Die EU-Richtlinie 2022/2557 („CER_Richtlinie“): Ein neues Kapitel für die Resilienz kritischer Einrichtungen – die Europäische Union hat die Richtlinie 2022/2557 verabschiedet, die sich auf die Resilienz kritischer Einrichtungen konzentriert. Diese Richtlinie markiert einen bedeutenden Schritt in der Entwicklung von Vorschriften zum Schutz kritischer Infrastrukturen und ersetzt die frühere Richtlinie 2008/114/EG.
Zielsetzung und Hintergrund
Die neue Richtlinie zielt darauf ab, die Resilienz kritischer Einrichtungen zu verbessern, die für das Funktionieren des Binnenmarkts wesentliche Dienste anbieten. Dies schließt eine Vielzahl von Sektoren ein, darunter Energie, Gesundheitswesen, Transport und digitale Infrastrukturen. Der zunehmend vernetzte Charakter dieser Dienste macht es erforderlich, dass nicht nur einzelne Objekte geschützt werden, sondern dass ein ganzheitlicher Ansatz verfolgt wird, der sowohl physische als auch cyberbezogene Risiken abdeckt .
Neue Verpflichtungen und Aufsichtsstrukturen
Unternehmen, die als kritische Einrichtungen gelten, müssen eine Reihe neuer Sicherheitsmaßnahmen ergreifen. Dazu gehören Risikobewertungen, die Implementierung von Resilienzmaßnahmen und regelmäßige Überprüfungen der Sicherheitsvorkehrungen. Zudem werden den Unternehmen strenge Meldepflichten auferlegt, die sicherstellen sollen, dass die zuständigen Behörden über Sicherheitsvorfälle informiert werden, um schnell reagieren zu können .
Umsetzungsfristen
Die Mitgliedstaaten sind verpflichtet, die Vorgaben der Richtlinie bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Dies schließt die Entwicklung nationaler Strategien zur Erreichung und Aufrechterhaltung eines hohen Resilienzniveaus ein, die mit den EU-Vorgaben übereinstimmen müssen.
Cybersicherheit bei uns im Blog
Aufgrund unserer Spezialisierung auf Cybersecurity-Rechtsfragen (RA JF ist zertifizierter Experte für Cybersicherheit, SRH) sowie Managerhaftung beschäftigen wir uns regelmäßig in Beiträgen mit dem IT-Sicherheitsrecht:
- NIS2-Umsetzung in Deutschland 2026
- NIS2-Richtlinie und NIS-Richtlinie
- CER-Richtlinie und DORA
- IT-Sicherheitgesetz 2.0 und IT-Sicherheitsgesetz 1.0
- Cybersecurity-Act und Cyber Solidarity Act
- EU-Verordnung zur Informationssicherheit
- BSI-Gesetz als Grundlage der Cybersecurity (derzeit veraltet)
- Haftung der Geschäftsführung für Sicherheitsmängel
- Softwareupdates gesetzlich geregelt
- Juristische Konsequenzen für Provider und Diensteanbieter bei IT-Sicherheitslücke
- Bug-Bounty-Programme
- Wirksame Kündigung bei Verstoß gegen Richtlinie zur Informationssicherheit
- Fahrlässige Tötung durch Schadsoftware im Krankenhaus?
- Haftung des Arbeitnehmers für Installation von Ransomware oder Virus
- Ransomware-Angriffe im Alltag
- Vertrag über Penetrationstest
Ausblick
Die Richtlinie 2022/2557 stellt eine umfassende Antwort der EU auf die wachsenden Herausforderungen in der Sicherheitslandschaft dar. Indem sie sowohl physische als auch cyberbezogene Aspekte integriert, bietet sie einen robusten Rahmen für den Schutz kritischer Infrastrukturen in Europa. Ihre erfolgreiche Umsetzung wird entscheidend sein, um die Resilienz gegenüber neuen und sich entwickelnden Bedrohungen zu stärken.
Diese Entwicklungen zeigen die zunehmende Bedeutung einer vernetzten Sicherheitsstrategie, die alle Aspekte der Resilienz kritischer Einrichtungen umfasst. Unternehmen und Behörden müssen eng zusammenarbeiten, um den Anforderungen gerecht zu werden und den Schutz kritischer Infrastrukturen in der EU weiter zu stärken.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (IT-Strafprozessrecht, digitale Beweismittel). Überdies beschäftigt er sich mit den rechtsstaatlichen Grundlagen moderner Arbeit und moderner Technologie – insbesondere mit der Frage, wie Bewusstsein, Verantwortung und Cybersecurity-Awareness im KI-geprägten Alltag Freiheitsräume und europäische Rechtsprinzipien sichern.
Wir übernehmen im IT-Recht und Strafrecht nur bestimmte Bereiche. So im IT-Recht allein im Softwarerecht mit darauf bezogenem IT‑Vertragsrecht und Lizenzrecht sowie rund um Cybersicherheit. Im Strafrecht übernehmen wir ausschiesslich Strafverteidigungen in Bereichen, auf die wir uns spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht