Vergleich

Cyberresilienz-Verordnung und NIS-2-Richtlinie: Was gilt für Ihr Produkt?

Von HEXENKRAFT. Geprüft gegen den Primärtext im August 2026.

Kurz gesagt: Die NIS-2-Richtlinie regelt das Risikomanagement im Bereich der Cybersicherheit bestimmter Einrichtungen, keine Produktkategorie, und die Meldepflicht der Hersteller aus der Cyberresilienz-Verordnung läuft über dasselbe nationale CSIRT-Netz, das die NIS-2-Richtlinie aufbaut. Beide Regelwerke können dasselbe Unternehmen aus verschiedenen Gründen betreffen.

Regelungsgegenstand der beiden Rechtsakte

Die Cyberresilienz-Verordnung gilt für ein Produkt mit digitalen Elementen, das auf dem Markt bereitgestellt wird und dessen bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine Datenverbindung zu einem Gerät oder Netz einschließt, und sie verweist in einem Punkt auf die Strukturen der NIS-2-Richtlinie: Muss ein Hersteller eine aktiv ausgenutzte Schwachstelle melden, geht die Meldung über die einheitliche Meldeplattform gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA.

„ein CSIRT, das gemäß Artikel 12 Absatz 1 der Richtlinie (EU) 2022/2555 als Koordinator benannt wurde“

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“

Die Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) verpflichtet „wesentliche“ und „wichtige“ Einrichtungen quer durch viele Sektoren, darunter Energie, Verkehr, Bankwesen, digitale Infrastruktur und Anbieter verwalteter Dienste, ein eigenes Programm für das Risikomanagement im Bereich der Cybersicherheit zu führen, erhebliche Sicherheitsvorfälle an ein nationales CSIRT zu melden und sich in einzelnen Sektoren bei einer nationalen Behörde zu registrieren. Sie regelt Einrichtungen und deren eigenen Umgang mit ihrer Informationstechnik, keine Produktkategorie. Vollständiger Wortlaut: Richtlinie (EU) 2022/2555, ABl. L 333 vom 27.12.2022 (NIS-2-Richtlinie).

Überschneidungen und Vorrang

Die NIS-2-Richtlinie gehört nicht zu den in Art. 2 Abs. 2 bis 4 der Cyberresilienz-Verordnung genannten Rechtsakten der Union (Medizinprodukte, In-vitro-Diagnostika, Typgenehmigung von Kraftfahrzeugen, nach der Verordnung (EU) 2018/1139 zertifizierte Luftfahrtprodukte und Schiffsausrüstung), die die Cyberresilienz-Verordnung für bestimmte Produktkategorien verdrängen.

„Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:“

Die NIS-2-Richtlinie und die Cyberresilienz-Verordnung nehmen einander nicht aus dem Anwendungsbereich: Sie gelten nebeneinander. Was sie tatsächlich verbindet, ist enger als eine Bereichsausnahme: Die Cyberresilienz-Verordnung nutzt das Netz der nach der NIS-2-Richtlinie als Koordinatoren benannten CSIRTs als Empfänger für ihre eigenen Meldungen zu Schwachstellen und Sicherheitsvorfällen nach Artikel 14, neben der ENISA, wie oben beschrieben. Das ist ein gemeinsamer Meldeweg zwischen zwei verschiedenen Regelwerken, kein Zurücktreten des einen hinter das andere.

Was das in der Praxis bedeutet

• Gilt Ihr Unternehmen zugleich als „wesentliche“ oder „wichtige“ Einrichtung nach der NIS-2-Richtlinie, tragen Sie deren eigene Pflichten zum Risikomanagement und zur Meldung von Sicherheitsvorfällen für Ihre Organisation, zusätzlich zu allen Pflichten aus der Cyberresilienz-Verordnung für Produkte, die Sie in den Verkehr bringen, und nicht an deren Stelle.
• Die Meldungen zu Schwachstellen und Sicherheitsvorfällen nach Artikel 14 der Cyberresilienz-Verordnung (Frühwarnung, dann Meldung, dann Abschlussbericht) erreichen dasselbe nationale Netz der als Koordinator benannten CSIRT, das die NIS-2-Richtlinie aufbaut, dazu die ENISA, obwohl beide Regelwerke Verschiedenes regeln.
• Die Frist der Mitgliedstaaten zur Umsetzung der NIS-2-Richtlinie lief am 17. Oktober 2024 ab (Art. 41 Abs. 1 NIS-2-Richtlinie), vor jedem Geltungsbeginn der Cyberresilienz-Verordnung; deren Kapitel IV gilt seit dem 11. Juni 2026, die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026, alle übrigen Bestimmungen ab dem 11. Dezember 2027. Die beiden Kalender hängen nicht zusammen.
• Von der NIS-2-Richtlinie erfasst zu sein begründet oder beseitigt keinen Anwendungsbereich der Cyberresilienz-Verordnung, und umgekehrt gilt dasselbe; prüfen Sie beides getrennt.
• Cybiq prüft ausschließlich die Cyberresilienz-Verordnung: Ob Ihre Organisation eine wesentliche oder wichtige Einrichtung nach der NIS-2-Richtlinie ist, wird hier nicht bewertet.

„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“

Cybiq prüft ausschließlich die Cyberresilienz-Verordnung: Ob Ihre Organisation die NIS-2-Richtlinie oder ein anderes Regelwerk einhält, wird hier nicht bewertet. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine verbindliche Bewertung wenden Sie sich an eine qualifizierte Rechtsberatung.