Dieser Vorschlag für eine Empfehlung des Rates steht voll und ganz im Einklang mit dem derzeitigen und dem künftigen Rechtsrahmen für die Resilienz von Einrichtungen, die kritische Infrastrukturen betreiben, der ECI-Richtlinie bzw. der CER-Richtlinie, da er unter anderem darauf abzielt, die Zusammenarbeit zwischen den Mitgliedstaaten in diesem Bereich zu erleichtern und konkrete Maßnahmen zur Stärkung der Resilienz gegenüber den derzeitigen unmittelbaren Bedrohungen für Einrichtungen, die kritische Infrastrukturen in der EU betreiben, zu unterstützen.

In der vorgeschlagenen Empfehlung des Rates wird diese Vorgehensweise – die Unterstützung für die Mitgliedstaaten zu strukturieren und ihre Bemühungen zur Sensibilisierung für Risiken, Abwehrbereitschaft und Reaktion auf die derzeitigen Bedrohungen zu koordinieren – aufgegriffen. In diesem Zusammenhang werden Sachverständigensitzungen einberufen, um die Resilienz von Einrichtungen, die kritische Infrastrukturen betreiben, im Vorgriff auf das Inkrafttreten der CER-Richtlinie und der damit geschaffenen CERG zu erörtern.

Am 5. Oktober 2022 legte Präsidentin von der Leyen einen Fünf-Punkte-Plan vor, in dem eine koordinierte Vorgehensweise für die notwendigen Arbeiten dargelegt wird. Zu seinen Kernpunkten gehören folgende Aspekte: bessere Abwehrbereitschaft; Zusammenarbeit mit den Mitgliedstaaten im Hinblick auf Stresstests ihrer kritischen Infrastrukturen, beginnend mit dem Energiesektor und anschließend mit anderen Hochrisiko-Sektoren; Ausbau der Reaktionsfähigkeit, insbesondere durch das Katastrophenschutzverfahren der Union; sinnvolle Nutzung der Satellitenkapazitäten zur Erkennung potenzieller Bedrohungen, sowie Stärkung der Zusammenarbeit mit der NATO und wichtigen Partnern im Hinblick auf die Resilienz kritischer Infrastruktur. Im Fünf-Punkte-Plan wurde betont, wie wichtig es ist zu handeln, bevor die Rechtsvorschriften, für die bereits eine politische Einigung besteht, in Kraft treten.

Die Rechtsvorschriften sehen vor, dass die Kommission eine wesentliche Koordinierungsrolle übernimmt. Im Rahmen der CER-Richtlinie kommt der Kommission eine unterstützende und fördernde Rolle zu; sie sollte mit Unterstützung und Einbeziehung der durch diese Richtlinie eingerichteten Gruppe für die Resilienz kritischer Einrichtungen (CERG) die Tätigkeiten der Mitgliedstaaten durch die Entwicklung bewährter Verfahren, Leitfäden und Methoden ergänzen. Was die Cybersicherheit anbelangt, so hat der Rat die Kommission, den Hohen Vertreter und die NIS-Kooperationsgruppe bereits in seinen Schlussfolgerungen zur Cyberabwehr der EU vom Sommer 2022 ersucht, Risikobewertungen und Szenarien unter dem Gesichtspunkt der Cybersicherheit auszuarbeiten. Eine solche Koordinierung kann als Grundlage für eine Vorgehensweise in Bezug auf andere wichtige kritische Infrastrukturen dienen.

Dies würde dazu führen, dass man bereits über die derzeitigen Rahmenbedingungen hinausgehen könnte, sowohl in Bezug auf die Intensität der Maßnahmen als auch auf die Bandbreite der abgedeckten Sektoren. Die neue CER-Richtlinie enthält einen neuen Rahmen für die Zusammenarbeit sowie Verpflichtungen für die Mitgliedstaaten und kritische Einrichtungen, die auf die Stärkung der physischen nicht cyberbezogenen Resilienz gegenüber natürlichen und vom Menschen verursachten Bedrohungen von Einrichtungen abzielen, die wesentliche Dienste im Binnenmarkt erbringen, wobei elf Sektoren spezifiziert werden. Mit der NIS-2-Richtlinie wird ein breiter sektoraler Geltungsbereich der Cybersicherheitspflichten eingeführt. Dazu gehört eine neue Verpflichtung für die Mitgliedstaaten, Unterseekabel gegebenenfalls in ihre Cybersicherheitsstrategien aufzunehmen.

Vor diesem Hintergrund und angesichts der möglichen Dringlichkeit, den Bedrohungen, die sich aus dem russischen Angriffskrieg gegen die Ukraine ergeben, zu begegnen, sollten die in den neuen Rechtsvorschriften dargelegten Schritte wenn möglich und angemessen bereits jetzt eingeleitet werden. Eine bereits jetzt intensivere Zusammenarbeit würde auch dazu beitragen, die Dynamik für eine wirksame Umsetzung zu schaffen, sobald die neuen Rechtsvorschriften in vollem Umfang in Kraft sind.

Das Europäische Parlament und der Rat haben bereits eine politische Einigung über den Ausbau des Rechtsrahmens für die EU erzielt, um zur Stärkung der Resilienz von Einrichtungen, die kritische Infrastrukturen betreiben, beizutragen. Im Sommer 2022 wurden Einigungen über die Richtlinie über die Resilienz kritischer Einrichtungen (im Folgenden „CER-Richtlinie“) und die überarbeitete Richtlinie zur Netz- und Informationssicherheit (im Folgenden „NIS-2-Richtlinie“) erzielt. Diese werden im Vergleich zum bestehenden Rechtsrahmen – der Richtlinie 2008/114/EG vom 8. Dezember 2008 über die Ermittlung und Ausweisung europäischer kritischer Infrastrukturen und die Bewertung der Notwendigkeit, ihren Schutz zu verbessern („ECI-Richtlinie“), und der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union („NIS-Richtlinie“) – einen erheblichen Aufbau von Kapazitäten gewährleisten. Die neuen Rechtsvorschriften werden voraussichtlich Ende 2022 oder Anfang 2023 in Kraft treten, und die Mitgliedstaaten sollten der Umsetzung und Anwendung im Einklang mit dem Unionsrecht Vorrang einräumen.

Der EU kommt in Bezug auf die Gewährleistung der Resilienz von die Land- oder Seegrenzen überschreitenden Infrastrukturen, die die Interessen mehrerer Mitgliedstaaten berühren, oder Infrastrukturen, über die wesentliche Dienste über Grenzen hinweg erbracht werden, eine besondere Rolle zu. Kritische Infrastrukturen, die für mehrere Mitgliedstaaten von Bedeutung sind, können auch in nur einem Mitgliedstaat angesiedelt sein oder aber außerhalb des Hoheitsgebiets eines Mitgliedstaats, z. B. im Falle von Unterseekabeln oder Pipelines. Es liegt im Interesse aller Mitgliedstaaten und der EU als Ganzes, die kritischen Infrastrukturen und die sie betreibenden Einrichtungen sowie die Gefahren, die sie bedrohen, klar zu identifizieren und sich gemeinsam zu ihrem Schutz zu verpflichten.

Die vorgeschlagene Empfehlung des Rates zielt darauf ab, die Unterstützung der EU zur Stärkung der Resilienz kritischer Infrastrukturen zu intensivieren und eine Koordinierung auf EU-Ebene in Bezug auf Abwehrbereitschaft und Reaktion zu gewährleisten. So sollen die Bemühungen zum Schutz der Anlagen, Einrichtungen und Systeme, die für das Funktionieren der Wirtschaft erforderlich sind, maximiert und beschleunigt und grundlegende Dienstleistungen im Binnenmarkt erbracht werden, auf die die Bürgerinnen und Bürger angewiesen sind, sowie die Auswirkungen von Angriffen abgefedert werden, indem für eine möglichst rasche Wiederherstellung der Infrastruktur gesorgt wird. Zwar sollten alle derartigen Infrastrukturen geschützt werden, doch die oberste Priorität liegt derzeit in den Bereichen Energie, digitale Infrastruktur, Verkehr und Raumfahrt, aufgrund ihres speziellen horizontalen Charakters für Gesellschaft und Wirtschaft sowie aufgrund der derzeitigen Risikobewertungen.

Die Fähigkeit der EU, möglichen Angriffen auf kritische Infrastrukturen standzuhalten, muss dringend gestärkt werden – vor allem in der EU selbst, aber gegebenenfalls auch in ihrer unmittelbaren Nachbarschaft.

Ein reibungslos funktionierender Binnenmarkt ist ein weiteres zentrales Ziel der EU, auch in Bezug auf die wesentlichen Dienste, die von Betreibern kritischer Infrastrukturen erbracht werden. Die EU hat daher bereits eine Reihe von Maßnahmen ergriffen, um Schwachstellen zu verringern und die Widerstandsfähigkeit kritischer Einrichtungen sowohl in Bezug auf cyberbezogene als auch nicht cyberbezogene Risiken zu erhöhen.

Die Befähigung der EU, auf die sich ständig wandelnde Bedrohungslage zu reagieren, erfordert ständige Wachsamkeit und Anpassung. Russlands Angriffskrieg gegen die Ukraine hat neue Risiken mit sich gebracht, die oft kombiniert als hybride Bedrohung auftreten. Dazu zählt auch das Risiko einer Unterbrechung der Erbringung wesentlicher Dienste durch Einrichtungen, die kritische Infrastrukturen in Europa betreiben. Dies ist durch die offensichtliche Sabotage der Gas-Pipelines Nord Stream 1 und 2 und weitere jüngste Vorfälle noch deutlicher geworden. Die Gesellschaft hängt in hohem Maße sowohl von physischen als auch von digitalen Infrastrukturen ab, und die Unterbrechung wesentlicher Dienste, sei es durch konventionelle physische Angriffe oder Cyberangriffe oder eine Kombination aus beidem, kann schwerwiegende Folgen für das Wohlergehen der Bürgerinnen und Bürger, unsere Wirtschaft und das Vertrauen in unsere demokratischen Systeme haben.

Um die oben genannten Ziele zu erreichen, sieht der AEUV insbesondere in Artikel 292 vor, dass der Rat Empfehlungen auf der Grundlage eines Vorschlags der Kommission annimmt. Eine Empfehlung des Rates ist in diesem Fall ein geeignetes Instrument, auch unter Berücksichtigung des derzeitigen oben erläuterten rechtlichen Kontexts. Als Rechtsakt – wenn auch nicht verbindlich – signalisiert eine Empfehlung des Rates das Engagement der Mitgliedstaaten für die darin enthaltenen Maßnahmen und bietet eine solide politische Grundlage für die Zusammenarbeit in diesen Bereichen, wobei die Befugnisse der Mitgliedstaaten in vollem Umfang gewahrt bleiben.

Schließlich wird in dem Vorschlag ein möglicher differenzierter Ansatz berücksichtigt, der den unterschiedlichen internen Gegebenheiten der Mitgliedstaaten in Bezug auf die Abwehrbereitschaft und Reaktion auf physische Bedrohungen kritischer Infrastrukturen Rechnung trägt.

Weder Inhalt noch Form der vorgeschlagenen Empfehlung des Rates gehen über das hinaus, was zur Erreichung ihrer Ziele notwendig ist. Die vorgeschlagenen Maßnahmen stehen in einem angemessenen Verhältnis zu den verfolgten Zielen, da sie die Vorrechte und Pflichten der Mitgliedstaaten nach nationalem Recht achten.

Der Vorschlag stützt sich auf Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV), der die Angleichung der Rechtsvorschriften zur Verbesserung des Binnenmarkts vorsieht, in Verbindung mit Artikel 292 AEUV. Dies ist dadurch gerechtfertigt, dass mit der vorgeschlagenen Empfehlung des Rates in erster Linie Maßnahmen vorgezogen werden sollen, die in der neuen CER-Richtlinie und der NIS-2-Richtlinie festgelegt sind, die beide ebenfalls auf Artikel 114 AEUV beruhen. Im Einklang mit der Logik, die die Verwendung dieses Artikels als Rechtsgrundlage für diese Richtlinien rechtfertigt, ist ein Tätigwerden der EU erforderlich, um das reibungslose Funktionieren des Binnenmarkts zu gewährleisten, insbesondere angesichts des grenzüberschreitenden Charakters und des grenzüberschreitenden Umfangs der betreffenden Dienste und der potenziellen Folgen im Falle von Störungen sowie der tatsächlichen und sich abzeichnenden nationalen Maßnahmen zur Stärkung der Resilienz von Einrichtungen, die kritische Infrastrukturen betreiben, welche zur Erbringung wesentlicher Dienste im Binnenmarkt genutzt werden.

Der Vorschlag steht auch im Einklang mit anderen einschlägigen sektorspezifischen Rechtsvorschriften. Daher sollte die Umsetzung dieser Empfehlung mit spezifischen Maßnahmen, mit denen bestimmte Aspekte der Resilienz von Einrichtungen, die in betroffenen Sektoren wie z. B. dem Verkehrssektor tätig sind, geregelt werden oder künftig geregelt werden können, übereinstimmen. Dazu gehören auch andere einschlägige Initiativen wie der Notfallplan für den Verkehr oder der Notfallplan für Lebensmittelversorgung und Ernährungssicherheit in Krisenzeiten und der Europäische Vorsorge- und Reaktionsmechanismus für Ernährungssicherheit. Ganz allgemein sollte die Empfehlung natürlich unter uneingeschränkter Achtung aller geltenden Vorschriften des EU-Rechts umgesetzt werden, einschließlich derjenigen, die in der ECI-Richtlinie und der NIS-Richtlinie festgelegt sind.

In der EU-Strategie für maritime Sicherheit und ihrem Aktionsplan wird der Wandel der Bedrohungen im maritimen Bereich hervorgehoben und ein erneutes Engagement für den Schutz kritischer maritimer Infrastruktur, einschließlich der Infrastruktur unter Wasser und insbesondere der maritimen Infrastruktur in den Bereichen Verkehr, Energie und Kommunikation gefordert, auch durch eine Verbesserung der maritimen Lageerfassung durch bessere Interoperabilität und einen optimierten Informationsaustausch.

Der Kernenergiesektor ist in der vorgeschlagenen Empfehlung des Rates nicht ausdrücklich enthalten, mit Ausnahme z. B. damit verbundener Infrastruktur (wie Übertragungsleitungen zu Kernkraftwerken), die die Versorgungssicherheit beeinträchtigen könnte. Bestimmte nukleare Elemente fallen unter die einschlägigen Rechtsvorschriften im Nuklearbereich im Rahmen des Euratom-Vertrags und/oder nationale Rechtsvorschriften. Auf der Grundlage der Lehren aus dem Unfall in Fukushima wurden die europäischen Rechtsvorschriften für nukleare Sicherheit verschärft, weshalb die nationalen Behörden regelmäßige Sicherheitsüberprüfungen für jede Anlage durchführen müssen, um die kontinuierliche Einhaltung der höchsten Sicherheitsanforderungen sicherzustellen und weitere Sicherheitsverbesserungen zu ermitteln; dazu kommen sechs jährliche themenbezogene Peer-Reviews auf EU-Ebene.

Der Vorschlag steht auch im Einklang mit der NIS-Richtlinie und der künftigen NIS-2-Richtlinie, mit der die NIS-Richtlinie aufgehoben wird, da ein frühzeitiger Beginn der Durchführungs- und Umsetzungsarbeiten gefordert wird. Er spiegelt auch den gemeinsamen Aufruf im Rahmen der Tagung in Nevers vom März 2022 sowie die Schlussfolgerungen des Rates zur Cyberabwehr der EU vom Mai 2022 in Bezug auf die Aufforderung der Mitgliedstaaten an die Kommission, Risikobewertungen und Risikoszenarien zu entwickeln, wider.

Darüber hinaus ergänzt und antizipiert er die CER-Richtlinie, da die Mitgliedstaaten bereits aufgefordert werden, der fristgerechten Umsetzung der Richtlinie Vorrang einzuräumen, indem sie im Rahmen des von der Kommission angekündigten 5-Punkte-Plans in Sachverständigensitzungen zusammenarbeiten und indem sie sich die Koordinierung des Weges zu einer gemeinsamen Vorgehensweise für die Durchführung von Stresstests für kritische Infrastrukturen in der EU zum Ziel setzen.

(3)Daneben stellt die Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union auf Cyberbedrohungen ab. Diese Richtlinie soll durch eine neue Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (im Folgenden „NIS-2-Richtlinie“) ersetzt werden, die sich derzeit ebenfalls im Annahmeverfahren der Gesetzgebungsorgane der Union befindet.

(2)Die Richtlinie 2008/114/EG des Rates regelt derzeit den Schutz kritischer Infrastruktur in zwei Sektoren. Um die Menschen besser zu schützen, werden in dieser Richtlinie ein Verfahren zur Ermittlung und Ausweisung europäischer kritischer Infrastrukturen sowie ein gemeinsamer Ansatz für die Bewertung der Notwendigkeit, den Schutz derartiger Infrastrukturen zu verbessern, festgelegt. Die Richtlinie betrifft den Energiesektor und den Verkehrssektor. Um die Resilienz kritischer Einrichtungen und der von ihnen erbrachten wesentlichen Dienste sowie der kritischen Infrastruktur, auf die sie hierbei angewiesen sind, zu verbessern, befindet sich derzeit eine neue Richtlinie über die Resilienz kritischer Einrichtungen (im Folgenden „CER-Richtlinie“) im Annahmeverfahren der Gesetzgebungsorgane der Union, die die Richtlinie 2008/114/EG ersetzen soll und sich auf mehr Sektoren, einschließlich der digitalen Infrastruktur, erstrecken wird.

(1)Der Union kommt in Bezug auf grenzüberschreitende Infrastruktur, die die Interessen mehrerer Mitgliedstaaten berührt, oder Infrastruktur, die von Einrichtungen zur Bereitstellung wesentlicher Dienste über Grenzen hinweg genutzt wird, eine besondere Rolle zu. Die zu erbringenden Dienste und die kritische Infrastruktur, die für mehrere Mitgliedstaaten von Bedeutung sind, können auch in einem einzigen Mitgliedstaat angesiedelt sein oder aber außerhalb der Hoheitsgebiete der Mitgliedstaaten, z. B. im Falle von Unterseekabeln oder Pipelines. Es liegt im Interesse aller Mitgliedstaaten und der Union insgesamt, diese Infrastruktur und Einrichtungen eindeutig zu identifizieren, ihre Bedrohungen zu ermitteln und sich gemeinsam zu ihrem Schutz zu verpflichten.

Bei der Ausarbeitung dieses Vorschlags wurden die in der Sitzung vom 12. Oktober 2022 geäußerten Ansichten der Sachverständigen der Mitgliedstaaten berücksichtigt. Es bestand ein breiter Konsens darüber, dass eine stärkere Koordinierung auf Unionsebene in Bezug auf Abwehrbereitschaft und Reaktion angesichts der derzeitigen Bedrohungslage sinnvoll ist und bestimmte Elemente der CER-Richtlinie bereits vor ihrer förmlichen Annahme umgesetzt werden sollten. Die Mitgliedstaaten erklärten sich bereit, Erfahrungen und bewährte Verfahren in Bezug auf Maßnahmen und Methoden zur Stärkung der Resilienz von Einrichtungen, die kritische Infrastrukturen betreiben, auszutauschen. Die Mitgliedstaaten zeigten sich auch offen für eine koordinierte Vorgehensweise in Bezug auf Stresstests von Einrichtungen, die kritische Infrastrukturen betreiben – auf freiwilliger Basis und auf der Grundlage gemeinsamer Grundsätze. Die Mitgliedstaaten wiesen darauf hin, dass Einrichtungen, die kritische Infrastrukturen in den Bereichen Energie, digitale Infrastruktur und Verkehr betreiben, für die Zwecke dieser Empfehlung als prioritär betrachtet werden sollten, insbesondere solche, die für mehrere Mitgliedstaaten von Bedeutung sind. Die Mitgliedstaaten begrüßten ferner die Absicht der Kommission, in den kommenden Wochen weitere Sitzungen von Sachverständigen der Mitgliedstaaten einzuberufen.

(4)Angesichts der sich rasch ändernden Bedrohungslage, insbesondere im Kontext der offensichtlichen Sabotage der Gasinfrastruktur Nord Stream 1 und Nord Stream 2, stehen Einrichtungen, die kritische Infrastrukturen betreiben, vor besonderen Herausforderungen in Bezug auf ihre Widerstandsfähigkeit gegen feindliche Handlungen und andere von Menschen verursachte Bedrohungen, während die Gefahren aufgrund natürlicher Faktoren und des Klimawandels zunehmen und mit diesen feindlichen Handlungen zusammenwirken können. Daher müssen diese Einrichtungen mit Unterstützung der Mitgliedstaaten geeignete Maßnahmen zur Stärkung ihrer Resilienz ergreifen. Diese Maßnahmen und diese Unterstützung sollten über das in den Richtlinie 2008/114/EG und (EU) 2016/1148 vorgesehene Maß hinausgehen und noch vor der Annahme, dem Inkrafttreten und der Umsetzung der neuen CER- und NIS-2-Richtlinien ergriffen und geleistet werden.

(5)Die Union und die Mitgliedstaaten werden aufgefordert, bis zur Annahme, dem Inkrafttreten und der Umsetzung dieser neuen Richtlinien im Einklang mit dem Unionsrecht alle verfügbaren Instrumente zu nutzen, um Fortschritte zu erzielen und einen Beitrag zu leisten zur Stärkung der physischen Resilienz und Cyberresilienz dieser Einrichtungen und der von ihnen betriebenen kritischen Infrastruktur, mit der wesentliche Dienste im Binnenmarkt erbracht werden, d. h. Dienstleistungen, die für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten, der öffentlichen Gesundheit, der Sicherheit oder für die Umwelt von entscheidender Bedeutung sind. In diesem Zusammenhang bezeichnet der Ausdruck „Resilienz“ die Fähigkeit einer Einrichtung, Ereignisse, die die Erbringung der betreffenden wesentlichen Dienste erheblich stören oder stören könnten, zu verhindern, sich davor zu schützen, darauf zu reagieren, sie abzuwehren, ihre Folgen zu begrenzen, sie aufzufangen, zu bewältigen und sich von ihnen zu erholen.

(6)Um eine Vorgehensweise zu gewährleisten, die sowohl wirksam ist als auch so weit wie möglich mit der neuen CER-Richtlinie im Einklang steht, sollten die in dieser Empfehlung enthaltenen Maßnahmen Infrastruktur betreffen, die von einem Mitgliedstaat als kritische Infrastruktur eingestuft wird, sowohl nationale kritische Infrastruktur als auch europäische kritische Infrastruktur, unabhängig davon, ob die Einrichtung, die die kritische Infrastruktur betreibt, bereits im Rahmen dieser neuen Richtlinie als kritische Einrichtung ausgewiesen wurde. Für die Zwecke dieser Empfehlung wird der Ausdruck „kritische Infrastruktur“ mit dieser Bedeutung verwendet.

(7)Angesichts der bestehenden Bedrohungen sollten Maßnahmen zur Stärkung der Resilienz vorrangig in den Schlüsselsektoren Energie, digitale Infrastruktur, Verkehr und Weltraum ergriffen werden, und der Schwerpunkt dieser Maßnahmen sollte auf der Stärkung der Resilienz der kritische Infrastrukturen betreibenden Einrichtungen gegenüber vom Menschen verursachten Risiken liegen. In Bezug auf nationale kritische Infrastruktur sollte Infrastruktur von grenzüberschreitender Bedeutung in Anbetracht der möglichen Folgen eines Eintritts von Risikoereignissen Vorrang genießen.

(8)Dementsprechend zielen die in dieser Empfehlung enthaltenen Maßnahmen in erster Linie darauf ab, die neuen CER- und NIS-2-Richtlinien, die sich auf Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) stützen, zu erweitern, indem sie die in diesen neuen Richtlinien vorgesehenen Maßnahmen vorziehen und ergänzen. Angesichts des grenzüberschreitenden Charakters und der Bedeutung der betreffenden kritischen Infrastruktur und wesentlichen Dienste und in Anbetracht der bereits bestehenden und möglicherweise noch entstehenden Unterschiede zwischen den nationalen Rechtsvorschriften, die den Binnenmarkt verzerren, ist es daher angezeigt, diese Empfehlung auch auf Artikel 114 AEUV in Verbindung mit Artikel 292 AEUV zu stützen.

(9)Die Umsetzung der vorliegenden Empfehlung lässt die bestehenden und zukünftigen Anforderungen des Unionsrechts in Bezug auf bestimmte Aspekte der Resilienz der betreffenden Einrichtungen unberührt und sollte stets mit diesen Anforderungen im Einklang stehen. Diese Anforderungen sind in allgemeinen Instrumenten wie der Richtlinie 2008/114/EG, der Richtlinie (EU) 2016/1148 und den diese ersetzenden neuen CER- und NIS-2-Richtlinien festgelegt, und auch in bestimmten sektorspezifischen Instrumenten, wie etwa im Verkehrsbereich, wo die Kommission unter anderem einen „Notfallplan für den Verkehr“ angenommen hat. Im Einklang mit dem Grundsatz der loyalen Zusammenarbeit sollte diese Empfehlung mit uneingeschränkter gegenseitiger Achtung und Unterstützung umgesetzt werden.

(10)Am 5. Oktober 2022 kündigte die Kommission einen Fünf-Punkte-Plan an, in dem eine koordinierte Vorgehensweise zur Bewältigung der künftigen Herausforderungen dargelegt wird und der vorsieht, die Abwehrbereitschaft voranzubringen, indem auf der neuen CER-Richtlinie aufgebaut wird, ohne auf deren Annahme und Inkrafttreten zu warten; der Plan sieht zudem vor, in Zusammenarbeit mit den Mitgliedstaaten auf der Grundlage gemeinsamer Grundsätze und beginnend mit dem Energiesektor Einrichtungen, die kritische Infrastrukturen betreiben, Stresstests zu unterziehen. Die vorliegende Empfehlung soll zu diesem Plan beitragen; sie greift die dort vorgeschlagene Vorgehensweise auf und präzisiert konkrete Umsetzungsmaßnahmen dazu.

(11)Vor dem Hintergrund einer sich rasch ändernden Bedrohungslage und des derzeitigen durch vom Menschen verursachte Risiken gekennzeichneten Risikoumfelds ist es insbesondere in Bezug auf kritische Infrastruktur von grenzüberschreitender Bedeutung entscheidend, ein genaues, aktuelles und vollständiges Bild der wichtigsten Risiken zu erhalten, die sich für Einrichtungen, die kritische Infrastrukturen betreiben, ergeben. Die Mitgliedstaaten sollten daher die erforderlichen Maßnahmen treffen, um ihre Bewertungen dieser Risiken vorzunehmen oder zu aktualisieren. Obgleich der Schwerpunkt der vorliegenden Empfehlung auf Sicherheitsrisiken liegt, sollten zusätzlich die Anstrengungen zur Bewältigung des Klimawandels und der Umweltrisiken fortgesetzt werden, insbesondere zumal Naturereignisse die vom Menschen verursachten Risiken weiter verschärfen können.

(12)Angesichts dieser Bedrohungslage sollten die Mitgliedstaaten aufgefordert werden, so bald wie möglich geeignete Maßnahmen zur Stärkung der Resilienz kritischer Infrastruktur zu ergreifen, die gegebenenfalls auch über die genannten Risikobewertungen hinausgehen, die nach der neuen CER-Richtlinie in Zukunft erforderlich sein werden.

(13)Zur Umsetzung des von der Kommission angekündigten Fünf-Punkte-Plans ist ein koordiniertes Arbeiten erforderlich, sodass noch vor der Einsetzung der in der neuen CER-Richtlinie vorgesehenen Gruppe für die Resilienz kritischer Einrichtungen nationale Sachverständige zusammengerufen werden sollten, um die Zusammenarbeit zwischen den Mitgliedstaaten und den Informationsaustausch in Bezug auf die Resilienz von Einrichtungen, die kritische Infrastrukturen betreiben, zu ermöglichen. Darunter fallen die Zusammenarbeit und der Informationsaustausch bei Tätigkeiten wie der Ermittlung kritischer Einrichtungen und Infrastruktur, der Vorbereitung der Ausarbeitung und Förderung gemeinsamer Grundsätze für die Durchführung von Stresstests und der gemeinsamen Auswertung der Ergebnisse dieser Stresstests, bei denen Schwachstellen sowie mögliche Kapazitäten ermittelt werden. Diese Prozesse dürften auch die Widerstandsfähigkeit der kritische Infrastrukturen betreibenden Einrichtungen gegen Klima- und Umweltrisiken verbessern. Auch würde diese Arbeit eine gemeinsame Priorisierung der Stresstestarbeiten mit einem Schwerpunkt auf den Sektoren Energie, digitale Infrastruktur, Verkehr und Weltraum ermöglichen. Die Kommission hat bereits begonnen, Sachverständige zu versammeln und deren Arbeit zu unterstützen, und sie beabsichtigt, diese Arbeit fortzuführen. Sobald die neue CER-Richtlinie in Kraft getreten und die Gruppe für die Resilienz kritischer Einrichtungen eingerichtet ist, sollte die Gruppe diese Vorarbeit im Rahmen ihrer in dieser Richtlinie festgelegten Aufgaben fortsetzen.

(14)Die Stresstestreihe sollte durch die Ausarbeitung eines Konzeptpapiers zu Sicherheitsvorfällen und Krisen bei kritischer Infrastruktur ergänzt werden, in dem die Ziele und Formen der Zusammenarbeit zwischen den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der EU bei der Reaktion auf Anschläge auf kritische Infrastruktur beschrieben und festgelegt werden, insbesondere wenn diese erhebliche Störungen bei der Bereitstellung von für den Binnenmarkt wesentlichen Diensten verursachen. In diesem Konzeptpapier sollten die bestehende Integrierte Regelung für die politische Reaktion auf Krisen (IPCR) für die Koordinierung der Reaktion berücksichtigt, auf Kohärenz und Komplementarität mit dem Konzeptentwurf für eine koordinierte Reaktion auf Cybersicherheitsvorfälle und -krisen großen Ausmaßes geachtet und gemeinsam abgestimmte Kernbotschaften für die Öffentlichkeit festgelegt werden, da die Krisenkommunikation bei der Folgenbegrenzung von Sicherheitsvorfällen und Krisen im Zusammenhang mit kritischer Infrastruktur eine wichtige Rolle spielt.

(15)Um eine koordinierte und wirksame Reaktion auf aktuelle und zu erwartende Bedrohungen zu gewährleisten, wird die Kommission die Mitgliedstaaten bei der Stärkung ihrer Resilienz gegenüber diesen Bedrohungen zusätzlich unterstützen, indem sie ihnen insbesondere mit Briefings, Handbüchern und Leitlinien einschlägige Informationen liefert, die Übernahme von Ergebnissen von mit Unionsmitteln finanzierten Forschungs- und Innovationsprojekten fördert, die erforderlichen Maßnahmen vorzieht und dafür sorgt, dass die Überwachungsinstrumente der Union optimal eingesetzt werden. Der EAD sollte Bedrohungsanalysen vorlegen, die insbesondere von seinem EU-Zentrum für Informationsgewinnung und Lageerfassung erstellt werden können.

(16)Auch die sektorrelevanten Agenturen und Stellen der Union und andere einschlägige Einrichtungen sollten, soweit ihre in den einschlägigen Instrumenten des Unionsrechts festgelegten Mandate dies zulassen, in Resilienzfragen Unterstützung leisten. Insbesondere könnte die Agentur der Europäischen Union für Cybersicherheit (ENISA) in Fragen der Cybersicherheit Unterstützung leisten, die Europäische Agentur für die Sicherheit des Seeverkehrs (EMSA) könnte ihr Fachwissen bereitstellen und dank ihres Meeresüberwachungsdienstes den Mitgliedstaaten in puncto maritime Sicherheit und Gefahrenabwehr zur Seite stehen, die Agentur der Europäischen Union für die Zusammenarbeit auf dem Gebiet der Strafverfolgung (EUROPOL) könnte bei der Informationssammlung und bei grenzüberschreitenden strafrechtlichen Ermittlungen behilflich sein, und die Agentur der Europäischen Union für das Weltraumprogramm (EUSPA) sowie das Satellitenzentrum der Europäischen Union (SatCen) könnten mittels Maßnahmen im Rahmen des Weltraumprogramms der Union Unterstützung leisten.

(17)Während die Hauptverantwortung für die Gewährleistung der Sicherheit kritischer Infrastruktur und der betreffenden Einrichtungen weiter bei den Mitgliedstaaten liegt, ist eine stärkere Koordinierung auf Unionsebene angezeigt, insbesondere in Bezug auf Bedrohungen, die möglicherweise mehrere Mitgliedstaaten gleichzeitig betreffen, wie etwa Russlands Angriffskrieg gegen die Ukraine, oder Bedrohungen, die die Resilienz und das Funktionieren der Wirtschaft der Union, des Binnenmarkts und unserer Gesellschaften beeinträchtigen können.

(18)Die vorliegende Empfehlung umfasst nicht die Bereitstellung von Informationen, deren Offenlegung wesentlichen Interessen der Mitgliedstaaten im Bereich der nationalen Sicherheit, der öffentlichen Sicherheit oder der Verteidigung zuwiderläuft.

(19)Angesichts der zunehmenden wechselseitigen Abhängigkeiten zwischen physischer und digitaler Infrastruktur können zum einen auf kritische Bereiche gerichtete böswillige Cyberaktivitäten zu Störungen oder Schäden an physischer Infrastruktur führen, und kann zum anderen die Sabotage physischer Infrastruktur digitale Dienste unzugänglich machen. Da die Bedrohung durch komplexe hybride Angriffe zunimmt, sollten die Mitgliedstaaten bei ihrer Arbeit zur Umsetzung der vorliegenden Empfehlung auch solche Erwägungen berücksichtigen. In Anbetracht der Verflechtungen zwischen Cybersicherheit und physischer Sicherheit bei den Betreibern ist es wichtig, dass die Vorbereitungen für die Umsetzung und Anwendung der neuen NIS-2-Richtlinie so bald wie möglich beginnen und dass solche Vorbereitungen gleichzeitig auch in Bezug auf die neue CER-Richtlinie anlaufen.

(20)Neben der Verbesserung der Abwehrbereitschaft ist es auch wichtig, die Kapazitäten für eine rasche und wirksame Reaktion auf Ereignisse zu verbessern, die die Erbringung wesentlicher Dienste durch Einrichtungen, die kritische Infrastrukturen betreiben, gefährden können. Daher sollte die vorliegende Empfehlung Maßnahmen enthalten, die von den Mitgliedstaaten und auf Unionsebene ergriffen werden sollten, darunter eine stärkere Zusammenarbeit und einen intensiveren Informationsaustausch im Rahmen des Katastrophenschutzverfahrens der Union und der Einsatz der einschlägigen Instrumente des Weltraumprogramms der Union.

(21)Gemäß der Aufforderung des Rates in seinen Schlussfolgerungen zur Cyberabwehr der EU führen die Kommission, der Hohe Vertreter der Union für Außen- und Sicherheitspolitik (im Folgenden „Hoher Vertreter“) und die mit der Richtlinie (EU) 2016/1148 eingesetzte Kooperationsgruppe (im Folgenden „NIS-Kooperationsgruppe“) in Abstimmung mit den einschlägigen zivilen und militärischen Stellen und Einrichtungen und den etablierten Netzwerken, darunter EU-CyCLONe, eine Risikobewertung durch und erstellen Risikoszenarien aus der Perspektive der Cybersicherheit für Bedrohungssituationen oder mögliche Angriffe auf Mitgliedstaaten oder Partnerländer. Bei diesem Arbeitsstrang liegt der Schwerpunkt auf kritischen Sektoren wie Energie, digitale Infrastruktur, Verkehr und Weltraum.

(22)Im gemeinsamen Aufruf der Minister auf der Tagung in Nevers und in den Schlussfolgerungen des Rates zur Cyberabwehr der EU wurde zudem dazu aufgerufen, die Widerstandsfähigkeit der Kommunikationsinfrastruktur und -netze in der Union zu stärken und hierfür basierend auf einer Risikobewertung Empfehlungen an die Mitgliedstaaten und die Kommission zu richten. Diese Risikobewertung wird derzeit von der NIS-Kooperationsgruppe mit Unterstützung der Kommission und der ENISA sowie in Zusammenarbeit mit dem Gremium europäischer Regulierungsstellen für elektronische Kommunikation (GEREK) durchgeführt. Die Risikobewertung und die Lückenanalyse befassen sich mit den Risiken von Cyberangriffen für die verschiedenen Teilsektoren der Kommunikationsinfrastruktur, darunter Festnetz- und Mobilnetzinfrastruktur, Satelliten, Unterseekabel, Internet-Routing usw., und bilden somit eine Grundlage für die Arbeit im Rahmen dieser Empfehlung. Die Ergebnisse dieser Risikobewertung werden in die laufende sektorübergreifende Cyberrisikobewertung und in die einschlägigen Szenarien einfließen, die der Rat in seinen Schlussfolgerungen vom 23. Mai 2022 gefordert hat.

(23)Diese beiden Arbeitsstränge werden aufeinander abgestimmt sein und auch mit der Arbeit an Katastrophenschutzszenarien koordiniert werden – Szenarien bei denen ein breites Spektrum von Naturkatastrophen und vom Menschen verursachten Katastrophen und unter anderem auch Cybersicherheitsvorfälle und deren reale Auswirkungen berücksichtigt werden und die derzeit von der Kommission und den Mitgliedstaaten gemäß dem Beschluss Nr. 1313/2013/EU des Europäischen Parlaments und des Rates erstellt werden. Aus Gründen der Effizienz, Wirksamkeit und Kohärenz sollten die Ergebnisse dieser Arbeiten bei der Umsetzung der vorliegenden Empfehlung berücksichtigt werden.