CRA oder NIS2 – oder beides?

CRA oder NIS2 – oder beides?

Das ist die Frage die ich in letzter Zeit öfter höre. Meistens von Unternehmern die gerade herausgefunden haben dass es da draußen zwei EU-Regelwerke gibt die sich mit Cybersicherheit befassen und die beide irgendwie für sie gelten könnten. Oder auch nicht. Vielleicht. Kommt drauf an.

Die kurze Antwort: Es kann beides sein. Und das ist häufiger der Fall als viele denken.

Der Cyber Resilience Act – kurz CRA – sichert das Produkt. Er gilt für jeden der Produkte mit digitalen Elementen auf dem EU-Markt bringt. Hardware mit Software. Software selbst. Alles was vernetzt ist und irgendwie funktionieren soll. Der CRA stellt sicher dass dieses Produkt beim Verkauf keine bekannten ausnutzbaren Schwachstellen hat, Updates bekommt und im Fall einer aktiv ausgenutzten Schwachstelle gemeldet wird. Er gilt ab Dezember 2027 vollständig – die Meldepflichten laufen seit September 2026 bereits.

NIS2 sichert den Betrieb. Nicht das Produkt. Die Infrastruktur. Die Prozesse. Die Fähigkeit eines Unternehmens auf Cyberangriffe zu reagieren ohne dabei komplett lahmzulegen. NIS2 gilt für Unternehmen in bestimmten Sektoren – Energie, Transport, Gesundheit, digitale Infrastruktur, unter anderem – und ab einer bestimmten Größe. Wer darunter fällt muss Risikomanagement betreiben, Sicherheitsvorfälle melden und nachweisen dass das Unternehmen grundsätzlich weiß was es tut wenn es brennt.

Wo es interessant wird ist die Schnittmenge. Ein mittelständischer Hersteller vernetzter Geräte der in einem regulierten Sektor tätig ist fällt möglicherweise unter beide. CRA für das was er verkauft. NIS2 für den Betrieb in dem er es verkauft. Das klingt nach doppeltem Aufwand – und ist es manchmal auch. Was es aber vor allem ist: eine gemeinsame Nahtstelle die strategisch genutzt werden kann.

Wer sein Schwachstellenmanagement für den CRA aufbaut baut gleichzeitig Grundlagen für NIS2. Wer seinen Meldeprozess für NIS2 strukturiert hat damit auch einen Rahmen für die CRA-Meldepflichten. Die Regelwerke überschneiden sich nicht nur in der Zielgruppe – sie überschneiden sich in der Logik. Wer das versteht hat ein Compliance-Projekt statt zwei.

Welches der beiden für Sie gilt – und ob beide gelten – hängt von drei Fragen ab: Was verkaufen Sie? In welchem Sektor sind Sie tätig? Und wie groß ist Ihr Unternehmen?

Wenn Sie mehr zum Thema CRA und digitale Resilienz wissen möchten – kurze DM genügt.