Council Directive 2008/114/EC of 8 December 2008 on the identification and designation of European critical infrastructures and the assessment of the need to improve their protection (Text with EEA relevance)
Date: 2008-12-08

num: Artikel 1
title: Gegenstand
paragraphs: Durch diese Richtlinie wird ein Verfahren zur Ermittlung und Ausweisung europäischer kritischer Infrastrukturen („EKI“) sowie ein gemeinsamer Ansatz für die Bewertung der Notwendigkeit eines besseren Schutzes derartiger Infrastrukturen eingeführt, um zum Schutz der Menschen beizutragen.
num: Artikel 2
title: Begriffsbestimmungen
paragraphs: Im Sinne dieser Richtlinie bezeichnet der Ausdruck
a)
„kritische Infrastruktur“ die in einem Mitgliedstaat gelegene Anlage, ein System oder ein Teil davon, die von wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen, der Gesundheit, der Sicherheit und des wirtschaftlichen oder sozialen Wohlergehens der Bevölkerung sind und deren Störung oder Zerstörung erhebliche Auswirkungen auf einen Mitgliedstaat hätte, da diese Funktionen nicht aufrechterhalten werden könnten;
b)
„europäische kritische Infrastruktur“ oder „EKI“ eine in einem Mitgliedstaat gelegene kritische Infrastruktur, deren Störung oder Zerstörung erhebliche Auswirkungen in mindestens zwei Mitgliedstaaten hätte. Die Tragweite dieser Auswirkungen wird anhand sektorübergreifender Kriterien bewertet. Dies schließt die Auswirkungen sektorübergreifender Abhängigkeiten auf andere Arten von Infrastrukturen ein;
c)
„Risikoanalyse“ die Prüfung relevanter Bedrohungsszenarien, um die Schwachstellen und mögliche Auswirkungen einer Störung oder Zerstörung kritischer Infrastrukturen zu bewerten;
d)
„vertrauliche Informationen über den Schutz kritischer Infrastrukturen“ die Informationen über kritische Infrastrukturen, die im Fall ihrer Offenlegung zur Planung und Durchführung von Handlungen missbraucht werden könnten, welche eine Störung oder Zerstörung kritischer Infrastrukturanlagen zur Folge hätten;
e)
„Schutz“ alle Tätigkeiten zur Gewährleistung der Funktionsfähigkeit, der Kontinuität und der Unversehrtheit kritischer Infrastrukturen und zur Abwendung, Minderung oder Neutralisierung einer Bedrohung, eines Risikos oder einer Schwachstelle;
f)
„Eigentümer/Betreiber einer EKI“ diejenigen Stellen, die für Investitionen in und/oder für den laufenden Betrieb von und Investitionen in eine bestimmte Anlage, ein System oder einen Teil davon, die nach dieser Richtlinie als EKI ausgewiesen wurden, verantwortlich sind.
num: Artikel 3
title: Ermittlung von EKI
paragraphs: (1) Gemäß dem Verfahren nach Anhang III ermittelt jeder Mitgliedstaat die potenziellen EKI, die sowohl die sektorübergreifenden als auch die sektorspezifischen Kriterien erfüllen und den Begriffsbestimmungen in Artikel 2 Buchstaben a und b entsprechen.
Die Kommission kann die Mitgliedstaaten auf deren Antrag bei der Ermittlung der potenziellen EKI unterstützen.
Die Kommission kann die betreffenden Mitgliedstaaten auf potenziell kritische Infrastrukturen aufmerksam machen, bei denen anzunehmen ist, dass sie die Voraussetzungen für die Ausweisung als EKI erfüllen.
Jeder Mitgliedstaat und die Kommission setzen den Prozess der Ermittlung potenzieller EKI kontinuierlich fort.
(2) Die sektorübergreifenden Kriterien nach Absatz 1 umfassen:
a)
Opfer (bewertet anhand der möglichen Anzahl von Toten oder Verletzten);
b)
wirtschaftliche Folgen (bewertet anhand des wirtschaftlichen Verlusts und/oder der Minderung der Qualität von Erzeugnissen oder Dienstleistungen; einschließlich möglicher Auswirkungen auf die Umwelt);
c)
Auswirkungen auf die Öffentlichkeit (bewertet anhand der Auswirkungen auf das Vertrauen der Öffentlichkeit, des physischen Leids und der Störung des täglichen Lebens; einschließlich des Ausfalls wesentlicher Dienstleistungen).
Die Grenzwerte für die sektorübergreifenden Kriterien leiten sich ab aus der Schwere der Auswirkungen einer Störung oder Zerstörung einer bestimmten Infrastruktur. Die genauen Grenzwerte für die sektorübergreifenden Kriterien werden im Einzelfall von den im Hinblick auf eine bestimmte Infrastruktur jeweils betroffenen Mitgliedstaaten festgelegt. Jeder Mitgliedstaat unterrichtet die Kommission jährlich über die Anzahl Infrastrukturen pro Sektor, zu denen Beratungen über die Grenzwerte für die sektorübergreifenden Kriterien geführt wurden.
Die sektorspezifischen Kriterien berücksichtigen die Besonderheiten einzelner Sektoren mit EKI.
Die Kommission entwickelt gemeinsam mit den Mitgliedstaaten Leitlinien für die Anwendung der sektorübergreifenden und sektorspezifischen Kriterien und ungefähre Grenzwerte zur Ermittlung der EKI. Die Kriterien werden als Verschlusssachen eingestuft. Die Verwendung solcher Leitlinien ist den Mitgliedstaaten freigestellt.
(3) Der Energiesektor und der Verkehrssektor sind die zur Umsetzung dieser Richtlinie gewählten Sektoren. Die Teilsektoren sind in Anhang I bestimmt.
Erforderlichenfalls können in Verbindung mit der Überprüfung dieser Richtlinie nach Artikel 11 weitere Sektoren zum Zwecke der Umsetzung dieser Richtlinie festgelegt werden. Der IKT-Sektor hat Vorrang.
num: Artikel 4
title: Ausweisung von EKI
paragraphs: (1) Jeder Mitgliedstaat unterrichtet die anderen Mitgliedstaaten, die von einer potenziellen EKI erheblich betroffen sein könnten, über deren Identität sowie die Gründe für deren Ausweisung als potenzielle EKI.
(2) Jeder Mitgliedstaat, in dessen Hoheitsgebiet sich eine potenzielle EKI befindet, nimmt bilaterale und/oder multilaterale Gespräche mit den anderen Mitgliedstaaten auf, die von der potenziellen EKI erheblich betroffen sein könnten. Die Kommission kann an diesen Gesprächen teilnehmen, hat aber keinen Zugang zu detaillierten Informationen, die die eindeutige Identifizierung bestimmter Infrastrukturen zulassen würden.
Ein Mitgliedstaat, der Grund zu der Annahme hat, dass er von einer potenziellen EKI erheblich betroffen sein könnte, aber von dem Mitgliedstaat, in dessen Hoheitsgebiet sie sich befindet, nicht als solcher eingestuft worden ist, kann der Kommission sein Anliegen mitteilen, diesbezüglich an bilateralen und/oder multilateralen Gesprächen beteiligt zu werden. Die Kommission teilt dieses Anliegen unverzüglich dem Mitgliedstaat mit, in dessen Hoheitsgebiet sich die potenzielle EKI befindet, und bemüht sich, eine Vereinbarung zwischen den Parteien herbeizuführen.
(3) Der Mitgliedstaat, in dessen Hoheitsgebiet sich eine potenzielle EKI befindet, weist sie als EKI aus, nachdem er mit den möglicherweise in erheblichem Maße betroffenen Mitgliedstaaten eine entsprechende Vereinbarung getroffen hat.
Hierzu bedarf es der Zustimmung des Mitgliedstaats, in dessen Hoheitsgebiet sich die als EKI auszuweisende Infrastruktur befindet.
(4) Der Mitgliedstaat, in dessen Hoheitsgebiet sich eine ausgewiesene EKI befindet, unterrichtet die Kommission jährlich über die Anzahl der ausgewiesenen EKI in den verschiedenen Sektoren und über die Anzahl der Mitgliedstaaten, die von der jeweiligen ausgewiesenen EKI abhängen. Nur die Mitgliedstaaten, die von einer EKI erheblich betroffen sein könnten, erfahren deren Identität.
(5) Die Mitgliedstaaten, in deren Hoheitsgebiet sich die EKI befindet, unterrichten den Eigentümer/Betreiber der Infrastruktur über deren Ausweisung als EKI. Informationen über die Ausweisung einer Infrastruktur als EKI werden als Verschlusssache mit dem geeigneten Geheimhaltungsgrad eingestuft.
(6) Der Prozess der Ermittlung und Ausweisung von EKI nach Artikel 3 und diesem Artikel wird bis zum 12. Januar 2011 abgeschlossen und regelmäßig überprüft.
num: Artikel 5
title: Sicherheitspläne
paragraphs: (1) Das Verfahren zur Erstellung von Sicherheitsplänen („SP“) führt die kritischen Infrastrukturanlagen der EKI sowie die Sicherheitslösungen auf, die zum Schutz dieser Anlagen bestehen oder noch umgesetzt werden. Anhang II enthält die inhaltlichen Mindestanforderungen, die im Rahmen eines Verfahrens zur Erstellung eines EKI SP zu beachten sind.
(2) Jeder Mitgliedstaat prüft, ob für jede ausgewiesene EKI, die sich in seinem Hoheitsgebiet befindet, ein SP erstellt worden ist oder gleichwertige Vorkehrungen getroffen worden sind, die den Vorgaben des Anhangs II entsprechen. Stellt ein Mitgliedstaat fest, dass ein solcher SP oder gleichwertige Maßnahmen vorhanden sind und diese regelmäßig aktualisiert werden, so sind keine weiteren Umsetzungsmaßnahmen erforderlich.
(3) Stellt ein Mitgliedstaat fest, dass ein solcher SP oder gleichwertige Maßnahmen nicht vorhanden sind, so gewährleistet er durch geeignete Maßnahmen, dass der SP oder die gleichwertigen Maßnahmen nach den Vorgaben des Anhangs II ausgearbeitet werden.
Jeder Mitgliedstaat sorgt binnen eines Jahres nach der Ausweisung der kritischen Infrastruktur als EKI dafür, dass SP oder gleichwertige Maßnahmen vorliegen und regelmäßig überprüft werden. In Ausnahmefällen kann dieser Zeitraum durch eine Vereinbarung mit der zuständigen Behörde des Mitgliedstaats und Benachrichtigung der Kommission verlängert werden.
(4) Bestehen bereits Überwachungs- oder Aufsichtsvereinbarungen für eine EKI, bleiben sie von diesem Artikel unberührt und die in diesem Artikel genannte zuständige Behörde des Mitgliedstaats übernimmt die Überwachung im Rahmen dieser bestehenden Vereinbarungen.
(5) Bei Einhaltung der Maßnahmen, einschließlich Gemeinschaftsmaßnahmen, die in einem bestimmten Sektor einen dem SP ähnlichen oder gleichwertigen Plan und die Aufsicht der zuständigen Behörde über einen solchen Plan vorschreiben oder sich auf dessen Notwendigkeit beziehen, gelten alle Anforderungen des Mitgliedstaats, die in diesem Artikel genannt oder gemäß diesem Artikel angenommen werden, als erfüllt. In den in Artikel 3 Absatz 2 genannten Leitlinien für die Anwendung sind diese Maßnahmen beispielhaft aufgeführt.
num: Artikel 6
title: Sicherheitsbeauftragte
paragraphs: (1) Der Sicherheitsbeauftragte dient in Sicherheitsfragen als Kontaktstelle zwischen dem Eigentümer/Betreiber einer EKI und der zuständigen Behörde des Mitgliedstaats.
(2) Jeder Mitgliedstaat prüft, ob jede ausgewiesene EKI in seinem Hoheitsgebiet über einen Sicherheitsbeauftragten oder eine Person mit vergleichbarer Aufgabenstellung verfügt. Stellt ein Mitgliedstaat fest, dass ein Sicherheitsbeauftragter oder eine Person mit vergleichbarer Aufgabenstellung vorhanden ist, sind keine weiteren Umsetzungsmaßnahmen erforderlich.
(3) Stellt ein Mitgliedstaat fest, dass eine ausgewiesene EKI weder über einen Sicherheitsbeauftragten noch über eine Person mit vergleichbarer Aufgabenstellung verfügt, so ergreift er geeignete Maßnahmen, um die Ernennung eines Sicherheitsbeauftragten oder einer Person mit vergleichbarer Aufgabenstellung sicherzustellen.
(4) Jeder Mitgliedstaat schafft einen geeigneten Kommunikationsmechanismus zwischen der zuständigen Behörde des Mitgliedstaats und dem Sicherheitsbeauftragten oder der Person mit vergleichbarer Aufgabenstellung mit dem Ziel, sachdienliche Informationen über ermittelte Risiken und Bedrohungen in Bezug auf die betreffende EKI auszutauschen. Dieser Kommunikationsmechanismus gilt unbeschadet nationaler Anforderungen an den Zugang zu sicherheitsrelevanten Informationen und Verschlusssachen.
(5) Bei Einhaltung der Maßnahmen, einschließlich Gemeinschaftsmaßnahmen, die in einem bestimmten Sektor die Beschäftigung eines Sicherheitsbeauftragten oder einer Person mit vergleichbarer Aufgabenstellung vorschreiben oder sich auf deren Notwendigkeit beziehen, gelten alle Anforderungen des Mitgliedstaats, die in diesem Artikel genannt oder gemäß diesem Artikel angenommen werden, als erfüllt. In den in Artikel 3 Absatz 2 genannten Leitlinien für die Anwendung sind diese Maßnahmen beispielhaft aufgeführt.
num: Artikel 7
title: Berichterstattung
paragraphs: (1) Jeder Mitgliedstaat nimmt binnen eines Jahres nach der Ausweisung einer in seinem Hoheitsgebiet befindlichen kritischen Infrastruktur als EKI in Teilsektoren eine Bedrohungsanalyse für die betreffenden Teilsektoren der EKI vor.
(2) Jeder Mitgliedstaat übermittelt der Kommission alle zwei Jahre allgemeine Daten in einem zusammenfassenden Bericht über die verschiedenen Arten von Risiken, Bedrohungen und Schwachstellen für jeden Sektor mit einer nach Artikel 4 ausgewiesenen EKI, die sich in seinem Hoheitsgebiet befindet.
Die Kommission kann in Zusammenarbeit mit den Mitgliedstaaten ein allgemeines Muster für diese Berichte ausarbeiten.
Jeder Mitgliedstaat stuft seinen Bericht in die von ihm als notwendig erachtete Geheimhaltungsstufe ein.
(3) Die Kommission und die Mitgliedstaaten prüfen anhand der in Absatz 2 genannten Berichte für jeden einzelnen Sektor, ob in diesem weitere Gemeinschaftsmaßnahmen zum Schutz von EKI zu erwägen sind. Dies erfolgt in Verbindung mit der Überprüfung der Richtlinie nach Artikel 11.
(4) Die Kommission kann in Zusammenarbeit mit den Mitgliedstaaten gemeinsame methodische Leitlinien für die Durchführung von Risikoanalysen zu EKI entwickeln. Die Verwendung solcher Leitlinien ist den Mitgliedstaaten freigestellt.
num: Artikel 8
title: Unterstützung durch die Kommission für EKI
paragraphs: Die Kommission unterstützt die Eigentümer/Betreiber ausgewiesener EKI über die zuständige Behörde des Mitgliedstaats, indem sie ihnen Zugriff auf Informationen über bewährte Verfahren und Methoden gewährt, Aus- und Weiterbildungsangebote unterstützt und den Informationsaustausch über neue technische Entwicklungen in Bezug auf den Schutz kritischer Infrastrukturen fördert.
num: Artikel 9
title: Vertrauliche Informationen über den Schutz von EKI
paragraphs: (1) Alle Personen, die nach Maßgabe dieser Richtlinie im Namen eines Mitgliedstaats oder der Kommission mit Verschlusssachen umgehen, müssen eine angemessene Sicherheitsüberprüfung durchlaufen haben.
Die Mitgliedstaaten, die Kommission und die zuständigen Aufsichtsbehörden stellen sicher, dass den Mitgliedstaaten oder der Kommission übermittelte vertrauliche Informationen in Bezug auf den Schutz von EKI zu keinem anderen Zweck als zum Schutz kritischer Infrastrukturen verwendet werden.
(2) Dieser Artikel gilt auch für nicht-schriftliche Informationen, die in Sitzungen ausgetauscht werden, in denen vertraulich zu behandelnde Themen erörtert werden.
num: Artikel 10
title: Kontaktstellen für Fragen des Schutzes von EKI
paragraphs: (1) Jeder Mitgliedstaat benennt eine Kontaktstelle für Fragen des Schutzes von EKI („Kontaktstelle für EKI-Schutz“).
(2) Die Kontaktstelle für EKI-Schutz koordiniert Fragen des Schutzes von EKI innerhalb des betreffenden Mitgliedstaats sowie mit anderen Mitgliedstaaten und mit der Kommission. Die Benennung einer solchen Kontaktstelle für EKI-Schutz schließt nicht aus, dass andere Behörden eines Mitgliedstaats mit Fragen des Schutzes von EKI befasst werden.
num: Artikel 11
title: Überprüfung
paragraphs: Die Überprüfung dieser Richtlinie beginnt am 12. Januar 2012.
num: Artikel 12
title: Umsetzung
paragraphs: Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um dieser Richtlinie spätestens bis zum 12. Januar 2011 nachzukommen. Sie setzen die Kommission unverzüglich davon in Kenntnis und übermitteln den Text jener Maßnahmen sowie ihre Entsprechung in Bezug auf diese Richtlinie.
Wenn die Mitgliedstaaten diese Maßnahmen verabschieden, nehmen sie in den Maßnahmen selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf diese Richtlinie Bezug. Die Mitgliedstaaten regeln die Einzelheiten der Bezugnahme.
num: Artikel 13
title: Inkrafttreten
paragraphs: Diese Richtlinie tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.