{"id":15625,"date":"2026-10-21T13:36:45","date_gmt":"2026-10-21T11:36:45","guid":{"rendered":"https:\/\/maenken.systems\/?p=15625"},"modified":"2026-10-21T13:48:20","modified_gmt":"2026-10-21T11:48:20","slug":"nis2-und-cra-wen-betreffen-welche-pflichten","status":"publish","type":"post","link":"https:\/\/maenken.systems\/de\/nis2-und-cra-wen-betreffen-welche-pflichten\/","title":{"rendered":"NIS2 und CRA: Wen betreffen welche Pflichten?"},"content":{"rendered":"\n

Neue Anforderungen an die Cybersicherheit betreffen Unternehmen in unterschiedlichen Rollen: als Betreiber von IT-Diensten, als Softwarehersteller oder als Anbieter digitaler Produkte. Dabei werden NIS2<\/strong> und der Cyber Resilience Act (CRA)<\/strong> h\u00e4ufig gemeinsam genannt. Doch wer welche Pflichten erf\u00fcllen muss, h\u00e4ngt von unterschiedlichen Voraussetzungen ab.<\/p>\n\n\n\n

NIS2 richtet sich an bestimmte Einrichtungen und deren Betrieb. Der CRA stellt Anforderungen an digitale Produkte, die auf dem EU-Markt bereitgestellt werden. Dieser Artikel erkl\u00e4rt, wen die Regelwerke betreffen, welche Pflichten daraus entstehen und wie eine Software Bill of Materials (SBOM)<\/strong> beim Umgang mit Schwachstellen hilft. Ein fiktives Beispiel zeigt, wie diese Anforderungen im Unternehmensalltag zusammenkommen.<\/p>\n\n\n\n

NIS2 und CRA: Der grundlegende Unterschied<\/strong><\/h2>\n\n\n\n

NIS2 und der Cyber Resilience Act (CRA) sollen die Cybersicherheit verbessern. Sie setzen jedoch an unterschiedlichen Stellen an:<\/strong> NIS2 richtet sich in Deutschland an bestimmte Einrichtungen und deren Betrieb. Der CRA stellt Anforderungen an Hard- und Softwareprodukte, die auf dem EU-Markt bereitgestellt werden. Ein Unternehmen kann von einem der beiden Regelwerke betroffen sein \u2013 oder von beiden.<\/p>\n\n\n\n

F\u00fcr eine erste Einordnung helfen zwei Fragen: Welche Dienste erbringen wir?<\/strong> Und: Welche digitalen Produkte bringen wir auf den Markt?<\/strong><\/p>\n\n\n\n

NIS2: Sicherheit der betroffenen Einrichtung<\/strong><\/h2>\n\n\n\n

Die NIS2-Richtlinie wurde in Deutschland durch \u00c4nderungen des BSI-Gesetzes umgesetzt. Die entsprechenden Pflichten gelten seit dem 6. Dezember 2025<\/strong>. Das Gesetz unterscheidet zwischen \u201ebesonders wichtigen\u201c und \u201ewichtigen\u201c Einrichtungen. Entscheidend sind vor allem die gesetzlich erfasste T\u00e4tigkeit und die Gr\u00f6\u00dfe der Einrichtung; f\u00fcr einzelne Einrichtungsarten gelten Sonderregeln. Das BSI erl\u00e4utert die Betroffenheit und die gesetzlichen Voraussetzungen<\/a>.<\/p>\n\n\n\n

Erfasst werden beispielsweise bestimmte Einrichtungen aus den Bereichen Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, Lebensmittel oder industrielle Produktion. Die Zugeh\u00f6rigkeit zu einer Branche allein reicht f\u00fcr eine sichere Einordnung nicht aus: Es kommt auf die konkrete Einrichtungsart<\/strong> in den Anlagen des BSI-Gesetzes an.<\/p>\n\n\n\n

Als erste Orientierung f\u00fcr viele dieser Einrichtungsarten gilt:<\/p>\n\n\n\n

Einordnung<\/strong><\/td>Typische Gr\u00f6\u00dfenschwelle<\/strong><\/td><\/tr>
Wichtige Einrichtung<\/strong><\/td>Mindestens 50 Besch\u00e4ftigte oder<\/strong> mehr als 10 Mio. Euro Jahresumsatz und<\/strong> mehr als 10 Mio. Euro Jahresbilanzsumme<\/td><\/tr>
Besonders wichtige Einrichtung<\/strong><\/td>Mindestens 250 Besch\u00e4ftigte oder<\/strong> mehr als 50 Mio. Euro Jahresumsatz und<\/strong> mehr als 43 Mio. Euro Jahresbilanzsumme<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Diese \u00dcbersicht ersetzt keine Einzelfallpr\u00fcfung. Betreiber kritischer Anlagen und bestimmte Anbieter digitaler Dienste k\u00f6nnen anders eingeordnet werden; auch verbundene Unternehmen und Sonderregelungen k\u00f6nnen relevant sein. F\u00fcr eine erste Einsch\u00e4tzung bietet das BSI eine NIS2-Betroffenheitspr\u00fcfung<\/a> an. Ma\u00dfgeblich sind die gesetzlichen Einrichtungsarten und Gr\u00f6\u00dfenschwellen<\/a>.<\/p>\n\n\n\n

Was m\u00fcssen betroffene Einrichtungen tun?<\/strong><\/h2>\n\n\n\n

Zu den Pflichten geh\u00f6ren angemessene und dokumentierte Ma\u00dfnahmen zum Risikomanagement. Das BSI-Gesetz nennt unter anderem den Umgang mit Sicherheitsvorf\u00e4llen, die Aufrechterhaltung des Betriebs, die Sicherheit der Lieferkette sowie das Management von Schwachstellen. Auch die Gesch\u00e4ftsleitung hat Pflichten bei Umsetzung und \u00dcberwachung der Ma\u00dfnahmen. Eine allgemeine Pflicht, f\u00fcr jedes eingesetzte Produkt eine SBOM zu erstellen, l\u00e4sst sich aus diesen Anforderungen an das Risikomanagement<\/a> nicht ableiten. Eine Komponenten\u00fcbersicht kann jedoch helfen, Risiken in selbst entwickelter Software und in der Lieferkette schneller zu erkennen.<\/p>\n\n\n\n

Betroffene Einrichtungen m\u00fcssen sich grunds\u00e4tzlich innerhalb von drei Monaten nach Eintritt ihrer Betroffenheit im BSI-Portal<\/a> registrieren. Das BSI erl\u00e4utert die Registrierung und weiteren Pflichten<\/a>.<\/p>\n\n\n\n

Dort erfolgt auch die Meldung erheblicher Sicherheitsvorf\u00e4lle. F\u00fcr solche Vorf\u00e4lle sieht das Gesetz eine fr\u00fche Erstmeldung sp\u00e4testens nach 24 Stunden<\/strong> und eine weitere Meldung sp\u00e4testens nach 72 Stunden<\/strong> nach Kenntniserlangung vor. Ob ein Ereignis die Schwelle eines erheblichen Sicherheitsvorfalls erreicht, muss anhand seiner tats\u00e4chlichen oder m\u00f6glichen Auswirkungen gepr\u00fcft werden. Dazu z\u00e4hlen etwa schwerwiegende Betriebsst\u00f6rungen oder erhebliche Sch\u00e4den f\u00fcr andere Personen. Weitere Informationen bietet das BSI zur NIS2-Meldepflicht<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"

Neue Anforderungen an die Cybersicherheit betreffen Unternehmen in unterschiedlichen Rollen: als Betreiber von IT-Diensten, als Softwarehersteller oder als Anbieter digitaler Produkte. Dabei werden NIS2 und der Cyber Resilience Act (CRA) h\u00e4ufig gemeinsam genannt. Doch wer welche Pflichten erf\u00fcllen muss, h\u00e4ngt von unterschiedlichen Voraussetzungen ab. NIS2 richtet sich an bestimmte Einrichtungen und deren Betrieb. Der CRA […]<\/p>\n","protected":false},"author":2,"featured_media":15628,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[72],"tags":[],"class_list":["post-15625","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-info"],"_links":{"self":[{"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/posts\/15625","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/comments?post=15625"}],"version-history":[{"count":2,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/posts\/15625\/revisions"}],"predecessor-version":[{"id":15627,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/posts\/15625\/revisions\/15627"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/media\/15628"}],"wp:attachment":[{"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/media?parent=15625"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/categories?post=15625"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/maenken.systems\/de\/wp-json\/wp\/v2\/tags?post=15625"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}