Inzicht in de CER-richtlijn: waar organisaties zich op moeten voorbereiden
Groeiend belang van systemische veerkracht
De richtlijn weerspiegelt een groeiend besef dat verstoringen van essentiële diensten geen geïsoleerde operationele incidenten zijn, maar systemische risico’s met mogelijke economische en maatschappelijke gevolgen.
Ze heeft als doel ervoor te zorgen dat kritieke entiteiten in staat zijn om een brede waaier aan verstoringen te voorkomen, zich ertegen te beschermen, erop te reageren en ervan te herstellen.
Toepassingsgebied
De richtlijn is van toepassing op organisaties die actief zijn in sectoren die essentieel zijn voor het functioneren van de samenleving en de economie, waaronder energie, transport, water, gezondheidszorg en digitale infrastructuur.
In België wordt de richtlijn geïmplementeerd via een gestructureerd proces, met onder meer de nationale omzetting, de identificatie van kritieke entiteiten en de uitwerking van sectorspecifieke vereisten. Organisaties die als kritieke entiteit worden aangeduid, zullen onderworpen zijn aan duidelijke verplichtingen binnen een vastgelegde nalevingstermijn.
Belangrijkste verplichtingen
Deze verplichtingen omvatten:
- het uitvoeren van multirisicoanalyses, die een breed spectrum aan potentiële dreigingen bestrijken
- het implementeren van veerkrachtmaatregelen, waaronder bedrijfscontinuïteit en crisisbeheer
- het opzetten van mechanismen voor incidentrapportering en samenwerking met de bevoegde autoriteiten
Link met andere regelgeving
De richtlijn sluit nauw aan bij andere regelgevende kaders zoals de NIS2-richtlijn, DORA en CSRD. Waar NIS2 en DORA zich richten op specifieke domeinen zoals cybersecurity en digitale veerkracht, verplicht CSRD organisaties om de weerbaarheid van hun bedrijfsmodel ten aanzien van een brede waaier aan niet-financiële risico’s bekend te maken.
CER vult deze kaders aan door domeinspecifieke veerkracht (zoals cybersecurity en ICT) te integreren in een bredere, allesomvattende benadering die focust op de continuïteit van essentiële diensten. Ze legt de link tussen risicodetectie en het vermogen om verstoringen op te vangen.
Praktische uitdagingen voor organisaties
Een van de belangrijkste uitdagingen voor organisaties ligt in de breedte en complexiteit van de vereisten. CER beperkt zich niet tot documentatie of complianceprocessen. Het vraagt een grondig inzicht in activiteiten, afhankelijkheden en kwetsbaarheden, en het vermogen om dat inzicht om te zetten in concrete maatregelen.
Daarnaast introduceert de richtlijn verwachtingen rond testing, governance en continue verbetering. Daarmee verschuift de focus van statische compliance naar dynamische veerkracht.
Meer dan compliance
Organisaties die CER louter als een reglementaire verplichting benaderen, dreigen de impact ervan te onderschatten.
In de praktijk vraagt het een gestructureerde transformatie van hoe veerkracht wordt begrepen, georganiseerd en verankerd binnen de organisatie.
