Schutz kritischer Infrastrukturen
Schutz kritischer Infrastrukturen
Schutz kritischer Infrastrukturen
Vorwort/Präambel
Durch diese Richtlinie wird ein Verfahren zur Ermittlung und Ausweisung europäischer kritischer Infrastrukturen („EKI“) sowie ein gemeinsamer Ansatz für die Bewertung der Notwendigkeit eines besseren Schutzes derartiger Infrastrukturen eingeführt, um zum Schutz der Menschen beizutragen.
Im Sinne dieser Richtlinie bezeichnet der Ausdruck
a) „kritische Infrastruktur“ die in einem Mitgliedstaat gelegene Anlage, ein System oder ein Teil davon, die von wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen, der Gesundheit, der Sicherheit und des wirtschaftlichen oder sozialen Wohlergehens der Bevölkerung sind und deren Störung oder Zerstörung erhebliche Auswirkungen auf einen Mitgliedstaat hätte, da diese Funktionen nicht aufrechterhalten werden könnten;
b) „europäische kritische Infrastruktur“ oder „EKI“ eine in einem Mitgliedstaat gelegene kritische Infrastruktur, deren Störung oder Zerstörung erhebliche Auswirkungen in mindestens zwei Mitgliedstaaten hätte. Die Tragweite dieser Auswirkungen wird anhand sektorübergreifender Kriterien bewertet. Dies schließt die Auswirkungen sektorübergreifender Abhängigkeiten auf andere Arten von Infrastrukturen ein;
c) „Risikoanalyse“ die Prüfung relevanter Bedrohungsszenarien, um die Schwachstellen und mögliche Auswirkungen einer Störung oder Zerstörung kritischer Infrastrukturen zu bewerten;
d) „vertrauliche Informationen über den Schutz kritischer Infrastrukturen“ die Informationen über kritische Infrastrukturen, die im Fall ihrer Offenlegung zur Planung und Durchführung von Handlungen missbraucht werden könnten, welche eine Störung oder Zerstörung kritischer Infrastrukturanlagen zur Folge hätten;
e) „Schutz“ alle Tätigkeiten zur Gewährleistung der Funktionsfähigkeit, der Kontinuität und der Unversehrtheit kritischer Infrastrukturen und zur Abwendung, Minderung oder Neutralisierung einer Bedrohung, eines Risikos oder einer Schwachstelle;
f) „Eigentümer/Betreiber einer EKI“ diejenigen Stellen, die für Investitionen in und/oder für den laufenden Betrieb von und Investitionen in eine bestimmte Anlage, ein System oder einen Teil davon, die nach dieser Richtlinie als EKI ausgewiesen wurden, verantwortlich sind.
(1) Gemäß dem Verfahren nach Anhang III ermittelt jeder Mitgliedstaat die potenziellen EKI, die sowohl die sektorübergreifenden als auch die sektorspezifischen Kriterien erfüllen und den Begriffsbestimmungen in Artikel 2 Buchstaben a und b entsprechen.
Die Kommission kann die Mitgliedstaaten auf deren Antrag bei der Ermittlung der potenziellen EKI unterstützen.
Die Kommission kann die betreffenden Mitgliedstaaten auf potenziell kritische Infrastrukturen aufmerksam machen, bei denen anzunehmen ist, dass sie die Voraussetzungen für die Ausweisung als EKI erfüllen.
Jeder Mitgliedstaat und die Kommission setzen den Prozess der Ermittlung potenzieller EKI kontinuierlich fort.
(2) Die sektorübergreifenden Kriterien nach Absatz 1 umfassen:
a) Opfer (bewertet anhand der möglichen Anzahl von Toten oder Verletzten);
b) wirtschaftliche Folgen (bewertet anhand des wirtschaftlichen Verlusts und/oder der Minderung der Qualität von Erzeugnissen oder Dienstleistungen; einschließlich möglicher Auswirkungen auf die Umwelt);
c) Auswirkungen auf die Öffentlichkeit (bewertet anhand der Auswirkungen auf das Vertrauen der Öffentlichkeit, des physischen Leids und der Störung des täglichen Lebens; einschließlich des Ausfalls wesentlicher Dienstleistungen).
Die Grenzwerte für die sektorübergreifenden Kriterien leiten sich ab aus der Schwere der Auswirkungen einer Störung oder Zerstörung einer bestimmten Infrastruktur. Die genauen Grenzwerte für die sektorübergreifenden Kriterien werden im Einzelfall von den im Hinblick auf eine bestimmte Infrastruktur jeweils betroffenen Mitgliedstaaten festgelegt. Jeder Mitgliedstaat unterrichtet die Kommission jährlich über die Anzahl Infrastrukturen pro Sektor, zu denen Beratungen über die Grenzwerte für die sektorübergreifenden Kriterien geführt wurden.
Die sektorspezifischen Kriterien berücksichtigen die Besonderheiten einzelner Sektoren mit EKI.
(1) Jeder Mitgliedstaat unterrichtet die anderen Mitgliedstaaten, die von einer potenziellen EKI erheblich betroffen sein könnten, über deren Identität sowie die Gründe für deren Ausweisung als potenzielle EKI.
(2) Jeder Mitgliedstaat, in dessen Hoheitsgebiet sich eine potenzielle EKI befindet, nimmt bilaterale und/oder multilaterale Gespräche mit den anderen Mitgliedstaaten auf, die von der potenziellen EKI erheblich betroffen sein könnten. Die Kommission kann an diesen Gesprächen teilnehmen, hat aber keinen Zugang zu detaillierten Informationen, die die eindeutige Identifizierung bestimmter Infrastrukturen zulassen würden.
Ein Mitgliedstaat, der Grund zu der Annahme hat, dass er von einer potenziellen EKI erheblich betroffen sein könnte, aber von dem Mitgliedstaat, in dessen Hoheitsgebiet sie sich befindet, nicht als solcher eingestuft worden ist, kann der Kommission sein Anliegen mitteilen, diesbezüglich an bilateralen und/oder multilateralen Gesprächen beteiligt zu werden. Die Kommission teilt dieses Anliegen unverzüglich dem Mitgliedstaat mit, in dessen Hoheitsgebiet sich die potenzielle EKI befindet, und bemüht sich, eine Vereinbarung zwischen den Parteien herbeizuführen.
(3) Der Mitgliedstaat, in dessen Hoheitsgebiet sich eine potenzielle EKI befindet, weist sie als EKI aus, nachdem er mit den möglicherweise in erheblichem Maße betroffenen Mitgliedstaaten eine entsprechende Vereinbarung getroffen hat.
Hierzu bedarf es der Zustimmung des Mitgliedstaats, in dessen Hoheitsgebiet sich die als EKI auszuweisende Infrastruktur befindet.
(4) Der Mitgliedstaat, in dessen Hoheitsgebiet sich eine ausgewiesene EKI befindet, unterrichtet die Kommission jährlich über die Anzahl der ausgewiesenen EKI in den verschiedenen Sektoren und über die Anzahl der Mitgliedstaaten, die von der jeweiligen ausgewiesenen EKI abhängen. Nur die Mitgliedstaaten, die von einer EKI erheblich betroffen sein könnten, erfahren deren Identität.
(5) Die Mitgliedstaaten, in deren Hoheitsgebiet sich die EKI befindet, unterrichten den Eigentümer/Betreiber der Infrastruktur über deren Ausweisung als EKI. Informationen über die Ausweisung einer Infrastruktur als EKI werden als Verschlusssache mit dem geeigneten Geheimhaltungsgrad eingestuft.
(6) Der Prozess der Ermittlung und Ausweisung von EKI nach Artikel 3 und diesem Artikel wird bis zum 12. Januar 2011 abgeschlossen und regelmäßig überprüft.
(1) Das Verfahren zur Erstellung von Sicherheitsplänen („SP“) führt die kritischen Infrastrukturanlagen der EKI sowie die Sicherheitslösungen auf, die zum Schutz dieser Anlagen bestehen oder noch umgesetzt werden. Anhang II enthält die inhaltlichen Mindestanforderungen, die im Rahmen eines Verfahrens zur Erstellung eines EKI SP zu beachten sind.
(2) Jeder Mitgliedstaat prüft, ob für jede ausgewiesene EKI, die sich in seinem Hoheitsgebiet befindet, ein SP erstellt worden ist oder gleichwertige Vorkehrungen getroffen worden sind, die den Vorgaben des Anhangs II entsprechen. Stellt ein Mitgliedstaat fest, dass ein solcher SP oder gleichwertige Maßnahmen vorhanden sind und diese regelmäßig aktualisiert werden, so sind keine weiteren Umsetzungsmaßnahmen erforderlich.
(3) Stellt ein Mitgliedstaat fest, dass ein solcher SP oder gleichwertige Maßnahmen nicht vorhanden sind, so gewährleistet er durch geeignete Maßnahmen, dass der SP oder die gleichwertigen Maßnahmen nach den Vorgaben des Anhangs II ausgearbeitet werden.
Jeder Mitgliedstaat sorgt binnen eines Jahres nach der Ausweisung der kritischen Infrastruktur als EKI dafür, dass SP oder gleichwertige Maßnahmen vorliegen und regelmäßig überprüft werden. In Ausnahmefällen kann dieser Zeitraum durch eine Vereinbarung mit der zuständigen Behörde des Mitgliedstaats und Benachrichtigung der Kommission verlängert werden.
(4) Bestehen bereits Überwachungs- oder Aufsichtsvereinbarungen für eine EKI, bleiben sie von diesem Artikel unberührt und die in diesem Artikel genannte zuständige Behörde des Mitgliedstaats übernimmt die Überwachung im Rahmen dieser bestehenden Vereinbarungen.
(5) Bei Einhaltung der Maßnahmen, einschließlich Gemeinschaftsmaßnahmen, die in einem bestimmten Sektor einen dem SP ähnlichen oder gleichwertigen Plan und die Aufsicht der zuständigen Behörde über einen solchen Plan vorschreiben oder sich auf dessen Notwendigkeit beziehen, gelten alle Anforderungen des Mitgliedstaats, die in diesem Artikel genannt oder gemäß diesem Artikel angenommen werden, als erfüllt. In den in Artikel 3 Absatz 2 genannten Leitlinien für die Anwendung sind diese Maßnahmen beispielhaft aufgeführt.
(1) Der Sicherheitsbeauftragte dient in Sicherheitsfragen als Kontaktstelle zwischen dem Eigentümer/Betreiber einer EKI und der zuständigen Behörde des Mitgliedstaats.
(2) Jeder Mitgliedstaat prüft, ob jede ausgewiesene EKI in seinem Hoheitsgebiet über einen Sicherheitsbeauftragten oder eine Person mit vergleichbarer Aufgabenstellung verfügt. Stellt ein Mitgliedstaat fest, dass ein Sicherheitsbeauftragter oder eine Person mit vergleichbarer Aufgabenstellung vorhanden ist, sind keine weiteren Umsetzungsmaßnahmen erforderlich.
(3) Stellt ein Mitgliedstaat fest, dass eine ausgewiesene EKI weder über einen Sicherheitsbeauftragten noch über eine Person mit vergleichbarer Aufgabenstellung verfügt, so ergreift er geeignete Maßnahmen, um die Ernennung eines Sicherheitsbeauftragten oder einer Person mit vergleichbarer Aufgabenstellung sicherzustellen.
(4) Jeder Mitgliedstaat schafft einen geeigneten Kommunikationsmechanismus zwischen der zuständigen Behörde des Mitgliedstaats und dem Sicherheitsbeauftragten oder der Person mit vergleichbarer Aufgabenstellung mit dem Ziel, sachdienliche Informationen über ermittelte Risiken und Bedrohungen in Bezug auf die betreffende EKI auszutauschen. Dieser Kommunikationsmechanismus gilt unbeschadet nationaler Anforderungen an den Zugang zu sicherheitsrelevanten Informationen und Verschlusssachen.
(5) Bei Einhaltung der Maßnahmen, einschließlich Gemeinschaftsmaßnahmen, die in einem bestimmten Sektor die Beschäftigung eines Sicherheitsbeauftragten oder einer Person mit vergleichbarer Aufgabenstellung vorschreiben oder sich auf deren Notwendigkeit beziehen, gelten alle Anforderungen des Mitgliedstaats, die in diesem Artikel genannt oder gemäß diesem Artikel angenommen werden, als erfüllt. In den in Artikel 3 Absatz 2 genannten Leitlinien für die Anwendung sind diese Maßnahmen beispielhaft aufgeführt.
(1) Jeder Mitgliedstaat nimmt binnen eines Jahres nach der Ausweisung einer in seinem Hoheitsgebiet befindlichen kritischen Infrastruktur als EKI in Teilsektoren eine Bedrohungsanalyse für die betreffenden Teilsektoren der EKI vor.
(2) Jeder Mitgliedstaat übermittelt der Kommission alle zwei Jahre allgemeine Daten in einem zusammenfassenden Bericht über die verschiedenen Arten von Risiken, Bedrohungen und Schwachstellen für jeden Sektor mit einer nach Artikel 4 ausgewiesenen EKI, die sich in seinem Hoheitsgebiet befindet.
Die Kommission kann in Zusammenarbeit mit den Mitgliedstaaten ein allgemeines Muster für diese Berichte ausarbeiten.
Jeder Mitgliedstaat stuft seinen Bericht in die von ihm als notwendig erachtete Geheimhaltungsstufe ein.
(3) Die Kommission und die Mitgliedstaaten prüfen anhand der in Absatz 2 genannten Berichte für jeden einzelnen Sektor, ob in diesem weitere Gemeinschaftsmaßnahmen zum Schutz von EKI zu erwägen sind. Dies erfolgt in Verbindung mit der Überprüfung der Richtlinie nach Artikel 11.
(4) Die Kommission kann in Zusammenarbeit mit den Mitgliedstaaten gemeinsame methodische Leitlinien für die Durchführung von Risikoanalysen zu EKI entwickeln. Die Verwendung solcher Leitlinien ist den Mitgliedstaaten freigestellt.
Die Kommission unterstützt die Eigentümer/Betreiber ausgewiesener EKI über die zuständige Behörde des Mitgliedstaats, indem sie ihnen Zugriff auf Informationen über bewährte Verfahren und Methoden gewährt, Aus- und Weiterbildungsangebote unterstützt und den Informationsaustausch über neue technische Entwicklungen in Bezug auf den Schutz kritischer Infrastrukturen fördert.
(1) Alle Personen, die nach Maßgabe dieser Richtlinie im Namen eines Mitgliedstaats oder der Kommission mit Verschlusssachen umgehen, müssen eine angemessene Sicherheitsüberprüfung durchlaufen haben.
Die Mitgliedstaaten, die Kommission und die zuständigen Aufsichtsbehörden stellen sicher, dass den Mitgliedstaaten oder der Kommission übermittelte vertrauliche Informationen in Bezug auf den Schutz von EKI zu keinem anderen Zweck als zum Schutz kritischer Infrastrukturen verwendet werden.
(2) Dieser Artikel gilt auch für nicht-schriftliche Informationen, die in Sitzungen ausgetauscht werden, in denen vertraulich zu behandelnde Themen erörtert werden.
(1) Jeder Mitgliedstaat benennt eine Kontaktstelle für Fragen des Schutzes von EKI („Kontaktstelle für EKI-Schutz“).
(2) Die Kontaktstelle für EKI-Schutz koordiniert Fragen des Schutzes von EKI innerhalb des betreffenden Mitgliedstaats sowie mit anderen Mitgliedstaaten und mit der Kommission. Die Benennung einer solchen Kontaktstelle für EKI-Schutz schließt nicht aus, dass andere Behörden eines Mitgliedstaats mit Fragen des Schutzes von EKI befasst werden.
Die Überprüfung dieser Richtlinie beginnt am 12. Januar 2012.
Die Mitgliedstaaten treffen die erforderlichen Maßnahmen, um dieser Richtlinie spätestens bis zum 12. Januar 2011 nachzukommen. Sie setzen die Kommission unverzüglich davon in Kenntnis und übermitteln den Text jener Maßnahmen sowie ihre Entsprechung in Bezug auf diese Richtlinie.
Wenn die Mitgliedstaaten diese Maßnahmen verabschieden, nehmen sie in den Maßnahmen selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf diese Richtlinie Bezug. Die Mitgliedstaaten regeln die Einzelheiten der Bezugnahme.
Amtsblatt der Europäischen Union
Diese Richtlinie ist an die Mitgliedstaaten gerichtet.
| Sektor | Teilsektor | |
| IEnergie | 1.Strom | Infrastrukturen und Anlagen zur Stromerzeugung und übertragung in Bezug auf die Stromversorgung |
| 2.Öl | Gewinnung, Raffinierung, Behandlung und Lagerung von Öl sowie Öltransport in Rohrfernleitungen | |
| 3.Gas | Gewinnung, Raffinierung, Behandlung und Lagerung von Gas sowie Gastransport in RohrfernleitungenLNG-Terminals | |
| IIVerkehr | 4.Straßenverkehr | |
| 5.Schienenverkehr | ||
| 6.Luftverkehr | ||
| 7.Binnenschifffahrt | ||
| 8.Hochsee- und Küstenschifffahrt und Häfen | ||
Die Ermittlung der als EKI ausweisbaren kritischen Infrastrukturen durch die Mitgliedstaaten erfolgt gemäß Artikel 3. Daher ergibt sich aus der Liste der EKI-Sektoren selbst keine allgemeine Verpflichtung, in jedem Sektor eine EKI auszuweisen.
Der SP führt die kritischen Infrastrukturanlagen sowie die zu ihrem Schutz bestehenden oder durchgeführten Sicherheitsmaßnahmen auf. Das Verfahren zur Erstellung eines EKI SP enthält folgende Mindestangaben:
1. Nennung der wichtigen Anlagen;
2. Durchführung einer sich auf die wichtigsten Bedrohungsszenarios, die Schwachstellen der einzelnen kritischen Infrastrukturen und die möglichen Auswirkungen beziehende Risikoanalyse; und
3. Ermittlung, Auswahl und Rangfolge von Gegenmaßnahmen und Verfahren; dabei ist zu unterscheiden zwischen
Nach Artikel 3 ist jeder Mitgliedstaat zur Ermittlung der kritischen Infrastrukturen verpflichtet, die als EKI ausgewiesen werden können. Das entsprechende Verfahren wird von jedem Mitgliedstaat nach Maßgabe der nachstehenden aufeinander folgenden Schritte durchgeführt.
Eine potenzielle EKI, die den Anforderungen eines der nachstehenden Schritte nicht genügt, gilt als „nicht EKI“ und wird von dem Verfahren ausgeschlossen. Eine potenzielle EKI, die den Anforderungen entspricht, unterliegt den nächsten Schritten dieses Verfahrens.
Jeder Mitgliedstaat trifft anhand der sektorspezifischen Kriterien eine Vorauswahl unter den kritischen Infrastrukturen eines Sektors.
Jeder Mitgliedstaat legt für die in Schritt 1 bestimmten potenziellen EKI die Definition des Begriffs „kritische Infrastruktur“ nach Artikel 2 Buchstabe a zugrunde.
Das Ausmaß der Auswirkungen wird entweder unter Anwendung einzelstaatlicher Methoden zur Ermittlung kritischer Infrastrukturen oder unter Bezugnahme auf die sektorübergreifenden Kriterien auf einer geeigneten nationalen Ebene bestimmt. Bei Infrastrukturen, mit denen wesentliche Dienstleistungen erbracht werden, werden die Verfügbarkeit von Alternativen und die Dauer des Ausfalls bzw. der Wiederherstellung berücksichtigt.
Jeder Mitgliedstaat legt für die potenziellen EKI, die die beiden ersten Stufen des Verfahrens durchlaufen haben, das grenzüberschreitende Element der Definition des Begriffs „EKI“ gemäß Artikel 2 Buchstabe b zugrunde. Eine potenzielle EKI, die der Begriffsbestimmung entspricht, unterliegt dem nächsten Schritt des Verfahrens. Bei Infrastrukturen, mit denen wesentliche Dienstleistungen erbracht werden, werden die Verfügbarkeit von Alternativen und die Dauer des Ausfalls bzw. der Wiederherstellung berücksichtigt.
Jeder Mitgliedstaat wendet die sektorübergreifenden Kriterien auf die verbleibenden potenziellen EKI an. Die sektorübergreifenden Kriterien berücksichtigen: die Schwere der Auswirkungen; und bei Infrastrukturen, mit denen wesentliche Dienstleistungen erbracht werden — die Verfügbarkeit von Alternativen; sowie die Dauer des Ausfalls bzw. der Wiederherstellung. Eine potenzielle EKI, die den sektorübergreifenden Kriterien nicht genügt, gilt nicht als EKI.
(3) Der Energiesektor und der Verkehrssektor sind die zur Umsetzung dieser Richtlinie gewählten Sektoren. Die Teilsektoren sind in Anhang I bestimmt.
Erforderlichenfalls können in Verbindung mit der Überprüfung dieser Richtlinie nach Artikel 11 weitere Sektoren zum Zwecke der Umsetzung dieser Richtlinie festgelegt werden. Der IKT-Sektor hat Vorrang.
Eine potenzielle EKI, die dieses Verfahren durchlaufen hat, wird nur den Mitgliedstaaten mitgeteilt, die von der jeweiligen potenziellen EKI erheblich betroffen sein könnten.
EUR-Lex