NIS2 und der Cyber Resilience Act betreffen beide Cybersicherheit. Sie richten sich aber an unterschiedliche Adressaten und verlangen unterschiedliche Nachweise.
NIS2 fragt: Wie widerstandsfähig ist Ihre Organisation gegen Cyberrisiken?
Der CRA fragt: Wie sicher ist Ihr Produkt mit digitalen Elementen über seinen gesamten Lebenszyklus?
Für viele Unternehmen ist die Antwort deshalb nicht „NIS2 oder CRA“, sondern: Welche Anforderungen gelten für unsere Rolle, unsere Produkte und unsere Lieferkette?
| NIS2 | Cyber Resilience Act (CRA) | |
| Wen betrifft es? | Bestimmte kritische und wichtige Einrichtungen sowie Unternehmen in den jeweils erfassten Sektoren | Hersteller, Importeure und Händler von Produkten mit digitalen Elementen |
| Worum geht es? | Schutz der Organisation, ihrer Netz- und Informationssysteme sowie ihrer Betriebsfähigkeit | Sicherheit digitaler Produkte vor dem Inverkehrbringen und während des gesamten Produktlebenszyklus |
| Was steht im Mittelpunkt? | Risikomanagement, Incident Response, Lieferkettensicherheit, Governance und Meldeprozesse | Secure-by-design, Schwachstellenmanagement, Sicherheitsupdates, technische Dokumentation und Konformitätsbewertung |
| Welche Rolle spielt die Lieferkette? | Lieferkettenrisiken und Dienstleister sind Teil des organisatorischen Risikomanagements | Komponenten, Software, Firmware und bekannte Schwachstellen müssen im Produktkontext nachvollziehbar sein |
| Wer trägt Verantwortung? | Die Leitung und das Management der betroffenen Einrichtung | Insbesondere Hersteller des Produkts; je nach Rolle auch Importeure und Händler |
| Was muss nachweisbar sein? | Angemessene Sicherheitsmaßnahmen, Prozesse, Verantwortlichkeiten und Reaktionsfähigkeit | Sicherheitsanforderungen des Produkts, technische Unterlagen, dokumentierte Prozesse und Schwachstellenmanagement |
BSI TR-03183: praktischer Einstieg in den CRA
Die BSI TR-03183 ist keine zusätzliche gesetzliche Pflicht. Sie ist eine technische Orientierungshilfe des Bundesamts für Sicherheit in der Informationstechnik für Hersteller, die ihre Produkte und Prozesse auf die Anforderungen des Cyber Resilience Act vorbereiten möchten.
Die Richtlinie behandelt insbesondere vier Arbeitsfelder:
- Allgemeine Anforderungen an die Cyber-Resilienz von Produkten
- Software Bills of Materials, kurz SBOM
- Umgang mit Schwachstellenmeldungen
- Konformitätsbewertung durch umfassende Qualitätssicherung
Die BSI TR-03183 schafft keine Konformitätsvermutung und ersetzt nicht die harmonisierten europäischen Normen, die für den CRA maßgeblich werden können. Sie hilft jedoch dabei, frühzeitig sichtbar zu machen, welche Fragen Hersteller für ihre Produkte, Softwarestände und Sicherheitsprozesse strukturiert beantworten müssen.
Was das für die Bauteil-Lieferkette bedeutet
Für Hersteller und Systemintegratoren werden drei Fragen immer wichtiger:
- Welche Software und Firmware befindet sich in welchem Produkt?
- Welche Bauteile und Versionen sind betroffen, wenn eine Schwachstelle bekannt wird?
- Wer kann den Weg von Firmware, Schlüsselmaterial und Bauteil nachvollziehbar dokumentieren?
Eine SBOM beschreibt die Software-Bestandteile eines Produkts. Sie beantwortet jedoch nicht automatisch, wann welche Firmware auf welches physische Bauteil programmiert wurde. Genau hier ergänzt eine belastbare Prozessdokumentation die Produktdokumentation.
Mit btv SEEL® kann die technische Nachweisführung ab der Programmierung unterstützt werden: durch nachvollziehbare Firmware-Transfers, die Zuordnung zu Bauteilen und eine manipulationsgeschützte Dokumentation der relevanten Prozessschritte. Die Verantwortung für das Endprodukt, seine Risikobewertung und seine Konformität bleibt beim Hersteller.
Was NIS2 und CRA gemeinsam haben
Trotz unterschiedlicher Zielrichtungen verlangen beide Regelwerke mehr als einzelne Sicherheitsmaßnahmen. Entscheidend wird, ob Unternehmen Risiken, Verantwortlichkeiten und Abläufe nachvollziehbar beherrschen.
Dazu gehören insbesondere:
- Klar definierte Verantwortlichkeiten für Cybersecurity
- Risikobewertungen entlang von Produkten, Systemen und Lieferketten
- Dokumentierte Prozesse für Schwachstellen, Sicherheitsvorfälle und Änderungen
- Nachvollziehbare Informationen zu eingesetzten Komponenten, Software und Firmware
- Die Fähigkeit, betroffene Produkte, Versionen oder Chargen gezielt zu identifizieren
- Eine belastbare Zusammenarbeit zwischen Entwicklung, Einkauf, Produktion, IT-Sicherheit und Qualitätsmanagement
Für die Elektronik-Lieferkette bedeutet das: Eine Chargennummer allein genügt häufig nicht mehr. Wenn Software, Firmware oder kryptografische Schlüssel relevant sind, muss nachvollziehbar sein, welches Bauteil welchen Stand erhalten hat und unter welchen kontrollierten Bedingungen dieser Prozess stattgefunden hat.
Und wo steht EN 18031?
EN 18031 konkretisiert Cybersicherheitsanforderungen für bestimmte Funkanlagen im Rahmen der europäischen Funkanlagenrichtlinie, kurz RED. Die Normenreihe ist vor allem für internetfähige Funkanlagen relevant und betrifft unter anderem Netzwerkschutz, Schutz personenbezogener Daten und Schutz vor Betrug.
EN 18031 ist deshalb weder ein Ersatz für NIS2 noch für den CRA. Sie ist eine produktrechtliche Anforderung für einen spezifischen Anwendungsbereich. Ein Produkt kann – abhängig von seiner Art, seinen Funktionen und seiner Markteinführung – unter RED/EN 18031, CRA oder mehrere Anforderungen gleichzeitig fallen.
→ EN 18031 erklärt: Die unterschätzte, schon geltende Pflicht
Je nach Branche gelten zusätzliche Anforderungen
NIS2 und CRA bilden den branchenübergreifenden Rahmen. Je nach Produkt, Markt und Rolle in der Lieferkette können weitere Anforderungen hinzukommen.
| Ihre Branche | Zusätzlich relevante Anforderungen | Was das für Sie bedeutet |
| Automobilindustrie | UN ECE R155/R156, IATF 16949, ISO/SAE 21434 | Cybersecurity, Updates und Bauteilherkunft müssen über die Lieferkette belastbar dokumentiert sein. |
| Maschinenbau & Industrie | EU-Maschinenverordnung 2023/1230, IEC 62443 | Für vernetzte Maschinen treffen Cybersecurity und funktionale Sicherheit direkt zusammen. |
| Telekommunikation | RED / EN 18031, ggf. NIS2 | Bei vernetzten Funkanlagen stehen sichere Produkte und nachvollziehbare Updates im Fokus. |
| Medizintechnik | MDR/IVDR, IEC 62304, ISO 14971 | Technische Dokumentation, Risikomanagement und sichere Software-Lebenszyklen gehören zusammen. |
| Halbleiter & Rüstung | EU-Dual-Use-Verordnung, REACH/RoHS, ggf. Geheimschutz | Herkunft, Verwendungszweck und Lieferwege können regulatorisch entscheidend sein. |
| Luft- & Raumfahrt | EASA Part-IS, EN 9100 | Informationssicherheit, Konfigurationsmanagement und Änderungsnachweise sind sicherheitskritisch. |
| EMS | IPC-Standards, REACH/RoHS, Kundenanforderungen | Prozesssicherheit und Rückverfolgbarkeit müssen sich bis zur einzelnen Fertigungsstufe nachweisen lassen. |
Nicht jede Anforderung gilt automatisch für jedes Unternehmen einer Branche. Maßgeblich sind Produktart, technischer Funktionsumfang, Absatzmarkt und die eigene Rolle – etwa als Hersteller, Importeur, Lieferant, Betreiber oder Dienstleister.
Die EU-Maschinenverordnung ist dabei für den Maschinenbau besonders relevant: Sie ersetzt die bisherige Maschinenrichtlinie und gilt grundsätzlich ab dem 20. Januar 2027. Sie enthält Anforderungen zum Schutz vor Korruption und zur Sicherheit sicherheitsrelevanter Software und Daten.
Für Medizinprodukte adressiert die MDR Informations- und IT-Sicherheit ausdrücklich in ihren grundlegenden Sicherheits- und Leistungsanforderungen; die MDCG-Leitlinie 2019-16 Rev. 1 unterstützt Hersteller bei der Einordnung von Cybersecurity über den Produktlebenszyklus.
Was das für Ihre Bauteile bedeutet
Für vernetzte Produkte und kritische Lieferketten wird eine Frage immer wichtiger: Können Sie nachweisen, wer eine Firmware wann auf ein Bauteil aufgespielt hat?
btv SEEL® dokumentiert Programmierung, Zertifikatsvergabe und Rückverfolgbarkeit auf Chipebene. Die Konformität Ihres Endprodukts bleibt bei Ihnen; der Audit-Trail liefert die Nachweise, die Sie ab der Programmierung benötigen.
