Mit einigen legislativen Vorstößen hat Deutschland die europäische NIS2-Richtlinie (EU) 2022/2555 sowie die CER-Richtlinie (EU) 2022/2557 umgesetzt und damit den regulatorischen Rahmen für die Cyber- und physische Resilienz kritischer Anlagen grundlegend neu gestaltet. Während die NIS2-Richtlinie sich insbesondere mit der IT-Sicherheit solcher Anlagen beschäftigt, verfolgt die CER-Richtlinie das Ziel, die physische Resilienz kritischer Einrichtungen zu stärken.

Seit dem Inkrafttreten des KRITIS-Dachgesetzes am 17.3.2026 stehen Unternehmen vor einer ungewöhnlichen Situation: Es ist derzeit nicht rechtssicher bestimmbar, ob ihre Anlagen als kritisch einzustufen sind. Das hat praktische Auswirkungen auf Unternehmen, die möglicherweise strengen Sicherheitsanforderungen unterliegen – oder auch nicht.