Ein Unternehmen, das Software als Dienst verkauft, liest meist zuerst den Cyber Resilience Act, stellt fest, dass eine Webanwendung, auf die „ausschließlich über einen Webbrowser“ zugegriffen wird, kein Produkt mit digitalen Elementen ist, und hört auf. Das Gesetz, das es tatsächlich erreicht, ist das andere. Die Richtlinie (EU) 2022/2555 führt Anbieter von Cloud-Computing-Diensten in Anhang I auf, unter digitale Infrastruktur, und ihr Erwägungsgrund 33 sagt, was ein Cloud-Computing-Dienst ist, in Worten, die das Geschäftsmodell beim Namen nennen. Dieser Artikel ist das, was das für ein SaaS-Unternehmen bedeutet, in der Reihenfolge, in der die Pflichten kommen.

Die Definition nennt SaaS

Artikel 6(30) definiert einen Cloud-Computing-Dienst als „einen digitalen Dienst, der auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht, auch wenn diese Ressourcen auf mehrere Standorte verteilt sind“. Erwägungsgrund 33 füllt die Begriffe: Zu Rechenressourcen „zählen Ressourcen wie Netze, Server oder sonstige Infrastruktur, Betriebssysteme, Software, Speicher, Anwendungen und Dienste“; „zu den Dienstmodellen des Cloud-Computing gehören unter anderem IaaS (Infrastructure as a Service), PaaS (Platform as a Service), SaaS (Software as a Service) und NaaS (Network as a Service)“; die Begriffe haben die Bedeutung der ISO/IEC 17788:2014; „Verwaltung auf Abruf“ ist die Fähigkeit des Kunden, ohne menschliches Zutun auf Anbieterseite bereitzustellen, „umfassender Fernzugang“ der Zugang über das Netz von Thin- oder Thick-Clients aus, „skalierbar“ und „elastisch“ beschreiben Ressourcen, die mit der Nachfrage zugeteilt und freigegeben werden, und „gemeinsam nutzbar“ beschreibt Ressourcen, die mehreren Nutzern bereitgestellt werden, die sich einen gemeinsamen Zugang zum Dienst teilen, wobei die Verarbeitung für jeden Nutzer getrennt erfolgt.

Eine mandantenfähige Anwendung, für die sich Kunden anmelden, die sie im Browser nutzen und deren Nutzung sie selbst skalieren, ist diese Definition. Die Grenzfälle sind die, in denen ein Begriff nicht zutrifft: Eine von Hand für einen Kunden eingerichtete Einzelinstallation ist weder auf Abruf noch gemeinsam nutzbar; ein Produkt, das der Kunde installiert und betreibt, ist Software, kein Dienst, und gehört zum CRA. Die Zeile in Anhang I ist die, nach der die Feststellung des Anwendungsbereichs zuerst fragt, und sie steht dort im Wortlaut in sechs Sprachen.

Die Größe entscheidet, welche Art Einrichtung Sie sind

Von einer aufgeführten Art zu sein, ist die erste Bedingung des Artikels 2(1); die zweite ist die Größe. Die Richtlinie gilt für Einrichtungen, die „nach Artikel 2 des Anhangs der Empfehlung 2003/361/EG als mittlere Unternehmen gelten oder die Schwellenwerte für mittlere Unternehmen überschreiten“: 50 Beschäftigte oder mehr, oder über 10 Mio. EUR sowohl beim Umsatz als auch bei der Bilanzsumme, gezählt für das Unternehmen zusammen mit seinen Partner- und verbundenen Unternehmen. Ein SaaS-Unternehmen dieser Größe ist eine wichtige Einrichtung nach Artikel 3(2). Eines, das die Schwellenwerte für mittlere Unternehmen überschreitet, 250 Beschäftigte oder sowohl 50 Mio. EUR Umsatz als auch 43 Mio. EUR Bilanzsumme, ist eine wesentliche Einrichtung nach Artikel 3(1)(a), weil Cloud-Computing eine Art aus Anhang I ist und Arten aus Anhang I allein durch Größe wesentlich sind. Unter der Obergrenze der Kleinen ist das Unternehmen draußen, sofern sein Mitgliedstaat es nicht nach Artikel 2(2)(b) bis (e) ermittelt; seine Kunden werden trotzdem die Lieferkettennachweise verlangen, die Artikel 21(2)(d) sie sammeln lässt. Die Regeln, der Reihe nach, mit den sieben Wegen, wesentlich zu sein, sind ein eigener Artikel.

Das Gesetz eines Staats, entschieden danach, wo die Entscheidungen fallen

Für einen Anbieter von Cloud-Computing-Diensten legt Artikel 26(1)(b) die Zuständigkeit beim Mitgliedstaat der Hauptniederlassung in der Union, und Artikel 26(2) sagt, das sei „der Mitgliedstaat, in dem die Entscheidungen im Zusammenhang mit den Risikomanagementmaßnahmen im Bereich der Cybersicherheit überwiegend getroffen werden“, ersatzweise der, in dem die Sicherheitsoperationen durchgeführt werden, ersatzweise der mit der Niederlassung mit den meisten Beschäftigten. Kunden in anderen Mitgliedstaaten ändern daran nichts. Ein außerhalb der Union niedergelassenes SaaS-Unternehmen, das den Dienst dort anbietet, benennt einen Vertreter in einem Mitgliedstaat, in dem es den Dienst anbietet, und untersteht der Zuständigkeit dieses Staats (Artikel 26(3)); ohne Vertreter kann jeder Mitgliedstaat, in dem es den Dienst erbringt, gegen es vorgehen.

Der Umsetzungsakt dieses Staats ist der, der die zuständige Behörde, den Registrierungsweg, das Meldeformular und die Bußgeldobergrenzen benennt. Welchen Rechtsakt jeder Staat der Kommission mitgeteilt hat, und welche Staaten keinen mitgeteilt haben, steht auf der Registerseite, gelesen aus den eigenen Aufzeichnungen der Kommission.

Das Register

Artikel 27 lässt die ENISA ein Register unter anderem der Anbieter von Cloud-Computing-Diensten führen, aus Angaben, die die Einrichtungen ihrer zuständigen Behörde übermitteln: den Namen, Sektor und Teilsektor, die Anschrift der Hauptniederlassung und der weiteren Niederlassungen in der Union oder des Vertreters, Kontaktdaten, die Mitgliedstaaten, in denen der Dienst erbracht wird, und die IP-Bereiche. Die Frist in Artikel 27(2) war der 17. Januar 2025, und Änderungen sind innerhalb von drei Monaten mitzuteilen. Ein SaaS-Unternehmen der genannten Größe, das sich nicht registriert hat, ist säumig, nicht befreit; die Registerseite nennt den Rechtsakt des Staats, und der Rechtsakt nennt das Portal.

Die Maßnahmen sind einheitlich, und sie sind ISO 27001

Für Anbieter von Cloud-Computing-Diensten bleiben die zehn Maßnahmen des Artikels 21(2) nicht dem Mitgliedstaat überlassen. Die Durchführungsverordnung (EU) 2024/2690 gilt für sie unmittelbar, ihr Artikel 1 nennt Anbieter von Cloud-Computing-Diensten unter „den betreffenden Einrichtungen“, und ihr Anhang legt die technischen und methodischen Anforderungen jeder Maßnahme in 13 Abschnitten fest, derselbe Text in jedem Staat. Erwägungsgrund 3 der Verordnung sagt, woher diese Abschnitte kommen: aus europäischen und internationalen Normen, darunter ISO/IEC 27001. Die Zuordnungsseite stellt jeden Abschnitt den ISO-27001-Maßnahmen gegenüber, die ihn erfüllen, und nennt die zwei Stellen, an denen sie mehr verlangt, als ein ISMS gibt.

Vorfälle: vier Schwellenwerte, drei Uhren

Dieselbe Verordnung entscheidet, wann der Vorfall eines SaaS-Unternehmens erheblich ist, und sie ersetzt das Urteil durch Zahlen. Artikel 3(1) gilt für jede betreffende Einrichtung: ein direkter finanzieller Verlust über 500 000 EUR oder 5 % des Jahresumsatzes, je nachdem, welcher Wert niedriger ist; der Abfluss von Geschäftsgeheimnissen; Tod oder schwere Gesundheitsschäden; ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff, der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen. Artikel 7 fügt vier für Anbieter von Cloud-Computing-Diensten hinzu: Der Dienst ist mehr als 30 Minuten vollständig nicht verfügbar; die Verfügbarkeit ist für mehr als 5 % der Nutzer des Dienstes in der Union oder für mehr als 1 Million von ihnen, je nachdem, welche Zahl niedriger ist, für mehr als eine Stunde eingeschränkt; die Integrität, Vertraulichkeit oder Authentizität gespeicherter, übermittelter oder verarbeiteter Daten ist durch eine mutmaßlich böswillige Handlung beeinträchtigt; oder beeinträchtigt mit Auswirkungen auf mehr als 5 % oder mehr als 1 Million der Nutzer in der Union, je nachdem, welche Zahl niedriger ist. Planmäßige Wartung ist ausgenommen (Artikel 3(2)), und Nutzer werden als Kunden mit Vertrag plus die natürlichen und juristischen Personen gezählt, die Geschäftskunden zugeordnet sind und den Dienst nutzen (Artikel 3(3)).

Ein erheblicher Vorfall startet die Uhren des Artikels 23: eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung innerhalb von 72 Stunden, ein Abschlussbericht innerhalb eines Monats, an das CSIRT oder die zuständige Behörde, wie der Rechtsakt des Staats es vorsieht. Die Uhren, neben denen des CRA, und die Schwellenwerte vollständig zitiert sind ein eigener Artikel; eine halbe Stunde vollständiger Nichtverfügbarkeit ist ein meldepflichtiger Vorfall ohne weiteres Urteil, und das ist eine Tatsache, die vor denjenigen gehört, der Ihre Statusseite verantwortet.

Die Grenze zum CRA

Der Cyber Resilience Act erreicht Produkte mit digitalen Elementen. Die Leitlinien der Kommission zur Verordnung, C(2026) 5252 vom 27. Juli 2026, sagen in Randnummer 21, dass Software, „die aus der Ferne ausgeführt wird und auf die der Nutzer lediglich zugreift, nicht allein deshalb ein Produkt mit digitalen Elementen ist“, was „typischerweise bei Webanwendungen, einschließlich progressiver Web-Apps, der Fall ist, wenn auf sie ausschließlich über einen Webbrowser zugegriffen wird“. Der Dienst gehört zu NIS2. Die Ausnahme ist ein SaaS-Unternehmen, das zusätzlich etwas Installiertes ausliefert, einen Desktop-Client, eine Mobile-App, einen Agenten, ein SDK: Das ist ein Produkt, und die Cloud dahinter ist Datenfernverarbeitung nach Artikel 3(2) des CRA, wo eine Funktion des Produkts ohne sie ausfällt. Welches Gesetz welchen Teil erreicht und welche Teile des Backends im CRA liegen, sind die zwei Artikel für dieses Unternehmen; die Vorfallsaufzeichnung ist dann eine Aufzeichnung mit zwei Formularen.

Was in diesem Quartal zu tun ist

Schreiben Sie die Feststellung auf, mit den Artikeln: die Zeile in Anhang I, die Größenklasse wie gezählt, der Staat der Hauptniederlassung, wichtig oder wesentlich. Das Werkzeug zum Anwendungsbereich schreibt sie aus fünf Antworten. Prüfen Sie die Registrierung gegen das Portal des Staats und die Felder des Artikels 27, und das Datum, an dem sie erfolgte. Ordnen Sie das, was das ISMS schon hat, den 13 Abschnitten der Verordnung zu, und schließen Sie die zwei Lücken, die die Zuordnung nennt. Nehmen Sie die vier Schwellenwerte des Artikels 7 und die Regel zur „Kenntniserlangung“ in das Vorfallsverfahren auf, mit wer meldet und wo, bevor der erste Vorfall es prüft.

Quellen

  • Richtlinie (EU) 2022/2555 (NIS2), Artikel 2(1) und (2), Artikel 3(1) und (2), Artikel 6(30), Artikel 21(2), Artikel 23(4), Artikel 26(1) bis (3), Artikel 27(1) bis (3), Anhang I Nummer 8, Erwägungsgrund 33.
  • Durchführungsverordnung (EU) 2024/2690 der Kommission, Erwägungsgrund 3, Artikel 1, Artikel 3, Artikel 7, Anhang.
  • Verordnung (EU) 2024/2847 (CRA), Artikel 3(1) und (2), Erwägungsgrund 12; Leitlinien der Kommission C(2026) 5252, Randnummern 20 und 21.
  • Empfehlung 2003/361/EG der Kommission, Anhang, Artikel 2 und 3.

Dies ist keine Rechtsberatung. Der Rechtsakt des Mitgliedstaats benennt die Behörde, das Portal und das Formular und kann Kategorien nach Artikel 2(2)(b) bis (e) hinzufügen.