Zwei EU-Cybersicherheitsgesetze treffen Softwareunternehmen innerhalb von fünfzehn Monaten, und die meisten Erklärungen behandeln sie als Konkurrenten oder als einen einzigen Nebel. Sie sind keines von beidem. Der Cyber Resilience Act, Verordnung (EU) 2024/2847, regelt Produkte. Die NIS2-Richtlinie, Richtlinie (EU) 2022/2555, regelt Einrichtungen. Welches Gesetz Sie erreicht, hängt davon ab, was Sie verkaufen und wie groß Sie sind, und ein Unternehmen kann unter beide fallen.
Hier ist die Unterscheidung, die beiden Tests und die praktischen Unterschiede, die zählen, wenn beide gelten.
Die Version in einem Satz
- CRA: Sie bringen ein Produkt mit digitalen Elementen auf dem EU-Markt in Verkehr (installierte oder herunterladbare Software, eine App, eine Bibliothek, Firmware, ein Gerät und die Fernverarbeitung, ohne die ein Produkt nicht funktioniert). Gilt für das Produkt und seinen Hersteller unabhängig von der Größe.
- NIS2: Sie sind eine mittlere oder größere Einrichtung, die einen Dienst in einem der aufgeführten Sektoren erbringt (Cloud-Computing, Rechenzentren, verwaltete Dienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, DNS und der Rest der Anhänge I und II), oder eine kleinere, die ein Mitgliedstaat eigens benannt hat. Gilt für die Organisation, nicht für ein Produkt.
Reines Software-as-a-Service ist der Fall, der die meisten Softwareunternehmen entscheidet: Es ist ein Dienst, also liegt es nach Erwägungsgrund 12 außerhalb des CRA, und es liegt innerhalb von NIS2, wenn der Anbieter mittelgroß oder größer und in einem aufgeführten Sektor ist, Cloud-Computing als der naheliegende.
Die Entscheidungstabelle
| Sie | CRA | NIS2 |
|---|---|---|
| Verkaufen installierte oder herunterladbare Software, jede Größe | Ja, als Hersteller | Nur, wenn Sie zugleich eine mittlere oder größere Einrichtung in einem aufgeführten Sektor sind |
| Verkaufen ein Gerät mit Software darin, jede Größe | Ja, als Hersteller | Wie oben |
| Betreiben eine SaaS-Plattform, unter 50 Beschäftigte und unter 10 Mio. EUR Umsatz | Nein, es sei denn, ein von Ihnen in Verkehr gebrachtes Produkt hängt davon ab | Nein, es sei denn, ein Mitgliedstaat hat Sie benannt |
| Betreiben eine SaaS-Plattform, 50 oder mehr Beschäftigte oder 10 Mio. EUR Umsatz oder mehr, Cloud oder aufgeführter Sektor | Nein, es sei denn, ein Produkt hängt davon ab | Ja, als wichtige oder wesentliche Einrichtung |
| Verkaufen installierte Software und betreiben das Cloud-Backend, ohne das sie nicht funktioniert, mittelgroß oder größer | Ja, Produkt und seine Fernverarbeitung | Ja, als Einrichtung, wenn in einem aufgeführten Sektor |
| Bauen Individualsoftware für einen Kunden und übergeben sie | Ja, als Hersteller dieses Produkts | Nur, wenn Sie zugleich eine aufgeführte Einrichtung sind |
Die Größengrenze ist die von NIS2: Artikel 2 Absatz 1 wendet die Richtlinie auf Einrichtungen an, die nach der Empfehlung 2003/361/EG der Kommission als mittlere Unternehmen gelten oder deren Schwellenwerte überschreiten, also 50 oder mehr Beschäftigte oder mehr als 10 Mio. EUR Umsatz, mit den eigenen Ausnahmen der Richtlinie für bestimmte Einrichtungen unabhängig von der Größe. Der CRA hat gar keine Größengrenze.
Was jedes Gesetz verlangt
CRA: die 22 grundlegenden Anforderungen des Anhangs I, eingebaut in das Produkt und seine Schwachstellenbehandlung, eine technische Dokumentation, eine Konformitätsbewertung, deren Weg von der Stufe des Produkts abhängt, CE-Kennzeichnung, ein Unterstützungszeitraum von mindestens fünf Jahren und die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle nach Artikel 14.
NIS2: die zehn Risikomanagementmaßnahmen des Artikels 21 Absatz 2, die für die digitalen Sektoren in der Durchführungsverordnung (EU) 2024/2690 ausbuchstabiert sind und Abschnitt für Abschnitt auf ein ISO-27001-Managementsystem abgebildet werden; Registrierung bei der nationalen Behörde; Verantwortung und Schulung der Leitungsorgane; und die Meldung erheblicher Sicherheitsvorfälle nach Artikel 23.
Die Form ist verschieden. Der CRA fragt, wie Ihr Produkt beschaffen ist und was Sie gegen seine Schwachstellen tun. NIS2 fragt, wie Ihre Organisation Risiken steuert und was Sie bei Vorfällen in Ihren Diensten tun.
Die Meldefristen sehen gleich aus und sind es nicht
Beide verwenden 24 Stunden, 72 Stunden und einen Abschlussbericht, und dort endet die Ähnlichkeit.
| CRA Artikel 14 | NIS2 Artikel 23 | |
|---|---|---|
| Was sie auslöst | Eine aktiv ausgenutzte Schwachstelle im Produkt oder ein schwerwiegender Vorfall mit Auswirkungen auf die Sicherheit des Produkts | Ein erheblicher Sicherheitsvorfall mit Auswirkungen auf den Dienst der Einrichtung |
| Frühwarnung | 24 Stunden ab Kenntnis | 24 Stunden ab Kenntnis |
| Meldung | 72 Stunden ab Kenntnis | 72 Stunden ab Kenntnis |
| Abschlussbericht | Schwachstelle: 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme. Vorfall: ein Monat nach der 72-Stunden-Meldung | Ein Monat nach der 72-Stunden-Meldung |
| Empfänger | Das als Koordinator benannte CSIRT des Mitgliedstaats des Herstellers und die ENISA, über die zentrale Meldeplattform | Das CSIRT oder die zuständige Behörde des Mitgliedstaats der Einrichtung, nach nationalen Regeln |
| In Kraft | 11. September 2026, einschließlich bereits auf dem Markt befindlicher Produkte | Seit der nationalen Umsetzung, fällig am 17. Oktober 2024 |
Ein Unternehmen unter beiden kann aus einem Ereignis zwei Pflichten haben: eine ausgenutzte Schwachstelle in seinem Produkt (CRA) und der daraus folgende Vorfall in seinem eigenen Dienst (NIS2), mit zwei Empfängern und zwei Ankern für den Abschlussbericht. Der Abschlussbericht des CRA zur Schwachstelle läuft nicht ab Kenntnis, und das ist der häufigste Fehler in Darstellungen, die die beiden vermischen. Die beiden Uhren nebeneinander, mit den NIS2-Schwellenwerten, die einen Vorfall erheblich machen, sind ein eigener Artikel.
Die Bußgelder
CRA, Artikel 64: bis zu 15 000 000 EUR oder 2,5 % des weltweiten Jahresumsatzes für Anhang I und die Artikel 13 und 14; bis zu 10 000 000 EUR oder 2 % für die übrigen Pflichten der Wirtschaftsakteure; bis zu 5 000 000 EUR oder 1 % für die Irreführung einer Behörde. Die Größe ist nach Artikel 64 Absatz 5 Buchstabe c ein zwingender Faktor. Hier ausgeschrieben.
NIS2, Artikel 34: Die Mitgliedstaaten müssen Höchstbeträge von mindestens 10 000 000 EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und mindestens 7 000 000 EUR oder 1,4 % für wichtige Einrichtungen vorsehen, für Verstöße gegen die Artikel 21 oder 23. „Mindestens“, weil es eine Richtlinie ist: Das nationale Recht setzt die tatsächliche Obergrenze.
Wer durchsetzt
Beide werden national durchgesetzt. Beim CRA ist es die Marktüberwachungsbehörde, die jeder Mitgliedstaat benennt und bei der Kommission registriert, und am Tag, an dem Artikel 14 zu gelten begann, hatten sieben von 27 eine registriert. Bei NIS2 ist es die zuständige Behörde, die jeder Mitgliedstaat in seiner Umsetzung benennt und die in den meisten Staaten schon vor der Richtlinie bestand und auf sie erstreckt wurde.
Was zu entscheiden und aufzuschreiben ist
Zwei Feststellungen, je eine Seite. Erstens die Feststellung des Anwendungsbereichs des CRA, die sechs Fragen auf dieser Website als Text erzeugen: was Sie in Verkehr bringen, ob es wesentliche Fernverarbeitung hat, welche Ausnahme gegebenenfalls, welche Stufe. Zweitens die NIS2-Feststellung: Ihre Größe nach der Empfehlung 2003/361/EG, in welchen Sektor von Anhang I oder II Sie gegebenenfalls fallen und ob die Umsetzung Ihres Mitgliedstaats Sie unabhängig von der Größe hinzufügt. Datieren Sie beide und bewahren Sie sie zusammen auf, denn die Antwort auf „welches Gesetz gilt“ ist das Erste, was eine der beiden Behörden liest, und ein Unternehmen, das sie aufgeschrieben hat, hat die zweite Frage schon beantwortet: wer verantwortlich ist.
Quellen
- Verordnung (EU) 2024/2847 (CRA): Artikel 2, 3, 13 Absatz 8, 14, 32, 52, 64, 69, 71 Absatz 2; Erwägungsgrund 12; Anhänge I, III, IV, VII. Gelesen im Amtsblatt-Text auf EUR-Lex am 11. September 2026.
- Richtlinie (EU) 2022/2555 (NIS2): Artikel 2 Absatz 1 (Größenschwelle durch Verweis auf die Empfehlung 2003/361/EG), Artikel 21 Absatz 2, Artikel 23 Absatz 4 Buchstaben a, b und d (zitierte Fristen), Artikel 34 Absätze 4 und 5 (zitierte Bußgelder), Anhänge I und II. Gelesen auf EUR-Lex am 11. September 2026.
- Durchführungsverordnung (EU) 2024/2690 der Kommission für die Maßnahmen der digitalen Sektoren.
Das ist keine Rechtsberatung. Beide Texte stehen auf EUR-Lex; die Artikelnummern sind da, damit Sie die beiden Tests gegen Ihr eigenes Unternehmen prüfen können.