Cyber Resilience Act & NIS-2 – Was bis 2027 auf KMU zukommt

Mit dem Cyber Resilience Act (CRA), der Verordnung (EU) 2024/2847, und der NIS-2-Richtlinie, in Deutschland umgesetzt im BSIG seit 6. Dezember 2025, verschärft die Europäische Union die Anforderungen an viele Unternehmen deutlich – auch an kleine und mittlere Unternehmen (KMU). Der CRA ist seit 10. Dezember 2024 in Kraft; seine Meldepflichten gelten seit 11. September 2026, die übrigen Anforderungen ab 11. Dezember 2027. Ziel ist es, digitale Produkte sicherer zu machen, die Meldepflichten bei Cybervorfällen zu vereinheitlichen und die Cyber-Resilienz der europäischen Wirtschaft insgesamt zu stärken. Für betroffene KMU bedeutet das: Informationssicherheit wird zur gesetzlichen Verpflichtung, nicht mehr zur freiwilligen Maßnahme.

Warum neue Regeln nötig wurden

Die Zahl der Cyberangriffe in Europa ist in den letzten Jahren stark gestiegen. Besonders betroffen sind Unternehmen ohne eigenes IT-Sicherheitsteam. Viele Angriffe bleiben unentdeckt oder werden zu spät gemeldet, wodurch Schadensausmaß und Folgekosten steigen. Die EU reagiert darauf mit verbindlichen Sicherheitsstandards, die für alle Mitgliedsstaaten gelten.
NIS-2 erweitert die bisherige Richtlinie NIS-1 deutlich: Sie umfasst nun mehr Branchen und verlangt strengere organisatorische und technische Schutzmaßnahmen. Der Cyber Resilience Act ergänzt diese Vorgaben um konkrete Anforderungen an Produkte mit digitalen Elementen.

NIS-2 im Überblick

Die NIS-2-Richtlinie („Network and Information Security Directive 2“) verpflichtet Einrichtungen bestimmter Sektoren, ein systematisches Sicherheitsmanagement zu etablieren. Betroffen sind nicht nur große Betreiber kritischer Infrastrukturen, sondern auch viele mittlere Unternehmen ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Dazu gehören etwa Anbieter digitaler Dienste und verwalteter IT-Dienste, Energieversorger, Transport- und Gesundheitsunternehmen, aber auch Teile der Fertigungsindustrie.

Die zentralen Anforderungen nach dem BSIG sind:

• Einführung angemessener technischer und organisatorischer Maßnahmen zum Schutz von IT-Systemen (§ 30 BSIG)
• Verantwortung der Geschäftsleitung für Umsetzung und Überwachung der Maßnahmen sowie regelmäßige Schulung der Geschäftsleitung (§ 38 BSIG); die Benennung eines Informationssicherheitsbeauftragten ist in der Praxis empfehlenswert
• regelmäßige Risikoanalysen und Sicherheitsbewertungen
• Meldung erheblicher Sicherheitsvorfälle an das BSI: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens nach einem Monat (§ 32 BSIG)
• Registrierung beim BSI (§ 33 BSIG)
• Nachweis geeigneter Schulungen und Sensibilisierungsmaßnahmen

Die Pflichten gelten in Deutschland seit dem 6. Dezember 2025; eine Übergangsfrist gibt es nicht. Betroffene Einrichtungen mussten sich bis 6. März 2026 beim BSI registrieren. Aufsichtsbehörde ist das BSI; es ist befugt, Kontrollen durchzuführen und Verstöße zu ahnden.

Der Cyber Resilience Act (CRA)

Während NIS-2 organisatorische Strukturen betrifft, richtet sich der CRA an Hersteller, Einführer und Händler von Produkten mit digitalen Elementen – also von Hard- und Software, die auf dem EU-Markt bereitgestellt wird, einschließlich vernetzter Geräte (IoT). Reine IT-Dienstleistungen fallen nicht unter den CRA, sondern gegebenenfalls unter NIS-2.
Ziel ist es, Sicherheitslücken bereits im Entwicklungsprozess zu vermeiden. Hersteller müssen nachweisen, dass ihre Produkte während des festgelegten Unterstützungszeitraums sicher sind, Updates erhalten und bekannte Schwachstellen behoben werden.

Konkret fordert der CRA:

• sichere Entwicklungsprozesse („Security by Design“)
• klare Dokumentation von Sicherheitsfunktionen
• kontinuierliches Schwachstellenmanagement
• seit 11. September 2026: Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle über die einheitliche Meldeplattform (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht)
• CE-Kennzeichnung als Nachweis der Konformität (ab 11. Dezember 2027)

Damit rückt Cybersicherheit auf dieselbe Ebene wie Produktqualität oder Arbeitsschutz.

Was KMU jetzt tun sollten

Viele KMU unterschätzen, dass sie über vertragliche Abhängigkeiten mittelbar von den neuen Vorgaben betroffen sind. Wer Software, IT-Dienste oder digitale Komponenten an regulierte Unternehmen liefert, muss damit rechnen, dass diese – gestützt auf ihre Pflicht zur Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG) – vertraglich Sicherheitsnachweise verlangen.
Daher sollten Unternehmen schon jetzt:

• Verantwortlichkeiten und Rollen im Bereich Informationssicherheit festlegen
• bestehende Sicherheitsmaßnahmen dokumentieren und mit den Anforderungen des BSIG abgleichen
• eine Risikoanalyse durchführen und Handlungslücken schließen
• Vorbereitungen für ein ISMS (z. B. nach ISO/IEC 27001:2022 einschließlich Amd 1:2024) treffen
• Verträge mit Kunden und Lieferanten prüfen und ggf. anpassen

Ein frühzeitiges Vorgehen vermeidet Zeitdruck und Bußgelder. Bei Verstößen drohen Geldbußen: nach dem BSIG bis 10 Mio. Euro (besonders wichtige Einrichtungen) bzw. 7 Mio. Euro (wichtige Einrichtungen), bei mehr als 500 Mio. Euro Gesamtumsatz bis 2 % bzw. 1,4 % des weltweiten Umsatzes; nach dem CRA bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Ein Beispiel

Ein mittelständischer Softwareanbieter stellt fest, dass seine Produkte unter den CRA fallen werden. Er führt einen geregelten Sicherheits- und Patchmanagement-Prozess ein, erfasst die verwendeten Komponenten und richtet einen Meldeweg für Schwachstellen ein. So kann er die Meldepflichten seit September 2026 erfüllen und hat bis zur vollen Geltung des CRA im Dezember 2027 Zeit, die übrigen Anforderungen und die Konformitätsbewertung vorzubereiten.

NIS-2 und CRA als Chance

Auch wenn die neuen Regelungen zunächst Aufwand bedeuten, bieten sie KMU die Möglichkeit, ihre Informationssicherheit strukturiert zu verbessern. Wer frühzeitig handelt, stärkt Vertrauen bei Kunden, Partnern und Behörden. Zudem kann die Einhaltung der Vorgaben zum Qualitätsmerkmal werden – insbesondere in Ausschreibungen oder bei internationalen Kooperationen.

Fazit

Die europäische Cybersicherheitsgesetzgebung tritt in eine neue Phase ein. NIS-2 und der Cyber Resilience Act machen Informationssicherheit für viele Unternehmen zur Rechtspflicht: NIS-2 für Einrichtungen bestimmter Sektoren ab mittlerer Größe, der CRA für Hersteller, Einführer und Händler digitaler Produkte. Andere Unternehmen sind häufig mittelbar über Lieferketten- und Vertragsanforderungen betroffen. Für KMU gilt: Jetzt ist der richtige Zeitpunkt, um Strukturen aufzubauen, Verantwortlichkeiten zu definieren und Prozesse an die neuen Anforderungen anzupassen. Wer vorbereitet ist, schützt nicht nur seine Systeme, sondern sichert langfristig seine Wettbewerbsfähigkeit.

Ihr nächster Schritt

Gern prüfen wir mit Ihnen, ob Ihr Unternehmen unter NIS-2 oder den Cyber Resilience Act fällt und welche Schritte bis zur vollen Geltung des CRA am 11. Dezember 2027 nötig sind. Von der Risikoanalyse bis zur Dokumentation begleiten wir Sie praxisnah.

Eine erste Einschätzung zu NIS-2 bietet die Betroffenheitsprüfung des BSI: https://betroffenheitspruefung-nis-2.bsi.de/