Skip to content

EU-Richtlinie zur Resilienz kritischer Einrichtungen (Critical Entities Resilience Directive, CER)

Die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER, Critical Entities Resilience Directive) verpflichtet die EU-Mitgliedstaaten, kritische Einrichtungen in elf Sektoren zu ermitteln und diesen Einrichtungen Pflichten zur physischen und organisatorischen Resilienz aufzuerlegen (Risikobewertung, Resilienzmaßnahmen, Meldung von Sicherheitsvorfällen). Sie ersetzt die Richtlinie 2008/114/EG über europäische kritische Infrastrukturen (Art. 27). Die Cybersicherheit dieser Einrichtungen regelt dagegen NIS2. In Deutschland ist die CER-Richtlinie durch das KRITIS-Dachgesetz umgesetzt (in Kraft seit 17.03.2026).

[!NOTE]

Alle Artikelverweise beziehen sich, sofern nicht anders angegeben, auf die Richtlinie (EU) 2022/2557 und führen direkt zum jeweiligen Artikel (Erwägungsgründe: „Erwgr."). Die Quellen der übrigen Rechtsakte und der nationalen Umsetzung stehen im Abschnitt Quellen. Stand dieser Seite: 09.10.2026. Keine Rechtsberatung.

Überblick

  • Segment: Resilienz kritischer Infrastrukturen (überwiegend physische Sicherheit und Betriebskontinuität; Cybersicherheit ist grundsätzlich Gegenstand von NIS2). Sektoren laut Anhang:

    • Energie (Strom, Fernwärme und -kälte, Erdöl, Erdgas, Wasserstoff)
    • Verkehr (Luftfahrt, Schienenverkehr, Schifffahrt, Straßenverkehr, öffentlicher Verkehr)
    • Bankwesen
    • Finanzmarktinfrastrukturen
    • Gesundheit (u. a. Gesundheitsdienstleister, Arzneimittel- und Medizinprodukteherstellung)
    • Trinkwasser
    • Abwasser
    • Digitale Infrastruktur (u. a. Internet-Knoten, DNS, TLD-Register, Cloud-Computing, Rechenzentren, Inhaltszustellnetze, Vertrauensdienste, elektronische Kommunikationsnetze und -dienste)
    • Öffentliche Verwaltung (Zentralregierungen)
    • Weltraum (Bodeninfrastrukturen)
    • Produktion, Verarbeitung und Vertrieb von Lebensmitteln

  • Verabschiedet / Veröffentlicht:

    • Richtlinie (EU) 2022/2557 vom 14.12.2022 (Geschehen zu Straßburg am 14. Dezember 2022), veröffentlicht im Amtsblatt der EU (L 333) am 27.12.2022 (Art. 29)
    • Begleitend: Delegierte Verordnung (EU) 2023/2450 vom 25.07.2023 mit der nicht erschöpfenden Liste wesentlicher Dienste (Art. 5 Abs. 1), veröffentlicht am 30.10.2023

  • Gültig ab:

    • In Kraft getreten: 16.01.2023 (zwanzigster Tag nach Veröffentlichung, Art. 28)
    • Umsetzung in nationales Recht bis 17.10.2024, Anwendung der nationalen Vorschriften ab 18.10.2024 (Art. 26 Abs. 1). Die Richtlinie wirkt gegenüber den Mitgliedstaaten (Art. 29); Pflichten für Einrichtungen entstehen erst durch das nationale Recht und die Ermittlung als kritische Einrichtung.
    • Aufhebung der Richtlinie 2008/114/EG mit Wirkung vom 18.10.2024 (Art. 27)
    • Weitere Fristen für die Mitgliedstaaten: nationale Strategie und Risikobewertung bis 17.01.2026 (Art. 4 Abs. 1, Art. 5 Abs. 1), Ermittlung der kritischen Einrichtungen bis 17.07.2026 (Art. 6 Abs. 1), Bericht der Kommission zur Umsetzung bis 17.07.2027 (Art. 25)

  • Gültig für (Art. 2 Nr. 1, Art. 6):

    Kritische Einrichtungen, also öffentliche oder private Einrichtungen, die ein Mitgliedstaat als einer der Kategorien in der dritten Spalte des Anhangs angehörend eingestuft hat. Eine Einrichtung wird nur eingestuft, wenn sie kumulativ (a) einen oder mehrere wesentliche Dienste erbringt, (b) im Hoheitsgebiet des Mitgliedstaats tätig ist und ihre kritische Infrastruktur dort liegt und (c) ein Sicherheitsvorfall eine erhebliche Störung dieser Dienste bewirken würde (Art. 6 Abs. 2). Kriterien für die Erheblichkeit nennt Art. 7 Abs. 1. Die Richtlinie legt keine festen Schwellenwerte oder Unternehmensgrößen fest, die Einstufung erfolgt durch die Mitgliedstaaten.

  • Nicht gültig für:

    • Angelegenheiten, die unter NIS2 fallen (Cybersicherheit), unbeschadet von Art. 8 (Art. 1 Abs. 2)
    • Einrichtungen der öffentlichen Verwaltung, die ihre Tätigkeiten in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung ausüben (Art. 1 Abs. 6). Die Mitgliedstaaten können bestimmte Vorschriften (Art. 11, Kapitel III, IV und VI) außerdem für kritische Einrichtungen in diesen Bereichen ausschließen (Art. 1 Abs. 7).
    • Banken, Finanzmarktinfrastrukturen und digitale Infrastruktur: Für die in diesen Sektoren ermittelten kritischen Einrichtungen (Anhang Nr. 3, 4 und 8) gelten Art. 11 sowie die Kapitel III, IV und VI nicht (Art. 8). Sie werden stattdessen über DORA bzw. NIS2 reguliert (Erwgr. 9, Erwgr. 20). Die Mitgliedstaaten können für sie höhere nationale Anforderungen vorsehen.
    • Einrichtungen, für die sektorspezifische Rechtsakte der Union mindestens gleichwertige Resilienzanforderungen enthalten, soweit die Mitgliedstaaten dies so anerkennen (Art. 1 Abs. 3)

  • Grauzone:

    • Abgrenzung zu NIS2: Die CER-Richtlinie deckt nicht cyberbezogene Risiken ab (physischer Schutz, Personal, Wiederherstellung), NIS2 die Sicherheit von Netz- und Informationssystemen. Die Mitgliedstaaten müssen beide Richtlinien koordiniert umsetzen (Art. 1 Abs. 2). Die Richtlinie definiert „Sicherheitsvorfall" allerdings allgemein als Ereignis, das die Erbringung eines wesentlichen Dienstes erheblich stört oder stören könnte (Art. 2 Nr. 3); die Trennlinie zu rein cyberbedingten Vorfällen regelt das nationale Recht.
    • Einstufung und Pflichten hängen von der nationalen Umsetzung ab. Die Richtlinie ist Mindestharmonisierung (Art. 3): Mitgliedstaaten dürfen strengere Vorschriften erlassen oder beibehalten (z. B. zusätzliche Sektoren, niedrigere Schwellen).
    • Ob und in welchem Umfang Software und IT-Dienste als Teil der „kritischen Infrastrukturen" gelten (Objekte, Anlagen, Ausrüstung, Netze oder Systeme, die für die Erbringung eines wesentlichen Dienstes erforderlich sind, Art. 2 Nr. 4), ist im Einzelfall zu prüfen. Die Richtlinie richtet ihre Maßnahmen primär auf physischen Schutz aus (Art. 13 Abs. 1 Buchst. b).

  • Ziel (Art. 1 Abs. 1): Sicherstellung der ungehinderten Erbringung von Diensten im Binnenmarkt, die für wichtige gesellschaftliche Funktionen oder wirtschaftliche Tätigkeiten unerlässlich sind, durch ein hohes Resilienzniveau kritischer Einrichtungen. Resilienz ist die Fähigkeit, einen Sicherheitsvorfall zu verhindern, sich davor zu schützen, darauf zu reagieren, ihn abzuwehren, die Folgen zu begrenzen, ihn aufzufangen, zu bewältigen und sich davon zu erholen (Art. 2 Nr. 2). Die Risiken umfassen natürliche und vom Menschen verursachte Risiken, darunter Unfälle, Naturkatastrophen, gesundheitliche Notlagen, hybride Bedrohungen und terroristische Straftaten (Art. 5 Abs. 1, Art. 12 Abs. 2).

  • Neuerungen / Anforderungen:

    • Pflichten der Mitgliedstaaten (Kapitel II): nationale Strategie, nationale Risikobewertung, Ermittlung kritischer Einrichtungen, zuständige Behörden und zentrale Anlaufstelle, Unterstützung der Einrichtungen (Art. 4–10)
    • Risikobewertung durch die kritische Einrichtung binnen neun Monaten nach der Mitteilung ihrer Einstufung, danach mindestens alle vier Jahre (Art. 12)
    • Resilienzmaßnahmen (technisch, sicherheitsbezogen, organisatorisch) und Resilienzplan (Art. 13)
    • Zuverlässigkeitsüberprüfungen von Personen in sensiblen Funktionen nach Maßgabe des nationalen Rechts (Art. 14)
    • Meldung von Sicherheitsvorfällen: Erstmeldung binnen 24 Stunden, ausführlicher Bericht spätestens einen Monat später (Art. 15)
    • Aufsicht und Durchsetzung: Vor-Ort-Kontrollen, Audits, Anweisungen (Art. 21) und Sanktionen (Art. 22)
    • Kritische Einrichtungen von besonderer Bedeutung für Europa (wesentliche Dienste in sechs oder mehr Mitgliedstaaten) mit Beratungsmissionen der Kommission (Art. 17–18)

  • Sanktionen (Art. 22): Die Richtlinie selbst legt weder Bußgeldhöhen noch Straf- oder Betriebsuntersagungsregelungen fest. Die Mitgliedstaaten erlassen Sanktionsvorschriften, die wirksam, verhältnismäßig und abschreckend sein müssen, und teilten sie der Kommission bis 17.10.2024 mit. Die zuständigen Behörden können außerdem Maßnahmen zur Behebung von Verstößen anordnen (Art. 21 Abs. 3). Die konkreten Höhen bestimmt das nationale Recht (Deutschland: siehe unten).

Zentrale Forderungen

Pflichten der Mitgliedstaaten

  • Strategie zur Verbesserung der Resilienz kritischer Einrichtungen bis 17.01.2026, mindestens alle vier Jahre zu aktualisieren (Art. 4)
  • Risikobewertung durch die Mitgliedstaaten bis 17.01.2026 und mindestens alle vier Jahre, auf Grundlage der Liste wesentlicher Dienste (Art. 5; Liste: Delegierte Verordnung (EU) 2023/2450, die Liste ist nicht erschöpfend)
  • Ermittlung der kritischen Einrichtungen bis 17.07.2026, Überprüfung mindestens alle vier Jahre; Mitteilung der Einstufung an die Einrichtung binnen eines Monats (Art. 6). Die Einrichtungen werden dabei über ihre Pflichten und deren Geltungsbeginn informiert; Kapitel III gilt zehn Monate nach der Mitteilung (Art. 6 Abs. 3).
  • Zuständige Behörden und zentrale Anlaufstelle, ausreichend ausgestattet; Kooperation mit den NIS2-Behörden bei Cyber- und Nicht-Cyber-Risiken (Art. 9)
  • Unterstützung der kritischen Einrichtungen, u. a. durch Leitfäden, Übungen, Beratung und Schulungen (Art. 10)
  • Aufsicht: Vor-Ort-Kontrollen und externe Aufsichtsmaßnahmen, Audits sowie Anweisungen zur Behebung von Verstößen, jeweils unter angemessenen Garantien (u. a. Schutz von Geschäftsgeheimnissen, Rechtsbehelf, Art. 21 Abs. 4). Es gibt keine in der Richtlinie vorgeschriebenen „regelmäßigen Berichte" der Einrichtungen an die Behörde; Auskunfts- und Nachweispflichten ergeben sich aus der Aufsicht.

Pflichten der kritischen Einrichtungen (Kapitel III)

  • Risikobewertung binnen neun Monaten nach der Mitteilung der Einstufung, danach bei Bedarf, mindestens alle vier Jahre; berücksichtigt natürliche und vom Menschen verursachte Risiken sowie Abhängigkeiten zu anderen Sektoren. Vorhandene Bewertungen aus anderen Rechtsakten können genutzt werden (Art. 12).
  • Resilienzmaßnahmen: geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen (Art. 13 Abs. 1), insbesondere zur
    • Verhinderung von Sicherheitsvorfällen (inkl. Katastrophenvorsorge, Anpassung an den Klimawandel), Buchst. a
    • Gewährleistung eines angemessenen physischen Schutzes von Räumlichkeiten und kritischen Infrastrukturen, Buchst. b
    • Reaktion auf Sicherheitsvorfälle, Abwehr und Begrenzung der Folgen, Buchst. c
    • Wiederherstellung nach Sicherheitsvorfällen (inkl. Betriebsaufrechterhaltung und alternative Lieferketten), Buchst. d
    • Sicherheitsmanagement hinsichtlich der Mitarbeiter (Personalkategorien mit kritischen Funktionen, Zugangsrechte, Zuverlässigkeitsüberprüfungen, Schulung), Buchst. e; dabei ist das Personal externer Dienstleister zu berücksichtigen (Art. 13 Abs. 1 Unterabs. 2)
    • Sensibilisierung des Personals durch Schulungen, Informationsmaterial und Übungen, Buchst. f
  • Resilienzplan oder gleichwertige Dokumente, die diese Maßnahmen beschreiben, und deren Anwendung; Dokumente und Maßnahmen aus anderen Rechtsakten können verwendet werden (Art. 13 Abs. 2).
  • Verbindungsbeauftragter als Ansprechpartner für die zuständigen Behörden (Art. 13 Abs. 3).
  • Zuverlässigkeitsüberprüfungen: Die Mitgliedstaaten legen fest, unter welchen Bedingungen eine kritische Einrichtung sie in hinreichend begründeten Fällen beantragen darf, u. a. für Personen mit sensiblen Funktionen oder mit direktem Zugriff oder Fernzugriff auf Räumlichkeiten, Informationen oder Kontrollsysteme (Art. 14 Abs. 1). Mindestinhalt sind Identitätsprüfung und Strafregisterprüfung (Art. 14 Abs. 3).
  • Meldung von Sicherheitsvorfällen, die die Erbringung wesentlicher Dienste erheblich stören oder stören könnten, unverzüglich an die zuständige Behörde: Erstmeldung spätestens 24 Stunden nach Kenntnis (außer wenn dies in operativer Hinsicht nicht möglich ist), gegebenenfalls gefolgt von einem ausführlichen Bericht spätestens einen Monat danach. Erheblichkeitsparameter sind Zahl und Anteil der betroffenen Nutzer, Dauer und betroffenes Gebiet (Art. 15 Abs. 1). Die Meldung begründet keine höhere Haftung (Art. 15 Abs. 2).
  • Normen: Die Mitgliedstaaten fördern europäische und internationale Normen und technische Spezifikationen, ohne eine bestimmte Technologie vorzuschreiben oder zu bevorzugen (Art. 16).

Kritische Einrichtungen von besonderer Bedeutung für Europa

  • Als solche gelten kritische Einrichtungen, die wesentliche Dienste für oder in sechs oder mehr Mitgliedstaaten erbringen und der Kommission gemeldet wurden (Art. 17).
  • Die Kommission kann Beratungsmissionen zur Bewertung ihrer Maßnahmen organisieren (Art. 18).

Relevanz für Software-Hersteller und Open Source

Die Richtlinie richtet sich an die Mitgliedstaaten und die von ihnen ermittelten kritischen Einrichtungen. Software-Hersteller oder Open-Source-Projekte werden nicht als solche adressiert. Soweit der Normtext es hergibt, kommen sie nur mittelbar in Betracht:

  • Als Dienstleister kritischer Einrichtungen: Das Personal externer Dienstleister ist bei der Festlegung der Personalkategorien mit kritischen Funktionen zu berücksichtigen (Art. 13 Abs. 1 Unterabs. 2); Zuverlässigkeitsüberprüfungen können Personen mit Fernzugriff auf Kontrollsysteme betreffen (Art. 14 Abs. 1 Buchst. b). Die Anforderungen reichen kritische Einrichtungen typischerweise vertraglich weiter.
  • Als Anbieter digitaler Infrastruktur (z. B. Cloud, Rechenzentren, DNS): eigene Einstufung als kritische Einrichtung möglich, dann aber ohne Kapitel III, IV und VI (Art. 8); die Cyber- und die zugehörige physische Sicherheit der Systeme regelt NIS2 (Erwgr. 20).
  • Anforderungen an die Produktsicherheit digitaler Produkte regelt der Cyber Resilience Act, nicht die CER-Richtlinie.

Wechselwirkungen mit anderen EU-Regularien

  • NIS2: Die CER-Richtlinie gilt nicht für Angelegenheiten, die unter NIS2 fallen (Art. 1 Abs. 2). Als kritische Einrichtungen eingestufte Einrichtungen unterliegen unabhängig von ihrer Größe auch NIS2 (Art. 2 Abs. 3 NIS2) und gelten als wesentliche Einrichtungen im Sinne von NIS2 (Art. 3 Abs. 1 Buchst. f NIS2). Beide Behördenstränge sind zu koordinieren: Strategie, Informationsaustausch und Aufsicht (Art. 4 Abs. 2 Buchst. g, Art. 9 Abs. 6, Art. 21 Abs. 5). Die Gruppe für die Resilienz kritischer Einrichtungen (Art. 19) tagt mindestens einmal jährlich gemeinsam mit der NIS2-Kooperationsgruppe (Art. 14 Abs. 9 NIS2).
  • DORA: Für kritische Einrichtungen im Bankwesen und in den Finanzmarktinfrastrukturen gelten die Kapitel III, IV und VI der CER-Richtlinie nicht (Art. 8); zuständige Behörden sind grundsätzlich die in Art. 46 DORA genannten (Art. 9 Abs. 1 Unterabs. 2).
  • Sektorspezifisches Unionsrecht: Gleichwertige Anforderungen können die CER-Pflichten verdrängen (Art. 1 Abs. 3); bereits vorhandene Risikobewertungen und Dokumente anderer Rechtsakte dürfen genutzt werden (Art. 12 Abs. 1, Art. 13 Abs. 2).
  • Datenschutz: DSGVO und Richtlinie 2002/58/EG bleiben unberührt (Art. 1 Abs. 9); Zuverlässigkeitsüberprüfungen müssen verhältnismäßig sein und strikt auf das Notwendige beschränkt (Art. 14 Abs. 2).

Konkretisierungen durch die Kommission

Umsetzung in Deutschland (Stand 09.10.2026)

Details zum Gesetz stehen auf der Seite KRITIS-Dachgesetz. Belegt ist:

  • Gesetz: „Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen", ausgefertigt am 11.03.2026, verkündet am 16.03.2026 (BGBl. 2026 I Nr. 66). Artikel 1 ist das KRITIS-Dachgesetz (KRITISDachG). Es trat am Tag nach der Verkündung (17.03.2026) in Kraft; § 14 Abs. 3 bis 5 KRITISDachG treten am 01.01.2030 in Kraft (Art. 11 des Gesetzes). Der Bundestag hat den Gesetzentwurf (Drucksache 21/2510) im Januar 2026 beschlossen (Bundestag). Die Umsetzungsfrist (17.10.2024) wurde damit überschritten.
  • Vertragsverletzungsverfahren: Die Kommission hat im November 2024 Aufforderungsschreiben an 24 Mitgliedstaaten, darunter Deutschland, versandt (Vertretung der EU-Kommission, 28.11.2024) und im Juli 2025 gegenüber Deutschland und zwölf weiteren Staaten mit Gründen versehene Stellungnahmen abgegeben (Vertretung der EU-Kommission, 17.07.2025). Der aktuelle Verfahrensstand nach Inkrafttreten des KRITISDachG wurde nicht verifiziert.
  • Struktur des KRITISDachG: Es adressiert Betreiber kritischer Anlagen statt „kritischer Einrichtungen". Sektoren sind Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung/Grundsicherung, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum und Siedlungsabfallentsorgung (§ 4 Abs. 1); die Sektoren Sozialversicherung und Siedlungsabfallentsorgung gehen über den Anhang der Richtlinie hinaus (Mindestharmonisierung, Art. 3). Ausgenommen von weiten Teilen sind u. a. Finanzunternehmen im Anwendungsbereich von DORA und der Sektor Informationstechnik und Telekommunikation (§ 4 Abs. 2), entsprechend Art. 8 der Richtlinie. Zentrale Anlaufstelle ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK, § 3 Abs. 1). Die Definition „Anlage" umfasst auch Software und IT-Dienste; solche, die nicht unmittelbar der Steuerung, Überwachung oder Unterstützung physischer Prozesse der Erbringung kritischer Dienstleistungen dienen, unterliegen ausschließlich dem BSI-Gesetz (§ 2 Nr. 2).
  • Pflichten und Fristen: Registrierung beim BBK spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt (§ 8 Abs. 1); Risikoanalyse und -bewertung des Betreibers erstmals neun Monate, Resilienzpflichten und Resilienzplan (§ 13), Meldewesen (§ 18) und Umsetzungs- und Überwachungspflicht der Geschäftsleitung (§ 20) erstmals zehn Monate nach der Registrierung (§ 8 Abs. 7). Vorfälle sind unverzüglich, spätestens 24 Stunden nach Kenntnis, über die gemeinsame Meldestelle von BSI und BBK zu melden, ein ausführlicher Bericht folgt spätestens einen Monat nach Kenntnis (§ 18 Abs. 1).
  • Bußgelder: bis zu 1 Mio. Euro (z. B. bei Verstoß gegen vollziehbare Anordnungen nach § 8 Abs. 2), bis 500.000 Euro, bis 200.000 Euro bzw. bis 100.000 Euro je nach Tatbestand (§ 24 Abs. 2).
  • Kritische Anlagen und KRITIS-Verordnung: Welche Anlagen „erheblich" und damit kritisch sind, bestimmt das BMI durch Rechtsverordnung (§ 4 Abs. 3, § 5); als Regelwert gelten grundsätzlich 500.000 zu versorgende Einwohner (§ 5 Abs. 2). Das BMI hat am 26.05.2026 einen Referentenentwurf der Kritisverordnung (KritisV) vorgelegt (DIHK). Ein Erlass der Verordnung konnte nicht belegt werden; nach einer sekundären Quelle war das Verfahren im Oktober 2026 noch nicht abgeschlossen (datenraume.de). Die Registrierungspflicht knüpft nach § 8 Abs. 1 daran an, dass eine Anlage als kritische Anlage gilt.
  • Verhältnis zu NIS2: Das KRITISDachG regelt die physische Resilienz und ergänzt das deutsche NIS2-Umsetzungsrecht (BSI-Gesetz). Meldungen erfolgen über eine gemeinsame Meldestelle von BSI und BBK, die Registrierung über eine gemeinsame Registrierungsmöglichkeit (§ 8 Abs. 1, § 18 Abs. 1 KRITISDachG). Das Registrierungsformular erfasst auch die eingesetzten Typen kritischer Komponenten nach § 2 Nr. 23 BSI-Gesetz (§ 8 Abs. 1 Nr. 8 KRITISDachG).

Lösungsansätze & Hilfestellungen

  • Die Richtlinie und das KRITISDachG zielen überwiegend auf physische Sicherheit und Betriebskontinuität. Für den Cyber-Anteil (Risikomanagement der IT, Meldung, Lieferkette) bieten die Seiten NIS2, DORA und CRA Lösungsansätze und Werkzeuge.
  • Hilfestellung der Kommission: die unverbindlichen Leitlinien C/2025/4990 (Ermittlung kritischer Einrichtungen) und C/2026/3712 (Resilienzmaßnahmen).
  • Vorhandene Risikobewertungen und Dokumente aus anderen Rechtsakten (z. B. nach NIS2, Notfall- und Kontinuitätsmanagement) dürfen für die CER-Pflichten genutzt werden und können von der Behörde ganz oder teilweise als gleichwertig anerkannt werden (Art. 12 Abs. 2, Art. 13 Abs. 2).

Quellen

Alle Rechtstexte in der deutschen Fassung im Amtsblatt der EU (ELI-Links) bzw. im Bundesgesetzblatt: