Resilienz statt Theorie: CER wirksam umsetzen

Am 6. März 2026 hat der Bundesrat dem Kritis-Dachgesetz zugestimmt. Bis Jahresmitte erfahren viele Unternehmen, ob sie als „kritische Einrichtung“ gelten. In diesem Fall müssen sie die Anforderungen der Critical Entities Resilience (CER)-Richtlinie zügig in die Praxis umsetzen – nicht nur auf dem Papier.

Wobei die Auslegung für die einzelnen Branchen noch im Fluss ist. „Je später Klarheit herrscht, desto größer wird der Druck. Die Unternehmen müssen sich vorbereiten, ohne die finalen Vorgaben zu kennen“, so Christian Bünger, Senior Manager für Digitalisierung im Verband der Chemischen Industrie (VCI). Zudem setzten die EU-Mitgliedsstaaten die Vorgaben unterschiedlich um, was international einheitliche Compliance erschwere. Zudem verschärfe der sog. All-Gefahren-Ansatz die Anforderungen. Nach Darstellung des Bundesministeriums des Inneren und für Heimat seien sämtliche denkbaren Risiken einzubeziehen – von Natur­ereignissen bis zu Sabotage. „Das ist umfassend gemeint – und entsprechend aufwendig in der Umsetzung“, sagt Bünger.
Allerdings zielt die CER-Richtlinie, anders als die mitunter als monströs wahrgenommene NIS2-Directive (Cyber Security), auf physische Resilienz und trifft damit in klassischen Kritis-Sektoren nicht auf neues Terrain. Risiko-, Sicherheits- und Notfallstrukturen sind in vielen Unternehmen bereits vorhanden. CER verlangt in der Regel nicht deren Neubau. Gefordert ist vielmehr, bestehende Systeme miteinander zu verzahnen und damit besser auf außergewöhnliche Störlagen auszurichten; etwa auf Sabotage, Terroranschläge, Naturkatastrophen, Extremwetter oder technische Großschäden. „CER verlangt keine Hochsicherheitsarchitektur, wie es vielfach befürchtet wird, sondern einen nachvollziehbaren Nachweis, dass der Betrieb auch unter Stress weitergeführt werden kann“, so Michael Blaumoser, Geschäftsführer der Sicherheitsberatung SIUS Consulting.