CRA oder NIS2: Welche Meldepflicht gilt für Sie?
Beide Texte verlangen eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden, deshalb werden sie leicht verwechselt. Sie betreffen unterschiedliche Dinge, gehen an unterschiedliche Stellen und können beide für dasselbe Unternehmen gelten. So unterscheiden Sie sie.
Der Cyber Resilience Act: Ihr Produkt
- Wer: Hersteller von Produkten mit digitalen Elementen, die in der EU verkauft werden.
- Was: eine aktiv ausgenutzte Schwachstelle im Produkt oder ein schwerwiegender Vorfall, der seine Sicherheit beeinträchtigt.
- Wo: eine einzige Meldung über die Single Reporting Platform der ENISA, die das koordinierende CSIRT und die ENISA erreicht.
- Wann: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht 14 Tage nachdem eine Korrektur verfügbar ist (bei einem Vorfall einen Monat nach der Meldung).
- Seit: dem 11. September 2026, für jedes Produkt auf dem Markt, auch für bereits vorher in Verkehr gebrachte.
NIS2: der Dienst, den Sie erbringen
- Wer: wesentliche und wichtige Einrichtungen in den Sektoren der NIS2-Richtlinie, meist mittlere und große Organisationen, manche unabhängig von ihrer Größe.
- Was: ein erheblicher Sicherheitsvorfall, der die von Ihnen erbrachten Dienste beeinträchtigt.
- Wo: Ihr nationales CSIRT oder Ihre zuständige Behörde.
- Wann: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung (Artikel 23).
Wenn beides gilt
Ein Softwarehersteller, der auch einen unter NIS2 fallenden Dienst betreibt, etwa einen Managed Service oder einen Cloud-Dienst, kann beides gleichzeitig treffen: Die ausgenutzte Schwachstelle steckt in seinem Produkt (CRA) und stört seinen eigenen Dienst (NIS2). Die beiden Meldungen sind getrennt und laufen über getrennte Kanäle, auch wenn sie dasselbe Ereignis beschreiben. Software, die nur als Dienst angeboten wird, fällt nicht unter den CRA, es sei denn, die Fernverarbeitung gehört zu einem Produkt.
Sind personenbezogene Daten betroffen, kommt mit der DSGVO eine dritte Frist hinzu: 72 Stunden für die Meldung an die Datenschutzaufsichtsbehörde.
Ein einfacher Test
Stellen Sie bei jedem Ereignis zwei Fragen. Liegt das Problem in etwas, das wir verkaufen? Dann prüfen Sie den CRA. Stört es einen Dienst, den wir als NIS2-Einrichtung erbringen? Dann prüfen Sie NIS2. Halten Sie beide Antworten fest, und wann Sie sie gegeben haben: Die Fristen beginnen mit der Kenntnisnahme.
Für die CRA-Seite lässt Clearlane CRA die drei Fristen nach Artikel 14 am Jira-Vorgang laufen und bereitet jedes ENISA-Feld vor. Siehe auch wie Sie eine aktiv ausgenutzte Schwachstelle melden.
Quellen: Verordnung (EU) 2024/2847, Artikel 14 und 69; Richtlinie (EU) 2022/2555, Artikel 23. Geprüft am 16. Oktober 2026. Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung.