NIS2 und die CER-Richtlinie: Wer bis 17. Juli 2026 als kritische Einrichtung gilt, wird automatisch wesentliche Einrichtung

Die meisten Vergleiche zwischen NIS2 und der CER-Richtlinie enden nach einem Satz: NIS2 regelt Cybersicherheit, CER regelt Physisches. Das stimmt – und verfehlt die eine Regel, die für betroffene Unternehmen teuer wird.

Artikel 2 Absatz 3 der NIS2-Richtlinie bestimmt, dass NIS2 „unabhängig von ihrer Größe“ für Einrichtungen gilt, die nach der Richtlinie (EU) 2022/2557 als kritische Einrichtungen ermittelt wurden. Artikel 3 Absatz 1 Buchstabe f stuft dieselben Einrichtungen ohne weitere Prüfung als wesentliche Einrichtungen ein – die strengere der beiden NIS2-Kategorien. Die Ermittlung nach der CER-Richtlinie ist damit kein zweites, paralleles Verfahren, sondern ein Schalter, der auch innerhalb von NIS2 umgelegt wird.

Bis zum 17. Juli 2026 muss jeder Mitgliedstaat diese Ermittlung abgeschlossen haben (Artikel 6 Absatz 1 CER-Richtlinie). Dieser Leitfaden vergleicht beide Regelwerke dort, wo sie sich tatsächlich unterscheiden – Geltungsbereich, Pflichtenkatalog, Meldewege, Aufsicht, Sanktionen – und zeigt, welche Einrichtungen die Brücke zwischen ihnen überqueren und welche ausdrücklich davon ausgenommen sind. Den Gesamtrahmen der Cyber-Seite erklären die NIS2-Grundlagen.

Gilt die CER-Richtlinie für Sie? Elf Sektoren, aber eine völlig andere Ermittlungslogik

Kurz gefasst: Unter NIS2 stellen Sie selbst fest, ob Sie betroffen sind. Unter der CER-Richtlinie stellt der Staat es fest. Das ist der praktisch wichtigste Unterschied, und er wird in den meisten Gegenüberstellungen übersprungen.

NIS2 arbeitet mit einer Selbstprüfung: Sektor nach Anhang I oder II, dazu die Größenschwelle – wer beides erfüllt, ist betroffen und muss sich registrieren, ohne auf einen Bescheid zu warten. Die CER-Richtlinie kehrt das um. Nach Artikel 6 Absatz 1 ermittelt jeder Mitgliedstaat die kritischen Einrichtungen bis zum 17. Juli 2026 selbst und teilt der Einrichtung ihre Einstufung nach Artikel 6 Absatz 3 innerhalb eines Monats mit. Ohne diese Mitteilung entstehen keine CER-Pflichten – und mit ihr beginnt eine feste Uhr: Kapitel III der Richtlinie, also der eigentliche Pflichtenkatalog, gilt erst zehn Monate später.

Kriterium	NIS2 (2022/2555)	CER (2022/2557)
Sektoren	18 (Anhang I: 11, Anhang II: 7)	11 (ein Anhang)
Wie entsteht Betroffenheit	Selbstprüfung, dann Registrierungspflicht	Ermittlung durch den Mitgliedstaat bis 17.7.2026, Mitteilung binnen eines Monats
Größenschwelle	ja (mittlere und große Unternehmen), mit Sonderfällen	keine allgemeine Schwelle – maßgeblich sind wesentlicher Dienst, Abhängigkeit und Störungsfolgen
Schutzgut	Netz- und Informationssysteme	physische Resilienz der Einrichtung
Beginn der Pflichten	mit nationaler Umsetzung (in Deutschland seit Dezember 2025)	zehn Monate nach der Mitteilung (Art. 6 Abs. 3)

Ein Detail lohnt die Prüfung: Die elf CER-Sektoren – Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum sowie Produktion, Verarbeitung und Vertrieb von Lebensmitteln – tauchen sämtlich auch in den NIS2-Anhängen auf. Die CER-Sektorenliste ist eine Teilmenge der NIS2-Liste. Praktisch heißt das: Es gibt keine kritische Einrichtung, die nicht ohnehin in einem NIS2-Sektor tätig wäre. Umgekehrt gibt es sehr wohl NIS2-Sektoren ohne CER-Entsprechung – die sieben Sektoren des NIS2-Anhangs II, darunter Chemie, Abfallwirtschaft und Forschung, haben in der CER-Richtlinie kein Gegenstück, mit Ausnahme des Lebensmittelsektors. Ob Sie überhaupt in den Anwendungsbereich fallen, klärt der Leitfaden zum NIS2-Anwendungsbereich.

Die Brücke zwischen beiden Regimen läuft nur in eine Richtung

Der Rechtsverkehr zwischen den Richtlinien ist bewusst einseitig gebaut. Von CER nach NIS2 führt eine automatische, größenunabhängige Brücke. Von NIS2 nach CER führt keine.

Umgekehrt sperrt Artikel 1 Absatz 2 der CER-Richtlinie die Gegenrichtung ausdrücklich: „Unbeschadet des Artikel 8 der vorliegenden Richtlinie gilt diese Richtlinie nicht für Angelegenheiten, die unter die Richtlinie (EU) 2022/2555 fallen.“ Eine NIS2-Einstufung als wesentliche oder wichtige Einrichtung löst also keinerlei CER-Pflicht aus. Wer heute registriert ist und keine Mitteilung nach Artikel 6 Absatz 3 erhalten hat, hat auf der physischen Seite nichts zu tun.

Die drei möglichen Konstellationen unterscheiden sich deutlich:

Ausgangslage	NIS2-Folge	CER-Folge
Nur NIS2-Einrichtung, keine CER-Ermittlung	Kategorie nach Sektor und Größe (wesentlich oder wichtig)	keine
Als kritische Einrichtung ermittelt	wesentliche Einrichtung, unabhängig von der Größe (Art. 2 Abs. 3, Art. 3 Abs. 1 Buchst. f)	voller Pflichtenkatalog nach Kapitel III
Als kritische Einrichtung in Bankwesen, Finanzmarktinfrastruktur oder digitaler Infrastruktur ermittelt	wesentliche Einrichtung (siehe Abschnitt zu Artikel 8)	Kapitel III, IV und VI gelten nicht

Der Größenpunkt ist kein Randfall. Ein Wasserversorger mit 40 Beschäftigten liegt unter der regulären NIS2-Größenschwelle. Wird er als kritische Einrichtung ermittelt, ist er trotzdem wesentliche Einrichtung – mit dem strengeren, anlasslosen Aufsichtsregime für wesentliche Einrichtungen. Der Unterschied zwischen beiden Kategorien ist im Leitfaden zu wesentlichen und wichtigen Einrichtungen ausführlich beschrieben.

Was die CER-Richtlinie verlangt und NIS2 nicht kennt

Kapitel III der CER-Richtlinie umfasst vier Pflichten. Zwei davon haben ein NIS2-Gegenstück, zwei nicht.

Artikel 12 – Risikobewertung. Kritische Einrichtungen führen innerhalb von neun Monaten nach Erhalt der Mitteilung eine eigene Risikobewertung durch, danach mindestens alle vier Jahre. Sie baut ausdrücklich auf der staatlichen Risikobewertung nach Artikel 5 auf – die Einrichtung bewertet also nicht im luftleeren Raum, sondern gegen ein vom Mitgliedstaat vorgegebenes Bedrohungsbild. NIS2 kennt eine Risikobewertungspflicht, aber keine solche Kopplung an eine staatliche Vorlage.

Artikel 13 – Resilienzmaßnahmen. Verlangt werden „geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen“: Prävention von Sicherheitsvorfällen einschließlich Klimaanpassung, physischer Schutz der Anlagen, Reaktions- und Abwehrverfahren, Wiederherstellung nach Vorfällen, Personalmanagement sowie Sensibilisierung der Mitarbeitenden. Der Klimaanpassungsbezug hat in NIS2 keine Entsprechung; Naturgefahren sind dort allenfalls mittelbar über Betriebskontinuität erfasst.

Artikel 14 – Zuverlässigkeitsüberprüfungen. Das ist die klarste inhaltliche Lücke zwischen beiden Regimen. Die CER-Richtlinie erlaubt kritischen Einrichtungen, für Personal in sensiblen Funktionen oder mit Zugang zu kritischen Systemen Zuverlässigkeitsüberprüfungen zu beantragen; sie müssen „verhältnismäßig und strikt auf das Notwendige beschränkt“ sein und umfassen mindestens eine Identitätsprüfung und eine Strafregisterabfrage. NIS2 verlangt in Artikel 21 Absatz 2 Buchstabe i Sicherheit im Bereich Personal, Zugriffskontrolle und Anlagenmanagement – aber kein Verfahren, das Strafregisterdaten einbezieht. In der Praxis ist das die Maßnahme mit dem größten organisatorischen Vorlauf, weil Datenschutz und Mitbestimmung eingebunden werden müssen; planen Sie sie früh ein, nicht erst zum Ende der Zehnmonatsfrist.

Artikel 15 – Meldung von Sicherheitsvorfällen. Dazu der nächste Abschnitt.

Hinzu kommt ein Mechanismus ohne jedes NIS2-Pendant: Nach Artikel 17 kann eine Einrichtung als „kritische Einrichtung von besonderer Bedeutung für Europa“ eingestuft werden, wenn sie denselben oder einen ähnlichen wesentlichen Dienst für oder in sechs oder mehr Mitgliedstaaten erbringt. Die Kommission kann dann nach Artikel 18 eine Beratungsmission entsenden, die die Maßnahmen der Einrichtung vor Ort bewertet. Wer grenzüberschreitend arbeitet, sollte prüfen, ob diese Schwelle erreicht ist.

Zwei Meldewege, zwei Behörden, zwei Uhren

Beide Richtlinien starten die erste Uhr nach 24 Stunden – danach laufen sie auseinander.

Stufe	NIS2, Artikel 23 Abs. 4	CER, Artikel 15
Auslöser	erheblicher Sicherheitsvorfall in Netz- und Informationssystemen	Sicherheitsvorfall, der die Erbringung wesentlicher Dienste erheblich stört oder stören kann
Stufe 1	Frühwarnung binnen 24 Stunden ab Kenntnis	erste Meldung binnen 24 Stunden ab Kenntnis
Stufe 2	Meldung des Vorfalls binnen 72 Stunden	keine Entsprechung
Zwischenbericht	auf Anforderung des CSIRT oder der Behörde	keine Entsprechung
Abschluss	Abschlussbericht spätestens einen Monat nach der Meldung	detaillierter Bericht innerhalb eines Monats
Empfänger in Deutschland	BSI	gemeinsame Plattform von BBK und BSI

Die 72-Stunden-Stufe existiert nur auf der NIS2-Seite. Das ist mehr als eine Formalie: Ein Sabotageakt an einer Anlage, der zugleich Steuerungssysteme lahmlegt, startet beide Uhren gleichzeitig, aber nur eine davon verlangt nach drei Tagen eine inhaltlich vertiefte Zwischenmeldung. Wer dafür zwei getrennte Prozesse baut, verliert genau in den Stunden Zeit, in denen sie am knappsten ist. Sinnvoller ist eine gemeinsame Aufnahme des Vorfalls mit zwei Ausleitungen – eine fachliche Einordnung entscheidet dann, welche Uhren tatsächlich laufen. Die NIS2-Seite dieses Prozesses beschreibt der Leitfaden zu den NIS2-Meldepflichten.

Artikel 8: die Ausnahme, die in kaum einem Vergleich auftaucht

Artikel 8 Absatz 1 der CER-Richtlinie lautet: „Die Mitgliedstaaten stellen sicher, dass Artikel 11 und die Kapitel III, IV und VI nicht für die von ihnen ermittelten kritischen Einrichtungen in den Sektoren gelten, die unter den Nummern 3, 4 und 8 in der Tabelle im Anhang aufgeführt sind.“ Diese Nummern stehen für Bankwesen, Finanzmarktinfrastrukturen und digitale Infrastruktur.

Das Ergebnis ist auf den ersten Blick widersprüchlich. Eine Bank oder ein Rechenzentrumsbetreiber kann als kritische Einrichtung ermittelt werden – und ist dann von genau den Kapiteln befreit, die die Resilienzpflichten (Kapitel III), die europäische Bedeutung (Kapitel IV) und die Aufsicht samt Durchsetzung (Kapitel VI) regeln. Der Grund steht in Artikel 1 Absatz 2: Für diese Sektoren gelten mit NIS2 und den Finanzmarktvorschriften bereits spezifischere Regelwerke; die CER-Richtlinie tritt zurück, statt eine dritte Ebene aufzubauen.

Nach dem Wortlaut bleibt die Ermittlung als kritische Einrichtung dabei aber bestehen – Artikel 8 nimmt Kapitel aus, nicht den Status. Die Verweisung in Artikel 2 Absatz 3 und Artikel 3 Absatz 1 Buchstabe f NIS2 knüpft an eben diesen Status an. Die praktische Lesart lautet deshalb: Für diese drei Sektoren hat eine CER-Ermittlung überwiegend NIS2-Wirkung – sie hebt die Einrichtung in die Kategorie der wesentlichen Einrichtungen, ohne einen eigenen physischen Pflichtenkatalog auszulösen. Diese Auslegung folgt dem Richtlinientext, ist aber bislang nicht gerichtlich geklärt; wer in diesen Sektoren eine Mitteilung erhält, sollte die Reichweite mit der zuständigen Behörde abstimmen.

Sanktionen: EU-Untergrenze gegen nationalen Ermessensspielraum

Hier trennen sich die beiden Richtlinien am deutlichsten, und der Unterschied ist für die Budgetplanung relevanter als jede inhaltliche Überschneidung.

NIS2 schreibt in Artikel 34 konkrete Untergrenzen vor: Für wesentliche Einrichtungen müssen Bußgelder bis mindestens 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes möglich sein, je nachdem, welcher Wert höher ist; für wichtige Einrichtungen bis mindestens 7 Mio. Euro oder 1,4 Prozent. Die Mitgliedstaaten dürfen strenger sein, aber nicht milder.

Die CER-Richtlinie nennt in Artikel 22 überhaupt keine Beträge. Sie verpflichtet die Mitgliedstaaten lediglich, Sanktionsvorschriften zu erlassen, die „wirksam, verhältnismäßig und abschreckend“ sind, und diese der Kommission bis zum 17. Oktober 2024 mitzuteilen. Das Sanktionsrisiko auf der physischen Seite ist damit eine rein nationale Größe – und fällt in Deutschland deutlich niedriger aus.

Regelwerk	Obergrenze	Festgelegt durch
NIS2, wesentliche Einrichtung	mind. 10 Mio. Euro oder 2 % des weltweiten Umsatzes (höherer Wert)	EU-Richtlinie, Art. 34 Abs. 4
NIS2, wichtige Einrichtung	mind. 7 Mio. Euro oder 1,4 % (höherer Wert)	EU-Richtlinie, Art. 34 Abs. 5
CER-Richtlinie	kein Betrag genannt	nationales Recht, Art. 22
KRITIS-Dachgesetz (Deutschland)	bis 1 Mio. Euro, je nach Verstoß gestaffelt	§ 24 KRITIS-DachG

Die Zahlen legen einen falschen Schluss nahe. Wer die physische Seite als das günstigere Risiko behandelt, übersieht, dass ein einziger Vorfall beide Regime auslösen kann – und dass die CER-Ermittlung die NIS2-Kategorie auf „wesentlich“ hebt und damit gerade das teurere Bußgeldregime aktiviert. Details zum Bußgeldrahmen finden sich im Leitfaden zu den NIS2-Sanktionen.

Deutschland: NIS2UmsuCG und KRITIS-Dachgesetz nebeneinander

Deutschland setzt die beiden Richtlinien in zwei getrennten Gesetzen um. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ändert das BSIG und bildet die Cyber-Seite ab. Das KRITIS-Dachgesetz setzt die CER-Richtlinie um: Der Bundestag nahm den Regierungsentwurf am 29. Januar 2026 an, der Bundesrat stimmte am 6. März 2026 zu.

Stichtag	Was fällig ist
17. Juli 2026	Frist der Mitgliedstaaten zur Ermittlung kritischer Einrichtungen (Art. 6 Abs. 1 CER); zugleich frühestmöglicher Registrierungszeitpunkt nach § 8 KRITIS-DachG
3 Monate nach Einstufung	Registrierung auf der gemeinsamen Plattform von BBK und BSI (§ 8 KRITIS-DachG)
9 Monate nach Registrierung	erste Risikoanalyse, danach mindestens alle vier Jahre (§ 12 KRITIS-DachG)
10 Monate nach Registrierung	Resilienzplan (§ 13) und Beginn der Meldepflichten (§ 18)

Ein häufiges Missverständnis betrifft den 17. Juli 2026: Das Datum ist für Betreiber kein Registrierungsstichtag, sondern der früheste Zeitpunkt, zu dem registriert werden kann. Die eigentliche Frist läuft individuell – spätestens drei Monate nach der Einstufung als kritische Anlage. Wer erst im Herbst 2026 eingestuft wird, hat entsprechend später zu registrieren. Was das Gesetz im Einzelnen verlangt, behandelt der Leitfaden zum KRITIS-Dachgesetz; wie sich die deutschen KRITIS-Schwellenwerte zu NIS2 verhalten, klärt der Vergleich NIS2 vs. KRITIS.

Was Sie jetzt tun sollten – nach Rolle

Die nächsten zwölf Monate verlangen von jeder Rolle etwas anderes.

Rolle	Nächster konkreter Schritt
Geschäftsführung	Klären, ob eine Einstufung als kritische Einrichtung realistisch ist. Wenn ja: einplanen, dass die NIS2-Kategorie auf „wesentlich“ wechselt – das verändert Aufsichtsintensität und Bußgeldrahmen, unabhängig von der Unternehmensgröße.
Compliance und Recht	Posteingangswege für behördliche Mitteilungen festlegen. Die Zehnmonatsfrist nach Artikel 6 Absatz 3 startet mit dem Zugang – eine Mitteilung, die zwei Monate in einem Funktionspostfach liegt, verkürzt die Vorbereitungszeit um zwei Monate.
CISO und IT-Sicherheit	Bestehende Risikobewertung und Betriebskontinuitätsdokumentation daraufhin prüfen, ob sie physische Szenarien tragen. Artikel 13 CER verlangt ausdrücklich Klimaanpassung und physischen Objektschutz – beides liegt in vielen ISMS-Dokumenten nur als Verweis vor.
Werkschutz und physische Sicherheit	Vorbereitung der Zuverlässigkeitsüberprüfungen nach Artikel 14: Welche Funktionen gelten als sensibel, welche Rechtsgrundlage trägt die Abfrage, wann wird die Arbeitnehmervertretung eingebunden? Das ist der Punkt mit dem längsten Vorlauf.

Häufige Fragen

Ersetzt die CER-Richtlinie die NIS2-Richtlinie für kritische Einrichtungen?
Nein. Beide gelten nebeneinander. Artikel 1 Absatz 2 CER stellt lediglich klar, dass die CER-Richtlinie nicht für Angelegenheiten gilt, die bereits unter NIS2 fallen – die Abgrenzung erfolgt also nach Gegenstand, nicht nach Einrichtung.

Muss ich mich zweimal registrieren?
In Deutschland ja, aber über eine gemeinsame Plattform von BBK und BSI. Die NIS2-Registrierung nach BSIG und die Registrierung kritischer Anlagen nach § 8 KRITIS-DachG sind rechtlich getrennte Vorgänge mit unterschiedlichen Fristen.

Was passiert, wenn mein Mitgliedstaat die Frist zum 17. Juli 2026 verfehlt?
Die Pflichten einer kritischen Einrichtung entstehen mit der Mitteilung nach Artikel 6 Absatz 3, nicht mit dem Kalenderdatum. Eine verspätete staatliche Ermittlung verschiebt Ihre Fristen nach hinten – sie hebt sie nicht auf. Die NIS2-Pflichten bestehen davon unabhängig weiter.

Gilt die 24-Stunden-Meldung zweimal für denselben Vorfall?
Möglich, wenn der Vorfall beide Tatbestände erfüllt – etwa eine Sabotage, die zugleich Steuerungssysteme stört. Die Auslöser sind unterschiedlich definiert, weshalb die fachliche Einordnung Teil des Meldeprozesses sein sollte und nicht danach erfolgen darf.

Sind Banken und Cloud-Anbieter von der CER-Richtlinie ausgenommen?
Nicht von der Ermittlung, aber von wesentlichen Teilen des Pflichtenkatalogs. Artikel 8 nimmt Bankwesen, Finanzmarktinfrastrukturen und digitale Infrastruktur von Artikel 11 sowie den Kapiteln III, IV und VI aus. Die NIS2-Pflichten bleiben vollständig bestehen.

Dieser Beitrag enthält allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Mitgliedstaat, Sektor und Organisationsform abweichen. Ziehen Sie für Ihre konkrete Situation eine qualifizierte Rechts- oder Compliance-Fachperson hinzu.

Quellen

• Richtlinie (EU) 2022/2557 (CER-Richtlinie), Artikel 1, 4, 6, 8, 12, 13, 14, 15, 17 – EUR-Lex
• Richtlinie (EU) 2022/2557, Artikel 22 (Sanktionen) – EUR-Lex, ELI-Fassung
• NIS2-Richtlinie (EU) 2022/2555, Artikel 2 – nis-2-directive.com
• NIS2-Richtlinie (EU) 2022/2555, Artikel 3 – nis-2-directive.com
• NIS2-Richtlinie (EU) 2022/2555, Artikel 23 (Meldepflichten) – nis-2-directive.com
• NIS2-Richtlinie (EU) 2022/2555, Artikel 34 (Bußgelder) – nis-2-directive.com
• „EU CER-Richtlinie für Kritische Infrastrukturen (EU) 2022/2557“ – OpenKRITIS
• „Bundestag beschließt Gesetz zur Stärkung kritischer Anlagen“, 29. Januar 2026 – Deutscher Bundestag
• „KRITIS-Dachgesetz: neuer bundeseinheitlicher Rechtsrahmen für den physischen Schutz kritischer Infrastrukturen tritt in Kraft“ – GOERG
• „Bundestag beschließt KRITIS-Dachgesetz (KRITISDachG)“ – Rödl & Partner