Richtlinie (EU) 2022/2557 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG des Rates (Text von Bedeutung für den EWR)

Die Richtlinie (EU) 2022/2557 ist eine EU-Richtlinie und damit für die Mitgliedstaaten hinsichtlich des zu erreichenden Ziels verbindlich, bedarf aber der Umsetzung in nationales Recht. Systematisch gehört sie zum unionsrechtlichen Resilienz- und Sicherheitsrahmen für kritische Einrichtungen und ersetzt die bisherige, auf europäische kritische Infrastrukturen ausgerichtete Richtlinie 2008/114/EG durch einen breiteren Ansatz zur Sicherstellung wesentlicher Dienste. Inhaltlich verpflichtet sie die Mitgliedstaaten zu nationalen Strategien, Risikoanalysen, Benennung zuständiger Behörden und Identifizierung kritischer Einrichtungen in bestimmten Sektoren; die betroffenen Einrichtungen müssen eigene Risikobewertungen durchführen, technische, sicherheitsbezogene und organisatorische Resilienzmaßnahmen treffen sowie erhebliche Vorfälle melden. Ergänzend regelt sie Aufsicht, Unterstützung, Informationsaustausch und besondere Koordinierung bei kritischen Einrichtungen von besonderer europäischer Bedeutung. • Der Anwendungsbereich erfasst Mitgliedstaaten, zuständige Behörden, resilienzbezogene Aufsichts- und Unterstützungsstellen sowie Einrichtungen, die in den im Anhang genannten Sektoren wesentliche Dienste erbringen, darunter etwa Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung und Raumfahrt. Erfasst werden nur Einrichtungen, die von einem Mitgliedstaat nach den unionsrechtlichen Kriterien als kritisch identifiziert werden; bei besonders grenzüberschreitender Relevanz gelten zusätzliche Regeln für kritische Einrichtungen von besonderer europäischer Bedeutung. Ausnahmen und Abgrenzungen bestehen insbesondere dort, wo speziellere unionsrechtliche Regelungen vorgehen oder einzelne nuklearspezifische Elemente gesondert durch Euratom- und sonstiges Unionsrecht erfasst sind; außerdem ist die Richtlinie eng mit der NIS-2-Systematik verzahnt. • In der Praxis bedeutet dies, dass die Resilienz kritischer Einrichtungen nicht mehr nur als Schutz einzelner Anlagen, sondern als fortlaufende Pflicht zur Sicherung wesentlicher Dienste gegen Naturgefahren, Unfälle, Gesundheitsnotlagen, hybride Bedrohungen und andere vorsätzliche Handlungen organisiert werden muss. Erforderlich sind insbesondere strukturierte Risikoanalysen, Schutz- und Vorsorgemaßnahmen, Krisenreaktions- und Wiederherstellungsprozesse sowie ein belastbares Meldewesen gegenüber den zuständigen Stellen.

Stand: 01.07.2026

Mitgliedstaaten: • Pflicht: Eine nationale Strategie zur Stärkung der Resilienz kritischer Einrichtungen festlegen und aktuell halten. • Pflicht: Nationale Risikobewertungen für die von der Richtlinie erfassten Sektoren durchführen. • Pflicht: Kritische Einrichtungen identifizieren und zuständige Behörden sowie Kontaktstellen benennen. • Empfehlung: Verfahren zur Abstimmung zwischen Resilienzaufsicht, Cybersicherheitsaufsicht und Katastrophenschutz frühzeitig institutionalisieren. Zuständige Behörden: • Pflicht: Die Einhaltung der Resilienzpflichten durch identifizierte kritische Einrichtungen überwachen und durchsetzen. • Pflicht: Einrichtungen Leitlinien, Unterstützung und erforderlichenfalls Anordnungen zur Risikominderung bereitstellen. • Pflicht: Bei erheblichen Vorfällen und grenzüberschreitenden Sachverhalten den Informationsaustausch mit anderen Stellen sicherstellen. • Empfehlung: Aufsicht, Prüfintensität und Unterstützungsangebote risikobasiert nach Sektor, Kritikalität und Vorfalllage ausrichten. Kritische Einrichtungen: • Pflicht: Risikobewertungen durchführen, die relevante natürliche und menschengemachte Risiken einschließlich sektorübergreifender und grenzüberschreitender Risiken berücksichtigen. • Pflicht: Geeignete technische, sicherheitsbezogene und organisatorische Maßnahmen zur Verhinderung, Bewältigung, Absorption und Wiederherstellung nach Vorfällen treffen. • Pflicht: Erhebliche Vorfälle den zuständigen Behörden melden. • Empfehlung: Resilienz als fortlaufenden Managementprozess mit Notfallplanung, Wiederanlaufkonzepten, Lieferkettenbetrachtung und regelmäßiger Überprüfung verankern. Kritische Einrichtungen von besonderer europäischer Bedeutung: • Pflicht: Zusätzliche Koordinierungs- und Informationsanforderungen im Verhältnis zu mehreren betroffenen Mitgliedstaaten beachten. • Pflicht: Eine vertiefte Zusammenarbeit mit zuständigen Behörden bei Beratungsmissionen und unionsbezogener Bewertung ermöglichen. • Pflicht: Erkenntnisse aus grenzüberschreitenden Risiken und Abhängigkeiten in die eigene Resilienzplanung aufnehmen. • Empfehlung: Grenzüberschreitende Kommunikations- und Krisenabläufe mit allen betroffenen Staaten vorab standardisieren.