Mit dem Cyber Resilience Act (CRA, Verordnung 2024/2847), veröffentlicht im November 2024, hat die EU einen weiteren Pfeiler in ihrem Cybersicherheitsrahmen gesetzt. Für Unternehmen, die gleichzeitig unter NIS2 fallen und vernetzte Hardware oder Software herstellen, gelten ab September 2026 zusätzliche Meldepflichten.
Die wichtigsten CRA-Fristen
- 20. November 2024: CRA im Amtsblatt der EU veröffentlicht
- 11. September 2026: Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (Meldung an ENISA innerhalb von 24 Stunden)
- 11. Dezember 2027: Vollständige Anwendung aller CRA-Anforderungen (Security-by-Design, unterstützte Produktlebenszeiten, CE-Kennzeichnung)
Wo sich NIS2 und CRA überschneiden
Incident Reporting: Beide Regelwerke verlangen 24h-Meldungen – aber an unterschiedliche Behörden: NIS2 an die nationale CSIRT, CRA an ENISA. Das Digital Omnibus Paket soll hier eine einheitliche Meldestelle schaffen.
Supply Chain Security: Sowohl NIS2 als auch der CRA adressieren die Sicherheit in der Lieferkette mit teilweise überlappenden Anforderungen.
Wer besonders betroffen ist: Hersteller von IoT-Geräten, industriellen Steuerungssystemen, vernetzten Medizinprodukten und Maschinensteuerungen.