normakte / CRA und NIS2
Beide Regelwerke handeln von Cybersicherheit und haben ähnliche Meldefristen – sie betreffen aber verschiedene Dinge: der CRA das Produkt, NIS2 das Unternehmen.
| CRA | NIS2 | |
|---|---|---|
| Gegenstand | Produkte mit digitalen Elementen | Einrichtungen und ihre Netze und Dienste |
| Wer | Hersteller, Importeure, Händler | mittlere und große Einrichtungen in den genannten Sektoren |
| Rechtsform | Verordnung, unmittelbar anwendbar | Richtlinie, nationale Umsetzung |
| Meldungen | über die Plattform der ENISA | an die nationale zuständige Stelle |
| Fristen | 24 h, 72 h, Abschlussbericht | 24 h, 72 h, Abschlussbericht nach einem Monat |
Die NIS2-Richtlinie (EU) 2022/2555 verpflichtet mittlere und große Einrichtungen bestimmter Sektoren, ihre eigenen Netze und Dienste abzusichern und erhebliche Sicherheitsvorfälle zu melden. Sie wird durch nationale Gesetze umgesetzt, deren Stand sich je Mitgliedstaat unterscheidet.
Zu den Sektoren gehört auch die Herstellung von Maschinen, elektrischen Ausrüstungen sowie Datenverarbeitungs- und elektronischen Geräten. Ein Hersteller ab mittlerer Größe kann deshalb für seinen Betrieb unter NIS2 fallen und für seine Produkte unter den CRA.
Zwei Meldewege: Vorfälle im eigenen Betrieb nach NIS2 an die nationale Stelle, aktiv ausgenutzte Schwachstellen und Vorfälle am Produkt nach CRA über die Plattform der ENISA. NIS2-Einrichtungen achten zudem auf die Sicherheit ihrer Lieferkette – und verlangen von Lieferanten zunehmend CRA-konforme Produkte.
Register, Einstufung, SBOM, Meldungen mit Fristen und Zielseite für die Nutzer – eine Testakte kostenlos bis 20.01.2027.
Quelle. Verordnung (EU) 2024/2847, ABl. L, 2024/2847 vom 20.11.2024. Sinngemäß wiedergegeben; maßgeblich ist der amtliche Wortlaut. normakte ersetzt keine Rechtsberatung.