RKE-Richtlinie Beratung: Resilienz Ihrer Einrichtung nachweisen

Die Mitgliedstaaten bestimmen die kritischen Einrichtungen und teilen ihnen die Einstufung mit. Sie bekommen von der Behörde normalerweise einen Bescheid, wo dargelegt wird, dass Sie von RKE betroffen sind.

Die RKE-Richtlinie regelt vor allem die physische Resilienz, NIS‑2 die Cyber-Sicherheit. Viele kritische Einrichtungen fallen unter beide. Wir stimmen die Maßnahmen aufeinander ab, damit Sie nicht doppelt arbeiten. Mehr dazu auf unserer Seite zur NIS‑2 Beratung.

Ja. Der Sicherheitscheck des physischen Objektschutzes findet an Ihren Standorten statt. Dort bewerten wir Zutritt, Perimeter und Cyber-Sicherheitsaspekte baulicher Maßnahmen und gleichen sie mit den Anforderungen ab.

Die Richtlinie (EU) 2022/2557 nennt elf Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum sowie Produktion, Verarbeitung und Vertrieb von Lebensmitteln. Betroffen ist aber nicht jedes Unternehmen dieser Sektoren, sondern nur, wer von der Behörde als kritische Einrichtung bestimmt wird. Für Bankwesen, Finanzmarktinfrastruktur und digitale Infrastruktur entfallen viele Resilienzpflichten, weil dort DORA bzw. NIS‑2 greifen.

Kritische Einrichtungen führen eine eigene Risikobewertung durch und setzen darauf aufbauend technische, sicherheitsbezogene und organisatorische Resilienzmaßnahmen um. Diese sollen Vorfälle verhindern, Standorte physisch schützen, Reaktion und Wiederherstellung sichern und das Sicherheitsmanagement für Personal regeln. Die Maßnahmen sind in einem Resilienzplan zu dokumentieren. Sicherheitsvorfälle, die die Erbringung wesentlicher Dienste erheblich stören, melden Sie innerhalb von 24 Stunden nach Kenntnis, ein ausführlicher Bericht folgt spätestens nach einem Monat.

Nach der Richtlinie haben Sie ab der Mitteilung Ihrer Einstufung neun Monate Zeit für die eigene Risikobewertung nach Artikel 12. Die Pflichten zu den Resilienzmaßnahmen gelten zehn Monate nach der Mitteilung. Die Risikobewertung ist danach bei Bedarf, mindestens aber alle vier Jahre zu wiederholen. Maßgeblich sind die Fristen im nationalen Umsetzungsgesetz. Weil die Zeit knapp ist, lohnt es sich, mit der Risikobewertung früh zu beginnen.

Die zuständige Behörde kann Vor-Ort-Kontrollen durchführen, Audits veranlassen und Nachweise zu Risikobewertung und Resilienzmaßnahmen verlangen. Wir prüfen vorab, ob Ihre Dokumentation vollständig ist und ob die beschriebenen Maßnahmen an Ihren Standorten tatsächlich wirken. Offene Punkte erhalten Sie als priorisierte Liste, damit Sie sie vor dem Termin schließen können. Auf Wunsch unterstützen wir Sie auch während des RKE-Audits.

Entscheidend sind Zahl und Art Ihrer Standorte, die wesentlichen Dienste, die Sie erbringen, der Umfang des Sicherheitschecks vor Ort und Ihre bestehenden Grundlagen. Vorhandene Risikoanalysen, ein ISMS nach ISO 27001 oder ein Business Continuity Management verringern den Aufwand. Fallen Sie auch unter NIS‑2, planen wir beides gemeinsam.