11 min
NIS2 und CRA ohne Aufregung: Was Sie wissen sollten, wenn Sie eigene Software betreiben
Zusammenfassung
-
Wer eigene Software entwickelt oder betreiben lässt, steht vor zwei Fragen: Fällt das Unternehmen unter NIS2, und fällt das Produkt unter den CRA? Beide Regelwerke können gleichzeitig gelten.
-
NIS2 verpflichtet Organisationen in kritischen und wichtigen Sektoren zu strukturiertem Cybersicherheitsmanagement. Über Vertrags- und Sicherheitsanforderungen geben viele dieser Unternehmen die Pflichten an ihre Software- und Technologiepartner weiter.
-
Der Cyber Resilience Act (CRA) nimmt das Produkt in den Blick und verlangt von Herstellern Security by Design, Risikomanagement über den Lebenszyklus und eine Software Bill of Materials (SBOM).
-
Wer in der Softwareentwicklung bereits auf DevSecOps und ein strukturiertes Risikomanagement setzt, erfüllt viele der geforderten Massnahmen schon heute.
-
Die Fristen nähern sich: Erste CRA-Pflichten greifen ab September 2026, die vollständige Anwendbarkeit folgt im Dezember 2027. Zeit für eine strukturierte Standortbestimmung ist jetzt.
Zwei Regelwerke, ein Ziel
Wer in den letzten Monaten Fachmedien verfolgt hat, ist kaum an NIS2 und CRA vorbeigekommen. Zwei Abkürzungen, viel Diskussion, und bei manchen Verantwortlichen die Frage, ob und wie das eigene Unternehmen oder Produkt betroffen sind. Die kurze Antwort: öfter als gedacht.
Beide Regelwerke verfolgen dasselbe Ziel, nämlich ein robusteres Cybersicherheitsniveau in der EU. Sie setzen aber an unterschiedlichen Stellen an. NIS2 richtet sich an Organisationen und Betreiber kritischer Dienste. Der Cyber Resilience Act (CRA) richtet sich an Hersteller von Produkten mit digitalen Elementen. Für Unternehmen, die eigene Software entwickeln oder betreiben, können beide gleichzeitig gelten.
Hinweis: Dieser Beitrag dient ausschliesslich zu Informationszwecken und stellt keine Rechtsberatung dar. Die hier dargestellten Inhalte beruhen auf einer redaktionellen Auswertung öffentlich zugänglicher Quellen zum Zeitpunkt der Veröffentlichung und können im Einzelfall abweichen. Für die rechtliche Beurteilung Ihres konkreten Sachverhalts empfehlen wir die Konsultation einer fachkundigen Stelle bzw. eine fachjuristische Prüfung.
NIS2
Sicherheit für Organisation und Betrieb
NIS2 ist die überarbeitete Fassung der ursprünglichen EU-Netzwerk- und Informationssicherheitsrichtlinie. Die Richtlinie (EU) 2022/2555 verpflichtet Unternehmen in kritischen und wichtigen Sektoren, darunter Energie, Transport, Gesundheit, Finanzdienstleistungen und digitale Infrastruktur, zu einem strukturierten Cybersicherheitsmanagement.
Was viele unterschätzen: Der Kreis der Betroffenen ist durch einen Lieferketteneffekt erheblich grösser als die direkt regulierten Sektoren. Die Richtlinie verlangt in Artikel 21 ausdrücklich Massnahmen zur Sicherheit der Lieferkette, einschliesslich der Beziehungen zu den eigenen Anbietern und Dienstleistern. Wer als IT-Dienstleister, Softwareentwickler oder Technologiepartner für ein Unternehmen in einem kritischen Sektor tätig ist, kommt damit über Vertragspflichten und Sicherheitsanforderungen der eigenen Kunden ebenfalls in den Einflussbereich von NIS2. Die Anforderungen «wandern» durch die Lieferkette.
Konkret müssen betroffene Unternehmen unter anderem:
- sich bei der zuständigen nationalen Cybersicherheitsbehörde registrieren
- signifikante Sicherheitsvorfälle gestuft melden, mit einer Frühwarnung innerhalb von 24 Stunden und einer Meldung innerhalb von 72 Stunden
- ein dokumentiertes Risikomanagement einrichten
- den Stand der Technik in der IT-Sicherheit nachweislich einhalten
Für das Management gilt zudem: NIS2 adressiert Cybersicherheit ausdrücklich als Führungsaufgabe. Die Leitungsorgane müssen die Risikomanagementmassnahmen billigen und ihre Umsetzung überwachen. Bei Pflichtverletzungen kann die persönliche Verantwortung greifen.
CRA
Sicherheit digitaler Produkte
Der Cyber Resilience Act nimmt eine andere Perspektive ein. Er fragt nicht, wie sicher ein Unternehmen aufgestellt ist, sondern wie sicher ein Produkt ist: Von der sicheren Konzeption, über die erste Zeile Code bis zum Ende des Produktlebenszyklus.
Der Anwendungsbereich der Verordnung (EU) 2024/2847 ist bewusst breit gefasst: Betroffen sind Produkte mit digitalen Elementen, also praktisch alles, was Software enthält oder vernetzt ist, von industriellen Steuerungsanlagen über Webanwendungen bis hin zu vernetzten Geräten im Konsumbereich. Hersteller, Importeure und Händler, die solche Produkte auf dem EU-Markt anbieten, fallen in den Geltungsbereich.
Die Kernanforderungen des CRA in der Übersicht:
Security by Design
Sicherheit muss von Anfang an in das Produkt eingebaut sein, nicht nachträglich aufgesetzt werden.
Risikomanagement über den Lebenszyklus
Schwachstellen müssen identifiziert, bewertet und behoben werden, auch nach der Markteinführung.
Software Bill of Materials (SBOM)
Eine strukturierte Aufstellung der verwendeten Softwarekomponenten und Abhängigkeiten wird zur Pflicht. Der CRA verlangt sie in Anhang I mindestens für die obersten Abhängigkeitsebenen, in einem gängigen, maschinenlesbaren Format.
Meldepflichten
Aktiv ausgenutzte Schwachstellen müssen innerhalb enger Fristen gemeldet werden, über eine zentrale Meldeplattform, die gleichzeitig das zuständige CSIRT und die EU-Cybersicherheitsagentur ENISA erreicht.
Die Fristen: Wo stehen wir?
NIS2 war bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Die Umsetzung läuft in den EU-Mitgliedstaaten unterschiedlich weit, gegen mehrere Staaten hat die EU-Kommission Vertragsverletzungsverfahren eröffnet.
Für Liechtenstein gilt eine eigene Logik. Als Mitglied des Europäischen Wirtschaftsraums (EWR), aber nicht der EU, übernimmt Liechtenstein EWR-relevantes EU-Recht grundsätzlich zeitversetzt, über einen Beschluss des Gemeinsamen EWR-Ausschusses und eine anschliessende nationale Umsetzung. NIS2 und der CRA sind EU-seitig als EWR-relevant markiert, aber zum jetzigen Zeitpunkt noch nicht formell ins EWR-Abkommen übernommen. NIS2 hat Liechtenstein allerdings national bereits vorweggenommen umgesetzt: Das Cyber-Sicherheitsgesetz ist seit dem 1. Februar 2025 in Kraft.
Der CRA ist national noch nicht umgesetzt. Welche Pflichten im konkreten Fall gelten, sollte direkt bei der zuständigen Stabsstelle Cyber-Sicherheit geprüft werden.
Beim CRA sind zwei Daten besonders relevant: Ab dem 11. September 2026 gelten die Meldepflichten für Schwachstellen. Die vollständige Anwendbarkeit der wesentlichen Sicherheitsanforderungen folgt am 11. Dezember 2027.
Das klingt nach ausreichend Zeit. Es ist aber nur dann genug, wenn man jetzt mit einer strukturierten Bestandsaufnahme beginnt. Erfahrungsgemäss brauchen Dokumentation, Gap-Analysen und die Verankerung von Prozessen mehr Zeit als erwartet.
Was das für eigene Softwareprojekte bedeutet
Wer eigene Software entwickelt oder entwickeln lässt, steht vor einer doppelten Frage: Fällt mein Unternehmen unter NIS2? Und fällt mein Produkt unter den CRA?
Beide Fragen lassen sich nicht pauschal beantworten. Entscheidend sind Branche, Unternehmensgrösse, Art des Produkts und der Vertriebsweg. Was man aber sagen kann: Wer heute noch keine strukturierte Antwort darauf hat, sollte sich diese bald verschaffen.
Auf der technischen Seite ist die Nachricht weniger dramatisch, als die regulatorische Diskussion manchmal vermuten lässt. Security by Design, Risikobewertungen, Schwachstellenmanagement, SBOM, das sind keine Neuerfindungen. Es sind Anforderungen, die in professionellen Softwareentwicklungsprozessen längst verankert sein sollten. Der Unterschied: Sie sind nun gesetzlich verbindlich und müssen nachweisbar sein.
Wie wir bei Creasoft damit umgehen
Bei Creasoft begleiten wir Softwareprojekte vom ersten Konzept bis zum laufenden Betrieb. Sicherheit ist dabei kein Punkt am Ende der Checkliste. Mit unserem DevSecOps-Ansatz integrieren wir Sicherheitsüberlegungen von Anfang an in jeden Entwicklungsschritt, von der Architektur über den Code bis zum Deployment.
Unsere ISO 27001:2022-Zertifizierung ist dabei sehr wertvoll. Sie steht für ein dokumentiertes, geprüftes Informationssicherheits-Managementsystem, das die Grundlage für genau jene Prozesse legt, die NIS2 und CRA verlangen: strukturiertes Risikomanagement, klare Verantwortlichkeiten, Incident-Management und eine kontinuierliche Verbesserungskultur.
Das bedeutet für unsere Kunden: Wer mit uns Software entwickelt, baut auf einer Basis auf, die für die regulatorischen Anforderungen gerüstet ist. Bestehende Lücken lassen sich gezielt schliessen, statt alles von Grund auf neu aufzubauen.
Fazit
NIS2 und CRA sind kein Grund zur Panik, aber ein guter Grund, den eigenen Status zu kennen. Wer in der Vergangenheit in sichere Entwicklungsprozesse und ein funktionierendes Risikomanagement investiert hat, merkt bei näherer Betrachtung oft, dass er bereits einen erheblichen Teil der Anforderungen erfüllt. Wer noch nicht so weit ist, hat mit dem CRA-Datum September 2026 eine klare erste Orientierungsmarke.
Die entscheidende Frage ist nicht, ob die Regulierung kommt – sie ist bereits da. Die Frage ist, wie strukturiert man sie angeht.
David Seger
Entwickler und Cyber-Security-Experte