Vergleich

Cyberresilienz-Verordnung und NIS-2-Richtlinie: Was gilt für Ihr Produkt?

Geprüft im August 2026 anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.

Kurz gesagt: Die NIS-2-Richtlinie regelt das Risikomanagement im Bereich der Cybersicherheit bestimmter Einrichtungen, keine Produktkategorie, und die Meldepflicht der Hersteller aus der Cyberresilienz-Verordnung läuft über dasselbe nationale CSIRT-Netz, das die NIS-2-Richtlinie aufbaut. Beide Regelwerke können dasselbe Unternehmen treffen, aus verschiedenen Gründen.

Was jede von beiden regelt

Die Cyberresilienz-Verordnung gilt für ein Produkt mit digitalen Elementen, das auf dem Markt bereitgestellt wird und eine Datenverbindung zu einem Gerät oder Netz einschließt, und sie verweist für eine bestimmte Sache auf die Struktur der NIS-2-Richtlinie: Muss ein Hersteller eine aktiv ausgenutzte Schwachstelle melden, geht die Meldung gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA.

„ein CSIRT, das gemäß Artikel 12 Absatz 1 der Richtlinie (EU) 2022/2555 als Koordinator benannt wurde“

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“

Die Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) verpflichtet benannte „wesentliche“ und „wichtige“ Einrichtungen quer durch viele Sektoren, darunter Energie, Verkehr, Bankwesen, digitale Infrastruktur und verwaltete Dienste, ein eigenes Programm für das Risikomanagement im Bereich der Cybersicherheit zu führen, erhebliche Sicherheitsvorfälle an ein nationales CSIRT zu melden und sich in einzelnen Sektoren bei einer nationalen Behörde zu registrieren. Sie regelt Einrichtungen und deren eigenen Umgang mit ihrer Informationstechnik, keine Produktkategorie. Vollständiger Wortlaut: Richtlinie (EU) 2022/2555, ABl. L 333 vom 27.12.2022 (NIS-2-Richtlinie).

Überschneiden sie sich, und welche geht vor

Die NIS-2-Richtlinie zählt nicht zu den Ausnahmen nach Artikel 2 der Cyberresilienz-Verordnung, also der abschließenden Liste aus Medizinprodukten, In-vitro-Diagnostika, luftfahrtzertifizierter Ausrüstung, Schiffsausrüstung und der Typgenehmigung von Kraftfahrzeugen, die die Cyberresilienz-Verordnung für bestimmte Produktkategorien verdrängt.

„Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:“

Die NIS-2-Richtlinie und die Cyberresilienz-Verordnung nehmen einander nicht aus dem Anwendungsbereich: Sie gelten nebeneinander. Was sie tatsächlich verbindet, ist enger als eine Bereichsausnahme: Die Cyberresilienz-Verordnung nutzt das Netz der als Koordinator benannten CSIRT aus der NIS-2-Richtlinie als Empfänger für ihre eigenen Meldungen zu Schwachstellen und Sicherheitsvorfällen nach Artikel 14, neben der ENISA, wie oben beschrieben. Das ist ein gemeinsamer Meldeweg zwischen zwei verschiedenen Regelwerken, kein Zurücktreten des einen hinter das andere.

Was das in der Praxis bedeutet

• Gilt Ihr Unternehmen zugleich als „wesentliche“ oder „wichtige“ Einrichtung nach der NIS-2-Richtlinie, tragen Sie deren eigene Pflichten zum Risikomanagement und zur Meldung von Sicherheitsvorfällen für Ihre Organisation, zusätzlich zu allen Pflichten aus der Cyberresilienz-Verordnung für Produkte, die Sie in den Verkehr bringen, und nicht an deren Stelle.
• Die Meldungen zu Schwachstellen und Sicherheitsvorfällen nach Artikel 14 der Cyberresilienz-Verordnung (Frühwarnung, dann Meldung, dann Abschlussbericht) erreichen dasselbe nationale Netz der als Koordinator benannten CSIRT, das die NIS-2-Richtlinie aufbaut, dazu die ENISA, obwohl beide Regelwerke Verschiedenes regeln.
• Die Frist der Mitgliedstaaten zur Umsetzung der NIS-2-Richtlinie lief am 17. Oktober 2024 ab, ein weithin berichtetes Datum, lange vor jedem Datum der Cyberresilienz-Verordnung; deren Meldepflichten nach Artikel 14 beginnen am 11. September 2026, der Rest gilt ab dem 11. Dezember 2027. Die beiden Kalender hängen nicht zusammen.
• Von der NIS-2-Richtlinie erfasst zu sein begründet oder beseitigt keinen Anwendungsbereich der Cyberresilienz-Verordnung, und umgekehrt gilt dasselbe; prüfen Sie beides getrennt.
• Cybiq prüft ausschließlich die Cyberresilienz-Verordnung: Ob Ihre Organisation eine wesentliche oder wichtige Einrichtung nach der NIS-2-Richtlinie ist, wird hier nicht bewertet.

„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“

Cybiq prüft ausschließlich die Cyberresilienz-Verordnung: Ob Ihre Organisation die NIS-2-Richtlinie oder ein anderes Regelwerk einhält, wird hier nicht bewertet. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine verbindliche Bewertung wenden Sie sich an eine qualifizierte Fachkraft.