[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:de:cra-oder-nis2-was-gilt-fuer-ein-softwareunternehmen":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"de","cra-oder-nis2-was-gilt-fuer-ein-softwareunternehmen","CRA oder NIS2: Was gilt für ein Softwareunternehmen, und kann es beides sein?","Der Cyber Resilience Act regelt Produkte, die in Verkehr gebracht werden; NIS2 regelt Einrichtungen, die Dienste erbringen. Ein Softwareunternehmen kann unter das eine, das andere, beide oder keines fallen, und die Antwort hängt an zwei Fragen: Bringen Sie ein Produkt in Verkehr, und sind Sie eine mittlere oder größere Einrichtung in einem aufgeführten Sektor. Die Daten, die Meldefristen, die Bußgelder und die Entscheidungstabelle, aus den beiden Texten.","2026-09-11",{"who":10,"when":11,"do":12},"Ein Softwareunternehmen in der Union, unter dem einen, dem anderen, beiden oder keinem: der CRA erreicht Sie, wenn Sie ein Produkt mit digitalen Elementen in Verkehr bringen; NIS2 erreicht Sie, wenn Sie eine mittelgroße oder größere Einrichtung in einem gelisteten Sektor sind, Cloud und Managed Services eingeschlossen.","Die Meldepflicht des CRA gilt seit dem 11. September 2026 und seine vollen Pflichten ab dem 11. Dezember 2027; NIS2 gilt seit dem 18. Oktober 2024 über die nationale Umsetzung.","Beantworten Sie die zwei Fragen schriftlich, bringen Sie ein Produkt in Verkehr und sind Sie eine gelistete Einrichtung mit 50 Beschäftigten oder EUR 10 Millionen, und lesen Sie in der Entscheidungstabelle unten, was jede Antwort mit sich bringt: die Frist, den Empfänger, die Bußgeldobergrenze.","\nZwei EU-Cybersicherheitsgesetze treffen Softwareunternehmen innerhalb von fünfzehn Monaten, und die meisten Erklärungen behandeln sie als Konkurrenten oder als einen einzigen Nebel. Sie sind keines von beidem. Der Cyber Resilience Act, Verordnung (EU) 2024\u002F2847, regelt **Produkte**. Die NIS2-Richtlinie, Richtlinie (EU) 2022\u002F2555, regelt **Einrichtungen**. Welches Gesetz Sie erreicht, hängt davon ab, was Sie verkaufen und wie groß Sie sind, und ein Unternehmen kann unter beide fallen.\n\nHier ist die Unterscheidung, die beiden Tests und die praktischen Unterschiede, die zählen, wenn beide gelten.\n\n## Die Version in einem Satz\n\n- **CRA**: Sie bringen ein Produkt mit digitalen Elementen auf dem EU-Markt in Verkehr (installierte oder herunterladbare Software, eine App, eine Bibliothek, Firmware, ein Gerät und die Fernverarbeitung, ohne die ein Produkt nicht funktioniert). Gilt für das Produkt und seinen Hersteller unabhängig von der Größe.\n- **NIS2**: Sie sind eine mittlere oder größere Einrichtung, die einen Dienst in einem der aufgeführten Sektoren erbringt (Cloud-Computing, Rechenzentren, verwaltete Dienste, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, DNS und der Rest der Anhänge I und II), oder eine kleinere, die ein Mitgliedstaat eigens benannt hat. Gilt für die Organisation, nicht für ein Produkt.\n\nReines Software-as-a-Service ist der Fall, der die meisten Softwareunternehmen entscheidet: Es ist ein Dienst, also [liegt es nach Erwägungsgrund 12 außerhalb des CRA](\u002Farticles\u002Fis-your-product-in-scope-of-the-cyber-resilience-act), und es liegt innerhalb von NIS2, wenn der Anbieter mittelgroß oder größer und in einem aufgeführten Sektor ist, Cloud-Computing als der naheliegende.\n\n## Die Entscheidungstabelle\n\n| Sie | CRA | NIS2 |\n| --- | --- | --- |\n| Verkaufen installierte oder herunterladbare Software, jede Größe | Ja, als Hersteller | Nur, wenn Sie zugleich eine mittlere oder größere Einrichtung in einem aufgeführten Sektor sind |\n| Verkaufen ein Gerät mit Software darin, jede Größe | Ja, als Hersteller | Wie oben |\n| Betreiben eine SaaS-Plattform, unter 50 Beschäftigte und unter 10 Mio. EUR Umsatz | Nein, es sei denn, ein von Ihnen in Verkehr gebrachtes Produkt hängt davon ab | Nein, es sei denn, ein Mitgliedstaat hat Sie benannt |\n| Betreiben eine SaaS-Plattform, 50 oder mehr Beschäftigte oder 10 Mio. EUR Umsatz oder mehr, Cloud oder aufgeführter Sektor | Nein, es sei denn, ein Produkt hängt davon ab | Ja, als wichtige oder wesentliche Einrichtung |\n| Verkaufen installierte Software und betreiben das Cloud-Backend, ohne das sie nicht funktioniert, mittelgroß oder größer | Ja, Produkt und seine Fernverarbeitung | Ja, als Einrichtung, wenn in einem aufgeführten Sektor |\n| Bauen Individualsoftware für einen Kunden und übergeben sie | Ja, als Hersteller dieses Produkts | Nur, wenn Sie zugleich eine aufgeführte Einrichtung sind |\n\nDie Größengrenze ist die von NIS2: Artikel 2 Absatz 1 wendet die Richtlinie auf Einrichtungen an, die nach der Empfehlung 2003\u002F361\u002FEG der Kommission als mittlere Unternehmen gelten oder deren Schwellenwerte überschreiten, also 50 oder mehr Beschäftigte oder mehr als 10 Mio. EUR Umsatz, mit den eigenen Ausnahmen der Richtlinie für bestimmte Einrichtungen unabhängig von der Größe. Der CRA hat gar keine Größengrenze.\n\n## Was jedes Gesetz verlangt\n\n**CRA**: die [22 grundlegenden Anforderungen des Anhangs I](\u002Farticles\u002Fcra-annex-i-the-22-essential-requirements-as-a-checklist), eingebaut in das Produkt und seine Schwachstellenbehandlung, eine [technische Dokumentation](\u002Farticles\u002Fwhat-goes-in-the-cra-technical-file-annex-vii-point-by-point), eine Konformitätsbewertung, deren Weg von [der Stufe des Produkts](\u002Farticles\u002Fis-your-product-important-or-critical-under-the-cyber-resilience-act) abhängt, CE-Kennzeichnung, ein Unterstützungszeitraum von mindestens fünf Jahren und die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle nach Artikel 14.\n\n**NIS2**: die zehn Risikomanagementmaßnahmen des Artikels 21 Absatz 2, die für die digitalen Sektoren in der Durchführungsverordnung (EU) 2024\u002F2690 ausbuchstabiert sind und [Abschnitt für Abschnitt auf ein ISO-27001-Managementsystem abgebildet werden](\u002Fnis2\u002Fiso-27001-mapping); Registrierung bei der nationalen Behörde; Verantwortung und Schulung der Leitungsorgane; und die Meldung erheblicher Sicherheitsvorfälle nach Artikel 23.\n\nDie Form ist verschieden. Der CRA fragt, wie Ihr Produkt beschaffen ist und was Sie gegen seine Schwachstellen tun. NIS2 fragt, wie Ihre Organisation Risiken steuert und was Sie bei Vorfällen in Ihren Diensten tun.\n\n## Die Meldefristen sehen gleich aus und sind es nicht\n\nBeide verwenden 24 Stunden, 72 Stunden und einen Abschlussbericht, und dort endet die Ähnlichkeit.\n\n| | CRA Artikel 14 | NIS2 Artikel 23 |\n| --- | --- | --- |\n| Was sie auslöst | Eine aktiv ausgenutzte Schwachstelle im Produkt oder ein schwerwiegender Vorfall mit Auswirkungen auf die Sicherheit des Produkts | Ein erheblicher Sicherheitsvorfall mit Auswirkungen auf den Dienst der Einrichtung |\n| Frühwarnung | 24 Stunden ab Kenntnis | 24 Stunden ab Kenntnis |\n| Meldung | 72 Stunden ab Kenntnis | 72 Stunden ab Kenntnis |\n| Abschlussbericht | Schwachstelle: 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme. Vorfall: ein Monat nach der 72-Stunden-Meldung | Ein Monat nach der 72-Stunden-Meldung |\n| Empfänger | Das als Koordinator benannte CSIRT des Mitgliedstaats des Herstellers und die ENISA, über die zentrale Meldeplattform | Das CSIRT oder die zuständige Behörde des Mitgliedstaats der Einrichtung, nach nationalen Regeln |\n| In Kraft | 11. September 2026, einschließlich bereits auf dem Markt befindlicher Produkte | Seit der nationalen Umsetzung, fällig am 17. Oktober 2024 |\n\nEin Unternehmen unter beiden kann aus einem Ereignis zwei Pflichten haben: eine ausgenutzte Schwachstelle in seinem Produkt (CRA) und der daraus folgende Vorfall in seinem eigenen Dienst (NIS2), mit zwei Empfängern und zwei Ankern für den Abschlussbericht. [Der Abschlussbericht des CRA zur Schwachstelle läuft nicht ab Kenntnis](\u002Farticles\u002Fcra-final-report-clock-does-not-start-when-you-become-aware), und das ist der häufigste Fehler in Darstellungen, die die beiden vermischen. [Die beiden Uhren nebeneinander, mit den NIS2-Schwellenwerten, die einen Vorfall erheblich machen](\u002Farticles\u002Fnis2-or-cra-which-incident-clock-runs-for-a-software-company-and-what-makes-an-incident-significant), sind ein eigener Artikel.\n\n## Die Bußgelder\n\n**CRA**, Artikel 64: bis zu 15 000 000 EUR oder 2,5 % des weltweiten Jahresumsatzes für Anhang I und die Artikel 13 und 14; bis zu 10 000 000 EUR oder 2 % für die übrigen Pflichten der Wirtschaftsakteure; bis zu 5 000 000 EUR oder 1 % für die Irreführung einer Behörde. Die Größe ist nach Artikel 64 Absatz 5 Buchstabe c ein zwingender Faktor. [Hier ausgeschrieben](\u002Farticles\u002Fcyber-resilience-act-penalties).\n\n**NIS2**, Artikel 34: Die Mitgliedstaaten müssen Höchstbeträge von mindestens 10 000 000 EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und mindestens 7 000 000 EUR oder 1,4 % für wichtige Einrichtungen vorsehen, für Verstöße gegen die Artikel 21 oder 23. „Mindestens“, weil es eine Richtlinie ist: Das nationale Recht setzt die tatsächliche Obergrenze.\n\n## Wer durchsetzt\n\nBeide werden national durchgesetzt. Beim CRA ist es die Marktüberwachungsbehörde, die jeder Mitgliedstaat benennt und bei der Kommission registriert, und [am Tag, an dem Artikel 14 zu gelten begann, hatten sieben von 27 eine registriert](\u002Farticles\u002Fwho-enforces-the-cyber-resilience-act-in-your-member-state). Bei NIS2 ist es die zuständige Behörde, die jeder Mitgliedstaat in seiner Umsetzung benennt und die in den meisten Staaten schon vor der Richtlinie bestand und auf sie erstreckt wurde.\n\n## Was zu entscheiden und aufzuschreiben ist\n\nZwei Feststellungen, je eine Seite. Erstens [die Feststellung des Anwendungsbereichs des CRA](\u002Farticles\u002Fis-your-product-in-scope-of-the-cyber-resilience-act), die [sechs Fragen auf dieser Website](\u002Fcyber-resilience-act\u002Fscope) als Text erzeugen: was Sie in Verkehr bringen, ob es wesentliche Fernverarbeitung hat, welche Ausnahme gegebenenfalls, welche Stufe. Zweitens die NIS2-Feststellung: Ihre Größe nach der Empfehlung 2003\u002F361\u002FEG, in welchen Sektor von Anhang I oder II Sie gegebenenfalls fallen und ob die Umsetzung Ihres Mitgliedstaats Sie unabhängig von der Größe hinzufügt. Datieren Sie beide und bewahren Sie sie zusammen auf, denn die Antwort auf „welches Gesetz gilt“ ist das Erste, was eine der beiden Behörden liest, und ein Unternehmen, das sie aufgeschrieben hat, hat die zweite Frage schon beantwortet: wer verantwortlich ist.\n\n## Quellen\n\n- Verordnung (EU) 2024\u002F2847 (CRA): Artikel 2, 3, 13 Absatz 8, 14, 32, 52, 64, 69, 71 Absatz 2; Erwägungsgrund 12; Anhänge I, III, IV, VII. Gelesen im Amtsblatt-Text auf EUR-Lex am 11. September 2026.\n- Richtlinie (EU) 2022\u002F2555 (NIS2): Artikel 2 Absatz 1 (Größenschwelle durch Verweis auf die Empfehlung 2003\u002F361\u002FEG), Artikel 21 Absatz 2, Artikel 23 Absatz 4 Buchstaben a, b und d (zitierte Fristen), Artikel 34 Absätze 4 und 5 (zitierte Bußgelder), Anhänge I und II. Gelesen auf EUR-Lex am 11. September 2026.\n- Durchführungsverordnung (EU) 2024\u002F2690 der Kommission für die Maßnahmen der digitalen Sektoren.\n\nDas ist keine Rechtsberatung. Beide Texte stehen auf EUR-Lex; die Artikelnummern sind da, damit Sie die beiden Tests gegen Ihr eigenes Unternehmen prüfen können.\n",1789383974834]