Ein Softwareunternehmen, das über die 24-Stunden-Frühwarnung des Cyber Resilience Act liest, und eines, das über die 24-Stunden-Frühwarnung der NIS2 liest, lesen zwei verschiedene Gesetze, die dieselben Zahlen gewählt haben. Die Verordnung (EU) 2024/2847, der CRA, legt die Pflicht in Artikel 14 dem Hersteller eines Produkts mit digitalen Elementen auf. Die Richtlinie (EU) 2022/2555, NIS2, legt sie in Artikel 23 wesentlichen und wichtigen Einrichtungen auf, und die Durchführungsverordnung (EU) 2024/2690 der Kommission sagt für Cloud- und andere digitale Anbieter, was „erheblich“ bedeutet. Welches Gesetz ein Softwareunternehmen erreicht, entscheidet sich daran, was es liefert: ein Produkt, das der Kunde betreibt, oder einen Dienst, auf den der Kunde zugreift. Dieser Artikel handelt davon, was nach dieser Entscheidung passiert, wenn etwas schiefgeht: die zwei Uhren nebeneinander, die Schwellenwerte und das eine Verfahren, das beiden dient.
Wer unter welcher Uhr steht
CRA Artikel 14 gilt für den Hersteller eines auf dem EU-Markt in Verkehr gebrachten Produkts mit digitalen Elementen, seit dem 11. September 2026, unabhängig von der Größe des Unternehmens, auch für Produkte, die bereits auf dem Markt sind. Die Auslöser sind eine aktiv ausgenutzte Schwachstelle im Produkt und ein schwerwiegender Vorfall mit Auswirkungen auf die Sicherheit des Produkts; beide sind hier definiert.
NIS2 Artikel 23 gilt für eine wesentliche oder wichtige Einrichtung: eine öffentliche oder private Einrichtung „der in den Anhang I oder II genannten Art“, die mindestens ein mittleres Unternehmen nach der Empfehlung 2003/361/EG ist, also nicht Kleinst- oder Kleinunternehmen, grob 50 Beschäftigte oder mehr oder über 10 Millionen EUR sowohl bei Umsatz als auch bei Bilanzsumme, „und die ihre Dienste in der Union erbringen oder ihre Tätigkeiten dort ausüben“ (Artikel 2(1)). Anbieter von Cloud-Computing-Diensten stehen in Anhang I unter digitale Infrastruktur, und Artikel 6(30) definiert einen Cloud-Computing-Dienst als „einen digitalen Dienst, der auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht“. Artikel 2(2) nennt die Fälle, die unabhängig von der Größe gelten, darunter DNS- und TLD-Dienste, Vertrauensdiensteanbieter und alleinige Anbieter eines für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten wesentlichen Dienstes. Der Auslöser ist „jeder Sicherheitsvorfall ..., der erhebliche Auswirkungen auf die Erbringung ihrer Dienste ... hat“, ein erheblicher Sicherheitsvorfall.
Ein Unternehmen, das einen installierten Client mit eigener Cloud dahinter verkauft oder dieselbe Funktionalität als Software und als Dienst, kann unter beiden stehen: Hersteller für das Produkt, Einrichtung für den Dienst. Die entscheidenden Fragen sind die zwei oben, getrennt gestellt. Die NIS2-Hälfte beantwortet das Werkzeug zum Anwendungsbereich schriftlich, mit der Art der Einrichtung, der Größenregel und dem Gesetz des Staats.
Die zwei Uhren nebeneinander
| CRA Artikel 14, der Hersteller | NIS2 Artikel 23, die Einrichtung | |
|---|---|---|
| Auslöser | Eine aktiv ausgenutzte Schwachstelle im Produkt oder ein schwerwiegender Vorfall, der die Sicherheit des Produkts betrifft (14(1), 14(3)) | Ein erheblicher Sicherheitsvorfall, der die Erbringung der Dienste der Einrichtung betrifft (23(1), 23(3)) |
| Empfänger | Das als Koordinator benannte CSIRT des Staats der Hauptniederlassung des Herstellers und die ENISA, gleichzeitig (14(7)) | Das nationale CSIRT der Einrichtung oder, wo der Staat es so bestimmt, seine zuständige Behörde (23(1), 23(4)) |
| Kanal | Die zentrale Meldeplattform der ENISA, und nichts anderes zählt (14(7), Artikel 16) | Wie der Mitgliedstaat es vorsieht; keine Unionsplattform |
| Frühwarnung | Innerhalb von 24 Stunden nach Kenntniserlangung; bei einer Schwachstelle die Mitgliedstaaten, in denen das Produkt verfügbar ist (14(2)(a)); bei einem Vorfall, ob rechtswidrige oder böswillige Handlungen vermutet werden (14(4)(a)) | Innerhalb von 24 Stunden nach Kenntniserlangung; ob rechtswidrige oder böswillige Handlungen vermutet werden und ob grenzüberschreitende Auswirkungen möglich sind (23(4)(a)) |
| Meldung | Innerhalb von 72 Stunden: allgemeine Informationen, eine erste Bewertung, ergriffene und für Nutzer verfügbare Maßnahmen, Sensibilität (14(2)(b), 14(4)(b)) | Innerhalb von 72 Stunden: eine Aktualisierung der Frühwarnung, eine erste Bewertung einschließlich Schwere und Auswirkungen, Kompromittierungsindikatoren soweit verfügbar (23(4)(b)); 24 Stunden für Vertrauensdiensteanbieter |
| Zwischenbericht | Auf Ersuchen des Koordinators (14(6)) | Auf Ersuchen des CSIRT oder der zuständigen Behörde (23(4)(c)) |
| Abschlussbericht | Schwachstelle: innerhalb von 14 Tagen, nachdem eine Abhilfemaßnahme verfügbar ist (14(2)(c)); Vorfall: innerhalb eines Monats nach der 72-Stunden-Meldung (14(4)(c)) | Innerhalb eines Monats nach der 72-Stunden-Meldung, mit denselben vier Inhalten plus grenzüberschreitende Auswirkungen; dauert der Vorfall an, dann ein Fortschrittsbericht und ein Abschlussbericht innerhalb eines Monats nach seiner Bewältigung (23(4)(d), (e)) |
| Antwort an Sie | Keine zugesagt | Erste Rückmeldung „nach Möglichkeit innerhalb von 24 Stunden nach Eingang der Frühwarnung“, auf Ersuchen Orientierungshilfe und bei Verdacht einer Straftat Hinweise zur Strafverfolgung (23(5)) |
| Nutzer und Empfänger | Betroffene Nutzer, gegebenenfalls alle Nutzer, über die Schwachstelle oder den Vorfall und über Maßnahmen informieren (14(8)) | Empfänger der Dienste über erhebliche Vorfälle, die sie wahrscheinlich betreffen, und über erhebliche Cyberbedrohungen und Abhilfen unterrichten (23(1), 23(2)) |
| Haftung | „Die bloße Meldung ... begründet keine höhere Haftung der meldenden natürlichen oder juristischen Person“ (Artikel 17(4)) | „Mit der bloßen Meldung wird keine höhere Haftung der meldenden Einrichtung begründet“ (23(1)) |
Zwei Dinge sind absichtlich identisch. Der Moment: Beide Uhren laufen ab „Kenntniserlangung“, und die CRA-Leitlinien der Kommission sagen, sie hätten ihre Definition an Erwägungsgrund 31 der NIS2-Durchführungsverordnung angeglichen, sodass derselbe Test der hinreichenden Gewissheit beide startet. Und die Struktur des Abschlussberichts: ein Monat nach der 72-Stunden-Meldung bei einem Vorfall nach beiden Gesetzen. Die eine Uhr, die sich in der Art unterscheidet, ist der Abschlussbericht des CRA zu Schwachstellen, der ab der Behebung läuft, nicht ab Kenntnis, und die meisten Darstellungen bekommen ihn falsch.
Was „erheblich“ für einen Cloud-Anbieter bedeutet
NIS2 Artikel 23(3) macht einen Vorfall erheblich, wenn „er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann“ oder „er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann“. Für die digitalen Anbieter nach Artikel 3(1) der Durchführungsverordnung ersetzt die Verordnung dieses Urteil durch Zahlen. Artikel 3(1) gilt für alle; ein Vorfall ist erheblich, wenn eines oder mehrere davon erfüllt ist:
(a) der Vorfall hat der betreffenden Einrichtung einen direkten finanziellen Verlust in Höhe von mehr als 500 000 EUR oder 5 % ihres jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Wert niedriger ist, verursacht oder kann einen solchen Verlust verursachen; (b) der Vorfall hat den Abfluss von Geschäftsgeheimnissen der betreffenden Einrichtung ... verursacht oder kann einen solchen Abfluss verursachen; (c) der Vorfall hat den Tod einer natürlichen Person verursacht oder kann einen solchen Tod verursachen; (d) der Vorfall hat eine schwere Schädigung der Gesundheit einer natürlichen Person verursacht oder kann eine solche Schädigung verursachen; (e) es hat einen erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff auf Netz- und Informationssysteme gegeben, der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen;
plus die Regel für wiederholte Vorfälle in Artikel 4, Vorfälle, die innerhalb von sechs Monaten mindestens zwei Mal aufgetreten sind, dieselbe offensichtliche Ursache haben und zusammengenommen das finanzielle Kriterium erfüllen, und die sektorspezifischen Kriterien der Artikel 5 bis 14. Artikel 7 fügt für Anbieter von Cloud-Computing-Diensten vier hinzu, in den Begriffen der Verordnung:
- ein erbrachter Cloud-Computing-Dienst ist mehr als 30 Minuten lang vollständig nicht verfügbar;
- die Verfügbarkeit eines Cloud-Computing-Dienstes ist für mehr als 5 % der Nutzer des Dienstes in der Union oder für mehr als 1 Million von ihnen, je nachdem, welche Zahl niedriger ist, für eine Dauer von mehr als einer Stunde eingeschränkt;
- die Integrität, Vertraulichkeit oder Authentizität der im Zusammenhang mit dem Dienst gespeicherten, übermittelten oder verarbeiteten Daten ist infolge einer mutmaßlich böswilligen Handlung beeinträchtigt;
- dieselben Daten sind beeinträchtigt, und dies wirkt sich auf mehr als 5 % der Nutzer des Dienstes in der Union oder auf mehr als 1 Million von ihnen aus, je nachdem, welche Zahl niedriger ist.
Artikel 3(2) schließt „planmäßige Betriebsunterbrechungen und geplante Folgen planmäßiger Wartungsarbeiten“ aus. Artikel 3(3) sagt, wie Nutzer gezählt werden: Kunden mit Vertrag sowie die natürlichen und juristischen Personen, die Geschäftskunden zugeordnet sind und den Dienst nutzen. Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste haben in Artikel 10 dieselben vier Kriterien; Rechenzentren, CDNs, Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdienste haben ihre eigenen in den Artikeln 8, 9 und 11 bis 14.
Gegen den „schwerwiegenden“ Vorfall des CRA in Artikel 14(5) gelesen, der fragt, ob der Vorfall die Fähigkeit des Produkts beeinträchtigt, die Vertraulichkeit, Integrität, Verfügbarkeit oder Authentizität sensibler oder wichtiger Daten oder Funktionen zu schützen, oder Schadcode einbringt, geht es bei den NIS2-Schwellen um den Dienst und seine Nutzer: Eine halbe Stunde vollständiger Nichtverfügbarkeit eines Cloud-Dienstes ist nach NIS2 ohne weiteres Urteil ein meldepflichtiger Vorfall, und eine Beeinträchtigung von Daten durch eine mutmaßlich böswillige Handlung ist einer nach beiden Gesetzen.
Ein Verfahren, zwei Formulare
Das Unternehmen unter beiden Gesetzen braucht nicht zwei Vorfallsprozesse. Es braucht eine Bewertung mit zwei Ergebnissen. Das verdächtige Ereignis kommt über dieselben Kanäle herein; die erste Bewertung fragt, rasch, erstens, ob die Sicherheit eines Produkts betroffen ist oder eine Produktschwachstelle ausgenutzt wird, und zweitens, ob der Dienst eine Schwelle von Artikel 3 oder Artikel 7 überschritten hat; „Kenntnis erlangt“ wird einmal festgehalten, in UTC, mit der Begründung; und die zwei Uhren laufen davon ab in zwei Formulare, eines auf der Plattform der ENISA für das Produkt, eines über den nationalen Kanal für den Dienst. Die Abschlussberichte sind im selben Monat fällig, die Nutzer und die Empfänger werden einmal informiert, und die Aufzeichnung, die den Zeitablauf zeigt, ist dieselbe Aufzeichnung.
Die NIS2-zu-ISO-27001-Zuordnung ordnet die Meldepflicht unter die anderen Maßnahmen des Artikels 21 ein; die Seite zu den CRA-Fristen berechnet die drei Produktfristen und nennt den Koordinator für jeden Staat. StandardOS führt beide Aufzeichnungen, mit dem Zeitstempel der Kenntniserlangung und den daraus abgeleiteten Fristen, an einem Ort.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2(1) und (2), Artikel 6(30), Artikel 21(1), Artikel 23(1) bis (5), Anhang I.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Erwägungsgrund 31, Artikel 3, 4, 7, 10 und 5 bis 14, gelesen auf EUR-Lex.
- Verordnung (EU) 2024/2847 (CRA), Artikel 14(1) bis (8), Artikel 16, Artikel 17(4), Artikel 69(3).
- Europäische Kommission, Leitlinien der Kommission zur Anwendung der Verordnung (EU) 2024/2847, C(2026) 5252 vom 27. Juli 2026, Randnummer 212.
- Empfehlung 2003/361/EG der Kommission, Anhang, Artikel 2, für die Größenklassen.
Dies ist keine Rechtsberatung. NIS2 ist eine Richtlinie, weshalb Empfänger, Kanal und Form der Meldung von der Umsetzung jedes Mitgliedstaats festgelegt werden; die Uhr und die Schwellenwerte oben sind der Unionstext.