Am 11. September 2026 greifen die Meldepflichten des Cyber Resilience Act, kurz CRA, der EU-Verordnung für die Sicherheit digitaler Produkte. Ab diesem Datum müssen Hersteller digitaler Produkte aktiv ausgenutzte Schwachstellen melden. Bei den meisten Sicherheitsverantwortlichen steht der CRA jedoch weit hinten auf der Prioritätenliste. Vor ihm rangieren die NIS2-Richtlinie für die Cybersicherheit kritischer und wichtiger Einrichtungen, deren Durchsetzung in Deutschland im Oktober beginnt, und DORA, der Digital Operational Resilience Act für die digitale Widerstandsfähigkeit des Finanzsektors, der seit Januar 2025 gilt und jetzt in den ersten echten Aufsichtszyklus eintritt. Wer den CRA als reines Herstellerthema abtut, übersieht, dass er über die Lieferkette praktisch jedes regulierte Unternehmen erreicht.
Vier Gesetze, ein Zeitfenster
Der eigentliche Punkt ist die Kollision, nicht das einzelne Gesetz. Vier EU-Regulierungen greifen 2026 gleichzeitig. NIS2 für Netzwerksicherheit. DORA für Finanzstabilität. Der AI Act, die EU-Verordnung für den Einsatz künstlicher Intelligenz, für KI-Governance, mit Sanktionen für Hochrisiko-Systeme seit August. Der Cyber Resilience Act für Produktsicherheit. Der teure Fehler, den man in der Praxis beobachtet, ist die Behandlung jeder Regulierung als separates Compliance-Silo. Das verdreifacht den Aufwand und erzeugt Widersprüche.
Das offensichtlichste Beispiel sind die Meldefristen. NIS2 verlangt eine Meldung binnen 24 Stunden, DORA binnen 4 Stunden für schwerwiegende Vorfälle in der Informations- und Kommunikationstechnik. Wer zwei getrennte Meldeprozesse betreibt, verzögert am Ende beide. Ein einziger Sicherheitsvorfall mit einem KI-System im Finanzsektor kann drei Meldepflichten parallel auslösen.
Warum der Cyber Resilience Act die Schweiz betrifft
Für Schweizer Unternehmen ist der Punkt besonders relevant, weil viele annehmen, das betreffe sie nicht. Ein Schweizer Unternehmen mit EU-Geschäft, mit Kunden im regulierten Sektor oder als Zulieferer in einer europäischen Lieferkette wird über die Drittparteien-Anforderungen von NIS2 und DORA erfasst. Auch ohne selbst direkt reguliert zu sein.
Was Sie jetzt tun sollten
Statt drei Projekte aufzusetzen, sollten Unternehmen die überlappenden Anforderungen einmal sauber kartieren. Risikomanagement, Vorfallmeldung und Drittparteien-Aufsicht sind in allen vier Regulierungen die gemeinsamen Nenner. Wer die schärfste Frist aus DORA als gemeinsamen Standard nimmt, erfüllt die anderen automatisch mit. Der konkrete nächste Schritt für diese Woche: einen einzigen Vorfall-Meldeprozess definieren, der alle vier Fristen und Empfänger abdeckt.
Korrektur vom 9. Oktober 2026
- AI Act: Die Pflichten für Hochrisiko-Systeme gelten nicht seit August 2026. Mit dem Digital Omnibus, den der Rat am 30. Juni 2026 angenommen hat, gelten sie für eigenständige Hochrisiko-Systeme ab 2. Dezember 2027 und für in Produkte eingebettete Systeme ab 2. August 2028.
- NIS2 in Deutschland: Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Die Pflichten gelten seither und beginnen nicht erst im Oktober 2026.
- Meldefristen: Ein gemeinsamer Meldeprozess bleibt sinnvoll. Die kürzeste Frist erfüllt die übrigen Pflichten aber nicht automatisch: Auslöser, Schwellenwerte, Empfänger und Inhalte unterscheiden sich. Der CRA knüpft an aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle beim Produkt an, nicht an Vorfälle im eigenen Betrieb.
- Schweiz: Schweizer Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen, fallen direkt unter den CRA, unabhängig von NIS2 und DORA.
Quellen: Verordnung (EU) 2024/2847 · Scheja & Partners: Digital Omnibus · Dr. Datenschutz: NIS2 in Kraft
Autor
Dieser Beitrag stammt von Martin Bischoff, Interim CIO/CISO für regulierte Organisationen in der DACH-Region und Herausgeber von STOP.LI. Für die Umsetzung von Governance-, Turnaround- und Transformationsmandaten steht seine Gesellschaft 4T2 Solutions GmbH zur Verfügung.
Comments are closed