Der Cyber Resilience Act erfasst ein Unternehmen, das Produkte mit digitalen Elementen auf dem Unionsmarkt bereitstellt. NIS2 erfasst es nach Sektor und Größe oder als Betreiber einer kritischen Anlage. Beide Prüfungen laufen getrennt, und wer beide bejaht, unterliegt beiden Rechtsakten.
Was ist der Unterschied zwischen dem Cyber Resilience Act und NIS2?
Der Cyber Resilience Act knüpft an das Produkt an, NIS2 an den Betrieb einer Einrichtung. Die Verordnung (EU) 2024/2847 legt fest, welche Cybersicherheitseigenschaften ein Produkt mit digitalen Elementen vor dem Inverkehrbringen haben muss. Sie regelt außerdem das Schwachstellenmanagement des Herstellers nach dem Inverkehrbringen. Die Richtlinie (EU) 2022/2555 legt fest, wie eine Einrichtung ihre eigenen Netz- und Informationssysteme schützt und Sicherheitsvorfälle meldet.
In Deutschland setzt das BSI-Gesetz (BSIG) die Richtlinie um. Die Pflichten beider Seiten im Einzelnen erläutern der Leitfaden zum Cyber Resilience Act und der NIS2-Leitfaden.
Wer muss den Cyber Resilience Act beachten, wer NIS2?
Den Cyber Resilience Act beachten muss, wer Produkte mit digitalen Elementen im Rahmen einer Geschäftstätigkeit auf dem Unionsmarkt bereitstellt (Art. 3 Nr. 22). Branche und Unternehmensgröße zählen nicht. Die Hauptpflichten tragen die Hersteller. Einführer und Händler gelten als Hersteller, wenn sie ein Produkt unter eigenem Namen in Verkehr bringen oder wesentlich ändern (Art. 21).
NIS2 beachten muss nach § 28 BSIG eine Einrichtung, die einer Einrichtungsart der Anlagen 1 oder 2 angehört und die Größenschwellen erreicht. Wichtige Einrichtungen beschäftigen mindestens 50 Mitarbeiter oder haben einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro. Betreiber kritischer Anlagen sind unabhängig von ihrer Größe besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1). Wie die Prüfung abläuft, beschreibt die Seite zur NIS2-Betroffenheit.
Fällt Software als Dienst unter den CRA oder unter NIS2?
Software als Dienst fällt unter den Cyber Resilience Act nur als Datenfernverarbeitung eines Produkts. Art. 3 Nr. 2 definiert Datenfernverarbeitung als entfernte Datenverarbeitung, deren Software der Hersteller selbst oder unter seiner Verantwortung entwickelt. Zweite Bedingung: Ohne diese Verarbeitung könnte das Produkt eine seiner Funktionen nicht erfüllen.
Die Cloud-Steuerung eines vernetzten Geräts gehört deshalb zum Produkt. Ein eigenständiger Cloud-Dienst ohne ein solches Produkt gilt dagegen als Betrieb. Anlage 1 BSIG führt „Anbieter von Cloud-Computing-Diensten“ als Einrichtungsart im Sektor Digitale Infrastruktur (Nr. 6.1.4). Ob der Anbieter erfasst ist, entscheiden die Größenschwellen des § 28 BSIG.
Wann fällt ein Unternehmen unter beide Rechtsakte?
Unter beide Rechtsakte fällt ein Unternehmen, das Produkte mit digitalen Elementen auf den Markt bringt und als Einrichtung die Schwellen des BSIG erreicht. Beispiel: Ein Maschinenbauer mit mindestens 50 Mitarbeitern liefert Steuerungen mit Netzwerkschnittstelle aus. Der Maschinenbau ist eine Einrichtungsart der Anlage 2 BSIG (Nr. 5.4).
Die beiden Pflichtenkreise betreffen dann verschiedene Gegenstände. Die Produktpflichten hängen an der ausgelieferten Steuerung und gelten über ihren Unterstützungszeitraum. Die Betreiberpflichten hängen an den Systemen, mit denen das Unternehmen selbst produziert und verwaltet.
Im Direktvergleich
| Kriterium | Cyber Resilience Act | NIS2 |
|---|---|---|
| Rechtsakt und Rechtsform | Verordnung (EU) 2024/2847. Sie gilt unmittelbar in allen Mitgliedstaaten. | Richtlinie (EU) 2022/2555. Sie wirkt über nationales Recht, in Deutschland über das BSIG in der Fassung des NIS-2-Umsetzungsgesetzes, in Kraft seit dem 6. Dezember 2025. |
| Regelungsgegenstand | Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1). | Die informationstechnischen Systeme, Komponenten und Prozesse, die eine Einrichtung für die Erbringung ihrer Dienste nutzt (§ 30 Abs. 1 BSIG). |
| Adressaten | Hersteller, Einführer und Händler, unabhängig von Branche und Größe. Wer ein Produkt unter eigenem Namen in Verkehr bringt oder wesentlich ändert, trägt Herstellerpflichten (Art. 21, 22). | Besonders wichtige und wichtige Einrichtungen nach § 28 BSIG: Einrichtungsarten der Anlagen 1 und 2 ab den Größenschwellen; Betreiber kritischer Anlagen unabhängig von ihrer Größe. |
| Ausnahmen vom Anwendungsbereich | Art. 2 Abs. 2 bis 4, 6 und 7 zählt die Ausnahmen abschließend auf, unter anderem Medizinprodukte, In-vitro-Diagnostika, Fahrzeuge, zertifizierte Luftfahrtprodukte, Schiffsausrüstung, baugleiche Ersatzteile und Produkte allein für nationale Sicherheit oder Verteidigung. | Gleichwertigkeitstest statt Liste: Sektorspezifisches Unionsrecht verdrängt NIS2 nur bei mindestens gleichwertigen Anforderungen (Art. 4). Im BSIG regelt § 28 Abs. 5 bis 7 die Ausnahmen, etwa für Finanzunternehmen unter DORA. |
| Geltung | Meldepflichten (Art. 14) seit dem 11. September 2026, Vorschriften zu Konformitätsbewertungsstellen (Kapitel IV) seit dem 11. Juni 2026, alle übrigen Pflichten ab dem 11. Dezember 2027 (Art. 71 Abs. 2). | Seit dem 6. Dezember 2025. Die erste Registrierungsfrist endete am 6. März 2026. |
| Kernpflichten | Anhang I Teil I: Produkteigenschaften wie sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff und Datenminimierung. Anhang I Teil II: Schwachstellenbehandlung mit Software-Stückliste (SBOM), koordinierter Offenlegung und Sicherheitsaktualisierungen. | Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG in zehn Mindestbereichen, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung; dazu Registrierung (§ 33) und Meldung erheblicher Sicherheitsvorfälle (§ 32). |
| Unterstützungszeitraum | Mindestens fünf Jahre, außer das Produkt wird voraussichtlich kürzer genutzt (Art. 13 Abs. 8). In dieser Zeit behandelt der Hersteller Schwachstellen nach Anhang I Teil II. | Keine Entsprechung. Das BSIG verlangt Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Management und Offenlegung von Schwachstellen (§ 30 Abs. 2 Nr. 5). |
| Nachweis | Technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung. | Keine Kennzeichnung und keine Konformitätserklärung. Die Einrichtung dokumentiert die Einhaltung (§ 30 Abs. 1 Satz 3 BSIG). |
| Prüfung durch Dritte oder Behörde | Wichtige Produkte der Klasse II brauchen eine Bewertung durch Dritte oder eine Zertifizierung; die interne Kontrolle (Modul A) steht ihnen nicht offen (Art. 32 Abs. 3). | Nachweise kann das BSI von besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten des BSIG am 6. Dezember 2025 anordnen (§ 61 Abs. 3), von wichtigen, wenn Tatsachen einen Verstoß annehmen lassen (§ 62). |
| Normen und Zertifikate | Harmonisierte Normen mit Fundstelle im Amtsblatt begründen eine Konformitätsvermutung, soweit sie Anhang I abdecken (Art. 27 Abs. 1). Fehlen sie, kann die Kommission gemeinsame Spezifikationen erlassen (Art. 27 Abs. 2). | Das BSI kann bei besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§ 61 Abs. 1). Eine Rechtsverordnung kann für bestimmte IKT-Produkte eine EU-Zertifizierung vorschreiben (§ 30 Abs. 6). |
| Meldeauslöser | Aktiv ausgenutzte Schwachstellen im Produkt und schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken (Art. 14 Abs. 1 und 3). | Erhebliche Sicherheitsvorfälle beim Betrieb der eigenen Systeme (§ 32 Abs. 1 BSIG). |
| Meldefristen | Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden. Abschlussbericht 14 Tage nach verfügbarer Korrekturmaßnahme (Schwachstelle) oder einen Monat nach der Meldung (Vorfall). Zwischenbericht nur auf Ersuchen. | Frühe Erstmeldung binnen 24 Stunden und Meldung binnen 72 Stunden ab Kenntnis, Abschlussmeldung einen Monat nach der Meldung. Zwischenmeldung nur auf Ersuchen des BSI. |
| Meldeempfänger | Gleichzeitig das als Koordinator benannte CSIRT des Mitgliedstaats der Hauptniederlassung und die ENISA, über die einheitliche Meldeplattform (Art. 14 Abs. 7, Art. 16). In Deutschland ist das BSI dieses CSIRT. | Die von BSI und BBK eingerichtete gemeinsame Meldestelle (§ 32 BSIG). |
| Aufsicht | Die Marktüberwachungsbehörden, die jeder Mitgliedstaat benennt (Art. 52 Abs. 2). Für die erfassten Produkte gilt die Marktüberwachungsverordnung (EU) 2019/1020 (Art. 52 Abs. 1). | Das BSI: bei besonders wichtigen Einrichtungen ohne Anlassvoraussetzung (§ 61), bei wichtigen Einrichtungen, wenn Tatsachen die Annahme eines Verstoßes rechtfertigen (§ 62). |
| Sanktionen | Gestaffelte Geldbußen nach Art. 64, jeweils als Festbetrag oder Anteil am weltweiten Jahresumsatz, je nachdem, welcher Betrag höher ist. | Höchstbetrag nach Art. 34 Abs. 4 und 5 der Richtlinie: mindestens 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche (im BSIG: besonders wichtige), mindestens 7 Mio. Euro oder 1,4 % für wichtige Einrichtungen, jeweils der höhere Betrag. Deutsche Tatbestände: § 65 BSIG. |
Unser Fazit
Wer Produkte mit digitalen Elementen auf dem Unionsmarkt bereitstellt, prüft den Cyber Resilience Act. Wer in einem Sektor der Anlagen 1 oder 2 BSIG die Größenschwellen erreicht oder eine kritische Anlage betreibt, prüft das BSIG. Wer beide Fragen bejaht, führt zwei Pflichtenkreise für zwei Gegenstände: das ausgelieferte Produkt und den eigenen Betrieb.
Muss ein Vorfall nach beiden Rechtsakten gemeldet werden?
Ein Vorfall wird nach beiden Rechtsakten gemeldet, wenn er beide Auslöser erfüllt. Beispiel: Eine aktiv ausgenutzte Schwachstelle in der eigenen Steuerungssoftware führt auch im eigenen Werk zu einem erheblichen Sicherheitsvorfall.
Der Hersteller meldet die Schwachstelle über die einheitliche Meldeplattform an das koordinierende CSIRT und die ENISA. Für Hersteller mit Hauptniederlassung in Deutschland ist das BSI dieses CSIRT (§ 5 Abs. 1 Satz 2 BSIG).
Den Betriebsvorfall meldet die Einrichtung nach § 32 BSIG an die gemeinsame Meldestelle von BSI und BBK. Beide Meldungen haben eigene Empfänger, Inhalte und Fristen für den Abschlussbericht. Legen Sie vor dem ersten Vorfall fest, wer welche Meldung abgibt.
Welches Produktrecht hat Vorrang, wenn ein Gerät schon anders reguliert ist?
Vorrang hat das Produktrecht, das Art. 2 der Verordnung (EU) 2024/2847 ausdrücklich nennt; die Aufzählung ist abschließend. Für alle anderen Produkte gilt der Cyber Resilience Act zusätzlich zu ihrem eigenen Produktrecht.
| Rechtsakt | Erfasste Produkte | Folge für den Cyber Resilience Act |
|---|---|---|
| Verordnung (EU) 2017/745 | Medizinprodukte | keine Anwendung (Art. 2 Abs. 2 Buchst. a) |
| Verordnung (EU) 2017/746 | In-vitro-Diagnostika | keine Anwendung (Art. 2 Abs. 2 Buchst. b) |
| Verordnung (EU) 2019/2144 | Kraftfahrzeuge und ihre Systeme | keine Anwendung (Art. 2 Abs. 2 Buchst. c) |
| Verordnung (EU) 2018/1139 | danach zertifizierte Produkte der Zivilluftfahrt | keine Anwendung (Art. 2 Abs. 3) |
| Richtlinie 2014/90/EU | Schiffsausrüstung | keine Anwendung (Art. 2 Abs. 4) |
| Richtlinie 2014/53/EU mit Delegierter Verordnung (EU) 2022/30 | Funkanlagen, für die Art. 3 Abs. 3 Buchst. d, e oder f der Richtlinie gilt | keine Ausnahme; beide Regelwerke gelten nebeneinander |
Hersteller von Funkanlagen erfüllen deshalb die Anforderungen der Delegierten Verordnung (EU) 2022/30 und zusätzlich die des Cyber Resilience Act. Erwägungsgrund 30 sieht dafür Leitlinien der Kommission für den Übergangszeitraum vor. Art. 2 Abs. 5 erlaubt der Kommission, den Anwendungsbereich per delegiertem Rechtsakt einzuschränken, wenn sektorales Recht dasselbe oder ein höheres Schutzniveau erreicht.
Gilt der Cyber Resilience Act auch für Bestandsprodukte?
Für Bestandsprodukte gilt der Cyber Resilience Act zweigeteilt. Ein vor dem 11. Dezember 2027 in Verkehr gebrachtes Produkt muss die Anforderungen nur nach einer wesentlichen Änderung erfüllen (Art. 69 Abs. 2). Die Meldepflichten des Art. 14 gelten dagegen für alle erfassten Produkte, auch für die vor diesem Datum in Verkehr gebrachten (Art. 69 Abs. 3).
Die Meldefähigkeit muss deshalb den installierten Bestand umfassen. Ob ein Funktionsupdate ein Bestandsprodukt in den vollen Pflichtenkreis zieht, entscheidet der Begriff der wesentlichen Änderung. Art. 3 Nr. 30 versteht darunter eine Änderung, die sich auf die Konformität mit Anhang I Teil I auswirkt oder den geprüften Verwendungszweck ändert.
Beide Pflichtenkreise im selben Asset-Register
Rizzqo führt den Cyber Resilience Act als Anforderungskatalog. Seine Anforderungen erscheinen an den Assets, deren Kategorie sie betreffen, etwa an den Software- und Hardware-Komponenten eines Produkts. Ändert sich die Kategorie eines Assets, erscheinen an ihm die Anforderungen der neuen Kategorie.
An jeder Anforderung stehen ein Verantwortlicher, die Nachweise und eine Antwort, die mit Name und Zeitstempel abgeschlossen wird. Aus diesen abgeschlossenen Antworten rechnet Rizzqo die Abdeckung je Asset.
NIS2 wird unterstützt; der Anforderungskatalog wird aktiviert, sobald ein Kunde ihn benötigt. Im selben Asset-Register stehen dann die Komponenten des ausgelieferten Produkts neben den Systemen des eigenen Betriebs, jeweils mit den Anforderungen ihres Katalogs.