Der EU Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) und die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) sind die beiden zentralen Bausteine der EU-Cybersecurity-Regulierung ab 2025. Sie werden regelmäßig verwechselt oder gleichgesetzt — obwohl sie unterschiedliche Adressaten regeln, unterschiedliche Meldeketten haben und in Summe unterschiedliche Nachweisleistungen fordern. Wer nur eines umsetzt, verletzt in aller Regel das andere.
Der Grundunterschied in einem Satz
NIS2 reguliert die Betreiber wesentlicher und wichtiger Einrichtungen (Sektoren wie Energie, Gesundheit, digitale Infrastruktur, IT-Dienste). CRA reguliert Hersteller von Produkten mit digitalen Elementen — also Software und vernetzte Hardware, die auf dem EU-Markt bereitgestellt werden. Ein Unternehmen kann beides sein: ein Cloud-Provider, der eigene vernetzte Appliances verkauft, fällt sowohl unter NIS2 (Betreiber) als auch unter CRA (Hersteller).
Wer fällt wann rein?
- NIS2: Rund 100.000 Einrichtungen EU-weit, definiert über Sektor (Anhänge I & II) plus Größenschwelle (mittleres Unternehmen: ≥ 50 MA oder ≥ 10 Mio. € Umsatz; für kritische Sektoren gilt size-cap independent).
- CRA: Jeder Hersteller, Importeur oder Händler eines Produkts mit digitalen Elementen für den EU-Markt — ohne Größenuntergrenze. Auch ein Ein-Personen-IoT-Startup fällt in Scope.
- Wichtig: Reine SaaS-Anwendungen können außerhalb des CRA-Scope liegen (wenn sie nicht als Bestandteil eines Produkts vertrieben werden), sind aber häufig NIS2-Betreiber. Umgekehrt kann ein reiner Firmware-Hersteller unter CRA fallen, aber NIS2-frei sein.
Fristen — 2025 bis 2027 verlaufen parallel
NIS2 gilt nach der Umsetzung in nationales Recht (die Frist war 17. Oktober 2024, in Österreich, Deutschland und einigen weiteren Mitgliedstaaten mit Verzögerung nachgezogen). CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen greifen ab 11. September 2026, die materiellen CRA-Pflichten ab 11. Dezember 2027. Beide Zeitachsen laufen parallel — es gibt keine Gnadenfrist.
Die 7 wichtigsten Überlappungspunkte
- Meldepflichten: NIS2 verlangt frühzeitige Warnung (24 h) und Meldung (72 h) für bedeutende Vorfälle an das nationale CSIRT. CRA verlangt exakt dieselben 24 h / 72 h Fristen, aber für aktiv ausgenutzte Schwachstellen und schwere Produktvorfälle an ENISA + koordinierenden CSIRT über die SRP. Wer beides sein muss, braucht zwei Meldeketten — nicht eine.
- Risikomanagement: Beide fordern ein dokumentiertes Risikomanagement-Framework. NIS2 Art. 21 zählt 10 Mindestmaßnahmen auf (Krypto, Zugriffskontrolle, MFA, Business Continuity, Supply-Chain-Security etc.). CRA Anhang I duplizierte das für die Produktebene — mit Fokus auf Secure-by-Design/Default und Update-Fähigkeit.
- Supply-Chain-Sicherheit: NIS2 verlangt Bewertung der Lieferantenrisiken. CRA verlangt eine SBOM und Nachweis der Kontrolle über Drittkomponenten. Zwei separate Nachweise, aber mit derselben SBOM als Fundament.
- Governance: NIS2 macht Geschäftsleitung persönlich verantwortlich — inklusive Genehmigungspflicht für Risikomanagement und Trainingspflicht. CRA verlangt keine gleichwertige persönliche Haftung, aber die Konformitätserklärung wird namentlich vom Hersteller unterzeichnet.
- Sanktionen: NIS2: bis zu 10 Mio. € oder 2 % Jahresumsatz (wesentliche Einrichtung), 7 Mio. € oder 1,4 % (wichtige Einrichtung). CRA: bis zu 15 Mio. € oder 2,5 % Jahresumsatz für Verletzung der grundlegenden Anforderungen. Beide Rahmen können sich kumulieren.
- Registrierung: NIS2 verlangt Registrierung in den nationalen NIS2-Registern. CRA verlangt keine Herstellerregistrierung, aber Registrierung der Assigned Representatives in der SRP.
- Zertifizierung: Beide erlauben freiwillige Zertifizierung nach EU Cybersecurity Certification Schemes (Cybersecurity Act). Ein CSA-Zertifikat kann in beiden Rahmen als Nachweis dienen.
Was das für die Umsetzung heißt
Wer ein Compliance-Programm nur für CRA baut, wird bei NIS2 durchfallen — und umgekehrt. In der Praxis lohnt es sich, ein integriertes ISMS aufzusetzen, das die Schnittmengen einmal löst (Risikomanagement, Supply Chain, Incident Response, Awareness) und dann die spezifischen Deltas separat abbildet: NIS2-Registrierung, CRA-Konformitätsbewertung, doppelte Meldeketten mit klaren Verantwortlichkeiten.
Für Hersteller, die zusätzlich als NIS2-Betreiber gelten, ist es sinnvoll, die Rolle des Primary Assigned Representative (SRP) und die Rolle des NIS2-Incident-Reporters personell klar zu trennen — oder zumindest in einem gemeinsamen Playbook zu koordinieren. Die 24-Stunden-Uhr läuft in beiden Regimen ab dem Moment der Kenntnis. Wer denselben Vorfall doppelt melden muss und dabei Widersprüche produziert, riskiert nicht nur Bußgelder, sondern auch Marktrücknahmeanordnungen.
Konkrete nächste Schritte
- Scoping-Matrix erstellen: Welche Einheit fällt unter CRA (Hersteller-Rolle), welche unter NIS2 (Betreiber-Rolle), welche unter beide?
- Meldeketten trennen: NIS2-Meldung an nationales CSIRT, CRA-Meldung an ENISA-SRP — mit klarem Playbook wer wann was submittiert.
- SBOM als Fundament einführen — bedient CRA-Anhang-I und NIS2-Supply-Chain-Anforderung gleichzeitig.
- Governance: benannter Verantwortlicher für Cybersecurity mit Board-Reporting-Linie (NIS2-Pflicht, CRA-Best-Practice).
- Trainings: NIS2 verpflichtet Geschäftsleitung zu Cybersecurity-Trainings; das lässt sich mit CRA-Awareness-Trainings kombinieren.
- Konformitätsbewertung CRA früh starten (2026 spätestens), damit sie nicht mit NIS2-Auditzyklen kollidiert.
Zusammenfassung
NIS2 und CRA sind nicht redundant — sie sind komplementär. NIS2 sichert den Betrieb kritischer Dienste, CRA sichert die Produkte, aus denen diese Dienste bestehen. Wer beides sein muss, plant beides von Anfang an gemeinsam. NexTech.Law stellt für den CRA-Anteil sowohl ein interaktives Reifegrad-Assessment als auch einen ENISA-basierten Reporting-Playbook bereit — ohne Registrierung, direkt im Toolkit.