Provetry
ENFRFrühen Zugang anfragen
Kostenloser Check
Frühen Zugang anfragen

Provetry startet im November 2026. Der kostenlose CRA-Check, die Werkzeuge und die Leitfäden sind schon jetzt verfügbar.

CRA und NIS-2: wer was tun muss

7 Min. Lesezeit

Auf dieser Seite
  1. Nebeneinander
  2. Wer unter NIS-2 fällt
  3. Wo sie sich treffen
  4. Wenn beide für Sie gelten
  5. Wie Provetry hilft
  6. Quellen

Die Europäische Union hat zwei große Cybersicherheitsgesetze, die Unternehmen ständig verwechseln: den Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) und die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555). Die Kurzfassung: Der CRA betrifft die Sicherheit der Produkte, die Sie verkaufen; NIS-2 betrifft die Sicherheit der Einrichtung, die wesentliche oder wichtige Dienste erbringt. Viele Unternehmen fallen unter eines davon, manche unter beide.

Nebeneinander

Cyber Resilience Act NIS-2
Was erfasst wird Produkte mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden Wesentliche und wichtige Einrichtungen in aufgeführten Sektoren
Wer die Pflichten trägt Hersteller, Einführer, Händler (und Verwalter quelloffener Software) Die Einrichtungen selbst und ihre Leitungsorgane
Rechtsform Verordnung: gilt unmittelbar, überall derselbe Text Richtlinie: in nationales Recht umgesetzt, mit nationalen Unterschieden
Hauptpflichten Sichere Gestaltung (Anhang I), Umgang mit Schwachstellen, SBOM, technische Dokumentation, CE-Kennzeichnung Risikomanagementmaßnahmen, Sicherheit der Lieferkette, Meldung von Sicherheitsvorfällen, Governance
Meldungen Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die das Produkt betreffen, über die einheitliche Meldeplattform der ENISA Erhebliche Sicherheitsvorfälle, die die Dienste der Einrichtung betreffen, an das nationale CSIRT oder die zuständige Behörde
Fristen der Meldungen Frühwarnung 24 h, Meldung 72 h, Abschlussbericht 14 Tage nach einer Korrektur (Schwachstellen) oder einen Monat nach der Meldung (Vorfälle) Frühwarnung 24 h, Meldung 72 h, Abschlussbericht einen Monat nach der Meldung
Termine Meldungen seit dem 11. September 2026; alles Übrige ab dem 11. Dezember 2027 Umsetzungsfrist 17. Oktober 2024
Höchste Geldbußen 15 Mio. € oder 2,5 % des weltweiten Umsatzes Mindestens 10 Mio. € oder 2 % für wesentliche Einrichtungen; mindestens 7 Mio. € oder 1,4 % für wichtige (die nationalen Gesetze legen die Obergrenze fest)

Wer unter NIS-2 fällt

NIS-2 gilt für mittlere und große Organisationen (und einige kleinere unabhängig von ihrer Größe) in den in ihren Anhängen aufgeführten Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur (einschließlich Anbietern von Cloud-Computing und Rechenzentren), Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Herstellung bestimmter Waren, digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschung. Das Umsetzungsgesetz jedes Mitgliedstaats regelt die Einzelheiten und das Registrierungsverfahren; in Deutschland ist das BSI die zuständige Stelle.

Ein reines Software-as-a-Service-Unternehmen fällt für seinen Dienst nicht unter den CRA, kann aber als digitaler Anbieter oder IKT-Dienstleister sehr wohl unter NIS-2 fallen. Siehe CRA und SaaS.

Wo sie sich treffen

Die Lieferkette

NIS-2-Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern, einschließlich der Sicherheitspraktiken ihrer Lieferanten und der Produkte, die sie kaufen. Der CRA gibt ihnen etwas Konkretes, das sie verlangen können: CE-gekennzeichnete Produkte, einen Unterstützungszeitraum, eine SBOM auf Anfrage, eine Strategie für die koordinierte Offenlegung von Schwachstellen, Sicherheitsupdates. Rechnen Sie damit, dass NIS-2-Kunden CRA-Anforderungen in ihre Verträge schreiben, manchmal schon vor Dezember 2027.

Koordinierte Offenlegung von Schwachstellen

NIS-2 gibt jedem Mitgliedstaat ein CSIRT, das die Offenlegung von Schwachstellen koordiniert, und hat die Europäische Schwachstellendatenbank geschaffen, die die ENISA betreibt. Die Offenlegungsstrategie und die Meldepflichten des CRA docken an dasselbe Netz von CSIRTs an.

Meldungen

Die beiden Meldepflichten sind getrennt. Ein Sicherheitsvorfall kann beide auslösen:

  • ein Hersteller, der zugleich NIS-2-Einrichtung ist und dessen eigene Systeme von einem Vorfall getroffen werden, der auch die Sicherheit seiner Produkte beeinträchtigt, muss unter Umständen nach NIS-2 (für seine Dienste) und nach dem CRA (für seine Produkte) melden;
  • die Fristen ähneln sich (24 Stunden, 72 Stunden), aber Empfänger, Formulare und Auslöser unterscheiden sich.

Planen Sie einen einzigen Vorfallprozess mit zwei Ausgängen und legen Sie vorab fest, wer welchen prüft.

Wenn beide für Sie gelten

  1. Erfassen Sie Ihre Produkte (CRA) und Ihre Dienste (NIS-2) getrennt.
  2. Nutzen Sie ein einziges Risikomanagement-Rahmenwerk für beide: Die NIS-2-Maßnahmen (Artikel 21) und Anhang I des CRA überschneiden sich stark, bei Zugriffskontrolle, Kryptografie, Umgang mit Schwachstellen und Behandlung von Sicherheitsvorfällen.
  3. Führen Sie die Prozesse für Vorfälle und Schwachstellen zusammen, mit einem Entscheidungsschritt: Ist das eine CRA-Meldung, eine NIS-2-Meldung, beides oder keines?
  4. Bewahren Sie die Nachweise an einem Ort auf: Entscheidungen, Zeitstempel, gesendete Meldungen.

Wie Provetry hilft

Provetry deckt die CRA-Seite ab: SBOMs, Schwachstellenüberwachung, die CRA-Meldeuhr mit Entwürfen für die ENISA, Offenlegungsstrategie, Hinweise und die technische Akte. Sein Nachweisjournal hält fest, was Sie wann entschieden haben, was auch hilft, wenn ein NIS-2-Kunde Sie als Lieferanten prüft.

Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung.

Quellen