CER-richtlijn · Woordenlijst

De CER-richtlijn is Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten. CER staat voor Critical Entities Resilience. Het gaat om entiteiten die diensten verlenen die essentieel zijn voor belangrijke functies van samenleving, economie, volksgezondheid en veiligheid of milieu. Een incident bij hen zou aanzienlijke verstorende effecten hebben op die diensten. De richtlijn creëert een overkoepelend kader tegen alle soorten risico's, of ze nu natuurlijk of door de mens veroorzaakt zijn, onopzettelijk of opzettelijk. Ze heft de oudere Richtlijn 2008/114/EG inzake Europese kritieke infrastructuren op, die zich in essentie beperkte tot de bescherming van geselecteerde infrastructuren in de sectoren energie en vervoer.

Rechtsstand en termijnen

De richtlijn is in januari 2023 in werking getreden. De lidstaten moesten haar uiterlijk op 17 oktober 2024 in nationaal recht omzetten. Sinds 18 oktober 2024 geldt zij in plaats van de oude richtlijn. Uiterlijk op 17 januari 2026 moesten de lidstaten een nationale weerbaarheidsstrategie vaststellen en een risicobeoordeling voor de lidstaten uitvoeren. Op die basis moesten zij uiterlijk op 17 juli 2026 de kritieke entiteiten voor de sectoren en deelsectoren in de bijlage aanwijzen. De verplichtingen van exploitanten gaan dus niet automatisch met de richtlijn in. Ze beginnen pas wanneer een exploitant verneemt dat hij als kritieke entiteit is aangemerkt. Daarna heeft hij doorgaans negen maanden de tijd voor zijn eigen risicobeoordeling. De weerbaarheidsverplichtingen gelden vanaf tien maanden na de kennisgeving.

Toepassingsgebied: elf sectoren

De richtlijn bestrijkt elf sectoren: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, overheidsbestuur, ruimtevaart en de productie, verwerking en distributie van levensmiddelen. In de energiesector bestaan de deelsectoren elektriciteit, stadsverwarming en -koeling, aardolie, aardgas en waterstof. Waterstof ontbrak in eerdere versies van dit trefwoord. De Commissie heeft een niet-limitatieve lijst van essentiële diensten gepubliceerd. De nationale autoriteiten baseren zich op die lijst bij de risicobeoordeling en de aanmerking als kritiek.

Voor de sectoren bankwezen, infrastructuur voor de financiële markt en digitale infrastructuur geldt een belangrijke bijzonderheid. Entiteiten uit deze sectoren kunnen weliswaar als kritiek worden aangemerkt. De verplichtingen van exploitanten inzake weerbaarheidsmaatregelen en toezicht zijn er in beginsel echter niet op van toepassing, omdat daar andere EU-regels gelden. De energiesector is hiervan niet uitgezonderd.

Een entiteit is niet al kritiek omdat ze groot, duur of politiek zichtbaar is. Wat telt, is of ze een essentiële dienst verleent, in de lidstaat actief is en of een incident die dienst aanzienlijk zou verstoren. Daarbij houden de autoriteiten bijvoorbeeld rekening met het aantal afhankelijke gebruikers, afhankelijkheden tussen sectoren, marktaandelen, het geografische bereik en het bestaan van alternatieven. Drempelwaarden kunnen de lidstaten vastleggen, maar ze zijn daartoe niet verplicht. Een onderstation, een controlekamer of een transmissiesysteembeheerder kan daarom om heel uiteenlopende redenen relevant zijn. Of een bepaalde installatie onder het toepassingsgebied valt, wordt pas door het nationale recht bepaald.

Verplichtingen van staten en exploitanten

De lidstaten wijzen bevoegde autoriteiten en een centraal contactpunt aan. Ze ondersteunen kritieke entiteiten, bijvoorbeeld met richtsnoeren, methoden, oefeningen, advies en opleidingen voor personeel. De Commissie vult dat aan met beste praktijken en grensoverschrijdende oefeningen. Bovendien informeert zij over EU-financiering.

Risicobeoordeling: Kritieke entiteiten beoordelen alle relevante risico's voor hun essentiële diensten, ook afhankelijkheden van andere sectoren. Dat gebeurt voor het eerst binnen negen maanden na de kennisgeving van de aanmerking en daarna indien nodig, maar ten minste om de vier jaar.
Weerbaarheidsmaatregelen: Zij nemen technische, beveiligingsgerelateerde en organisatorische maatregelen. Daarmee moeten zij incidenten voorkomen, zich beschermen, reageren, de gevolgen beperken en de bedrijfsvoering herstellen. De maatregelen worden beschreven in een weerbaarheidsplan of een gelijkwaardig document.
Meldingsplicht: Incidenten die essentiële diensten aanzienlijk verstoren of kunnen verstoren, worden gemeld aan de bevoegde autoriteit. De eerste melding gebeurt uiterlijk 24 uur nadat het incident is vastgesteld, voor zover dat operationeel mogelijk is. Indien nodig volgt uiterlijk na een maand een uitvoerig verslag.
Toezicht: De autoriteiten kunnen de naleving controleren, bevelen geven en sancties opleggen. Hoe sancties en bevoegdheden precies zijn vormgegeven, wordt bepaald door het nationale recht.

Voor entiteiten die diensten verlenen aan zes of meer lidstaten voorziet de richtlijn in een aparte categorie: kritieke entiteiten van bijzonder Europees belang. Bij hen kan de Commissie adviesmissies organiseren.

Afbakening ten opzichte van NIS2 en KRITIS

De CER-richtlijn maakt deel uit van hetzelfde wetgevingspakket als de NIS2-richtlijn (EU) 2022/2555, maar heeft een ander zwaartepunt. NIS2 regelt de cyberbeveiliging van netwerk- en informatiesystemen. CER richt zich vooral op de fysieke weerbaarheid en de operationele continuïteit in het algemeen. Daartoe behoren natuurverschijnselen en gevolgen van klimaatverandering, sabotage, terrorisme, noodsituaties in de gezondheidszorg, personeelsuitval, verstoorde toeleveringsketens, uitgevallen ondersteunende systemen en hybride dreigingen. De autoriteiten van beide regelgevingen moeten overleggen. Zo vernemen bijvoorbeeld de NIS2-autoriteiten welke entiteiten krachtens CER zijn aangemerkt. Kritieke infrastructuur duidt het te beschermen goed aan. De CER-richtlijn is daarentegen het rechtskader dat regelt wie bevoegd is, hoe de procedure verloopt en welke verplichtingen gelden.

Omzetting in Duitsland

Duitsland heeft de richtlijn na het verstrijken van de EU-termijn omgezet met de KRITIS-Dachgesetz (kaderwet voor kritieke infrastructuur). Die werd op 16 maart 2026 in het Bundesgesetzblatt (Duits federaal staatsblad) bekendgemaakt en trad in hoofdzaak op 17 maart 2026 in werking. Uit de wet alleen vloeien nog geen concrete verplichtingen voor exploitanten voort. Welke installaties kritiek zijn, moet bij rechtsverordening worden vastgelegd. Als eerste verplichting komt de registratie van kritieke installaties, ten vroegste vanaf 17 juli 2026. Exploitanten moeten daarom de actuele stand van de verordening en van de termijnen nagaan, in plaats van uitsluitend op de tekst van de richtlijn te vertrouwen. Voor de cyberbeveiliging gelden parallel de regels ter omzetting van NIS2.

Wat weerbaarheid hier betekent

Weerbaarheid is meer dan robuustheid. Een robuuste installatie doorstaat bepaalde belastingen. Een weerbare entiteit herkent risico's, voorkomt of beperkt incidenten, blijft onder moeilijkere omstandigheden functioneren, wordt na een verstoring weer operationeel en leert organisatorisch van het incident. Absolute veiligheid eist de richtlijn niet. Ze eist een navolgbare en evenredige preventie die op het risico is afgestemd.

In het elektriciteitssysteem betekent dat technisch bijvoorbeeld: locaties fysiek beveiligen, regeltechniek en communicatie meervoudig uitvoeren, noodstroom beschikbaar houden, reserveonderdelen voor grote transformatoren plannen, zwartstartcapaciteit waarborgen, herstelplannen opstellen en regelmatig oefenen. Organisatorisch gaat het om duidelijke verantwoordelijkheden, meldingswegen, crisisteams, leveranciersbeheer en samenwerking met autoriteiten. Een uitval hoeft niet door een hackeraanval te ontstaan. Ook overstromingen in een schakelinstallatie, brand in een controlekamer, afgesloten toegangswegen of ontbrekend sleutelpersoneel kunnen hem veroorzaken.

Belang voor het elektriciteitssysteem

Bijna alle andere sectoren zijn afhankelijk van elektriciteit: waterwerken, ziekenhuizen, telecommunicatie, betalingsverkeer en overheidsbestuur. Het elektriciteitssysteem is daarom zelf kritiek en tegelijk een voorwaarde voor andere kritieke entiteiten. De CER-richtlijn maakt zulke afhankelijkheden zichtbaar. Een transmissiesysteembeheerder kan technisch goed voorbereid zijn en toch afhangen van communicatiediensten, softwareleveranciers, transportroutes of speciale transformatoren. Een centrale kan afhangen van brandstoflogistiek, koelwater of dienstverleners.

CER raakt aan de leveringszekerheid, maar dekt die niet volledig. Leveringszekerheid omvat ook opwekkingscapaciteit, netuitbreiding, marktregels, reserves en bedrijfsvoering. CER heeft daarentegen betrekking op de weerbaarheid van de entiteiten die deze functies dragen.

Typische misverstanden

CER betekent niet alleen hekken en camera's. Een goed beveiligde locatie blijft kwetsbaar als herstartplannen ontbreken of reserveonderdelen uit slechts één enkele, fragiele toeleveringsketen komen.
CER is niet in de eerste plaats een meldingsplicht. De belangrijkste werking komt voort uit risicobeoordeling en preventie. Meldingen helpen vooral om een situatiebeeld op te bouwen.
Weerbaarheid is niet gelijk aan redundantie. Dubbele techniek kan aan dezelfde locaties, leveranciers of besturingssystemen hangen. Ook verschillende dienstverleners, ruimtelijke scheiding, oefeningen en snel herstel dragen bij aan weerbaarheid.
CER lost geen financieringsvragen op. Marktprijzen weerspiegelen zelden gebruikte veiligheidsvoorzieningen slechts beperkt. In het gereguleerde netdomein moet worden verduidelijkt hoe kosten via nettarieven worden erkend. Dat regelt niet de richtlijn, maar het nationale energie- en regulatoire recht.

Duiding

De CER-richtlijn is geen technische norm. Ze is een ordeningskader met minimumvoorschriften, die de lidstaten mogen concretiseren en aanscherpen. Voor exploitanten in de energiesector zijn daarom altijd drie niveaus belangrijk: de Europese tekst, de nationale omzettingswet met haar verordeningen en het toezicht voor de betrokken sector.

Bronnen

Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG — Europäische Union, EUR-Lex; 2022-12-14. Titel, Erwägungsgründe, Art. 10 Abs. 1 (ABl. L 333 vom 27.12.2022, S. 164)
Directive (EU) 2022/2557 on the resilience of critical entities (PDF) — Europäische Union, EUR-Lex; 2022-12-27. Art. 6 Abs. 1, Erwägungsgrund zur Vorfallmeldung, Art. 15
Critical infrastructure resilience at EU-level — Europäische Kommission, GD Migration und Inneres; unbekannt. Abschnitt Directive on the Resilience of Critical Entities
Leitlinien für die Anwendung von Artikel 13 Absatz 5 der Richtlinie (EU) 2022/2557 — Europäische Kommission, EUR-Lex; 2026. Einleitung und Fußnote 18
Kritis-Dachgesetz in Kraft getreten — Städte- und Gemeindebund Nordrhein-Westfalen; 2026-03 (genaues Datum unbekannt). Mitteilung, gesamter Text

Gerelateerde begrippen

Edited by eCMS on 11.11.2026 17:09