1. Mit der Richtlinie (EU) 2022/2557 des Europäischen Parlaments und des Rates ¹ über die Resilienz kritischer Einrichtungen (im Folgenden "Richtlinie") soll gewährleistet werden, dass Dienste, die für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten von wesentlicher Bedeutung sind, im Binnenmarkt ungehindert erbracht werden können. Durch die Richtlinie wird die Resilienz der kritischen Einrichtungen, die solche Dienste erbringen, verbessert und ein übergreifender Rahmen für die Resilienz kritischer Einrichtungen gegenüber allen (durch Naturkatastrophen und vom Menschen verursachten, unbeabsichtigten oder vorsätzlichen) Gefahren geschaffen.

2. Um ein hohes Maß an Resilienz zu erreichen, haben die Mitgliedstaaten gemäß der Richtlinie Verpflichtungen. Die Kommission wurde beauftragt, Empfehlungen, unverbindliche Leitlinien und ein unverbindliches gemeinsames Berichtsmuster auszuarbeiten, um die Mitgliedstaaten bei der Erfüllung einiger dieser Verpflichtungen zu unterstützen. Mit dieser Mitteilung werden insbesondere Artikel 5 Absatz 5 der Richtlinie in Bezug auf die Ausarbeitung eines Musters für die Übermittlung bestimmter Informationen an die Kommission, Artikel 6 Absatz 6 der Richtlinie in Bezug auf die Ausarbeitung von Empfehlungen und Leitlinien zur Unterstützung der Mitgliedstaaten bei der Ermittlung kritischer Einrichtungen und Artikel 7 Absatz 3 der Richtlinie in Bezug auf die Annahme von Leitlinien zur Erleichterung der Anwendung der Kriterien für die Bestimmung des Ausmaßes einer Störung umgesetzt, wobei die von den Mitgliedstaaten gemäß Artikel 7 Absatz 2 der Richtlinie zu übermittelnden Informationen berücksichtigt werden.

3. Vor der Annahme dieser Mitteilung wurden die Mitgliedstaaten im Rahmen eines Workshops am 3. und 4. Oktober 2024 und die Gruppe für die Resilienz kritischer Einrichtungen (im Folgenden "CERG") am 12. Februar 2025 gemäß den vorstehend genannten Bestimmungen konsultiert. Weitere bilaterale Konsultationen der Delegierten der CERG fanden im März 2025 schriftlich statt, und am 7. April 2025 wurde der CERG eine aktualisierte Fassung übermittelt.

4. Die vorliegende Mitteilung ist nicht rechtsverbindlich und berührt nicht die Auslegung des EU-Rechts durch den Gerichtshof der Europäischen Union.

II. Unverbindliches gemeinsames Berichtsmuster

5. Das unverbindliche gemeinsame Berichtsmuster, nach dem die Mitgliedstaaten der Kommission bestimmte Informationen im Zusammenhang mit der Risikobewertung gemäß Artikel 5 Absatz 5 der Richtlinie übermitteln sollten, ist im Anhang enthalten.

6. Obgleich das Berichtsmuster unverbindlich ist, werden die Mitgliedstaaten aufgefordert, es bei der Übermittlung von Informationen gemäß Artikel 5 Absatz 4 der Richtlinie zu verwenden.

III. Unverbindliche Leitlinien zur Unterstützung bei der Ermittlung kritischer Einrichtungen

Abbildung 1
Das Verfahren zur Ermittlung kritischer Einrichtungen ²

7. Im Zusammenhang mit der Unterstützung bei der Ermittlung kritischer Einrichtungen sollen diese unverbindlichen Leitlinien unter Berücksichtigung der Erwägungsgründe 3 ³ und 16 ⁴ der Richtlinie insbesondere dazu beitragen, dass die Kriterien für die Ermittlung kritischer Einrichtungen auf EU-Ebene einheitlich angewendet werden.

8. In Artikel 6 Absatz 2 der Richtlinie heißt es: "Wenn ein Mitgliedstaat kritische Einrichtungen gemäß Absatz 1 ermittelt, berücksichtigt er die Ergebnisse seiner Risikobewertung durch Mitgliedstaaten und seine Strategie und wendet alle folgenden Kriterien an:

1. Die Einrichtung erbringt einen oder mehrere wesentliche Dienste,
2. die Einrichtung ist im Hoheitsgebiet dieses Mitgliedstaats tätig und ihre kritische Infrastruktur befinden sich dort, und
3. ein Sicherheitsvorfall würde eine erhebliche Störung im Sinne von Artikel 7 Absatz 1 bei der Erbringung eines oder mehrerer wesentlichen Dienste durch die Einrichtung, oder bei der Erbringung von anderen wesentlichen Diensten in den im Anhang genannten Sektoren, die von diesem oder diesen wesentlichen Diensten abhängen, bewirken".

9. Daraus folgt, dass die Mitgliedstaaten bei der Ermittlung kritischer Einrichtungen drei Hauptelemente berücksichtigen sollten: die Ergebnisse der Risikobewertung, das Ergebnis der nationalen Strategie und die kumulative Anwendung der vorstehend unter Randnummer 8 genannten Kriterien.

III.1. Das Ergebnis der Risikobewertung

10. In Erwägungsgrund 15 der Richtlinie heißt es: "Die Maßnahmen der Mitgliedstaaten zur Ermittlung der kritischen Einrichtungen und zur Gewährleistung ihrer Resilienz sollten einem risikobasierten Ansatz folgen, bei dem diejenigen Einrichtungen im Fokus stehen, die für die Erfüllung wichtiger gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten am bedeutendsten sind".

11. Die Mitgliedstaaten werden aufgefordert, die Ergebnisse der gemäß Artikel 5 der Richtlinie durchgeführten Risikobewertung zur Ermittlung kritischer Einrichtungen in Bezug auf folgende Aspekte umzusetzen:

1. das Ausmaß der Verluste oder Störungen (hohe oder geringe Auswirkungen) bei der Erbringung eines wesentlichen Dienstes durch eine bestimmte Einrichtung und
2. die Eintrittswahrscheinlichkeit der Verluste oder Störungen (hohe oder geringe Wahrscheinlichkeit) bei der Erbringung eines wesentlichen Dienstes durch eine bestimmte Einrichtung.

12. Sektorübergreifende oder grenzüberschreitende Risiken sollten bei der Ermittlung kritischer Einrichtungen besonders berücksichtigt werden, da sie zu breiteren Kaskadeneffekten auf die Erbringung wesentlicher Dienste durch andere Einrichtungen in den im Anhang der Richtlinie genannten Sektoren führen können.

III.2. Die Strategie zur Verbesserung der Resilienz kritischer Einrichtungen

13. In Erwägungsgrund 13 der Richtlinie heißt es: "Im Hinblick auf die Gewährleistung eines umfassenden Ansatzes in Bezug auf die Resilienz kritischer Einrichtungen sollte jeder Mitgliedstaat über eine Strategie zur Verbesserung der Resilienz kritischer Einrichtungen (im Folgenden 'Strategie') verfügen". In diesem Erwägungsgrund heißt es auch: "Die Strategien sollten die umzusetzenden strategischen Ziele und politischen Maßnahmen festlegen. Im Interesse von Kohärenz und Effizienz sollte die Strategie so konzipiert sein, dass bestehende politische Strategien nahtlos einbezogen werden, wobei nach Möglichkeit auf entsprechenden bestehenden nationalen und sektorbezogenen Strategien, Plänen oder ähnlichen Dokumenten aufgebaut werden sollte". Die Strategie ist gemäß Artikel 4 der Richtlinie zu verabschieden.

14. Zur Verwirklichung eines umfassenden Ansatzes für die Ermittlung kritischer Einrichtungen sollten die Mitgliedstaaten sicherstellen, dass ihre Strategien in Bezug auf den Informationsaustausch über Cybersicherheitsrisiken, Cyberbedrohungen und Cybersicherheitsvorfälle und über nicht cyberbezogene Risiken, Bedrohungen und Sicherheitsvorfälle sowie im Zusammenhang mit der Wahrnehmung von Aufsichtsaufgaben einen Rahmen für eine verstärkte Koordinierung zwischen der gemäß der Richtlinie zuständigen Behörde und der gemäß der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates ⁵ zuständigen Behörde vorsehen ⁶. Da sich dies auf die Ermittlung kritischer Einrichtungen in Sektoren, die in besonderem Maße hybriden Bedrohungen ausgesetzt sind, auswirken kann, sollten die Mitgliedstaaten bei der Festlegung ihrer Strategien und bei deren Weiterentwicklung zum Zwecke der Ermittlung kritischer Einrichtungen dem hybriden Charakter der Bedrohungen für kritische Einrichtungen gebührend Rechnung tragen. Die Mitgliedstaaten werden aufgefordert, europäische und internationale Normen zu berücksichtigen, die für die Maßnahmen zur Sicherheit und Resilienz kritischer Einrichtungen relevant sind und die in die Strategien der Mitgliedstaaten und anschließend in ihre Benennungsverfahren und Entscheidungen einfließen können.

15. Gemäß Artikel 4 Absatz 2 der Richtlinie muss die Strategie bestimmte Elemente wie strategische Ziele und Prioritäten zur Verbesserung der Gesamtresilienz kritischer Einrichtungen und eine Beschreibung des Verfahrens zur Ermittlung kritischer Einrichtungen enthalten. Die strategischen Ziele und Prioritäten könnten in das Verfahren zur Ermittlung kritischer Einrichtungen einfließen. So könnten beispielsweise im Rahmen der Prioritätensetzung in der Strategie Schwellenwerte für annehmbare, tolerierbare und unannehmbare Risiken festgelegt werden. Dies könnte das Verfahren zur Ermittlung kritischer Einrichtungen durch die zuständigen Behörden unterstützen und als Grundlage für die Bestimmung des Ausmaßes einer Störung dienen.

III.3. Die Kriterien für die Ermittlung kritischer Einrichtungen

16. Aus Artikel 6 Absatz 2 der Richtlinie geht hervor, dass die drei in dieser Bestimmung festgelegten Kriterien kumulativ anzuwenden sind, d. h. nur eine Einrichtung, die alle drei Kriterien erfüllt, kann als kritische Einrichtung im Sinne der Richtlinie eingestuft werden.

17. Daher und unter Berücksichtigung der nach Artikel 1 Absatz 6 sowie Artikel 5 Absatz 1 und Artikel 7 Absatz 1 vorgesehenen Nichtanwendung der Richtlinie sind bei der Ermittlung kritischer Einrichtungen die folgenden fünf Schritte zu berücksichtigen (siehe Abbildung 1):

1. Gehört die Einrichtung zu einem bzw. einer der im Anhang der Richtlinie aufgeführten Sektoren oder Teilsektoren und Kategorien von Einrichtungen?
2. Erbringt die Einrichtung einen oder mehrere wesentliche Dienste?
3. Ist die Einrichtung im Hoheitsgebiet dieses Mitgliedstaats tätig und befindet sich ihre kritische Infrastruktur dort?
4. Würde ein Sicherheitsvorfall eine erhebliche Störung ⁷ bei der Erbringung eines oder mehrerer wesentlichen Dienste durch die Einrichtung, oder bei der Erbringung von anderen wesentlichen Diensten in den im Anhang genannten Sektoren, die von diesem oder diesen wesentlichen Diensten abhängen, bewirken?
5. Ist die Einrichtung vom Anwendungsbereich der Richtlinie ausgenommen ⁸ ?

18. Die Mitgliedstaaten können die Reihenfolge, in der sie diese Schritte durchführen, selbst festlegen. Die Richtlinie schreibt keine bestimmte Reihenfolge vor.

19. Stellt sich nach Durchführung dieser Schritte heraus, dass eine Einrichtung die drei Kriterien gemäß Artikel 6 Absatz 1 der Richtlinie kumulativ erfüllt, muss sie von dem Mitgliedstaat als kritische Einrichtung eingestuft werden. In Erwägungsgrund 16 wird erläutert: "Wenn es in einem Mitgliedstaat keine Einrichtung gibt, die diese Kriterien erfüllt, sollte dieser Mitgliedstaat nicht verpflichtet sein, eine kritische Einrichtung in dem entsprechenden Sektor oder Teilsektor zu ermitteln".

(a) Gehört die Einrichtung zu einem bzw. einer der im Anhang der Richtlinie aufgeführten Sektoren oder Teilsektoren und Kategorien von Einrichtungen?

20. Im Anhang der Richtlinie sind in der dritten Spalte die Kategorien von Einrichtungen aufgeführt, die der Liste der unter die Richtlinie fallenden Sektoren und Teilsektoren entsprechen. Bei fast allen Kategorien wird auf die einschlägigen sektoralen EU-Rechtsvorschriften verwiesen, in denen diese Kategorie von Einrichtungen definiert ist. Diese Rechtsvorschriften sollten bei der Ermittlung sorgfältig geprüft werden, um zu verstehen, welche Kategorie von Einrichtungen in dem betreffenden Sektor oder Teilsektor erfasst ist.

21. Besonderheiten in bestimmten Sektoren sollten bei der Ermittlung berücksichtigt werden. In Bezug auf den Energiesektor heißt es in Erwägungsgrund 5 der Richtlinie: "Für den Energiesektor und insbesondere die Methoden der Elektrizitätserzeugung und -übertragung (in Bezug auf die Stromversorgung) gilt, dass - sofern dies als zweckmäßig erachtet wird - der Begriff Elektrizitätserzeugung auch die zur Übertragung von Elektrizität verwendeten Komponenten von Kernkraftwerken abdecken kann, nicht jedoch die spezifisch kerntechnischen Komponenten, die durch Verträge und das Unionsrecht, einschließlich der entsprechenden Rechtsvorschriften der Union im Nuklearbereich, erfasst werden".

22. In Bezug auf den Lebensmittelsektor heißt es ebenfalls in Erwägungsgrund 5 der Richtlinie: "Um daher einen verhältnismäßigen Ansatz sicherzustellen und die Rolle und Bedeutung jener Einrichtungen auf nationaler Ebene angemessen widerzuspiegeln, sollten kritische Einrichtungen daher nur unter Lebensmittelunternehmen ermittelt werden - unabhängig davon, ob sie gewinnorientiert sind oder nicht und ob es sich um öffentliche oder private Unternehmen handelt -, die ausschließlich in den Bereichen Logistik und Großhandel sowie industrielle Großproduktion und -verarbeitung mit einem auf nationaler Ebene beobachteten erheblichen Marktanteil tätig sind".

23. Bei der Ermittlung kritischer Einrichtungen sollten die Mitgliedstaaten die besondere Bedeutung bestimmter Sektoren wie des Verkehrs im Hinblick auf die Schlüsselrolle von See- oder Binnenhäfen, Straßen, Flughäfen und Eisenbahnen, insbesondere wenn sie einem doppelten Verwendungszweck für militärische Mobilität und zivile Nutzung dienen, und von Wasser-, Energie- und digitaler Infrastruktur für die Erbringung wesentlicher Dienste in anderen Sektoren, im Hinblick auf ihre strategische Bedeutung für die Gewährleistung der Resilienz der Lieferkette und für die Bekämpfung des unerlaubten Handels und organisierten Verbrechens berücksichtigen.

24. In Bezug auf Einrichtungen in den Sektoren Banken, Finanzmarktinfrastruktur und digitale Infrastruktur müssen die Mitgliedstaaten gemäß Artikel 8 der Richtlinie und den Erläuterungen in den Erwägungsgründen 20 und 21 kritische Einrichtungen, die zu diesen Sektoren gehören, auf der Grundlage derselben Kriterien und nach dem in der Richtlinie vorgesehenen Verfahren ermitteln. Die jeweils zuständigen Behörden sollten einander bei der Ermittlung der Einrichtungen in diesen drei Sektoren entsprechend ihrer allgemeinen Verpflichtung zur wirksamen Zusammenarbeit bei der Erfüllung ihrer Aufgaben gemäß Artikel 9 Absatz 1 der Richtlinie unterrichten und konsultieren.

25. Bei der Ermittlung kritischer Einrichtungen gemäß Artikel 6 der Richtlinie sollten die Mitgliedstaaten Einrichtungen, die wesentliche Dienste für die elektronische Kommunikation und Stromübertragung über Seekabel erbringen, gebührend berücksichtigen ⁹.

(b) Erbringt die Einrichtung einen oder mehrere wesentliche Dienste?

26. Während der Hauptzweck der Delegierten Verordnung (EU) 2023/2450 der Kommission ¹⁰ (im Folgenden "Delegierte Verordnung der Kommission") darin besteht, eine Liste wesentlicher Dienste in den im Anhang der Richtlinie aufgeführten Sektoren und Teilsektoren festzulegen, die von den zuständigen Behörden für die Durchführung von Risikobewertungen zu verwenden ist, sollte dieselbe Liste anschließend auch im Ermittlungsverfahren verwendet werden, um zu entscheiden, ob die Einrichtung das erste Kriterium erfüllt, d. h. ob die Einrichtung einen oder mehrere wesentliche Dienste erbringt.

27. In Erwägungsgrund 4 der Delegierten Verordnung der Kommission heißt es, dass "die Liste der wesentlichen Dienste unter Berücksichtigung aller einschlägigen Bestimmungen der Richtlinie... verwendet werden" sollte. Dies betrifft auch die Definition des Begriffs "wesentlicher Dienst" als Dienst, der für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen, wichtiger wirtschaftlicher Tätigkeiten, der öffentlichen Gesundheit und Sicherheit oder der Erhaltung der Umwelt von entscheidender Bedeutung ist, sowie die Definition des Begriffs "Einrichtung der öffentlichen Verwaltung" ¹¹ und die Bestimmungen über den Anwendungsbereich der Richtlinie ¹², die unter anderem für die Anwendung des ersten vorstehend genannten Kriteriums von Bedeutung sind.

28. Aus Artikel 5 Absatz 1 der Richtlinie geht jedoch eindeutig hervor, dass die in der Delegierten Verordnung der Kommission enthaltene Liste nicht erschöpfend ist. Daher kann es andere wesentliche Dienste geben, die unter die Richtlinie fallen, jedoch nicht darin aufgeführt sind. Folglich sind die aufgeführten wesentlichen Dienste zwar ein wichtiger Bezugspunkt, aber nicht unbedingt die einzigen, die von den Mitgliedstaaten bei der Anwendung des Artikels 6 Absatz 2 Buchstabe a der Richtlinie zu berücksichtigen sind. Diese Bestimmung bezieht sich auf "wesentliche Dienste" im Sinne des Artikels 2 Nummer 5 der Richtlinie im Allgemeinen, ohne sich zwangsläufig auf die in der Delegierten Verordnung der Kommission aufgeführten wesentlichen Dienste zu beschränken.

(c) Ist die Einrichtung im Hoheitsgebiet dieses Mitgliedstaats tätig und befindet sich ihre kritische Infrastruktur dort?

29. In diesem Schritt sollten die Mitgliedstaaten prüfen, ob Einrichtungen tatsächlich im Sinne der Ausübung ihrer Tätigkeiten in ihrem Hoheitsgebiet tätig sind und dass sie über kritische Infrastruktur dort in dem Sinne verfügen, dass sich diese physisch dort befindet. Diese beiden Elemente (Tätigkeit durch die kritische Einrichtung und Standort der kritischen Infrastruktur) werden in Erwägungsgrund 16 der Richtlinie erläutert, wonach davon ausgegangen werden sollte, dass eine Einrichtung im Hoheitsgebiet eines Mitgliedstaats tätig ist, in dem sie Tätigkeiten ausübt, die für den betreffenden wesentlichen Dienst oder für die betreffenden wesentlichen Dienste erforderlich sind, und in dem sich die kritische Infrastruktur dieser Einrichtung, die zur Erbringung dieses Dienstes oder dieser Dienste genutzt wird, befindet.

30. Für die Zwecke der Anwendung des Artikels 6 Absatz 2 Buchstabe b der Richtlinie sollte davon ausgegangen werden, dass das Hoheitsgebiet eines Mitgliedstaats - vorbehaltlich der sich aus Artikel 355 AEUV ergebenden Grenzen - das Landgebiet und die Binnenwasserstraßen dieses Mitgliedstaats sowie das von diesem Mitgliedstaat festgelegte Küstenmeer (einschließlich des Meeresbodens und des Meeresuntergrunds) gemäß dem Seerechtsübereinkommen der Vereinten Nationen (im Folgenden "SRÜ") umfasst. Darüber hinaus umfasst es die von diesem Mitgliedstaat festgelegte ausschließliche Wirtschaftszone (im Folgenden "AWZ") und den Festlandsockel, jedoch nur insoweit, als eine Verbindung zwischen der in ihrer AWZ oder auf dem Festlandsockel gelegenen kritischen Infrastruktur und den Hoheitsrechten oder der Gerichtsbarkeit besteht, die ein Küstenstaat gemäß dem SRÜ in diesen Teilen des Meeres ausübt, ohne in die durch das SRÜ garantierten Rechte und Freiheiten anderer Staaten einzugreifen. Daher sollten die Mitgliedstaaten bei der Anwendung von Artikel 6 Absatz 2 Buchstabe b der Richtlinie gegebenenfalls eine Einzelfallprüfung vornehmen, um festzustellen, inwieweit kritische Infrastrukturen in ihrer AWZ und auf dem Festlandsockel erfasst sind.

31. So ist beispielsweise dieser Mitgliedstaat im Falle von unterseeischen Kabeln oder Rohrleitungen, die von anderen Staaten in Ausübung ihrer Rechte nach Artikel 58 Absatz 1 und Artikel 79 Absatz 1 des SRÜ verlegt wurden und durch die AWZ oder den Festlandsockel eines Küstenmitgliedstaats führen, nicht verpflichtet, seinen Verpflichtungen aus der Richtlinie in Bezug auf diese kritische Infrastruktur nachzukommen, sofern sie nicht unter seine funktionale Souveränität und Hoheitsbefugnisse in der AWZ und auf dem Festlandsockel gemäß dem SRÜ fällt. Dagegen sollten unterseeische Kabel oder Rohrleitungen, die sich in der AWZ oder auf dem Festlandsockel eines Küstenmitgliedstaats befinden, in diesem Staat den in der Richtlinie festgelegten Verpflichtungen unterliegen, wenn diese kritische Infrastruktur mit den Tätigkeiten verbunden ist, durch die dieser Staat seine Souveränität oder Hoheitsbefugnisse in der AWZ oder dem Festlandsockel gemäß den Artikeln 56 und 77 des SRÜ ausgeübt hat.

32. Da dies in Artikel 6 Absatz 2 Buchstabe b der Richtlinie nicht erwähnt wird, sollte der Ort der Niederlassung der Einrichtung nicht als Element dieses Kriteriums betrachtet werden. Daher sollte dieses Element als irrelevant für das Verfahren zur Ermittlung kritischer Einrichtungen im Rahmen der Richtlinie angesehen werden.

(d) Würde ein Sicherheitsvorfall eine erhebliche Störung bei der Erbringung eines oder mehrerer wesentlichen Dienste durch die Einrichtung, oder bei der Erbringung von anderen wesentlichen Diensten in den im Anhang genannten Sektoren, die von diesem oder diesen wesentlichen Diensten abhängen, bewirken?

33. Die Frage der Bestimmung des Ausmaßes einer Störung wird in Artikel 7 Absatz 1 der Richtlinie näher ausgeführt, in dem die hierfür zu berücksichtigenden Kriterien aufgeführt sind. Diese Kriterien werden in Abschnitt IV dieser Leitlinien näher erläutert.

(e) Ist die Einrichtung vom Anwendungsbereich der Richtlinie ausgenommen?

34. Gehört eine Einrichtung zu einer der Kategorien von Einrichtungen, für die die Richtlinie gemäß Artikel 1 Absatz 6 der Richtlinie nicht gilt, besteht keine Verpflichtung, sie gemäß der Richtlinie als kritische Einrichtung einzustufen.

35. Ungeachtet der rechtlichen Verpflichtung der Mitgliedstaaten, die in der Richtlinie festgelegten Kriterien wie in Abschnitt III.3 Buchstaben A bis D dieser Leitlinien erläutert anzuwenden, können sie nach nationalem Recht und im Einklang mit dem Unionsrecht Verpflichtungen in Bezug auf kritische Einrichtungen auch auf Einrichtungen anwenden, die in anderen Sektoren tätig sind, die nach nationalem Recht als kritisch gelten und nicht im Anhang der Richtlinie aufgeführt sind.

36. Wie vorstehend unter Randnummer 28 erläutert, ist die Delegierte Verordnung der Kommission zwar ein wichtiger Bezugspunkt, doch müssen die Mitgliedstaaten möglicherweise andere als die in der Delegierten Verordnung der Kommission aufgeführten wesentlichen Dienste berücksichtigen. Darüber hinaus können die Mitgliedstaaten nach nationalem Recht und im Einklang mit dem Unionsrecht beschließen, Einrichtungen, die andere als die unter die Richtlinie fallenden wesentlichen Dienste erbringen, Verpflichtungen zur Verbesserung der Resilienz aufzuerlegen.

37. Die Mitgliedstaaten können somit nach nationalem Recht und im Einklang mit dem Unionsrecht andere als die auf der Grundlage der Richtlinie ermittelten kritischen Einrichtungen ermitteln ¹³. Da solche Einrichtungen auf der Grundlage des nationalen Rechts ermittelt würden, müssen sie folglich die in Artikel 6 Absatz 2 der Richtlinie aufgeführten und vorstehend erläuterten kumulativen Kriterien nicht erfüllen.

IV. Unverbindliche Leitlinien zur Erleichterung der Anwendung der Kriterien zur Bestimmung des Ausmasses einer Störung

38. Zwar ergibt sich aus Artikel 7 Absatz 1 der Richtlinie, dass bei der Bestimmung des Ausmaßes einer Störung alle Kriterien zu berücksichtigen sind, doch können die Mitgliedstaaten die konkrete Relevanz dieser Kriterien unter Berücksichtigung der besonderen Umstände des Einzelfalls weiter prüfen.

IV.1. Die Zahl der Nutzer, die den wesentlichen Dienst in Anspruch nehmen

39. Die Mitgliedstaaten werden aufgefordert, bei der Anwendung dieses Kriteriums Folgendes zu berücksichtigen:

1. sowohl natürliche als auch juristische Personen als Nutzer;
2. andere kritische Einrichtungen als Nutzer;
3. die Gesamtzahl der Nutzer, die den wesentlichen Dienst direkt in Anspruch nehmen, und/oder, soweit dies abschätzbar ist, der indirekten Nutzer des wesentlichen Dienstes, d. h. Personen, die den Dienst nicht direkt in Anspruch nehmen, aber von dessen Störung betroffen wären.

40. Bei der Verwendung eines Schwellenwerts zur Bewertung der Zahl der Nutzer sollte bei dem gewählten Schwellenwert berücksichtigt werden, ob

1. die Nutzer in einem bestimmten Gebiet konzentriert oder in einer Region verstreut sind;
2. die Nutzer schutzbedürftigen Gruppen angehören, z.B. ältere Menschen, Menschen mit Behinderungen oder Kinder;
3. eine zeitkritische Abhängigkeit von dem betreffenden wesentlichen Dienst besteht, beispielsweise von Betreibern bodengestützter Weltrauminfrastrukturen;
4. die Zahl der Nutzer des betreffenden wesentlichen Dienstes zwar nicht hoch ist, diese Nutzer jedoch in hohem Maße auf den wesentlichen Dienst angewiesen sind, z.B. einen Gesundheitsdienstleister.

IV.2. Das Ausmaß der Abhängigkeit anderer im Anhang der Richtlinie festgelegten Sektoren und Teilsektoren von dem betreffenden wesentlichen Dienst

41. Kritische Einrichtungen sind häufig eng miteinander verbunden und auf komplexe Weise voneinander abhängig. Abhängigkeiten und gegenseitige Abhängigkeiten sind ein Risikomultiplikator, der das Ausmaß einer Störung verstärken kann.

42. Die Mitgliedstaaten werden aufgefordert, bei der Anwendung dieses Kriteriums zu berücksichtigen, ob:

1. zwei oder mehr Sektoren von dem betreffenden wesentlichen Dienst abhängig sind;
2. die kritischen Einrichtungen, die in anderen Sektoren und Teilsektoren als dem betreffenden Sektor tätig sind, über Alternativen zu diesem wesentlichen Dienst verfügen;
3. sich die Störung durch einen Vorfall im Zusammenhang mit der Erbringung des wesentlichen Dienstes rasch ausbreiten und zu Kaskadeneffekten in anderen Sektoren und Teilsektoren führen würde.

43. In Erwägungsgrund 18 der Richtlinie heißt es: "Daher sollten die Mitgliedstaaten bei der Bestimmung des Ausmaßes der Abhängigkeit anderer Sektoren und Teilsektoren von wesentlichen Diensten einer kritischen Einrichtung so weit wie möglich auch die Auswirkungen auf die Lieferketten berücksichtigen".

44. Um solchen Auswirkungen auf die Lieferkette entgegenzuwirken, werden die Mitgliedstaaten aufgefordert, bestehende Bestandsaufnahmen zu nutzen oder eine Bestandsaufnahme der Lieferketten für wesentliche Dienste durchzuführen, die von Einrichtungen in Sektoren erbracht werden, die in den Anwendungsbereich der Richtlinie fallen, wie direkte Lieferanten und Kunden, indirekte Lieferanten und Kunden, sektorübergreifende und grenzüberschreitende Abhängigkeiten, auch außerhalb der EU.

IV.3. Die möglichen Auswirkungen von Sicherheitsvorfällen - hinsichtlich Ausmaß und Dauer - auf wirtschaftliche und gesellschaftliche Tätigkeiten, die Umwelt, die öffentliche Ordnung und Sicherheit oder die Gesundheit der Bevölkerung

45. Bei der Bewertung des Ausmaßes und der Dauer eines Vorfalls sollte jedes der in Artikel 7 Absatz 1 Buchstabe c der Richtlinie genannten Elemente gesondert berücksichtigt werden. Je länger ein Sicherheitsvorfall andauert und je höher seine Intensität ist, desto stärker dürften die Auswirkungen auf die wirtschaftlichen und gesellschaftlichen Tätigkeiten, die Umwelt, die öffentliche Ordnung und Sicherheit oder die Gesundheit der Bevölkerung sein.

46. Die Mitgliedstaaten werden aufgefordert, bei der Anwendung dieses Kriteriums folgende Elemente zu berücksichtigen:

47. Im Hinblick auf die möglichen Auswirkungen von Sicherheitsvorfällen auf wirtschaftliche Tätigkeiten werden die Mitgliedstaaten aufgefordert, Folgendes zu berücksichtigen:

1. die geschätzten direkten Kosten im Zusammenhang mit den durch Störungen verursachten physischen Schäden, der Umfang und die Dauer der Betriebsunterbrechung nach Einstellung der Tätigkeiten, Einnahmeverluste, mögliche Schließungen und Versicherungskosten, wenn ihre Auswirkungen so erheblich sind, dass sie sich potenziell auf die Makroökonomie auswirken können;
2. die geschätzten Kosten, die durch Unterbrechungen der Lieferkette verursacht werden, die zu Verzögerungen und Engpässen bei der Erbringung wesentlicher Dienste, einem Rückgang der Verbraucherausgaben und einem Vertrauensverlust der Öffentlichkeit führen;
3. die geschätzten Kosten, die durch die Auswirkungen auf Investitionen, Handel und langfristiges Wirtschaftswachstum entstehen.

48. Hinsichtlich der Auswirkungen von Sicherheitsvorfällen auf gesellschaftliche Tätigkeiten werden die Mitgliedstaaten aufgefordert, das Ausmaß der Störungen staatlicher Tätigkeiten auf zentraler, regionaler oder lokaler Ebene und der Störungen der Tätigkeiten des Privatsektors, die die allgemeine Fähigkeit zur Erbringung wesentlicher Dienste beeinträchtigen, einschließlich Störungen des täglichen Lebens, zu bewerten.

49. Im Hinblick auf die möglichen Auswirkungen von Sicherheitsvorfällen auf die Umwelt werden die Mitgliedstaaten aufgefordert, Folgendes zu berücksichtigen:

1. die geschätzten Schäden an Ökosystemen und die Verfügbarkeit von Ökosystemleistungen im Sinne des Artikels 2 Nummer 14 der Verordnung (EU) 2020/852 des Europäischen Parlaments und des Rates ¹⁴ über die Einrichtung eines Rahmens zur Erleichterung nachhaltiger Investitionen;
2. Auswirkungen auf Luftqualität (Luftschadstoffkonzentrationen, Luftqualitätsindizes, Veränderungen im aquatischen Ökosystem), Wasserqualität (Veränderungen der Schadstoffkonzentrationen im Wasser und in Meeresgewässern, Wasserqualität, Auswirkungen auf die menschliche Gesundheit, Schädigung der biologischen Vielfalt), Boden (Erdreich, Entwaldung, Verstädterung, Landwirtschaft, Veränderungen der biologischen Vielfalt);
3. Auswirkungen auf den Klimawandel, einschließlich Veränderungen der Treibhausgasemissionen;
4. Eintritt akuter oder chronischer Klimarisiken.

50. Die Bewertung der möglichen Auswirkungen von Sicherheitsvorfällen auf die Umwelt sollte auf einem umfassenden Ansatz beruhen, bei dem sowohl die direkten als auch die indirekten Auswirkungen sowie die kurz- und langfristigen Folgen berücksichtigt werden. Die Mitgliedstaaten werden aufgefordert, auf bestehende Umweltverträglichkeitsprüfungen zurückzugreifen oder solche Prüfungen oder strategische Umweltprüfungen oder Lebenszyklusanalysen durchzuführen.

51. Im Hinblick auf die möglichen Auswirkungen von Sicherheitsvorfällen auf die öffentliche Ordnung und Sicherheit werden die Mitgliedstaaten aufgefordert, Folgendes zu berücksichtigen:

1. die Auswirkungen verschiedener Arten von Sicherheitsvorfällen und deren Folgen für die Erbringung wesentlicher Dienste in Bezug auf Umfang und Dauer, für die Verfügbarkeit und Wirksamkeit staatlicher Dienste im Bereich der öffentlichen Ordnung und Sicherheit, wie Polizeidienste, Feuerwehr, Gerichte und Strafvollzugsanstalten, für die Kriminalitätsrate, in Bezug auf das Potenzial für soziale Unruhen aufgrund der Verknappung wesentlicher Dienste oder Güter oder in Bezug auf eine veränderte Wahrnehmung der Sicherheit durch die Gemeinschaft;
2. die Auswirkungen auf die Verfügbarkeit und Wirksamkeit der Reaktionsfähigkeit staatlicher Dienste, die für die öffentliche Ordnung und Sicherheit zuständig sind.

52. Zur Bewertung der möglichen Auswirkungen von Sicherheitsvorfällen auf die öffentliche Ordnung und Sicherheit werden die Mitgliedstaaten aufgefordert, die Ergebnisse von Risiko-, Bedrohungs- und Schwachstellenbewertungen, Kriminalitätsanalysen und -kartierungen, der Notfallplanung und -übungen sowie der Einbeziehung der Interessenträger zu nutzen.

53. Im Hinblick auf die möglichen Auswirkungen von Sicherheitsvorfällen auf die Gesundheit der Bevölkerung werden die Mitgliedstaaten aufgefordert, Folgendes zu berücksichtigen:

1. Verlust des Zugangs zur Gesundheitsversorgung aufgrund von Verzögerungen bei der Behandlung, Unmöglichkeit, medizinische Einrichtungen zu erreichen, Personalmangel, Unvermögen, Notlagen im Bereich der öffentlichen Gesundheit zu bewältigen, Beeinträchtigung von oder Ausfall bei der Herstellung von grundlegenden pharmazeutischen Erzeugnissen oder Präparaten, medizinischen Gegenmaßnahmen und medizinischen Geräten, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch gelten, Engpässe bei Arzneimitteln, Auswirkungen auf die psychische Gesundheit, erhöhte Erkrankungs- und Sterblichkeitsziffer (höhere Rate chronischer Erkrankungen, Ausbreitung von Infektionskrankheiten, Verletzungen, Todesfälle);
2. Unterbrechung der Lebensmittelversorgungskette, Unterbrechung oder Verunreinigung der (Trink-)Wasserversorgung;
3. Auswirkungen auf die Gesundheit gefährdeter Gruppen (ältere Menschen, Kinder, Personen mit geringem Einkommen, Patienten mit Vorerkrankungen).

54. Um die möglichen Auswirkungen der Sicherheitsvorfälle auf die Gesundheit der Bevölkerung zu bewerten, werden die Mitgliedstaaten aufgefordert, die Überwachung der öffentlichen Gesundheit zur Verfolgung von Krankheitsausbrüchen und Veränderungen der Sterblichkeit und die Umweltüberwachung zu nutzen; Umfragen und Befragungen zur Erhebung von Daten über den Zugang zur Gesundheitsversorgung und die vor und nach Störungen gewonnenen Erfahrungen und Geodatenanalyse zur Erfassung von gefährdeten Gruppen und Gebieten mit eingeschränktem Zugang zur Gesundheitsversorgung.

IV.4. Der Marktanteil der Einrichtung auf dem Markt für wesentliche Dienste oder für die betreffenden wesentlichen Dienste

55. Der Marktanteil spiegelt die relative Stellung der Anbieter auf dem Markt wider und wird in der Regel auf der Grundlage der Verkäufe und Einkäufe der relevanten Produkte im räumlich relevanten Gebiet berechnet. Im Allgemeinen liefern sowohl der Wert als auch die Menge der Ein- oder Verkäufe nützliche Informationen ¹⁵. Die Mitgliedstaaten werden aufgefordert, auch sektorspezifische statistische Daten heranzuziehen oder Marktforschung durchzuführen, um den Marktanteil einer Einrichtung zu ermitteln.

56. Das Kriterium des Marktanteils sollte stets in Verbindung mit anderen Kriterien betrachtet werden, da eine geringe Abhängigkeit von dem wesentlichen Dienst oder die Verfügbarkeit alternativer Diensteanbieter das Ausmaß einer Störung erheblich verringern kann. Die Abhängigkeit könnte ein entscheidender Faktor bei der Bewertung der Auswirkungen des Marktanteils sein, da sie erklären kann, inwieweit die Gesellschaft, bestimmte Sektoren oder andere Einrichtungen auf einen bestimmten wesentlichen Dienst angewiesen sind. Bei der Bewertung der Auswirkungen des Marktanteils gibt die Abhängigkeit Aufschluss über die relative systemische Bedeutung und die Kritikalität der Einrichtung auf dem Markt für den oder die betreffende(n) wesentliche(n) Dienst(e).

57. Die Störung wesentlicher Dienste, die von einer Einrichtung mit hohem Marktanteil erbracht werden, dürfte ein höheres Risiko für Kaskadeneffekte auf die Erbringung anderer wesentlicher Dienste bergen, insbesondere wenn der betreffende wesentliche Dienst in einem Sektor erbracht wird, der zahlreiche gegenseitige Abhängigkeiten mit anderen Sektoren, wie beispielsweise dem Energie- oder Verkehrssektor, aufweist. Die Störung durch einen Sicherheitsvorfall, der die Erbringung eines wesentlichen Dienstes durch eine Einrichtung mit geringem Marktanteil beeinträchtigt, könnte jedoch auch erheblich sein, wenn diese Einrichtung einen einzigartigen oder unersetzlichen wesentlichen Dienst erbringt, auf den ein Sektor angewiesen ist.

58. In Bezug auf die Modelle oder Verfahren zur Bewertung des Marktes können verschiedene Methoden der Geschäftsanalyse herangezogen werden, beispielsweise das Fünf-Kräfte-Modell von Porter ¹⁶, die SWOT-Analyse ¹⁷, die PESTLE-Analyse ¹⁸, Marktsegmentierungsstrategien ¹⁹, Customer Journey Mapping ²⁰ und das Business Model Canvas ²¹.

IV.5. Das geografische Gebiet, das von einem Sicherheitsvorfall betroffen sein könnte, einschließlich etwaiger grenzüberschreitender Auswirkungen

59. Die Mitgliedstaaten werden aufgefordert, gemäß Artikel 7 Absatz 1 Buchstabe e der Richtlinie die Schwachstellen zu berücksichtigen, die mit dem Grad der Isolierung bestimmter Arten geografischer Gebiete - zum Beispiel Inselregionen, abgelegene Regionen oder Berggebiete - verbunden sind. Solche geografischen Gebiete weisen in der Regel einen besonderen Bedarf in Bezug auf wesentliche Dienste auf und verfügen nur über begrenzte Kapazitäten zur Bewältigung von Störungen.

60. Darüber hinaus können weitere Elemente für die Anwendung dieses Kriteriums von Bedeutung sein:

1. die direkten oder indirekten Auswirkungen des Sicherheitsvorfalls in einem geografischen Gebiet, ausgedrückt als Fläche;
2. die direkten oder indirekten Auswirkungen des Sicherheitsvorfalls auf das betroffene Gebiet, d. h. ob es sich um lokale, regionale, nationale oder grenzüberschreitende Auswirkungen handelt;
3. Merkmale des geografischen Gebiets, z.B. Land, Luftraum, Wasser, städtische oder ländliche Gebiete oder Wälder.

61. Zur Bewertung des geografischen Gebiets, das von einem Sicherheitsvorfall betroffen sein könnte, werden die Mitgliedstaaten aufgefordert, Feldbeobachtungen durchzuführen, Daten aus Satelliten- und Luftbildaufnahmen zu erheben und Volkszählungsdaten, Karten der Energieübertragungs- und der Verkehrsinfrastruktur, Umweltüberwachungsnetze und GIS-Datenbanken ²² zu verwenden.

IV.6. Die Bedeutung der Einrichtung für die Aufrechterhaltung des wesentlichen Dienstes in ausreichendem Umfang, unter Berücksichtigung der Verfügbarkeit von alternativen Mitteln

62. Dieses Kriterium ist unter anderem im Zusammenhang mit der Erbringung lebenswichtiger Dienste wie Trinkwasser, Abwasser, Energie, Gesundheit, Produktion und Vertrieb von Lebensmitteln sowie Verkehr, einschließlich Verkehrsmanagementdiensten, relevant, da Wirtschaft und Gesellschaft ohne diese Dienste zusammenbrechen würden. Bei der Beurteilung der Bedeutung der Einrichtung für die Aufrechterhaltung des wesentlichen Dienstes in ausreichendem Umfang müssen die Mitgliedstaaten gemäß Artikel 7 Absatz 1 Buchstabe f der Richtlinie die Verfügbarkeit möglicher alternativer Mittel für die Erbringung des betreffenden wesentlichen Dienstes berücksichtigen. In diesem Zusammenhang werden sie aufgefordert, solche Alternativen in Bezug auf die Zugänglichkeit, die Schnelligkeit, mit der die Alternative genutzt werden kann, die Qualität des alternativen Dienstes und die damit verbundenen zusätzlichen Kosten zu prüfen. Wenn die Nutzer keine tragfähige Alternative für den wesentlichen Dienst haben, sind die Auswirkungen der Störung in der Regel größer, unabhängig von der Zahl der von der Störung betroffenen Nutzer. Darüber hinaus sollte die Art des wesentlichen Dienstes in Bezug auf seine Kritikalität, seine Merkmale und seinen Hauptzweck berücksichtigt werden.

.

I. Allgemeine Erwägungen

Artikel 5 der Richtlinie sieht vor, dass die Mitgliedstaaten eine Risikobewertung durchführen, die von den Mitgliedstaaten verwendet wird, um kritische Einrichtungen gemäß der Richtlinie zu ermitteln.

Gemäß Artikel 5 Absatz 4 der Richtlinie müssen die Mitgliedstaaten der Kommission entsprechende Informationen über die Arten von Risiken, die im Rahmen der Risikobewertung durch den Mitgliedstaat ermittelt wurden, und deren Ergebnisse, aufgeschlüsselt nach den im Anhang der Richtlinie genannten Sektoren und Teilsektoren, übermitteln.

In Artikel 5 Absatz 5 der Richtlinie ist vorgesehen, dass die Kommission zum Zwecke der Einhaltung des Artikels 5 Absatz 4 in Zusammenarbeit mit den Mitgliedstaaten ein unverbindliches gemeinsames Berichtsmuster ausarbeitet.

Zwar ist dieses gemeinsame Berichtsmuster unverbindlich, doch werden die Mitgliedstaaten aufgefordert, es bei der Übermittlung von Informationen gemäß Artikel 5 Absatz 4 der Richtlinie zu verwenden. Das gemeinsame Berichtsmuster soll verwendet werden, um über jeden Sektor getrennt und in Sektoren mit Teilsektoren auch auf Teilsektorenebene Bericht zu erstatten. So wäre das Berichtsmuster beispielsweise im Energiesektor mit fünf Teilsektoren fünfmal zu verwenden.

Diese Vorlage dient dazu, auf harmonisierte Weise einen Überblick über die Informationen zu gewinnen, die für die Berichterstattung an die Kommission als relevant erachtet werden, unabhängig davon, ob es sich um nicht als Verschlusssache eingestufte Informationen oder um Verschlusssachen handelt. Wenn sich die Mitgliedstaaten jedoch dafür entscheiden, dieses Muster als Grundlage für den Austausch detaillierterer oder als Verschlusssache eingestufter Informationen zu verwenden, sollte dies stets über die geeigneten Kommunikationskanäle erfolgen.

Dieses Muster ist weder als Leitfaden noch als Ersatz für die von den Mitgliedstaaten gemäß Artikel 5 der Richtlinie durchzuführenden Risikobewertungen zu betrachten.

II. Hinweise zum Ausfüllen des Berichtsmusters

Im ersten Abschnitt sollten die Mitgliedstaaten prüfen, welche Arten von Risiken die Erbringung wesentlicher Dienste für den Sektor und Teilsektor, über den berichtet wird, beeinträchtigen könnten. Gegebenenfalls können mehrere Arten von Risiken angekreuzt werden. Gegebenenfalls sollten die Mitgliedstaaten erwägen, die maßgebliche Risikoart näher zu erläutern.

Im zweiten Abschnitt sollten die Mitgliedstaaten die Liste der Schwachstellen und potenziellen Auswirkungen überprüfen, die für die Einstufung des Ergebnisses der Risikobewertung als maßgeblich erachtet werden. Anschließend sollten die Mitgliedstaaten im Rahmen des Berichts über die Ergebnisse auch eine Gesamtbewertung der Auswirkungen vorlegen, die bei einer Störung der Erbringung eines wesentlichen Dienstes für den betreffenden Sektor und Teilsektor entstehen. Schließlich sollten die Mitgliedstaaten erwägen, ihre Antwort zum Ergebnis der Risikobewertung mit einem schriftlichen Beitrag näher zu erläutern.

Im dritten Abschnitt sollten die Mitgliedstaaten erwägen, in einem schriftlichen Beitrag zusätzliche Erkenntnisse über die Arten von Risiken, die im Rahmen der Risikobewertung ermittelt wurden, und deren Ergebnisse in Bezug auf den methodischen Ansatz, bewährte Verfahren oder die aus dem Risikobewertungsprozess gewonnenen Erkenntnisse auszutauschen. In diesem Zusammenhang bezeichnet der Begriff "Risikobewertung" gemäß Artikel 2 Nummer 7 der Richtlinie den gesamten Prozess zur Bestimmung der Art und des Ausmaßes eines Risikos, bei dem potenzielle entsprechende Bedrohungen, Schwachstellen und Gefahren, die zu einem Sicherheitsvorfall führen könnten, ermittelt und analysiert und die durch den Sicherheitsvorfall verursachten potenziellen Verluste oder Störungen bei der Erbringung eines wesentlichen Dienstes bewertet werden.

Im vierten und letzten Abschnitt sollten die Mitgliedstaaten im Wege eines zusätzlichen schriftlichen Beitrags prüfen, ob ergänzende Informationen im Zusammenhang mit ihrer Berichtspflicht gemäß Artikel 5 Absatz 4 der Richtlinie erforderlich sind.

ENDE