrichtungen), in Kraft seit dem 15. August 2026, zusammen mit der Cyberbeveiligingswet (Cybersicherheitsgesetz). Rund 500 Organisationen, benannt vom jeweils zuständigen Fachminister. Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes. Die Kommission hatte im April 2026, vor Inkrafttreten des Gesetzes, Klage gegen die Niederlande beim Gerichtshof der EU erhoben. |
| Frankreich | Noch nicht umgesetzt. Der Gesetzentwurf „Résilience“ — NIS2, CER und DORA in einem Gesetz — wurde im März 2025 vom Senat angenommen und steht am 7. Oktober 2026 auf der Tagesordnung der Nationalversammlung. Die Kommission hat im April 2026 Klage gegen Frankreich beim Gerichtshof der EU erhoben. Bis das Gesetz verabschiedet ist, gilt die bestehende Regelung für Betreiber von vitaler Bedeutung (OIV), koordiniert vom Generalsekretariat für Verteidigung und nationale Sicherheit (SGDSN). |
Was das für die Leitstelle bedeutet
Das meiste an der CER-Richtlinie ist Organisationsarbeit: Risikobewertungen, Pläne, Personal. Drei ihrer Pflichten aber landen in der Leitstelle — und gerade deren Erfüllung können Betreiber am schwersten nachweisen.
- Erkennen, nicht nur schützen. Artikel 13 verlangt Detektionsgeräte und die Überwachung der Umgebung, nicht nur Zäune. Ein Sensor, auf den niemand schaut, ist keine Detektion: Alarme von Zäunen, Kameras, Drohnen und SCADA müssen jemanden erreichen, der handeln kann.
- Binnen 24 Stunden Bescheid wissen. Eine Erstmeldung setzt voraus, schnell zu wissen, was wo geschehen ist, was betroffen ist und seit wann. Liegen Einbruchalarme, Cyberwarnungen und Meldungen der Kräfte vor Ort in getrennten Systemen, geht der erste Tag mit der Rekonstruktion der Zeitleiste verloren.
- Belegen, was Sie tun. Aufsichtsbehörden können Audits und Vor-Ort-Kontrollen durchführen. Maßnahmen, die nur in einem Plan stehen, lassen sich schwer belegen; Maßnahmen, die Spuren hinterlassen — Alarme, Reaktionen, Streifenprotokolle, Entscheidungen —, dagegen schon.
| Pflicht | Was Sie in der Praxis brauchen |
|---|---|
| Physischer Schutz und Detektion (Art. 13) | Perimeteralarme, Kameras und Drohnendetektion auf einer Karte, mit einer klaren Zuständigkeit für jeden Alarm. |
| Reagieren und Folgen begrenzen (Art. 13) | Die nächstgelegene Sicherheitskraft oder Streife aus demselben Lagebild entsenden — mit Kräften vor Ort, die auch in Funklöchern sichtbar bleiben. |
| Sicherheitsmanagement hinsichtlich der Mitarbeiter (Art. 13) | Zugangsrechte und Ausweisereignisse, die sich mit IT- und Standortereignissen abgleichen lassen — in den Grenzen des Datenschutzrechts. |
| Meldung von Sicherheitsvorfällen (Art. 15) | Eine Zeitleiste, die während des Vorfalls von selbst entsteht: physische, Cyber- und Vor-Ort-Ereignisse in zeitlicher Reihenfolge, bereit für die 24-Stunden-Meldung und den Bericht nach einem Monat. |
| Aufsicht und Audit (Art. 21) | Vorfälle und Übungen, die sich erneut abspielen lassen, und ein Protokoll darüber, wer auf welche Informationen zugegriffen hat. |
Software macht keinen Betreiber regelkonform. Die CER-Pflichten sind Leitungsaufgabe: Risikobewertung, Plan und Entscheidungen bleiben bei Ihnen. Ein gemeinsames Lagebild ändert, ob Sie rechtzeitig erkennen, reagieren und melden können — und ob Sie es belegen können.
Was Meridian konkret einrichten würde
- Anbinden
- Perimeteralarme, Zutrittskontrolle und Kameras an jedem Standort — unabhängig vom Hersteller
- SCADA- und OT-Alarme sowie Warnmeldungen aus dem SOC
- Drohnendetektion, wo sie installiert ist
- Standorte von Sicherheitskräften, Streifen und Instandhaltungstrupps
- Das Anlagenverzeichnis: Standorte, Kabeltrassen und die Abhängigkeiten zwischen ihnen
- Aufbauen
- Ein Lagebild aller Standorte, mit physischen, Cyber- und Vor-Ort-Ereignissen auf einer gemeinsamen Zeitleiste
- Ein Ablauf für Vorfälle: Alarm → Überprüfung per Kamera oder Drohne → Entsendung → Zeitleiste des Vorfalls, exportiert für die Meldungen nach CER und NIS2
- Ein Archiv der Vorfälle und Übungen, erneut abspielbar für Audits und für die Risikobewertung alle vier Jahre
- Betreiben
- In der Leitstelle, im SOC und auf den Diensthandys der Kräfte vor Ort
- Auf eigenen Servern des Betreibers oder in einer souveränen Cloud — der vollständig vom Netz getrennte Betrieb steht auf unserer Roadmap
Beispielhafter Aufbau — jede Einführung wird gemeinsam mit dem Betreiber gestaltet. Quellsysteme bleiben, wo sie sind; die Datenschicht von Meridian läuft in der eigenen Umgebung des Betreibers.
- EUR-Lex — Directive (EU) 2022/2557 on the resilience of critical entities (CER)
- EUR-Lex — Directive (EU) 2022/2555 (NIS2)
- European Commission — Referral to the Court of Justice over CER transposition (IP/26/910, 29.04.2026)
- Nationaal Crisiscentrum — Wet betreffende de weerbaarheid van kritieke entiteiten (BS 19.01.2026)
- Nationaal Crisiscentrum — Nieuwe wet betreffende de weerbaarheid van kritieke entiteiten aangenomen
- Nationaal Crisiscentrum — FAQ CER
- Staatsblad 2026, 188 — Wet weerbaarheid kritieke entiteiten
- Staatsblad 2026, 190 — Besluit weerbaarheid kritieke entiteiten
- Rijksoverheid — Cyberbeveiligingswet en Wwke vanaf 15 augustus 2026 van kracht (07.07.2026)
- BGBl. 2026 I Nr. 66 — KRITIS-Dachgesetz (16.03.2026)
- CMS — KRITIS-Verordnung: was Betreiber kritischer Anlagen jetzt wissen müssen (16.06.2026)
- Assemblée nationale — Projet de loi relatif à la résilience des infrastructures critiques
- SGDSN — Protéger les activités d’importance vitale
- BKA — Zeugenaufruf nach Brandanschlag in Berlin (27.01.2026)
- AIVD — Jaarverslag 2025: Rusland
- VSSE — Inlichtingenrapport 2025 (15.01.2026)
Allgemeine Information, keine Rechtsberatung. Stand 2. Oktober 2026.