Der Cyber Resilience Act und NIS2 werden häufig in einem Atemzug genannt, weil beide unter der Überschrift EU-Cybersicherheit stehen und weil beide von Risikomanagement, Schwachstellen und Meldepflichten sprechen. In der Zuordnung liegen sie jedoch weit auseinander, und die Verwechslung führt regelmäßig zu falschen Projektzuschnitten.
Der entscheidende Unterschied ist die Frage, woran das Recht anknüpft. Der Cyber Resilience Act ist Produktsicherheitsrecht: Reguliert wird das Produkt mit digitalen Elementen, das auf dem Unionsmarkt bereitgestellt wird, und verpflichtet werden Hersteller, Einführer und Händler. NIS2 ist Betreiberrecht: Reguliert wird die Einrichtung, die eigene Netz- und Informationssysteme betreibt, und die Zuordnung erfolgt in Deutschland über Sektor und Unternehmensgröße nach dem BSI-Gesetz.
Daraus folgen zwei unterschiedliche Nachweiswelten. Der Cyber Resilience Act endet in technischer Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung. Ohne diese darf ein erfasstes Produkt nicht in Verkehr gebracht werden. NIS2 endet in einem nachweisbar wirksamen Managementsystem gegenüber der Aufsicht; eine Kennzeichnung gibt es dort nicht.
Schwierig wird es bei Organisationen, die beides sind. Ein Maschinenbauer mit vernetzten Steuerungen, ein Anbieter von Netzwerktechnik oder ein Softwarehaus, das seine Anwendung zugleich als Dienst betreibt, kann als Hersteller unter den Cyber Resilience Act und als Einrichtung unter das BSIG fallen.
Im Direktvergleich
| Kriterium | Cyber Resilience Act | NIS2 |
|---|---|---|
| Rechtsakt und Rechtsform | Verordnung (EU) 2024/2847. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten und im gleichen Wortlaut. Sie trat im Dezember 2024 in Kraft und wird gestaffelt wirksam. | Richtlinie (EU) 2022/2555. Als Richtlinie wirkt sie erst über nationales Recht. In Deutschland maßgeblich ist das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes, das am 6. Dezember 2025 in Kraft getreten ist. |
| Regelungsgegenstand | Das Produkt. Reguliert werden Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt. | Die Organisation. Erfasst ist die Einrichtung, die eigene Netz- und Informationssysteme betreibt und Dienste erbringt, deren Ausfall spürbare Folgen für Versorgung, Wirtschaft oder Verwaltung hätte. |
| Adressat | Hersteller, Einführer und Händler. Die Hauptlast liegt beim Hersteller. Wer ein Produkt unter eigenem Namen oder eigener Marke vertreibt oder ein bereits in Verkehr gebrachtes Produkt wesentlich verändert, gilt selbst als Hersteller. | Besonders wichtige und wichtige Einrichtungen der Sektoren aus den Anlagen zum BSIG sowie Betreiber kritischer Anlagen. Maßgeblich sind Sektor und Unternehmensgröße nach § 28 BSIG; Betreiber kritischer Anlagen sind größenunabhängig erfasst. |
| Schutzziel | Cybersicherheitseigenschaften von Produkten auf dem Unionsmarkt über deren gesamten Lebenszyklus: von der sicheren Standardkonfiguration bis zur Bereitstellung von Sicherheitsaktualisierungen. | Sicherheit und Kontinuität der eigenen Systeme und der darauf gestützten Dienste. Im Zentrum stehen Risikomanagement, Vorfallbewältigung und die Widerstandsfähigkeit des Betriebs. |
| Geltung und Zeitplan | Gestaffelt: Die Meldepflichten für Hersteller gelten ab dem 11. September 2026. Vollständig anwendbar ist die Verordnung ab dem 11. Dezember 2027; ab dann dürfen erfasste Produkte nur noch mit erfüllter Konformität in Verkehr gebracht werden. | Die Pflichten aus dem BSIG bestehen bereits. Das BSI-Registrierungsportal ist seit Januar 2026 in Betrieb, die erste Registrierungsfrist lag im März 2026. |
| Kernpflichten | Anhang I Teil I regelt Produkteigenschaften wie sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, Datenminimierung und sichere Aktualisierbarkeit. Teil II regelt die Schwachstellenbehandlung über den Lebenszyklus, einschließlich Stückliste der Softwarekomponenten (SBOM), koordinierter Offenlegung und Sicherheitsaktualisierungen. Hinzu kommt ein festzulegender Unterstützungszeitraum. | § 30 Abs. 2 BSIG listet einen verbindlichen Katalog, darunter Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup- und Krisenmanagement, Sicherheit der Lieferkette, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Hinzu kommen Registrierung und Meldepflichten. |
| Konformität und Nachweise | Technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung. Der Weg dorthin richtet sich nach der Risikoklasse: Selbstbewertung für den überwiegenden Teil der Produkte, strengere Verfahren für wichtige Produkte, häufig unter Einbeziehung einer notifizierten Stelle. | Keine Kennzeichnung und keine Konformitätserklärung. Nachzuweisen sind Umsetzung und Wirksamkeit der Maßnahmen gegenüber dem BSI. Ein Zertifikat nach ISO/IEC 27001 ist dabei eine gute Ausgangslage, aber kein gesetzlicher Nachweis. |
| Meldepflichten | Gemeldet werden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle: Frühwarnung innerhalb von 24 Stunden, inhaltlich angereicherte Meldung innerhalb von 72 Stunden. Der Abschlussbericht folgt zwei getrennten Strängen: bei einer aktiv ausgenutzten Schwachstelle ist er spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist, zu übermitteln, bei einem schwerwiegenden Sicherheitsvorfall innerhalb eines Monats nach der 72-Stunden-Meldung. Ein Zwischenbericht ist nur auf Ersuchen vorzulegen. Adressaten sind das als Koordinator benannte CSIRT und die ENISA über die einheitliche Meldeplattform. | Gemeldet werden erhebliche Sicherheitsvorfälle nach § 32 BSIG in drei Stufen: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung einen Monat nach der Meldung. Adressat ist die von BSI und BBK eingerichtete gemeinsame Meldestelle. |
| Aufsicht | Die Marktüberwachungsbehörden der Mitgliedstaaten, nach dem Muster des übrigen Produktsicherheitsrechts. Die Instrumente reichen von der Anforderung von Unterlagen bis zu Maßnahmen gegen die Bereitstellung eines Produkts auf dem Markt. | Das BSI. Besonders wichtige Einrichtungen können proaktiv geprüft werden, wichtige Einrichtungen in der Regel erst dann, wenn dem BSI Anhaltspunkte für einen Verstoß vorliegen. |
| Sanktionen | Die Verordnung sieht gestaffelte Bußgeldrahmen vor, die alternativ an den weltweiten Jahresumsatz anknüpfen. Praktisch schwerer wiegen häufig die produktrechtlichen Folgen, wenn ein Produkt nicht mehr in Verkehr gebracht werden darf. | Die Richtlinie gibt gestaffelte Höchstbeträge vor: bis zu 10 Millionen Euro oder 2 Prozent für die höhere Einrichtungskategorie, bis zu 7 Millionen Euro oder 1,4 Prozent für die niedrigere. Maßgeblich für die Bemessung ist der Bußgeldkatalog des BSIG. § 38 BSIG begründet zusätzlich Pflichten und Haftung der Geschäftsleitung. |
| Wie beide ineinandergreifen | Erzeugt genau das Material, das Betreiber für ihr Lieferkettenrisikomanagement benötigen: Stückliste der Komponenten, Unterstützungszeitraum, Informationen zu behobenen Schwachstellen und verlässliche Sicherheitsaktualisierungen. | Verlangt Sicherheit der Lieferkette und nutzt dafür die Produktangaben der Hersteller. Beide Rechtsakte greifen ineinander: Der eine sorgt für sichere Produkte am Markt, der andere für deren sicheren Betrieb. |
| Wen es trifft | Jedes Unternehmen, das Hard- oder Software mit digitalen Elementen im Rahmen einer Geschäftstätigkeit auf dem Unionsmarkt bereitstellt, unabhängig von Branche und Größe. Ausgenommen sind Produktgruppen mit eigenem sektorspezifischem Unionsrecht sowie Produkte allein für nationale Sicherheit und Verteidigung. | Nur Einrichtungen der erfassten Sektoren ab den Größenschwellen sowie Betreiber kritischer Anlagen. Die Betroffenheit muss jede Organisation selbst feststellen; eine behördliche Benachrichtigung gibt es nicht. |
Unser Fazit
Die Zuordnung ist einfacher, als die Debatte vermuten lässt: Fragen Sie zuerst, was Sie tun, nicht wer Sie sind. Bringen Sie ein Produkt mit digitalen Elementen auf den Unionsmarkt, greift der Cyber Resilience Act. Betreiben Sie Systeme in einem erfassten Sektor oberhalb der Größenschwellen, greift das BSIG. Beides sind eigenständige Prüfungen mit eigenständigen Ergebnissen.
Der Doppelfall ist häufiger als erwartet. Ein Maschinenbauer, dessen vernetzte Steuerungen unter den Cyber Resilience Act fallen und der als Unternehmen des verarbeitenden Gewerbes zugleich die Schwellen des BSIG überschreitet, ist Adressat beider Regime, für unterschiedliche Gegenstände. Dasselbe gilt für Anbieter, die eine Software sowohl ausliefern als auch selbst als Dienst betreiben, und für Hersteller von Netzwerk- oder Sicherheitstechnik, die zugleich als digitale Infrastruktur einzuordnen sind.
Wichtig ist die saubere Trennung der Gegenstände. Die Produktpflichten hängen am ausgelieferten Artefakt und begleiten es über den Unterstützungszeitraum. Die Betreiberpflichten hängen an Ihrer eigenen IT und Ihren eigenen Diensten. Eine Schwachstelle in Ihrem eigenen Produkt, die Sie zugleich selbst einsetzen, kann daher beide Pflichtenkreise auslösen – mit unterschiedlichen Auslösern, unterschiedlichen Empfängern und unterschiedlichen Inhalten. Diese Fälle gehören vor dem Ernstfall geklärt, nicht danach.
Was sich zusammenführen lässt. Schwachstellenmanagement, Meldefähigkeit innerhalb von 24 Stunden, Lieferantensteuerung, Kryptografie und Zugriffskontrolle tragen in beiden Regimen. Wer diese Fähigkeiten einmal belastbar aufbaut und die Nachweise dafür an einer Stelle führt, kann sie mehrfach verwenden.
Was getrennt bleiben muss. Die Konformitätsbewertung mit technischer Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung hat unter NIS2 keine Entsprechung. Umgekehrt hat die Registrierung beim BSI im Produktrecht kein Gegenstück. Und die Meldewege sind verschieden: Der Hersteller meldet an das als Koordinator benannte CSIRT und an die ENISA über die einheitliche Meldeplattform; für Hersteller mit Hauptniederlassung in Deutschland ist das BSI dieses Koordinator-CSIRT (§ 5 Absatz 1 Satz 2 BSIG). Die Einrichtung meldet nach § 32 BSIG an die von BSI und BBK eingerichtete gemeinsame Meldestelle.
Für die Zeitplanung gilt: Die Betreiberpflichten aus dem BSIG bestehen bereits, die Produktpflichten laufen gestaffelt an. Die Meldepflichten für Hersteller gelten ab dem 11. September 2026, die volle Anwendbarkeit folgt ab dem 11. Dezember 2027. Wer heute ein Produkt entwickelt, das über diesen Zeitpunkt hinaus verkauft wird, entscheidet die Konformität bereits jetzt.