Zwischen 2024 und 2027 hat die Europäische Union drei große Cybersicherheitsgesetze zur Anwendung gebracht. Sie teilen sich das Vokabular, verweisen aufeinander und werden regelmäßig verwechselt. Ein Softwareunternehmen kann unter eines, zwei oder alle drei fallen, je nachdem, was es verkauft und an wen, und die Pflichten verschmelzen nicht; sie stapeln sich.
Hier ist der kürzeste verlässliche Weg, sie auseinanderzuhalten.
Die Einzeiler
NIS2 (Richtlinie (EU) 2022/2555) regelt die Cybersicherheit von Organisationen, die Dienste erbringen, von denen die Gesellschaft abhängt. Sie gilt nach Sektor und Größe. Als Richtlinie musste jeder Mitgliedstaat sie in nationales Recht umsetzen, mit Frist zum 17. Oktober 2024, die mehrere verpasst haben.
DORA (Verordnung (EU) 2022/2554) regelt die IKT-Resilienz des Finanzsektors und der Dienstleister, von denen dieser Sektor abhängt. Sie gilt seit dem 17. Januar 2025 unmittelbar in der ganzen EU.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) regelt die Cybersicherheit von Produkten mit digitalen Elementen, die auf den EU-Markt gebracht werden: Hardware und Software, vom Router bis zur Mobil-App. Er ist am 10. Dezember 2024 in Kraft getreten. Seine Meldepflichten gelten ab dem 11. September 2026, der volle Umfang ab dem 11. Dezember 2027.
Die Unterscheidung, die die meiste Verwirrung auflöst: NIS2 und DORA regeln Organisationen und wie sie arbeiten; der CRA regelt Produkte und wie sie gebaut und gepflegt werden.
Welches Gesetz Sie erreicht
Sie sind in einem gelisteten Sektor tätig und über der Größenschwelle. NIS2. Die Sektoren in Anhang I und II umfassen Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Raumfahrt, Post, Abfall, Chemie, Lebensmittel, Herstellung bestimmter Produkte, digitale Anbieter und Forschung. Die Standardschwelle ist die mittlere Unternehmensgröße: mindestens 50 Beschäftigte oder 10 Millionen Euro Umsatz, wobei manche Einrichtungen unabhängig von der Größe erfasst sind. Den vollständigen Test finden Sie in unserem früheren Leitfaden zum Anwendungsbereich von NIS2.
Sie sind ein Finanzunternehmen. DORA, anstelle von NIS2 für die IKT-Risikoanforderungen. DORA ist lex specialis: Wo ein Finanzunternehmen unter DORA fällt, gelten DORAs Regeln zu IKT-Risikomanagement, Vorfallmeldung und Tests statt derer von NIS2. Beaufsichtigt werden Sie von der Finanzaufsicht, nicht von der Cybersicherheitsbehörde.
Sie liefern IKT-Dienstleistungen an Finanzunternehmen. DORA erreicht Sie über die Verträge Ihrer Kunden, und direkt, wenn Sie als kritischer IKT-Drittdienstleister eingestuft werden. Sie können außerdem selbst unter NIS2 fallen, etwa als Cloud-Anbieter oder Managed-Service-Provider über der Größenschwelle.
Sie stellen Software oder vernetzte Hardware her oder verkaufen sie. Der CRA. Er gilt für Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, mit Ausnahmen für Produkte, die schon sektorales Recht abdeckt (Medizinprodukte, Fahrzeuge, zivile Luftfahrt), und für Open-Source-Software, die außerhalb einer gewerblichen Tätigkeit entwickelt wird. SaaS ist als Produkt weitgehend außerhalb des Anwendungsbereichs, es sei denn, es ist Teil der Fernverarbeitung eines Produkts, aber die Software, die Sie an Kunden ausliefern, ist drin.
Sie sind ein SaaS-Anbieter, der an alle diese verkauft. Möglicherweise NIS2 als digitaler Anbieter oder IKT-Dienstverwalter, DORA über Ihre Finanzkunden und der CRA für jede Client-Software oder On-Premise-Komponente, die Sie verteilen. Das ist der häufige Fall bei B2B-Technologieunternehmen und der Grund, warum die drei Gesetze zusammen betrachtet werden müssen.
Was jedes Gesetz verlangt
NIS2 verlangt Governance und Risikomanagement: einen Maßnahmenkatalog nach Artikel 21 mit Risikoanalyse, Vorfallbehandlung, Geschäftskontinuität, Sicherheit der Lieferkette, sicherer Entwicklung und Schwachstellenbehandlung, Wirksamkeitsbewertung, Cyberhygiene und Schulung, Kryptografie, Personalsicherheit und Zugriffssteuerung sowie Multi-Faktor-Authentifizierung. Leitungsorgane müssen die Maßnahmen genehmigen, überwachen und können persönlich haften. Erhebliche Vorfälle werden dem CSIRT oder der Behörde gemeldet, mit Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Bußgelder reichen bis 10 Millionen Euro oder 2 Prozent des Umsatzes bei wesentlichen Einrichtungen, 7 Millionen Euro oder 1,4 Prozent bei wichtigen.
DORA verlangt dasselbe in strengerer Form und fügt zwei Dinge hinzu, die NIS2 nicht hat: ein verpflichtendes Testprogramm mit bedrohungsorientierten Penetrationstests für bedeutende Unternehmen und ein detailliertes Drittparteienregime mit Informationsregister und Pflichtvertragsklauseln. Die Meldefristen für Vorfälle sind enger, mit einer Erstmeldung innerhalb von vier Stunden nach der Einstufung.
Der CRA verlangt Produkte, die von Grund auf sicher sind: grundlegende Cybersicherheitsanforderungen in Anhang I zu den Eigenschaften des Produkts (keine bekannten ausnutzbaren Schwachstellen bei Auslieferung, sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, Datenminimierung, Resilienz, Protokollierung) und zur Schwachstellenbehandlung des Herstellers (eine SBOM, koordinierte Offenlegung, Sicherheitsupdates für den Unterstützungszeitraum, der mindestens fünf Jahre beträgt, sofern das Produkt nicht kürzer lebt). Produkte werden als Standard, wichtig (Klasse I oder II) oder kritisch eingestuft, was entscheidet, ob eine Selbstbewertung reicht oder ein Dritter prüfen muss. CE-Kennzeichnung, technische Dokumentation und eine EU-Konformitätserklärung folgen. Ab September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb von 24 Stunden nach Kenntnis an die ENISA melden.
Wo sie sich stapeln
Ein Unternehmen kann gleichzeitig wichtige Einrichtung nach NIS2, Dienstleister für DORA-Unternehmen und Hersteller nach dem CRA sein. Die Pflichten heben sich nicht auf, aber die Nachweise überschneiden sich stark. Ein einziges ISMS nach ISO 27001 kann die NIS2-Maßnahmen und den größten Teil des DORA-Risikorahmens tragen. Ein einziger sicherer Entwicklungszyklus kann die Entwicklungsanforderung aus Artikel 21 NIS2, die Testerwartungen von DORA und die Schwachstellenbehandlung des CRA erfüllen. Ein einziger Vorfallprozess mit der engsten Frist (DORAs vier Stunden) erfüllt die anderen.
Der praktische Weg ist, einmal zu mappen. Bauen Sie einen Maßnahmensatz, markieren Sie an jeder Maßnahme den Artikel jedes Gesetzes, dem sie dient, und pflegen Sie einen einzigen Nachweisbestand. Auditoren, die für eines der drei beauftragt werden, akzeptieren ein gut gemapptes integriertes System deutlich lieber als drei parallele, und das Mapping ist selbst ein Nachweis für die Governance, die alle drei Gesetze verlangen.
Was dieses Quartal zu tun ist
Entscheiden Sie schriftlich, mit Begründung, welche Gesetze gelten. Ermitteln Sie für jedes die zuständige Behörde. Prüfen Sie Ihr nationales NIS2-Gesetz auf die Registrierungspflicht, die viele Einrichtungen übersehen haben. Wenn Sie Produkte ausliefern, klassifizieren Sie sie jetzt nach dem CRA; das Meldedatum im September 2026 ist die erste harte Frist, und das Datum im Dezember 2027 verlangt, dass die Produktarbeit dann schon läuft. Und wenn Sie Finanzkunden haben, rechnen Sie mit den DORA-Vertragsklauseln und halten Sie Ihre Antworten bereit.