Source: OJ L 333, 27.12.2022, pp. 164–198

Artikel 8 Kritische Einrichtungen in den Sektoren Banken, Finanzmarktinfrastruktur und digitale Infrastruktur

Summary What does Article 8 of the CER directive say?

Article 8 functions as a carve-out provision, establishing that certain critical entities are exempt from key obligations that apply to critical entities more broadly under this Directive.

Specifically, critical entities identified in the banking, financial market infrastructure, and digital infrastructure sectors (points 3, 4 and 8 of the Annex) are excluded from the cross-border consultation requirements of Article 11 and from the resilience obligations, incident notification rules, and supervision and enforcement provisions found in Chapters III, IV and VI.

This exemption exists because those sectors are already subject to equivalent obligations under other Union legal acts, notably DORA and NIS2.

Member States retain the ability to go further under national law, provided they stay within the bounds of applicable Union law.

Important points:

Member States are required to ensure that critical entities in the banking, financial market infrastructure, and digital infrastructure sectors are not subject to Article 11 or Chapters III, IV and VI of this Directive.
This article acts as an exception to the general obligations placed on critical entities throughout the Directive, reflecting that these sectors are governed by sector-specific Union rules.
Member States may adopt or maintain national provisions to achieve a higher level of resilience for these entities, as long as those provisions are consistent with applicable Union law.

Springlex's summary of the article, a reading aid, not a substitute for the legal text.

Die Mitgliedstaaten stellen sicher, dass Artikel 11 und die Kapitel III, IV und VI nicht für die von ihnen ermittelten kritischen Einrichtungen in den Sektoren gelten, die unter den Nummern 3, 4 und 8 in der Tabelle im Anhang aufgeführt sind. Die Mitgliedstaaten können nationale Vorschriften erlassen oder beibehalten, um ein höheres Maß an Resilienz für diese kritischen Einrichtungen zu erreichen, sofern diese Vorschriften mit dem geltenden Unionsrecht vereinbar sind.

Relevant recitals

Erwägungsgrund 20 All-hazards approach of the NIS 2 directive

Mit der Richtlinie (EU) 2022/2555 werden Einrichtungen im Bereich digitale Infrastruktur, die für eine Einstufung als kritische Einrichtungen im Sinne dieser Richtlinie in Frage kommen könnten, verpflichtet, geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zu ergreifen, um die Risiken für die Sicherheit von Netz- und Informationssystemen zu beherrschen, und erhebliche Sicherheitsvorfälle und Cyberbedrohungen zu melden. Da Gefahren für die Sicherheit von Netz- und Informationssystemen unterschiedliche Ursachen haben können, wird in der Richtlinie (EU) 2022/2555 ein „gefahrenübergreifender“ Ansatz angewandt, der die Resilienz von Netz- und Informationssystemen sowie die physischen Komponenten und das physische Umfeld dieser Systeme umfasst.

Da die in der Richtlinie (EU) 2022/2555 diesbezüglich festgelegten Anforderungen den entsprechenden Verpflichtungen aus dieser Richtlinie zumindest gleichwertig sind, sollten die in Artikel 11 und in Kapitel III, IV und VI dieser Richtlinie festgelegten Verpflichtungen für Einrichtungen im Bereich digitale Infrastruktursektor nicht gelten, damit Doppelarbeit und unnötiger Verwaltungsaufwand vermieden werden. Angesichts dessen, dass die von Einrichtungen im Bereich digitale Infrastruktur erbrachten Dienste für kritische Einrichtungen aller anderen Wirtschaftssektoren sehr wichtig sind, sollten die Mitgliedstaaten jedoch auf der Grundlage der in der vorliegenden Richtlinie vorgesehenen Kriterien und Verfahren auch Einrichtungen im Bereich digitale Infrastruktur als kritische Einrichtungen ermitteln. Folglich sollten die Strategien, die Risikobewertungen durch Mitgliedstaaten und die Unterstützungsmaßnahmen gemäß Kapitel II dieser Richtlinie Anwendung finden. Die Mitgliedstaaten sollten in der Lage sein, nationale Vorschriften zu erlassen oder beizubehalten, um ein höheres Maß an Resilienz für diese kritischen Einrichtungen zu erreichen, sofern diese Vorschriften mit dem geltenden Unionsrecht vereinbar sind.

Erwägungsgrund 21 Exemptions for financial entities under the DORA regulation

Die Rechtsvorschriften der Union für Finanzdienstleistungen enthalten umfassende Anforderungen für Finanzunternehmen in Bezug auf die Steuerung aller ihrer Risiken, einschließlich der operationellen Risiken, und die Aufrechterhaltung des Betriebs. Diese Rechtsvorschriften umfassen die Verordnungen (EU) Nr. 648/2012(⁸) (EU) Nr. 575/2013(⁹) und (EU) Nr. 600/2014(¹⁰) des Europäischen Parlaments und des Rates und die Richtlinien 2013/36/EU(¹¹) und 2014/65/EU(¹²) des Europäischen Parlaments und des Rates. Dieser Rechtsrahmen wird durch die Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates(¹³) ergänzt, in der Anforderungen an Finanzunternehmen in Bezug auf den Umgang mit Risiken der Informations- und Kommunikationstechnologie (IKT) und einschließlich hinsichtlich des Schutzes physischer IKT-Infrastrukturen festgelegt sind. Da die Resilienz dieser Einrichtungen daher umfassend abgedeckt wird, sollten Artikel 11 und die Kapitel III, IV und VI dieser Richtlinie nicht für diese Einrichtungen gelten, damit Doppelarbeit und unnötiger Verwaltungsaufwand vermieden werden.

In Anbetracht dessen, dass die von Einrichtungen im Finanzsektor erbrachten Dienste für kritische Einrichtungen aller anderen Wirtschaftssektoren sehr wichtig sind, sollten die Mitgliedstaaten jedoch auf der Grundlage der in der vorliegenden Richtlinie vorgesehenen Kriterien und Verfahren auch im Finanzsektor tätige Einrichtungen als kritische Einrichtungen ermitteln. Folglich sollten die Strategien, die Risikobewertungen durch Mitgliedstaaten und die Unterstützungsmaßnahmen gemäß Kapitel II dieser Richtlinie Anwendung finden. Die Mitgliedstaaten sollten in der Lage sein, nationale Rechtsvorschriften zu erlassen oder beizubehalten, um ein höheres Maß an Resilienz für diese kritischen Einrichtungen zu erreichen, sofern diese Vorschriften mit dem geltenden Unionsrecht vereinbar sind.

Table of contents

Springlex and this text is meant purely as a documentation tool and has no legal effect. No liability is assumed for its content. The authentic version of this act is the one published in the Official Journal of the European Union.