Cyber Resilience Act vs. NIS2 & DORA: Wer ist betroffen?

Der Cyber Resilience Act (CRA) regelt die Sicherheit von Produkten mit digitalen Elementen. NIS2 verpflichtet Betreiber kritischer Dienste zu Risikomanagement und Meldepflichten. DORA gilt speziell für den Finanzsektor. Der Cybersecurity Act (CSA) schafft den Rahmen für freiwillige EU-Zertifizierungen. Wer Software oder Hardware herstellt und gleichzeitig kritische Dienste betreibt, kann von mehreren Verordnungen gleichzeitig betroffen sein.

Im Überblick

Was regelt welche EU-Verordnung? Ein Überblick in 60 Sekunden

Vier EU-Regelwerke bestimmen aktuell die Cybersicherheit von Unternehmen: CRA, NIS2, DORA und CSA. Jedes hat einen eigenen Anwendungsbereich und eine eigene Zielgruppe. Die folgende Tabelle zeigt die wichtigsten Unterschiede auf einen Blick.

Verordnung	Was wird geregelt?	Wen betrifft es?	Rechtsform	In Kraft seit
Cyber Resilience Act (CRA)	Cybersicherheit von Produkten mit digitalen Elementen (Hardware und Software)	Hersteller, Importeure und Händler solcher Produkte	EU-Verordnung, unmittelbar geltend	Dezember 2024, gestaffelte Pflichten bis Dezember 2027
NIS2-Richtlinie	Risikomanagement und Meldepflichten für Betreiber kritischer und wichtiger Einrichtungen	Unternehmen in 18 definierten Sektoren, ab bestimmter Größe	EU-Richtlinie, national umzusetzen	In Deutschland seit Dezember 2025 (NIS2UmsuCG)
DORA	Digitale operationale Resilienz im Finanzsektor	Banken, Versicherungen, Zahlungsdienstleister, kritische IT-Dienstleister	EU-Verordnung, unmittelbar geltend	Januar 2025
Cybersecurity Act (CSA)	Rahmen für europäische Cybersicherheits-Zertifizierungen, Mandat der ENISA	Hersteller und Anbieter, die sich freiwillig zertifizieren lassen	EU-Verordnung, unmittelbar geltend	2019, seither erweitert um Zertifizierungsschemata

Cyber Resilience Act (CRA): Sicherheit beginnt beim Produkt

Der CRA setzt an der Quelle an: dem Produkt selbst. Er verpflichtet Hersteller, Sicherheit von der Entwicklung bis zur Außerbetriebnahme mitzudenken. Das gilt für Software ebenso wie für vernetzte Hardware, von der Smart-Home-Kamera bis zur Industriesteuerung.

Laut CRA (Verordnung EU 2024/2847) müssen Produkte mit digitalen Elementen künftig grundlegende Cybersicherheitsanforderungen erfüllen, bevor sie auf den EU-Markt kommen [Platzhalter: EUR-Lex CRA]. Dazu zählen sichere Standardkonfigurationen, ein Schwachstellenmanagement über den gesamten Produktlebenszyklus und klare Update-Pflichten. Der CRA ist damit die erste EU-weite Produktverordnung, die Cybersicherheitsnforderungen in Produkten generell verbindlich vorschreibt.

NIS2-Richtlinie: Wer kritische Dienste betreibt, muss sicher sein

NIS2 regelt nicht das Produkt, sondern den Betrieb. Die Richtlinie verpflichtet Unternehmen in kritischen Sektoren zu Risikomanagement, Meldepflichten und Nachweispflichten. Betroffen sind unter anderem Energie, Gesundheit, Verkehr, digitale Infrastruktur und Teile der öffentlichen Verwaltung.

Gemäß NIS2UmsuCG unterscheidet der deutsche Gesetzgeber zwischen „wichtigen" und „besonders wichtigen" Einrichtungen [Platzhalter: BSI NIS2]. Die Einstufung hängt von Sektor, Unternehmensgröße und Umsatz ab. Das BSI ist in Deutschland die zentrale Aufsichtsbehörde für NIS2-Pflichten.

DORA: Digitale Resilienz speziell für den Finanzsektor

DORA (Digital Operational Resilience Act) ist die branchenspezifische Antwort auf Cyberrisiken im Finanzwesen. Die Verordnung verlangt von Banken, Versicherungen und Finanzdienstleistern ein durchgängiges IKT-Risikomanagement. Das schließt auch Drittanbieter wie Cloud-Dienstleister ein.

DORA gilt seit Januar 2025 unmittelbar in allen EU-Mitgliedstaaten. Anders als NIS2 muss DORA nicht erst in nationales Recht überführt werden, da es sich um eine Verordnung handelt.

Cybersecurity Act (CSA): Der europäische Zertifizierungsrahmen

Der CSA unterscheidet sich grundlegend von den anderen drei Regelwerken: Er schreibt keine verbindlichen Sicherheitsanforderungen vor, sondern schafft einen freiwilligen Zertifizierungsrahmen. Unternehmen können darüber nachweisen, dass ihre Produkte oder Dienste ein bestimmtes Sicherheitsniveau erfüllen.

Laut ENISA koordiniert die EU-Agentur für Cybersicherheit die europäischen Zertifizierungsschemata, etwa für Cloud-Dienste [Platzhalter: ENISA CSA]. Der CSA stärkt zudem das Mandat der ENISA selbst als zentrale EU-Behörde für Cybersicherheit.

CRA vs. NIS2

CRA vs. NIS2: Produktpflicht gegen Betreiberpflicht, der entscheidende Unterschied

Der wichtigste Unterschied zwischen CRA und NIS2 liegt im Adressaten: Der CRA richtet sich an Hersteller, NIS2 an Betreiber. Ein Unternehmen kann in beiden Rollen gleichzeitig stecken.

Kriterium	Cyber Resilience Act (CRA)	NIS2-Richtlinie
Adressat	Hersteller, Importeure, Händler von Produkten mit digitalen Elementen	Betreiber kritischer und wichtiger Einrichtungen
Gegenstand	Sicherheit des Produkts selbst	Sicherheit des Geschäftsbetriebs und der genutzten Systeme
Pflichten	Security by Design, Schwachstellenmanagement, Updates	Risikomanagementmaßnahmen, Business Continuity, Lieferkettensicherheit
Nachweise	CE-Kennzeichnung, technische Dokumentation	Registrierung, Nachweis über Sicherheitsmaßnahmen
Sanktionen	Bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes	Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes
Aufsichtsbehörde DE	Marktüberwachungsbehörden, koordiniert durch das BSI	BSI

Typische Fehlannahme:

Unternehmen glauben, NIS2-Konformität mache den CRA überflüssig. Das stimmt nicht. NIS2 betrifft den Betrieb einer Organisation, der CRA betrifft die Produkte, die diese Organisation herstellt oder vertreibt. Ein NIS2-pflichtiges Krankenhaus, das selbst keine Software entwickelt, muss den CRA in der Regel nicht direkt umsetzen.

Wen betrifft der Cyber Resilience Act konkret?

Der CRA betrifft alle Unternehmen, die Produkte mit digitalen Elementen in der EU in Verkehr bringen. Das umfasst Software-Hersteller, IoT-Geräte-Hersteller, Importeure und teilweise auch Händler. Ausgenommen sind unter anderem nicht-kommerzielle Open-Source Software, Medizinprodukte und Fahrzeuge, die bereits durch andere EU-Regelwerke abgedeckt sind.

Wen betrifft NIS2 konkret?

NIS2 betrifft Betreiber in 18 Sektoren, sofern bestimmte Größenkriterien erfüllt sind [Platzhalter: Quelle für Größenkriterien ergänzen]. Dazu zählen unter anderem Energie, Wasser, Gesundheit, Transport, digitale Infrastruktur, öffentliche Verwaltung und verarbeitendes Gewerbe. Die Einstufung als „wichtige" oder „besonders wichtige" Einrichtung entscheidet über den Umfang der Pflichten.

Kann ein Unternehmen von beiden Verordnungen gleichzeitig betroffen sein?

Ja, das ist keine Ausnahme, sondern in der Praxis häufig der Fall. Sobald ein Unternehmen sowohl Produkte herstellt als auch selbst kritische Dienste betreibt, greifen CRA und NIS2 parallel. Beide Nachweispflichten sind getrennt zu führen, auch wenn technische Maßnahmen wie Schwachstellenmanagement oft gemeinsam genutzt werden können.

CRA vs. DORA

CRA vs. DORA: Gilt das auch für Finanzunternehmen?

Finanzunternehmen müssen häufig beide Regelwerke gleichzeitig beachten: DORA regelt den IKT-Betrieb im Finanzsektor, der CRA regelt die Produkte, die dabei zum Einsatz kommen. Wer als Bank eigene Software entwickelt oder eine Finanz-App vertreibt, ist doppelt betroffen.

Kriterium	Cyber Resilience Act (CRA)	DORA
Anwendungsbereich	Alle Branchen, Produkte mit digitalen Elementen	Ausschließlich Finanzsektor
Fokus	Produktsicherheit über den Lebenszyklus	Operationale Resilienz von IT-Systemen und Prozessen
Adressat	Hersteller, Importeure, Händler	Finanzunternehmen und ihre kritischen IKT-Dienstleister
Drittanbieter-Regelung	Betrifft Zulieferer indirekt über Lieferkettenpflichten	Regelt Drittanbieter direkt über eigenes Aufsichtsregime
Meldepflichten	Meldung aktiv ausgenutzter Schwachstellen und schwerer Sicherheitsvorfälle	Meldung schwerwiegender IKT-bezogener Vorfälle an Aufsichtsbehörden

Was regelt DORA, was der CRA nicht abdeckt?

DORA geht über reine Produktsicherheit hinaus: Die Verordnung verlangt unter anderem regelmäßige Resilienztests, ein Management für IKT-Drittanbieter und ein Rahmenwerk für den Umgang mit Vorfällen im gesamten Finanzbetrieb. Der CRA deckt diese betrieblichen Prozesse nicht ab, da er sich ausschließlich auf das Produkt bezieht.

Welche Unternehmen müssen sowohl DORA als auch den CRA beachten?

Betroffen sind vor allem Finanzunternehmen mit eigener Softwareentwicklung, etwa Banken mit eigenen Trading-Plattformen oder Versicherungen mit eigenen Kunden-Apps. Auch IKT-Dienstleister, die Finanzunternehmen beliefern und selbst Software herstellen, fallen unter beide Regelwerke.

CSA vs. CRA

Cybersecurity Act vs. Cyber Resilience Act: Was ist der Unterschied?

CSA und CRA werden häufig verwechselt, funktionieren aber grundlegend anders: Der CRA ist verpflichtend, der CSA ist freiwillig.

Kriterium	Cybersecurity Act (CSA)	Cyber Resilience Act (CRA)
Verbindlichkeit	Freiwillige Zertifizierung	Verpflichtende Marktzugangsvoraussetzung
Zweck	Vertrauensnachweis durch Zertifikat	Grundlegende Sicherheitsanforderung für Produkte
Zuständige Behörde	ENISA koordiniert Zertifizierungsschemata	Nationale Marktüberwachungsbehörden
Nachweisform	EU-Cybersicherheitszertifikat	CE-Kennzeichnung mit technischer Dokumentation

Wie hängen CSA und CRA zusammen?

Beide Regelwerke ergänzen sich: Der CRA legt Mindestanforderungen fest, der CSA bietet die Möglichkeit, ein höheres Sicherheitsniveau zertifizieren zu lassen. Ein Produkt kann CRA-konform sein, ohne über ein CSA-Zertifikat zu verfügen. Umgekehrt ersetzt eine CSA-Zertifizierung nicht automatisch die CRA-Konformitätserklärung.

Schnittmengen & Überlappungen

Schnittmengen: Wo CRA, NIS2 und DORA sich überlappen

Trotz unterschiedlicher Zielrichtung teilen die drei verpflichtenden Regelwerke zentrale Anforderungen: Schwachstellenmanagement, Meldepflichten und Lieferkettensicherheit tauchen in allen drei Verordnungen auf, wenn auch mit unterschiedlicher Reichweite.

Prozess/Kontrolle	CRA	NIS2	DORA
Schwachstellenmanagement	Verpflichtend für Produkte	Teil des Risikomanagements	Teil des IKT-Risikomanagements
Meldepflicht bei Vorfällen	Meldung an ENISA/CSIRT	Meldung an nationale Behörde (BSI)	Meldung an Finanzaufsicht
Lieferkettensicherheit	Pflichten für Zulieferer-Komponenten	Bewertung von Drittanbieter-Risiken	Direktes Drittanbieter-Aufsichtsregime
Dokumentationspflicht	Technische Dokumentation je Produkt	Nachweis über Sicherheitsmaßnahmen	Register über IKT-Dienstleister

Meldepflichten im Vergleich: CRA, NIS2 und DORA

Alle drei Regelwerke verlangen eine Meldung innerhalb enger Fristen, unterscheiden sich aber in Meldeweg und Schwellenwert. Meldepflichten im Cyber Resilience Act im Detail erklärt die genauen Fristen und Formate für den CRA.

Supply Chain Security: Wo alle drei Verordnungen ansetzen

Alle drei Regelwerke erkennen die Lieferkette als möglichen Schwachpunkt in Unternehmens- oder Produktsicherheit. CRA, NIS2 und DORA verlangen jeweils, dass Unternehmen die Sicherheit ihrer Zulieferer und Dienstleister aktiv bewerten. Ein Softwarefehler bei einem Zulieferer kann so gleichzeitig CRA-, NIS2- und DORA-relevante Konsequenzen auslösen, je nachdem, wer betroffen ist und in welcher Rolle.

Bin ich betroffen?

Bin ich betroffen? So ordnen Sie Ihr Unternehmen ein

Die eigene Betroffenheit lässt sich mit wenigen Fragen grob einordnen. Eine rechtssichere Einstufung ersetzt das nicht, gibt aber eine erste Orientierung.

Entwickelt oder vertreibt Ihr Unternehmen Software oder vernetzte Hardware für den EU-Markt?
Betreibt Ihr Unternehmen Dienste in einem der 18 NIS2-Sektoren, etwa Energie, Gesundheit oder digitale Infrastruktur?
Gehört Ihr Unternehmen zum Finanzsektor oder beliefert es Finanzunternehmen mit IKT-Diensten?
Erfüllt Ihr Unternehmen die Größenkriterien für NIS2 (in der Regel ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz) [Platzhalter: Quelle ergänzen]?

Rollenpfade im Überblick:

Hersteller: CRA-Pflichten stehen im Vordergrund, unabhängig von Branche oder Größe.
Importeure und Händler: Müssen u.a. angemessen sicherstellen und prüfen, dass CRA-Pflichten des Herstellers erfüllt wurden. Betreiber: NIS2-Pflichten greifen, sofern Sektor und Unternehmensgröße passen.
Hersteller und Betreiber zugleich: CRA und NIS2 gelten parallel, mit getrennten Nachweispflichten.
Finanzunternehmen: DORA gilt zusätzlich zu möglichen CRA-Pflichten bei eigener Softwareentwicklung.

Open-Source-Komponenten in eigenen Produkten unterliegen ebenfalls CRA-Anforderungen, sobald sie kommerziell vertrieben werden. Wer Software nur intern nutzt und nicht in Verkehr bringt, ist in der Regel nicht CRA-pflichtig, kann aber über NIS2-Anforderungen an die IT-Sicherheit gebunden sein. Mehr dazu unter Wer ist vom Cyber Resilience Act betroffen?.

Fristen im Kontext: Wann gilt was?

NIS2 gilt durch das NIS2UmsuCG

seit Dezember 2025

DORA gilt bereits

seit Januar 2025

Der CRA bringt erste Meldepflichten

ab September 2026

Die vollständige Compliance ist sicherzustellen

bis Deszember 2027

Unternehmen mit Berührungspunkten zu mehreren Regelwerken sollten die Fristen gemeinsam planen, da Ressourcen für Risikobewertung und Dokumentation sich überschneiden. Alle CRA-Fristen und Deadlines im Überblick zeigt den vollständigen Zeitplan.

Häufige Fragen zu CRA, NIS2, DORA und CSA

Was ist der Hauptunterschied zwischen Cyber Resilience Act und NIS2?

Der CRA regelt die Sicherheit von Produkten, NIS2 regelt die Sicherheit des Betriebs. Fällt Ihr Unternehmen als Hersteller unter den CRA, ohne selbst kritische Dienste zu betreiben, greift NIS2 nicht automatisch, und umgekehrt.

Gilt der Cyber Resilience Act auch für Software?

Ja. Der CRA (Verordnung EU 2024/2847) umfasst sowohl Hardware als auch Software mit digitalen Elementen [Platzhalter: EUR-Lex CRA]. Ausgenommen sind bestimmte bereits regulierte Produktkategorien wie Medizinprodukte.

Muss ich als Mittelständler sowohl NIS2 als auch den CRA einhalten?

Das hängt von Ihrer Rolle ab. Sind Sie in einem NIS2-Sektor tätig und erfüllen die entsprechende Unternehmensgröße, gilt NIS2 für Sie. Stellen Sie zusätzlich Produkte mit digitalen Elementen her, gilt daneben der CRA, unabhängig von Ihrer NIS2-Einstufung.

Was ist der Unterschied zwischen Cybersecurity Act und Cyber Resilience Act?

Der CSA ist ein freiwilliger Zertifizierungsrahmen, der CRA eine verpflichtende Marktzugangsvoraussetzung. Ihr CRA-konformes Produkt kann zusätzlich, aber nicht zwingend, ein CSA-Zertifikat erhalten.

Gilt DORA nur für Banken?

Nein. DORA betrifft den gesamten Finanzsektor, also auch Versicherungen, Zahlungsdienstleister, Wertpapierfirmen und Krypto-Anbieter. Zusätzlich fallen kritische IKT-Dienstleister für diese Unternehmen unter ein eigenes Aufsichtsregime.

Nächste Schritte: So gehen Sie jetzt vor

Eine belastbare Einordnung erfordert mehr als die Beantwortung der Checkfragen oben.

Prüfen Sie, in welcher Rolle Ihr Unternehmen auftritt: Hersteller, Betreiber, beides oder Finanzunternehmen.
Erstellen Sie eine Übersicht aller Produkte mit digitalen Elementen, die Sie in Verkehr bringen.
Gleichen Sie Ihre Sektorzugehörigkeit mit den NIS2-Kriterien ab. Dokumentieren Sie bestehende Sicherheitsmaßnahmen als Ausgangsbasis für die Lückenanalyse.
Planen Sie die Umsetzung entlang der CRA-Fristen bis Dezember 2027.

Vertiefende Informationen finden Sie unter CRA-Compliance umsetzen und Wer ist vom Cyber Resilience Act betroffen?.

Welche Anforderungen stellt der Cyber Resilience Act? Wer ist betroffen – und was gilt für IoT, SaaS, Open Source & Co.? Jetzt kompakt erklärt.

CRA

Weiterlesen →

Qellen:

< Zurück zur Übersicht

CRA