NIS2 vs CRA
NIS2 und der Cyber Resilience Act (CRA) sind beide EU-Cybersicherheitsrecht, setzen aber an unterschiedlichen Stellen an: NIS2 reguliert Organisationen, der CRA reguliert Produkte. Viele Unternehmen, gerade IT-Hersteller, fallen unter beide Regelwerke zugleich.
NIS2 verpflichtet Betreiber und Einrichtungen in kritischen Sektoren zu einem sicheren IT-Betrieb (die Organisation muss sicher sein). Der CRA verpflichtet Hersteller, Importeure und Händler, Produkte mit digitalen Elementen sicher zu bauen und zu warten (das Produkt muss sicher sein). Ein IT-Hersteller, der zugleich wichtige Einrichtung ist, muss beides erfüllen.
NIS2 und CRA im direkten Vergleich
| Merkmal | NIS2 | CRA |
|---|---|---|
| Reguliert wird | Organisationen (Betreiber, Einrichtungen) | Produkte mit digitalen Elementen |
| Adressaten | Wesentliche und wichtige Einrichtungen in 18 Sektoren | Hersteller, Importeure, Händler |
| Rechtsform | Richtlinie (in DE über BSIG umgesetzt) | Verordnung (EU-weit unmittelbar geltend) |
| Kernpflicht | Risikomanagement + Meldepflichten für den Betrieb | Security by Design, Schwachstellenmanagement, CE-Kennzeichnung |
| Meldung an | BSI (24h/72h/1 Monat) | ENISA und CSIRT (24h/72h/14 Tage) |
| Bußgeld | Bis 10 Mio. € oder 2 % (besonders wichtige Einrichtung, § 65 BSIG) | Bis 15 Mio. € oder 2,5 % des Umsatzes |
Die wichtigsten Unterschiede
Gemeinsamkeiten
- Beide sind EU-Cybersicherheitsrecht mit empfindlichen Bußgeldern
- Beide kennen enge Meldepflichten mit einer ersten Meldung binnen 24 Stunden
- Beide setzen ein systematisches Schwachstellen- und Risikomanagement voraus
- Ein sauber aufgebautes Sicherheits- und Schwachstellenmanagement zahlt auf beide Regelwerke ein
Die beiden schließen sich nicht aus, sondern können sich überlagern. Ein Hersteller vernetzter Produkte, der zugleich als wichtige oder besonders wichtige Einrichtung gilt, muss NIS2 für den eigenen Betrieb und den CRA für seine Produkte erfüllen.
Empfehlung: Klären Sie beide Fragen getrennt. Prüfen Sie einerseits Ihre NIS2-Betroffenheit nach Sektor und Größe, andererseits Ihre CRA-Rolle für Ihre Produkte. Ein gemeinsames Fundament aus Risikomanagement, Schwachstellenprozess und Meldewegen bedient den Kern beider Welten, die Meldewege und Nachweise unterscheiden sich aber.
Häufig gestellte Fragen
Kann mein Unternehmen unter NIS2 und CRA fallen?
Was ist der Hauptunterschied zwischen NIS2 und CRA?
Erfülle ich mit NIS2 automatisch den CRA?
Weiterführend
NIS2 und CRA in einer Plattform
CompliantDesk bringt alle Frameworks über ein gemeinsames Kern-Modell zusammen. Check-Antworten fließen in die Frameworks, denen ihre Anforderungen zugeordnet sind, ohne doppeltes Dokumentieren.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten