Praxisfall
NIS2 und Cyber Resilience Act
NIS2 und Cyber Resilience Act umsetzen
Wir machen dein Unternehmen meldefähig und nachweisbar sicher – mit klarer Betroffenheitsprüfung, durchgehendem Sicherheitsbetrieb auf Google Security Operations und Nachweisen, die im laufenden Betrieb entstehen.
- Betroffenheit und Pflichten klären
- Meldefähigkeit rund um die Uhr
- Nachweise im laufenden Betrieb statt Ordnerarbeit
Was gilt seit wann?
- 10. Dezember 2024
Cyber Resilience Act in Kraft
Die Verordnung (EU) 2024/2847 gilt unmittelbar in allen EU-Staaten; ihre Pflichten greifen gestaffelt.
- 6. Dezember 2025
NIS2 gilt in Deutschland
Das NIS2-Umsetzungsgesetz und das neu gefasste BSI-Gesetz sind in Kraft (BGBl. 2025 I Nr. 301). Meldepflichten und Risikomanagement gelten seitdem.
- 11. September 2026
CRA-Meldepflichten
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle ihrer Produkte melden (Art. 71 CRA).
- 11. Dezember 2027
CRA vollständig
Sicherheitsanforderungen an Produkte mit digitalen Elementen und CE-Kennzeichnung gelten (Art. 71 CRA).
Stand November 2026. Diese Übersicht ersetzt keine Rechtsberatung.
NIS2 oder CRA – was betrifft dich?
NIS2 – betrifft deinen Betrieb
Gilt für wichtige und besonders wichtige Einrichtungen in festgelegten Sektoren, etwa Energie, Gesundheit, Transport, digitale Dienste oder die Produktion bestimmter Güter. Im Kern: Risikomanagement, Registrierung beim BSI, Meldung erheblicher Sicherheitsvorfälle und Verantwortung der Geschäftsleitung.
Erstmeldung spätestens 24 Stunden nach Kenntnis, Meldung mit erster Bewertung nach 72 Stunden (§ 32 BSIG).
Cyber Resilience Act – betrifft deine Produkte
Gilt für Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, also vernetzter Hardware und Software, die in der EU auf den Markt kommt. Im Kern: Sicherheit über den gesamten Lebenszyklus, Schwachstellenmanagement, Meldepflichten und CE-Kennzeichnung.
Seit 11. September 2026 sind aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden; die übrigen Pflichten gelten ab 11. Dezember 2027.
Viele Unternehmen trifft beides: als Betreiber kritischer Abläufe und als Hersteller vernetzter Produkte, etwa im Maschinen- und Anlagenbau.
Vorgehen
So setzen wir NIS2 und CRA um
Compliance entsteht nicht durch ein Dokument, sondern durch einen Betrieb, der funktioniert. Wir klären zuerst, welche Pflichten für dich gelten, schließen dann die technischen und organisatorischen Lücken und üben die Meldekette, bevor es ernst wird.
01
Betroffenheit prüfen
Sektor, Größe und Produkte einordnen: Gilt NIS2, der CRA oder beides? Ergebnis: deine Pflichten auf einer Seite.
02
Lücken analysieren
Bestehende Maßnahmen gegen die Anforderungen abgleichen: Risikomanagement, Erkennung, Meldewege, Lieferkette, Schwachstellenmanagement.
03
Maßnahmen umsetzen
Zentrale Erkennung auf Google Security Operations, Härtung der Cloud-Umgebung, Rollen und Verantwortlichkeiten.
04
Meldekette üben
Ein simulierter Vorfall von der Erkennung bis zur Meldung, mit benannten Rollen und Vertretungen.
05
Betrieb und Nachweis
Durchgehende Überwachung als Managed Service, regelmäßige Berichte und Nachweise, die im laufenden Betrieb entstehen.
Welche Technik wir einsetzen
Google Security Operations
Zentrale Erkennung und Reaktion über alle Systeme, mit KI-gestützter Auswertung durch Gemini.
Mandiant Threat Intelligence
Aktuelle Erkenntnisse zu Angreifern und Schwachstellen fließen direkt in die Erkennung ein.
Security Command Center
Überblick über Risiken, Fehlkonfigurationen und Schwachstellen in der Google-Cloud-Umgebung.
Datenhaltung in der EU
Sicherheitsdaten werden in europäischen Regionen gespeichert.
Erkennung und Meldung als Managed Service: Managed SOC mit Google SecOps →
Mehr zur Datenhaltung in der EU: Souveräne Cloud mit Google →
Aus der Praxis: NIS2 bei Stadtwerken
Wie ein regionaler Energieversorger mit rund 350 Mitarbeitenden und sechs Personen in der IT durchgehenden Sicherheitsbetrieb aufbaut, ohne ein eigenes SOC einzurichten.
Kostenlos starten
Der erste Schritt kostet nichts
Wir prüfen deine Umgebung rein lesend und zeigen dir in einem Ergebnisbericht, wo du ansetzen solltest – kostenlos und unverbindlich.
Klär in 30 Minuten, welche Pflichten für euch gelten
- Einordnung NIS2 und CRA für euer Unternehmen
- Erste Einschätzung zu Lücken und Aufwand
- Nächste Schritte
Häufig gestellte Fragen
Betroffen sind wichtige und besonders wichtige Einrichtungen in festgelegten Sektoren, etwa Energie, Gesundheit, Transport, digitale Infrastruktur oder bestimmte Bereiche der Produktion. Entscheidend sind Sektor und Unternehmensgröße, in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz (laut BSI). Wir prüfen die Einordnung gemeinsam mit dir; die rechtliche Bewertung im Einzelfall gehört zu deinem Rechtsbeistand.
Seit 6. Dezember 2025. An diesem Tag ist das NIS2-Umsetzungsgesetz in Kraft getreten; die Pflichten stehen im neu gefassten BSI-Gesetz.
Ein erheblicher Sicherheitsvorfall ist spätestens 24 Stunden nach Kenntnis erstmals zu melden. Spätestens nach 72 Stunden folgt eine Meldung mit erster Bewertung, einen Monat danach eine Abschlussmeldung (§ 32 BSIG).
NIS2 regelt die Cybersicherheit von Unternehmen und ihrem Betrieb. Der Cyber Resilience Act regelt die Cybersicherheit von Produkten mit digitalen Elementen, die in der EU verkauft werden. Wer vernetzte Produkte herstellt und zugleich unter NIS2 fällt, muss beides erfüllen.
Die Verordnung ist seit 10. Dezember 2024 in Kraft. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gelten seit 11. September 2026, die übrigen Pflichten ab 11. Dezember 2027.
Nicht zwingend. Entscheidend ist, dass Vorfälle zuverlässig erkannt und fristgerecht gemeldet werden – auch nachts und am Wochenende. Viele Unternehmen lösen das mit einem SOC als Managed Service statt mit eigenem Schichtbetrieb.