CRA, NIS-2 oder KI-Verordnung: Was gilt für Sie?

Wenn Sie in der EU Software entwickeln und verkaufen, hat man Ihnen wahrscheinlich gesagt, dass drei verschiedene Regelwerke für Sie gelten — drei verschiedene Leute, mit drei verschiedenen Graden an Alarm.

Sie sind keine Alternativen, und herauszufinden, welches davon gilt, ist die falsche Frage. Sie können alle gleichzeitig gelten, weil sie Verschiedenes regeln.

Diese Unterscheidung macht den Rest handhabbar.

	Regelt	Fragt
Cyberresilienz-Verordnung (CRA)	Ihr Produkt	Ist sicher, was Sie ausliefern, und können Sie es belegen?
NIS-2-Richtlinie	Ihre Organisation	Beherrscht das Unternehmen, das den Dienst betreibt, seine eigenen Risiken?
KI-Verordnung der EU	Was Ihre Software entscheidet	Nutzt sie KI, und was passiert mit Menschen, wenn sie sich irrt?

Ein einziges Unternehmen kann Hersteller nach dem CRA, wichtige Einrichtung nach NIS-2 und Betreiber nach der KI-Verordnung sein — mit drei getrennten Pflichtenkatalogen, drei getrennten Fristen und einem Entwicklungsteam.

Die Cyberresilienz-Verordnung regelt das Produkt

Der CRA erfasst Produkte mit digitalen Elementen, die im Rahmen einer Geschäftstätigkeit auf dem Unionsmarkt bereitgestellt werden. Software, Hardware und die Datenfernverarbeitung, auf die ein Produkt angewiesen ist, um zu funktionieren.

Seine Fragen sind Produktfragen. Erfüllt es die grundlegenden Cybersicherheitsanforderungen? Gibt es eine Strategie für die koordinierte Offenlegung von Schwachstellen? Gibt es eine Software-Stückliste (SBOM)? Werden Sicherheitsaktualisierungen für den Unterstützungszeitraum verfügbar sein? Kann eine Marktüberwachungsbehörde die technische Dokumentation einsehen?

Ihre Größe spielt keine Rolle. Es gibt keinen Schwellenwert für Beschäftigte und keinen für den Umsatz. Ein Unternehmen mit zwei Personen, das einen Passwort-Manager ausliefert, hat dieselben Produktpflichten wie ein großer Hersteller, der einen ausliefert — und dieselbe Produktklasse, in diesem Beispiel Anhang III, Klasse I.

Zwei Termine. Meldepflichten seit dem 11. September 2026. Alles andere — grundlegende Anforderungen, Konformitätsbewertung, CE-Kennzeichnung — ab dem 11. Dezember 2027.

Die NIS-2-Richtlinie regelt die Organisation

NIS-2 ist eine Richtlinie, keine Verordnung, und das ist der erste praktische Unterschied: Sie gilt nicht unmittelbar für Sie. Sie gilt über das Umsetzungsgesetz Ihres Mitgliedstaats, und diese Gesetze unterscheiden sich. Wo Sie niedergelassen sind, spielt hier eine Rolle, die es beim CRA nicht spielt.

Sie erfasst Einrichtungen in benannten Sektoren oberhalb einer Größenschwelle — Energie, Verkehr, Bankwesen, Gesundheitswesen, Wasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum, und für wichtige Einrichtungen außerdem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. In der Regel mittlere Unternehmen und größere, mit Ausnahmen, die kleinere Einrichtungen einbeziehen, wenn sie einen Dienst als Einzige erbringen oder für einen Sektor kritisch sind.

Ihre Fragen sind Governance-Fragen. Wer trägt auf Leitungsebene die Verantwortung? Wie lautet Ihr Konzept für das Risikomanagement? Wie gehen Sie mit Sicherheitsvorfällen, der Aufrechterhaltung des Betriebs, der Sicherheit der Lieferkette und der Zugriffskontrolle um? Können Sie einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden melden?

NIS-2 ist bereits in Kraft. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen, und die Durchsetzung folgt seitdem nationalen Zeitplänen.

Der Teil, der Softwarehersteller trifft

Sie sind vielleicht selbst keine Einrichtung im Sinne von NIS-2 und spüren NIS-2 trotzdem jede Woche, denn Ihre Kunden sind es — und Art. 21 macht sie für die Sicherheit ihrer Lieferkette verantwortlich, und dazu gehören Sie.

Deshalb sind die Sicherheitsfragebögen für Lieferanten länger geworden. Nicht, weil Ihr Käufer misstrauisch geworden ist, sondern weil seine eigene Aufsichtsbehörde ihn jetzt fragt, was er über Sie weiß.

Die KI-Verordnung regelt, was die Software entscheidet

Die KI-Verordnung der EU (Verordnung (EU) 2024/1689) erfasst KI-Systeme und verteilt die Pflichten nach Rolle und nach Risikostufe, nicht nach Branche oder Größe.

Ihre Rolle ist meist eine von zweien. Ein Anbieter entwickelt ein KI-System und bringt es unter seinem eigenen Namen in Verkehr. Ein Betreiber verwendet eines in eigener Verantwortung. Die meisten Unternehmen, die ein Modell eines Dritten in ein Produkt einbauen, sind Betreiber dieses Modells und Anbieter des Systems, das sie darum herum gebaut haben — beides zugleich.

Die Stufen reichen von verbotenen Praktiken im KI-Bereich über Hochrisiko-KI-Systeme mit umfangreichen Pflichten und Systeme mit begrenztem Risiko, die vor allem Transparenz schulden, bis zum minimalen Risiko.

Wie der CRA kennt sie keine Ausnahme nach Größe. Als KMU ändert sich ein Teil der Unterstützung, die Sie in Anspruch nehmen können. Eine Pflicht fällt dadurch nicht weg.

Wie sie sich in der Praxis überschneiden

Nehmen Sie ein plausibles Unternehmen: elf Personen, ein vernetztes Produkt zur Zugangskontrolle, verkauft an Krankenhäuser und Logistikunternehmen, mit einer Funktion zur Anomalieerkennung auf Basis eines Modells eines Dritten.

• CRA — Identitäts- und Zugangsverwaltung ist Anhang III, Klasse I. Das Produkt braucht die grundlegenden Anforderungen, eine SBOM, eine Strategie für die Offenlegung von Schwachstellen und eine Konformitätsbewertung, bei der die Tür zur Selbstbewertung nur offensteht, wenn es eine harmonisierte Norm gibt und sie vollständig angewandt wird. Meldepflicht seit September 2026.
• NIS-2 — mit elf Personen ist das Unternehmen fast sicher keine Einrichtung im Sinne der Richtlinie. Seine Kunden, Krankenhäuser und Logistikunternehmen, sind es aber, also trifft es der Artikel zur Lieferkette über Verträge und Fragebögen statt über das Gesetz.
• KI-Verordnung — die Anomalieerkennung ist ein KI-System. Das Unternehmen ist dessen Anbieter. Ob es ein Hochrisiko-KI-System ist, hängt davon ab, was es entscheidet und wo es eingesetzt wird. Mindestens schuldet das Unternehmen KI-Kompetenz nach Art. 4; Transparenzpflichten nach Art. 50 kommen nur hinzu, wenn das System mit Menschen interagiert oder Inhalte erzeugt.

Drei Regelwerke, ein Produkt, ein Team. Keines ersetzt ein anderes, und die Fristen passen nicht zueinander.

Was Sie konkret tun

Bestimmen Sie Ihre Rolle unter jedem Regelwerk, jeweils für sich. Hersteller, Einführer, Händler oder Verwalter quelloffener Software nach dem CRA. Wesentliche Einrichtung, wichtige Einrichtung oder keine von beiden nach NIS-2. Anbieter oder Betreiber nach der KI-Verordnung. Die Rolle bestimmt die Pflichten, und oft wird die falsche angenommen.

Machen Sie die Arbeit einmal, wo sie wirklich dieselbe ist. Ein Verzeichnis der Assets und Abhängigkeiten dient der SBOM-Anforderung des CRA und dem Artikel zur Lieferkette in NIS-2. Ein Prozess für Sicherheitsvorfälle dient den Fristen nach Art. 14 CRA und der 24-Stunden-Meldung nach NIS-2. Protokollierung und Zugriffskontrolle kommen in allen dreien vor. Das sind dieselben Kontrollen, in drei Regelwerken beschrieben, und sie dreimal aufzubauen ist eine Entscheidung, keine Pflicht.

Legen Sie nicht zusammen, was nicht dasselbe ist. Ein Risikomanagementkonzept nach NIS-2 ist keine technische Dokumentation nach dem CRA, und eine Risikobewertung nach der KI-Verordnung ist es auch nicht. Nachweise über Regelwerke hinweg zu teilen ist effizient; so zu tun, als erfülle ein Dokument drei Regelwerke, ist der Weg zu einem schlechten Audit.

Ordnen Sie nach Fristen, nicht nach Sorge. NIS-2 ist bereits in Kraft. Die Meldepflicht des CRA gilt seit dem 11. September 2026. Vollständig gilt der CRA ab dem 11. Dezember 2027. Die Pflichten der KI-Verordnung gelten schrittweise nach eigenem Zeitplan. Was für Sie zuerst kommt, bereiten Sie zuerst vor.

Wo Sie anfangen

Wenn Sie nicht sicher sind, ob der CRA Ihr Produkt überhaupt erfasst, beginnen Sie mit dem Anwendungsbereich — auf dieser Frage bauen die Diskussionen über die anderen beiden auf. Wenn Sie schon wissen, dass er es tut, dauert der kostenlose CRA-Readiness-Check etwa fünf Minuten und sagt Ihnen, wo Sie gegenüber der Pflicht stehen, die seit September 2026 gilt.