Vier EU-Regelwerke, vier verschiedene Regelungsziele - und trotzdem landen sie regelmäßig in derselben Compliance-Besprechung. Das ist kein Zufall: Für Hersteller vernetzter Produkte, SaaS-Anbieter und mittelständische Betriebe in regulierten Sektoren können alle vier gleichzeitig relevant sein. Wer sie verwechselt oder vermischt, riskiert Lücken im Compliance-Programm - und das bei Bußgeldrahmen, die von zweistelligen Millionenbeträgen bis zu einem Prozent des Jahresumsatzes reichen.
Dieser Beitrag schafft Klarheit: Was regelt jede Verordnung, wen trifft sie, und wo überschneiden sich die Pflichten?
Die vier Regelwerke im Überblick
Cyber Resilience Act (CRA) - Produktsicherheit und Cybersicherheit
Der CRA, offiziell Verordnung (EU) 2024/2847, ist das jüngste der vier Regelwerke. Er ist am 10. Dezember 2024 in Kraft getreten. Sein Regelungsziel ist klar abgegrenzt: Er stellt erstmals verbindliche Cybersicherheitsanforderungen an Produkte mit digitalen Elementen - also an Hardware und Software, die auf dem EU-Markt in Verkehr gebracht werden. [1]
Betroffen sind Hersteller, Importeure und Händler. Der Geltungsbereich ist breiter, als viele vermuten: [2] stellt klar, dass neben klassischen IT- und IoT-Herstellern auch Maschinenbauer mit vernetzten Steuerungen, Anbieter von Desktop-Software mit Update-Funktion und Sensorhersteller mit Fernwartungszugang unter die Verordnung fallen. Reine Cloud-SaaS-Dienste sind ausdrücklich ausgenommen.
Die Pflichten greifen gestaffelt:
- Ab 11. September 2026: Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle - 24-Stunden-Frühwarnung, 72-Stunden-Meldung, Abschlussbericht binnen 14 Tagen - über eine zentrale Plattform an CSIRT und ENISA. [3]
- Ab 11. Dezember 2027: Vollständige Hauptpflichten: Secure-by-Design, Schwachstellenmanagement über den gesamten Produktlebenszyklus, Software Bill of Materials (SBOM - eine vollständige Auflistung aller verwendeten Softwarekomponenten), Konformitätsbewertung und CE-Kennzeichnung. [4]
Bei Verstößen drohen Bußgelder bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes. [3]
Unseren ausführlichen Pillar-Post zum CRA finden Sie hier: Cyber Resilience Act - der umfassende Überblick.
EU Data Act - Datenzugang, Datenteilung und Vertragsrecht
Der Data Act, Verordnung (EU) 2023/2854, verfolgt ein grundlegend anderes Ziel: Er regelt nicht Cybersicherheit, sondern den Zugang zu und die Weitergabe von Daten, die durch die Nutzung vernetzter Produkte und damit verbundener Dienste entstehen. Die Verordnung ist seit dem 11. Januar 2024 in Kraft und seit dem 12. September 2025 anwendbar.
Kernpflichten sind vorvertragliche Transparenz gegenüber Nutzern, Datenzugang und -teilung auf Nutzerwunsch, faire B2B-Vertragsbedingungen nach dem FRAND-Prinzip (fair, reasonable and non-discriminatory - also fair, angemessen und nicht diskriminierend), Regelungen zum Cloud-Wechsel (Switching) sowie Schutz vor unrechtmäßigem Drittstaatenzugriff. Für neu in Verkehr gebrachte vernetzte Produkte gelten ab dem 12. September 2026 zusätzlich Design-Pflichten (Data-Access-by-Design).
Wichtig: Der Data Act gilt auch für Anbieter außerhalb der EU, sofern sie den EU-Markt bedienen. Betroffen sind Hersteller vernetzter Produkte, Anbieter verbundener Dienste und Cloud-Anbieter.
Den vollständigen Pillar-Post zum EU Data Act finden Sie hier: EU Data Act - der umfassende Überblick für Entscheider und Compliance-Verantwortliche.
NIS2 - Cybersicherheit von Betreibern und Einrichtungen
NIS2 (Richtlinie (EU) 2022/2555) ist keine Produktverordnung, sondern eine Betreiberrichtlinie: Sie richtet sich an Organisationen, die in bestimmten Sektoren tätig sind, und verpflichtet diese zu Risikomanagement, Meldepflichten und Registrierung. In Deutschland wurde sie durch das NIS2UmsuCG umgesetzt. Das Gesetz wurde am 13. November 2025 vom Bundestag verabschiedet und trat am 6. Dezember 2025 in Kraft - ohne Übergangsfrist. [5]
Laut BSI-Schätzungen fallen in Deutschland rund 29.500 bis 30.000 Unternehmen in 18 Sektoren unter die NIS2-Regulierung. [5] Betroffene Einrichtungen werden in zwei Kategorien eingeteilt: "besonders wichtige Einrichtungen" (in der Regel ab 250 Beschäftigten oder über 50 Mio. EUR Jahresumsatz) und "wichtige Einrichtungen" (in der Regel 50-249 Beschäftigte oder 10-50 Mio. EUR Umsatz). [6]
Die drei zentralen Pflichten: Registrierung beim BSI, Implementierung von Risikomanagementmaßnahmen (technisch und organisatorisch, Stand der Technik) sowie Meldung erheblicher Sicherheitsvorfälle - ebenfalls mit 24-Stunden-Frühwarnung und 72-Stunden-Bericht. [7] Besonders relevant für den Mittelstand: NIS2 wirkt auch indirekt. Lieferanten und Dienstleister von betroffenen Einrichtungen müssen Sicherheitsvorkehrungen treffen, weil die Lieferkettensicherheit ausdrücklich Teil der Anforderungen ist. [8]
Bei Verstößen drohen für besonders wichtige Einrichtungen Bußgelder bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes. [6] Die Geschäftsführung haftet dabei persönlich. [9]
DSGVO - Schutz personenbezogener Daten
Die DSGVO ist das älteste und bekannteste der vier Regelwerke. Ihr Regelungsgegenstand ist eindeutig: der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Sie gilt für jeden Verantwortlichen oder Auftragsverarbeiter, der personenbezogene Daten von EU-Bürgern verarbeitet - unabhängig von Branche, Unternehmensgröße oder Sitz. Bei schwerwiegenden Verstößen sieht die DSGVO Bußgelder bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes vor. [10]
Vectocon begleitet kleine und mittelständische Unternehmen umfassend im Bereich Datenschutz - mehr dazu auf unserer [11].
Vergleichstabelle: Wer fällt unter was?
| Kriterium | CRA | Data Act | NIS2 | DSGVO |
|---|---|---|---|---|
| Regelungsziel | Produktsicherheit / Cybersicherheit | Datenzugang & Vertragsrecht | Cybersicherheit von Betreibern | Schutz personenbezogener Daten |
| Rechtsform | EU-Verordnung (unmittelbar) | EU-Verordnung (unmittelbar) | EU-Richtlinie (national umgesetzt) | EU-Verordnung (unmittelbar) |
| Primäre Adressaten | Hersteller, Importeure, Händler von Produkten mit digitalen Elementen | Hersteller vernetzter Produkte, Anbieter verbundener Dienste, Cloud-Anbieter | Betreiber in 18 kritischen Sektoren (ab Mittelgröße) | Alle Verantwortlichen / Auftragsverarbeiter mit Personendaten |
| SaaS / Cloud | Reine Cloud-SaaS ausgenommen | Cloud-Anbieter direkt betroffen | Digitale Dienste als eigener Sektor | Immer betroffen (Nutzerdaten) |
| IoT / Hardware | Kernbereich der Verordnung | Vernetzte Produkte im Fokus | Indirekt (Lieferkette) | Nur wenn Personendaten verarbeitet |
| Meldepflichten | 24h / 72h / 14 Tage (ab Sept. 2026) | Keine Vorfallsmeldung | 24h / 72h / 1 Monat (sofort) | 72h bei Datenpannen |
| Max. Bußgeld | 15 Mio. EUR / 2,5 % Umsatz | National geregelt | 10 Mio. EUR / 2 % Umsatz | 20 Mio. EUR / 4 % Umsatz |
| Geschäftsführerhaftung | Ja (Konformitätspflicht) | Vertragsrechtlich | Ja, persönlich (§ 38 BSIG) | Ja, mittelbar |
Wo sich die Pflichten überschneiden
Die vier Regelwerke sind keine Alternativen - sie können kumulativ gelten. Drei typische Überschneidungsszenarien für den Mittelstand:
IoT-Hersteller mit Endkundenprodukten: Ein Unternehmen, das vernetzte Industriesensoren herstellt und vertreibt, fällt gleichzeitig unter den CRA (Produktsicherheit), den Data Act (Datenzugang der Nutzer) und die DSGVO (wenn die Sensoren Personendaten erfassen). Ist das Unternehmen groß genug und in einem der 18 NIS2-Sektoren tätig, kommt NIS2 hinzu.
SaaS-Anbieter in regulierten Sektoren: Ein Cloud-Dienst für das Gesundheitswesen unterliegt der DSGVO (Patientendaten), dem Data Act (Datenzugang und Switching) und - als Anbieter digitaler Dienste - möglicherweise NIS2. Der CRA greift nur, wenn der Dienst eine lokal installierte Softwarekomponente umfasst.
Maschinenbauer mit vernetzten Anlagen: Wer Maschinen mit Ethernet-Schnittstelle oder Fernwartungszugang liefert, ist CRA-Hersteller. Erzeugen die Maschinen Nutzungsdaten, greift der Data Act. Verarbeiten sie Personendaten (z. B. Bedienerprofile), gilt die DSGVO. Und als Lieferant eines NIS2-pflichtigen Betreibers muss er dessen Lieferkettensicherheitsanforderungen erfüllen.
Überschneidung ≠ Doppelarbeit. CRA und NIS2 teilen sich das Thema Cybersicherheit, adressieren aber unterschiedliche Ebenen: Der CRA regelt das Produkt, NIS2 den Betreiber. Beide können gleichzeitig gelten — und beide sehen eigene Meldepflichten mit ähnlichen, aber nicht identischen Fristen vor. Eine sorgfältige Einzelfallprüfung ist unumgänglich.
Selbst-Einordnung: Welche Regelwerke treffen Ihr Unternehmen?
Das folgende interaktive Tool hilft Ihnen bei einer ersten Orientierung. Es ersetzt keine rechtliche Beratung, gibt aber einen strukturierten Einstieg in die Betroffenheitsprüfung.
Was das für Entscheider und Compliance-Verantwortliche bedeutet
Die regulatorische Realität für viele mittelständische Unternehmen ist: Nicht eine, sondern zwei bis vier dieser Verordnungen sind gleichzeitig relevant. Das hat konkrete Konsequenzen für die Unternehmensführung.
Erstens müssen Meldeprozesse koordiniert werden. CRA, NIS2 und DSGVO sehen alle Meldepflichten bei Sicherheitsvorfällen vor - mit ähnlichen, aber nicht identischen Fristen und unterschiedlichen Meldestellen. Wer hier nicht vorbereitet ist, riskiert Fristversäumnisse unter mehreren Regelwerken gleichzeitig.
Zweitens ist die Geschäftsführerhaftung ein ernstes Thema. NIS2 verankert die persönliche Haftung der Leitungsorgane ausdrücklich im Gesetz. Beim CRA trägt der Hersteller die Konformitätsverantwortung. Und die DSGVO kennt mittelbare Haftungsrisiken für Verantwortliche. Wer als Geschäftsführer oder CFO die regulatorische Betroffenheit seines Unternehmens nicht kennt, handelt fahrlässig.
Drittens lohnt sich ein integrierter Ansatz. Viele Maßnahmen - etwa ein strukturiertes Schwachstellenmanagement, klare Vertragsklauseln zu Datenzugang und Lieferkettensicherheit - zahlen auf mehrere Regelwerke gleichzeitig ein. Das spart Aufwand und schafft Rechtssicherheit.
Wir analysieren gemeinsam mit Ihnen, welche der vier Regelwerke für Ihr Unternehmen konkret relevant sind — und was das für Ihre Compliance-Agenda bedeutet. Sprechen Sie uns an.
Regulatorischen Footprint jetzt kartieren lassenDieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle rechtliche Beratung. Die Betroffenheit durch die genannten Regelwerke hängt von den konkreten Umständen des Einzelfalls ab.
