Die CER Guidelines C/2026/3712 der Europäischen Kommission konkretisieren die Vorgaben der EU CER-Richtlinie für Resilience und Sicherheit bei Betreiber, die nach dem KRITIS-Dachgesetz-reguliert sind. Die CER Guidelines sind unverbindlich und enthalten sieben Domains mit Empfehlungen für Themen von Resilienz bis personeller Sicherheit.

Group Requirements Controls

A General considerations Governance und Risikomanagement A.6—A.17

B Prevention BCM, Risikoreduktion und Maßnahmen B.18—B.23

C Physical protection Schutz von Anlagen, Rämen und Liegenschaften C.24—C.50

D Response, resistance and mitigation Reaktion of Vorfälle und Vorsorge, Krisen D.51—D.65

E Recovery Redundanzen, Wiederherstellung und BCM-Pläne E.66—E.75

F Employee security management Sicherheit von Mitarbeitern, Überprüfung, Kompetenzen F.76—F.85

G Awareness Training, Bewusstsein, Übungen G.86—G.94

Das OpenKRITIS Mapping der CER Guidelines gleich die 94 Anforderungen mit verschiedenen Standards und Vorgaben ab – ohne Anspruch auf Vollständigkeit: ISO 27001 und ISO 22301 für Informationssicherheit und Resilienz, das KRITIS-Dachgesetz mit den originalen CER-Vorgaben sowie als Vergleich die deutsche NIS2-Umsetzung im BSIG – mit guter Abdeckung.

Die CER Guidelines C/2026/3712 sind eine Empfehlung der Europäischen Kommission, mandatiert durch EU CER “[to] further specify the technical, security and organisational measures that may be taken by critical entities.” Als Konkretisierung der teils sehr verkürzten Vorgaben aus CER und dem KRITIS-Dachgesetz sind die Guidelines tatsächlich sehr hilfreich für die Umsetzung bei Betreibern.