NIS2 und der Cyber Resilience Act betreffen beide Cybersicherheit. Sie richten sich aber an unterschiedliche Adressaten und verlangen unterschiedliche Nachweise.
NIS2 fragt: Wie widerstandsfähig ist Ihre Organisation gegen Cyberrisiken?
Der CRA fragt: Wie sicher ist Ihr Produkt mit digitalen Elementen über seinen gesamten Lebenszyklus?
Für viele Unternehmen ist die Antwort deshalb nicht „NIS2 oder CRA“, sondern: Welche Anforderungen gelten für unsere Rolle, unsere Produkte und unsere Lieferkette?
| NIS2 | Cyber Resilience Act (CRA) | |
| Wen betrifft es? | Bestimmte kritische und wichtige Einrichtungen sowie Unternehmen in den jeweils erfassten Sektoren | Hersteller, Importeure und Händler von Produkten mit digitalen Elementen |
| Worum geht es? | Schutz der Organisation, ihrer Netz- und Informationssysteme sowie ihrer Betriebsfähigkeit | Sicherheit digitaler Produkte vor dem Inverkehrbringen und während des gesamten Produktlebenszyklus |
| Was steht im Mittelpunkt? | Risikomanagement, Incident Response, Lieferkettensicherheit, Governance und Meldeprozesse | Secure-by-design, Schwachstellenmanagement, Sicherheitsupdates, technische Dokumentation und Konformitätsbewertung |
| Welche Rolle spielt die Lieferkette? | Lieferkettenrisiken und Dienstleister sind Teil des organisatorischen Risikomanagements | Komponenten, Software, Firmware und bekannte Schwachstellen müssen im Produktkontext nachvollziehbar sein |
| Wer trägt Verantwortung? | Die Leitung und das Management der betroffenen Einrichtung | Insbesondere Hersteller des Produkts; je nach Rolle auch Importeure und Händler |
| Was muss nachweisbar sein? | Angemessene Sicherheitsmaßnahmen, Prozesse, Verantwortlichkeiten und Reaktionsfähigkeit | Sicherheitsanforderungen des Produkts, technische Unterlagen, dokumentierte Prozesse und Schwachstellenmanagement |
Wichtige Termine im Überblick
| Termin | Was gilt? | Was Unternehmen jetzt klären sollten |
| 1. August 2025 | Die RED-Cybersicherheitsanforderungen gelten für bestimmte internetfähige Funkanlagen. EN 18031 kann als harmonisierte Normenreihe für den Nachweis relevant sein. | Fällt unser Produkt unter die RED-Cybersicherheitsanforderungen? Liegen technische Dokumentation und passende Nachweise vor? |
| 11. September 2026 | Die CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten. | Wer bewertet Schwachstellen? Wer meldet wann? Welche Produkt-, Komponenten- und Firmwaredaten stehen im Ernstfall sofort zur Verfügung? |
| 20. Januar 2027 | Die EU-Maschinenverordnung 2023/1230 wird anwendbar. | Sind sicherheitsrelevante Software, Daten und Änderungen bei vernetzten Maschinen angemessen geschützt und dokumentiert? |
| 11. Dezember 2027 | Die wesentlichen CRA-Anforderungen werden vollständig anwendbar. | Sind Produktentwicklung, Schwachstellenmanagement, technische Dokumentation und Konformitätsbewertung rechtzeitig vorbereitet? |
Ab dem 11. September 2026 gelten CRA-Meldepflichten. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei betroffenen Produkten mit digitalen Elementen fristgerecht melden. Dafür müssen Verantwortlichkeiten, Meldewege und belastbare Informationen zu betroffenen Produkt-, Software- und Firmwareständen vorhanden sein.
Die erste Frühwarnung muss grundsätzlich innerhalb von 24 Stunden erfolgen, die Hauptmeldung innerhalb von 72 Stunden; weitere Fristen gelten für Abschlussberichte. Die Meldepflichten erfassen auch Produkte, die bereits vor dem 11. Dezember 2027 auf dem EU-Markt bereitgestellt wurden und weiterhin in den CRA-Anwendungsbereich fallen.
BSI TR-03183: praktischer Einstieg in den CRA
Die BSI TR-03183 ist keine zusätzliche gesetzliche Pflicht. Sie ist eine technische Orientierungshilfe des Bundesamts für Sicherheit in der Informationstechnik für Hersteller, die ihre Produkte und Prozesse auf die Anforderungen des Cyber Resilience Act vorbereiten möchten.
Die Richtlinie behandelt insbesondere vier Arbeitsfelder:
- Allgemeine Anforderungen an die Cyber-Resilienz von Produkten
- Software Bills of Materials, kurz SBOM
- Umgang mit Schwachstellenmeldungen
- Konformitätsbewertung durch umfassende Qualitätssicherung
Die BSI TR-03183 schafft keine Konformitätsvermutung und ersetzt nicht die harmonisierten europäischen Normen, die für den CRA maßgeblich werden können. Sie hilft jedoch dabei, frühzeitig sichtbar zu machen, welche Fragen Hersteller für ihre Produkte, Softwarestände und Sicherheitsprozesse strukturiert beantworten müssen.
Was das für die Bauteil-Lieferkette bedeutet
Für Hersteller und Systemintegratoren werden drei Fragen immer wichtiger:
- Welche Software und Firmware befindet sich in welchem Produkt?
- Welche Bauteile und Versionen sind betroffen, wenn eine Schwachstelle bekannt wird?
- Wer kann den Weg von Firmware, Schlüsselmaterial und Bauteil nachvollziehbar dokumentieren?
Eine SBOM beschreibt die Software-Bestandteile eines Produkts. Sie beantwortet jedoch nicht automatisch, wann welche Firmware auf welches physische Bauteil programmiert wurde. Genau hier ergänzt eine belastbare Prozessdokumentation die Produktdokumentation.
Mit btv SEEL® kann die technische Nachweisführung ab der Programmierung unterstützt werden: durch nachvollziehbare Firmware-Transfers, die Zuordnung zu Bauteilen und eine manipulationsgeschützte Dokumentation der relevanten Prozessschritte. Die Verantwortung für das Endprodukt, seine Risikobewertung und seine Konformität bleibt beim Hersteller.
Was NIS2 und CRA gemeinsam haben
Trotz unterschiedlicher Zielrichtungen verlangen beide Regelwerke mehr als einzelne Sicherheitsmaßnahmen. Entscheidend wird, ob Unternehmen Risiken, Verantwortlichkeiten und Abläufe nachvollziehbar beherrschen.
Dazu gehören insbesondere:
- Klar definierte Verantwortlichkeiten für Cybersecurity
- Risikobewertungen entlang von Produkten, Systemen und Lieferketten
- Dokumentierte Prozesse für Schwachstellen, Sicherheitsvorfälle und Änderungen
- Nachvollziehbare Informationen zu eingesetzten Komponenten, Software und Firmware
- Die Fähigkeit, betroffene Produkte, Versionen oder Chargen gezielt zu identifizieren
- Eine belastbare Zusammenarbeit zwischen Entwicklung, Einkauf, Produktion, IT-Sicherheit und Qualitätsmanagement
Für die Elektronik-Lieferkette bedeutet das: Eine Chargennummer allein genügt häufig nicht mehr. Wenn Software, Firmware oder kryptografische Schlüssel relevant sind, muss nachvollziehbar sein, welches Bauteil welchen Stand erhalten hat und unter welchen kontrollierten Bedingungen dieser Prozess stattgefunden hat.
Und wo steht EN 18031?
EN 18031 konkretisiert Cybersicherheitsanforderungen für bestimmte Funkanlagen im Rahmen der europäischen Funkanlagenrichtlinie, kurz RED. Die Normenreihe ist vor allem für internetfähige Funkanlagen relevant und betrifft unter anderem Netzwerkschutz, Schutz personenbezogener Daten und Schutz vor Betrug.
EN 18031 ist deshalb weder ein Ersatz für NIS2 noch für den CRA. Sie ist eine produktrechtliche Anforderung für einen spezifischen Anwendungsbereich. Ein Produkt kann – abhängig von seiner Art, seinen Funktionen und seiner Markteinführung – unter RED/EN 18031, CRA oder mehrere Anforderungen gleichzeitig fallen.
Je nach Branche gelten zusätzliche Anforderungen
NIS2 und CRA bilden den branchenübergreifenden Rahmen. Je nach Produkt, Markt und Rolle in der Lieferkette können weitere Anforderungen hinzukommen.
| Ihre Branche | Zusätzlich relevante Anforderungen | Was das für Sie bedeutet |
| Automobilindustrie | UN ECE R155/R156, IATF 16949, ISO/SAE 21434 | Cybersecurity, Softwareupdates und die technische Nachweisführung müssen über die Lieferkette belastbar zusammenspielen. |
| Maschinenbau & Industrie | EU-Maschinenverordnung 2023/1230, IEC 62443, gegebenenfalls ATEX | Bei vernetzten Maschinen treffen funktionale Sicherheit, Cybersicherheit und sichere Änderungsprozesse unmittelbar zusammen. |
| Telekommunikation | RED / EN 18031, gegebenenfalls NIS2 | Bei vernetzten Funkanlagen stehen Produktsicherheit, sichere Updates und nachvollziehbare Konfigurationen im Fokus. |
| Medizintechnik | MDR/IVDR, IEC 62304, ISO 14971 | Software-Lebenszyklus, Risikomanagement und technische Dokumentation sind eng mit der Produktsicherheit verbunden. |
| Halbleiterindustrie | EU-Dual-Use-Verordnung, REACH/RoHS, gegebenenfalls Anforderungen an Herkunft und Export | Bei bestimmten Komponenten, Technologien oder Zielmärkten können Herkunft, Verwendungszweck und Lieferwege entscheidend sein. |
| Luft- & Raumfahrt | EASA Part-IS, EN 9100 sowie hohe Anforderungen an Entwicklungs- und Änderungsnachweise | Informationssicherheit, Konfigurationsmanagement und die sichere Steuerung von Änderungen sind sicherheitskritisch. |
| Rüstungsindustrie | EU-Dual-Use-Verordnung, Exportkontrolle, Geheimschutz- und Informationssicherheitsvorgaben | Sensible Technologie, Zugriffsrechte, Empfänger und Lieferwege müssen besonders kontrolliert und dokumentiert werden. |
| EMS | IPC-Standards, REACH/RoHS sowie kundenspezifische Qualitäts- und Rückverfolgbarkeitsanforderungen | Material-Compliance, Fertigungsqualität und dokumentierte Prozessschritte sind häufig Voraussetzung für die F |
Nicht jede Anforderung gilt automatisch für jedes Unternehmen einer Branche. Maßgeblich sind Produktart, technischer Funktionsumfang, Absatzmarkt und die eigene Rolle – etwa als Hersteller, Importeur, Lieferant, Betreiber oder Dienstleister.
Die EU-Maschinenverordnung ist dabei für den Maschinenbau besonders relevant: Sie ersetzt die bisherige Maschinenrichtlinie und gilt grundsätzlich ab dem 20. Januar 2027. Sie enthält Anforderungen zum Schutz vor Korruption und zur Sicherheit sicherheitsrelevanter Software und Daten.
Für Medizinprodukte adressiert die MDR Informations- und IT-Sicherheit ausdrücklich in ihren grundlegenden Sicherheits- und Leistungsanforderungen; die MDCG-Leitlinie 2019-16 Rev. 1 unterstützt Hersteller bei der Einordnung von Cybersecurity über den Produktlebenszyklus.
Was das für Ihre Bauteile bedeutet
Regulatorische Anforderungen entstehen nicht erst beim fertigen Endprodukt. Sie beginnen dort, wo Komponenten beschafft, gelagert, programmiert, geprüft, verarbeitet und für die Produktion bereitgestellt werden.
Die entscheidende Frage lautet deshalb nicht nur: „Ist unser Produkt sicher?“ Sie lautet auch: „Können wir im Bedarfsfall belegen, welche Komponente wann, mit welcher Firmware und unter welchen kontrollierten Bedingungen verarbeitet wurde?“
Eine belastbare Grundlage dafür umfasst:
- Eindeutige Identifikation von Bauteilen, Chargen und Lieferquellen
- Dokumentation von Firmware-Versionen und Programmierzeitpunkten
- Kontrollierte Übergaben von Firmware und Schlüsselmaterial
- Nachvollziehbare Änderungen entlang der Prozesskette
- Schnelle Eingrenzung betroffener Komponenten bei Schwachstellen oder Rückrufen
- Sicher gelagerte Komponenten mit dokumentierter Verfügbarkeit und Herkunft
btv verbindet diese Anforderungen mit Leistungen entlang der Elektronik-Lieferkette: von strategischer Bevorratung und Langzeitlagerung über Programmierung, Prüfung und Verpackung bis zur dokumentierten Bereitstellung für die Fertigung. So entstehen nicht nur Bauteile für die Linie, sondern nachvollziehbare Prozessdaten für Qualität, Sicherheit und Compliance.
Mehr zu btv TAK®
Mehr zu btv SEEL®
Mehr zu Long-Term Storage
Mehr zu Component Services
Häufige Fragen zu NIS2 und CRA
Die BSI TR-03183 ist eine technische Orientierungshilfe für die Vorbereitung auf den CRA. Sie ist kein zusätzliches Gesetz und schafft keine Konformitätsvermutung. Sie hilft Herstellern jedoch dabei, Anforderungen an Cyber-Resilienz, SBOM, Schwachstellenmanagement und Qualitätssicherung praktisch zu strukturieren.
btv übernimmt nicht die rechtliche Konformitätsbewertung des Endprodukts. Mit btv SEEL® kann btv jedoch die technische Nachweisführung ab der Programmierung unterstützen – etwa durch dokumentierte Firmware-Transfers, nachvollziehbare Zuordnung zu Bauteilen und manipulationsgeschützte Prozessdokumentation. Das schafft eine belastbare Grundlage für technische Dokumentation, Änderungsmanagement, Schwachstellenbewertung und gezielte Rückrufprozesse.
Technische Nachweisführung früh mitdenken
Je später fehlende Traceability, Firmware-Dokumentation oder Prozessnachweise auffallen, desto aufwendiger wird ihre Rekonstruktion. Wer diese Informationen schon bei Beschaffung, Programmierung und Bereitstellung strukturiert erfasst, schafft die Grundlage für schnellere Audits, gezieltere Reaktionen und belastbarere Lieferketten.
Sprechen Sie mit uns darüber, welche Nachweise Ihre Produkte, Bauteile und Prozesse heute bereits liefern – und welche Informationen für Ihre künftigen Anforderungen noch fehlen.
