NIS2 (Richtlinie (EU) 2022/2555)
Viele Hersteller fallen unter beide Regelwerke: NIS2 für den eigenen Betrieb, CRA für die eigenen Produkte. Die Fristen ähneln sich, Empfänger und Auslöser nicht.
NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau. Sie verpflichtet Einrichtungen in 18 Sektoren, ihre eigene IT abzusichern und Sicherheitsvorfälle zu melden; der CRA verpflichtet dagegen Hersteller für ihre Produkte.
Definition in der Verordnung
Der CRA grenzt sich in seinen Erwägungsgründen von NIS2 ab. Erwägungsgrund 12 ordnet reine Cloud-Dienste wie SaaS, PaaS und IaaS der NIS2-Richtlinie zu, nicht dem CRA. Erwägungsgrund 24 beschreibt, dass sicher entwickelte Produkte den Betreibern digitaler Infrastrukturen die Einhaltung der NIS2-Anforderungen an die Lieferkette erleichtern sollen. NIS2 trifft Einrichtungen ab mittlerer Unternehmensgröße in Sektoren wie Energie, Verkehr, Gesundheit oder verarbeitendes Gewerbe; Deutschland hat sie mit dem NIS2-Umsetzungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft trat. Betroffene Einrichtungen melden erhebliche Vorfälle nach § 32 BSIG an das BSI: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht nach einem Monat.
Was das für Hersteller bedeutet
Ein Maschinenbauer mit mindestens 50 Beschäftigten oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro ist in Deutschland wichtige Einrichtung (§ 28 Absatz 2 Nummer 3 und Anlage 2 BSIG) und kann zugleich CRA-Hersteller sein. Dann gelten zwei getrennte Meldepflichten: Wird die eigene Build-Umgebung kompromittiert, kann das eine NIS2-Meldung an das BSI-Meldeportal und eine CRA-Meldung über die ENISA-Plattform auslösen. Keine der beiden ersetzt die andere; das BSI sagt in seinen FAQ zur CRA-Plattform, dass ein solcher Vorfall nach beiden Regelwerken gemeldet wird, mit Referenzhinweis auf die jeweils andere Meldung. Ein Ransomware-Vorfall bei einem Kunden ist nicht automatisch ein schwerwiegender Vorfall nach CRA; nach Artikel 14 Absatz 3 und Absatz 5 kommt es darauf an, ob der Vorfall die Sicherheit des Produkts beeinträchtigt. Das BSI sagt dasselbe für Ransomware beim Hersteller. Kam der Angreifer aber über eine Schwachstelle des Produkts oder über einen Zugang des Herstellers wie die Fernwartung, kann eine CRA-Meldepflicht bestehen (Artikel 14 Absatz 1 oder Absatz 5 Buchstabe b). Sinnvoll ist eine gemeinsame Meldeorganisation mit getrennten Kanälen. In Österreich gilt seit dem 1. Oktober 2026 das NISG 2026.
Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordern