CRA und NIS2 — wann gilt was?

Artikel 14 CRA verpflichtet Sie in Ihrer Rolle als Hersteller eines Produkts mit digitalen Elementen: Es geht um Schwachstellen und Vorfälle, die die Sicherheit dieses Produkts betreffen — auch dann, wenn es längst bei Kunden im Einsatz ist.

Die NIS2-Meldepflicht knüpft dagegen an Ihre Rolle als Betreiber einer Einrichtung an, die in den Anwendungsbereich der Richtlinie beziehungsweise ihrer nationalen Umsetzung fällt. Sie fragt nach erheblichen Sicherheitsvorfällen in Ihrem eigenen Betrieb.

Beides kann gleichzeitig zutreffen. Ein Einbruch in Ihre Build-Umgebung, der zu manipulierten Auslieferungen führt, ist ein Betriebsvorfall und zugleich ein Produktvorfall.

Beide Regime arbeiten mit einer Frühwarnung binnen 24 Stunden und einer ausführlicheren Meldung binnen 72 Stunden. Die Ähnlichkeit verführt dazu, eine Meldung für beide zu halten — die Adressaten, die Pflichtinhalte und die Abschlussfristen unterscheiden sich jedoch.

Praktisch heißt das: getrennte Vorgänge führen, auch wenn die Sachverhaltsdarstellung überlappt. Der Meldeassistent bildet ausschließlich den CRA-Pfad ab und trifft bewusst keine automatisierte Aussage darüber, ob zusätzlich eine NIS2-Meldung fällig ist.