NIS-2 und Cyber Resilience Act: Was deutsche Unternehmen jetzt vorbereiten müssen

Die NIS-2-Richtlinie und der Cyber Resilience Act (CRA) verändern die regulatorische Landschaft für IT-Sicherheit in Europa grundlegend. Beide Regelwerke betreffen deutlich mehr Unternehmen als die bisherige NIS-Richtlinie: Nicht nur Betreiber kritischer Infrastrukturen, sondern auch „wichtige Einrichtungen“ aus Industrie, Chemie, Lebensmittel, Post, Abfallwirtschaft, digitale Dienste und Maschinenbau fallen in den Anwendungsbereich. Dieser Artikel ordnet ein, was NIS-2 und CRA konkret bedeuten und welche Vorbereitungen deutsche Unternehmen jetzt treffen sollten.

NIS-2 (Richtlinie (EU) 2022/2555) erweitert den Kreis der verpflichteten Unternehmen massiv und verschärft die Anforderungen an Risikomanagement, Incident Response, Supply-Chain-Sicherheit und Geschäftsleiterhaftung. Die Umsetzung in deutsches Recht — das NIS-2-Umsetzungsgesetz — war für Oktober 2024 vorgesehen und wird bis 2025/2026 erwartet. Unabhängig vom genauen Datum der nationalen Umsetzung: Die Anforderungen sind definiert, und Unternehmen, die erst bei Inkrafttreten reagieren, werden zu spät sein.

Wer ist betroffen?

Das bedeutet: Viele mittelständische Unternehmen, die sich bisher nicht als „reguliert“ betrachtet haben, fallen unter NIS-2. Die Geschäftsleitung haftet persönlich für die Einhaltung — ein Novum, das in Vorständen und Geschäftsführungen noch nicht überall angekommen ist.

Was NIS-2 konkret verlangt

Risikomanagementmaßnahmen gemäß Art. 21: Policies für Risikoanalyse und Informationssicherheit, Incident Handling, Business Continuity und Krisenmanagement, Supply-Chain-Sicherheit, Sicherheit bei Beschaffung und Entwicklung, Schwachstellenmanagement, Bewertung der Wirksamkeit von Maßnahmen, Cyberhygiene und Schulung, Kryptografie-Policies, Zugriffskontrolle und Asset-Management, sowie Multi-Faktor-Authentifizierung.

Meldepflichten: Signifikante Vorfälle müssen innerhalb von 24 Stunden als Frühwarnung, innerhalb von 72 Stunden als formelle Meldung und innerhalb eines Monats als Abschlussbericht an die zuständige Behörde (BSI) gemeldet werden. Wer keine funktionierenden Incident-Detection- und Response-Prozesse hat, wird diese Fristen nicht einhalten können.

Cyber Resilience Act: Sicherheit als Produkteigenschaft

Der CRA (Verordnung (EU) 2024/2847) richtet sich an Hersteller und Importeure digitaler Produkte. Er verlangt Security by Design, Schwachstellenmanagement über den gesamten Lebenszyklus, SBOMs (Software Bill of Materials), koordinierte Offenlegung von Schwachstellen und CE-Kennzeichnung für Cybersicherheit. Für Softwarehäuser und IoT-Hersteller bedeutet das: Sicherheit ist keine optionale Eigenschaft mehr, sondern Marktzugangsvoraussetzung.

Für Unternehmen, die sowohl unter NIS-2 als auch unter den CRA fallen, ergeben sich Synergien: Ein funktionierendes Schwachstellenmanagement, regelmäßige Sicherheitsprüfungen und ein dokumentierter SDLC erfüllen Anforderungen beider Regelwerke. Unsere Fachbereiche — Quellcode-Audits, Penetrationstests und Schwachstellenanalysen — liefern die technische Grundlage für den Nachweis der Compliance. Dr. Tobias Vogel berät Geschäftsleitungen und CISOs in Frankfurt am Main und bundesweit zur Umsetzung der regulatorischen Anforderungen.