BEGRÜNDUNG

1.KONTEXT DES VORSCHLAGS

·Gründe und Ziele des Vorschlags

Um ihre Bürger wirksam zu schützen, muss die Europäische Union weiterhin Schwachstellen beseitigen – auch bei kritischen Infrastrukturen, die für das Funktionieren unserer Gesellschaften und Wirtschaft unerlässlich sind. Die Lebensgrundlage der Unionsbürger und das reibungslose Funktionieren des Binnenmarkts sind von verschiedenen Infrastrukturen für die zuverlässige Erbringung von Diensten abhängig, die für die Aufrechterhaltung kritischer gesellschaftlicher und wirtschaftlicher Tätigkeiten wesentlich sind. Diese bereits unter normalen Umständen unentbehrlichen Dienste gewinnen in Zeiten, in denen Europa mit den Auswirkungen der COVID-19-Pandemie und der Erholung davon beschäftigt ist, noch mehr an Bedeutung. Folglich müssen Einrichtungen, die wesentliche Dienste erbringen, resilient, d. h. in der Lage sein, Sicherheitsvorfälle, die zu schwerwiegenden und potenziell sektor- und grenzübergreifenden Störungen führen können, abzuwehren, aufzufangen, zu bewältigen und sich von ihnen zu erholen.

Mit diesem Vorschlag soll die Erbringung von Diensten auf dem Binnenmarkt verbessert werden, die für die Aufrechterhaltung essenzieller gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten wesentlich sind, indem die Resilienz von kritischen Einrichtungen, die diese Dienste erbringen, erhöht wird. In dem Vorschlag werden die jüngsten Aufrufe des Rates und des Europäischen Parlaments aufgegriffen, in denen die Kommission zur Überarbeitung des aktuellen Konzepts aufgefordert wurde, um den gestiegenen Herausforderungen für kritische Einrichtungen besser Rechnung zu tragen und für eine stärkere Angleichung an die Richtlinie über Netz- und Informationssysteme (NIS) zu sorgen. Dieser Vorschlag steht im Einklang mit der vorgeschlagenen Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (im Folgenden „NIS-2-Richtlinie“) und sorgt für starke entsprechende Synergieeffekte; mit der genannten Richtlinie soll die NIS-Richtlinie ersetzt werden, um der zunehmenden Verflechtung zwischen physischer und digitaler Welt durch einen Rechtsrahmen mit robusten Resilienzmaßnahmen gegen digitale und physische Aspekte gemäß der Strategie für eine Sicherheitsunion Rechnung zu tragen.

Darüber hinaus wird in dem Vorschlag auf die nationalen Ansätze in immer mehr Mitgliedstaaten eingegangen, bei denen tendenziell sektor- und grenzüberschreitende Abhängigkeiten hervorgehoben werden und immer häufiger ein Resilienzdenken vorherrscht, bei dem der Schutz neben der Risikoprävention und ‑minderung, Fortführung des Geschäftsbetriebs und Notfallwiederherstellung nur einen Aspekt darstellt. Da auch kritische Infrastrukturen zum Ziel von Terroristen werden können, leisten die im vorliegenden Vorschlag enthaltenen Maßnahmen zur Gewährleistung der Resilienz kritischer Einrichtungen einen Beitrag zu den Zielen der kürzlich angenommenen EU-Agenda für Terrorismusbekämpfung.

Die europaweite Bedeutung kritischer Infrastrukturen wird von der Europäischen Union (EU) seit Langem anerkannt. So hat die EU beispielsweise 2006 das Europäische Programm für den Schutz kritischer Infrastrukturen (EPSKI) aufgelegt und 2008 die Richtlinie über europäische kritische Infrastrukturen (EKI) angenommen. Diese Richtlinie, die nur für den Energie- und den Verkehrssektor gilt, sieht ein Verfahren zur Ermittlung und Ausweisung von EKI vor, deren Störung oder Zerstörung erhebliche grenzüberschreitende Auswirkungen in mindestens zwei Mitgliedstaaten hätte. Außerdem werden in ihr bestimmte Schutzanforderungen für die Betreiber von EKI und die zuständigen Behörden der Mitgliedstaaten festgelegt. Bisher wurden 94 EKI ausgewiesen, von denen zwei Drittel in drei Mitgliedstaaten in Mittel- und Osteuropa liegen. Der Anwendungsbereich der EU-Maßnahmen zur Resilienz kritischer Infrastrukturen geht jedoch über diese Maßnahmen hinaus und umfasst auch sektorspezifische und sektorübergreifende Maßnahmen, unter anderem in den Bereichen Klimasicherung, Katastrophenschutz, ausländische Direktinvestitionen und Cybersicherheit. Mittlerweile haben die Mitgliedstaaten in diesem Bereich selbst eigene Maßnahmen ergriffen, die sich voneinander unterscheiden.

Folglich ist es offensichtlich, dass der derzeitige Rahmen zum Schutz kritischer Infrastrukturen nicht ausreicht, um die aktuellen Herausforderungen zu bewältigen, vor denen kritische Infrastrukturen und die sie betreibenden Einrichtungen stehen. Da die Verflechtung zwischen den Infrastrukturen, Netzen und Betreibern, die wesentliche Dienste auf dem Binnenmarkt erbringen, immer stärker wird, muss das aktuelle Konzept grundlegend dahingehend geändert werden, dass es vom Schutz bestimmter Anlagen weg in Richtung Stärkung der Resilienz der sie betreibenden kritischen Einrichtungen verlagert wird.

Das operative Umfeld, in dem kritische Einrichtungen tätig sind, hat sich in den letzten Jahren stark verändert. Erstens ist die Risikolandschaft komplexer als 2008 und umfasst heute natürliche Gefahren (die durch den Klimawandel oftmals noch verschlimmert werden), staatlich geförderte hybride Aktionen, Terrorismus, Insider-Bedrohungen, Pandemien und Unfälle (wie Industrieunfälle). Zweitens sind die Betreiber mit Herausforderungen konfrontiert, wenn sie neue Technologien wie 5G und unbemannte Fahrzeuge in ihren Betrieb integrieren und gleichzeitig die Schwachstellen beseitigen sollen, die mit solchen Technologien verbunden sein können. Drittens werden die Betreiber durch solche Technologien und andere Entwicklungen immer stärker voneinander abhängig. Die Folgen dessen sind klar: Wird ein Betreiber in einem Sektor in der Erbringung seines Dienstes gestört, kann dies zu einer Kettenreaktion bei der Erbringung von Diensten in anderen Sektoren und möglicherweise auch in anderen Mitgliedstaaten oder der gesamten Union führen.

Wie die Evaluierung der EKI-Richtlinie aus dem Jahr 2019 gezeigt hat, können die Betreiber durch die bestehenden europäischen und nationalen Maßnahmen nur in begrenztem Maße dabei unterstützt werden, die aktuellen operativen Herausforderungen zu bewältigen und die Anfälligkeiten, die sich aus ihrer gegenseitigen Abhängigkeit ergeben, zu beseitigen.

Wie in der im Rahmen der Ausarbeitung des Vorschlags durchgeführten Folgenabschätzung dargestellt, gibt es hierfür mehrere Gründe. Erstens sind sich die Betreiber nicht gänzlich darüber im Klaren, welche Auswirkungen die dynamische Risikolandschaft, in der sie tätig sind, haben kann, oder sie verstehen diese Auswirkungen nicht voll und ganz. Zweitens unterscheiden sich die Bemühungen um Resilienz erheblich zwischen den einzelnen Mitgliedstaaten und Sektoren. Drittens werden ähnliche Arten von Einrichtungen in einigen Mitgliedstaaten als kritisch anerkannt, in anderen jedoch nicht, was bedeutet, dass vergleichbare Einrichtungen je nach Standort in der Union von offizieller Seite in unterschiedlichem Maße beim Kapazitätsaufbau unterstützt werden (z. B. bei der Organisation von Beratung, Ausbildung und Übungen) und unterschiedliche Anforderungen erfüllen müssen. Die Tatsache, dass die Anforderungen und die staatliche Unterstützung für die Betreiber je nach Mitgliedstaat unterschiedlich sind, birgt Hindernisse für grenzüberschreitend tätige Betreiber und insbesondere für diejenigen kritischen Einrichtungen, die in Mitgliedstaaten mit strengeren Rahmenbedingungen tätig sind. Aufgrund der immer stärkeren Verflechtung der Dienstleistungserbringung und der Sektoren in den Mitgliedstaaten und der EU stellt eine unzureichende Resilienz eines Betreibers eine ernste Gefahr für Einrichtungen in anderen Bereichen des Binnenmarkts dar.

Störungen – insbesondere solche mit grenzüberschreitenden und potenziell europaweiten Auswirkungen – gefährden nicht nur das reibungslose Funktionieren des Binnenmarkts, sondern können auch ernste negative Auswirkungen für die Bürger, Unternehmen, Regierungen und die Umwelt mit sich bringen. Auf individueller Ebene können Störungen sogar dazu führen, dass Unionsbürger nicht mehr frei reisen, arbeiten und grundlegende öffentliche Dienstleistungen wie die Gesundheitsversorgung in Anspruch nehmen können. In vielen Fällen werden diese und andere Kerndienstleistungen des täglichen Lebens von eng miteinander verflochtenen Netzen europäischer Unternehmen erbracht; eine Störung eines Unternehmens in einem Sektor kann Kettenreaktionen in vielen anderen Wirtschaftszweigen nach sich ziehen. Störungen wie beispielsweise große Stromausfälle und schwere Verkehrsunfälle können die allgemeine und öffentliche Sicherheit gefährden, was zu Unsicherheit führt und das Vertrauen in kritische Einrichtungen und die Behörden, die für ihre Aufsicht und die Sicherheit der Bevölkerung zuständig sind, schwinden lässt.