Nach NIS2 ist vor dem CRA: Was bis Ende 2027 noch kommt
Wer die NIS2-Umsetzung hinter sich hat, sollte den Kalender nicht gleich zuklappen. Die europäische Cyber- und Digitalregulierung liefert in kurzer Folge weitere Termine, die vor allem Hersteller und Dienstleister betreffen.
Am nächsten liegt der Cyber Resilience Act (CRA). Er gilt für Produkte mit digitalen Elementen – von der Smart-Home-Komponente über Industriesteuerungen bis zur Buchhaltungssoftware. Ab dem 11. September 2026 greifen seine Meldepflichten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, mit Frühwarnung binnen 24 Stunden und vollständiger Meldung binnen 72 Stunden. Die übrigen Pflichten – Security by Design, Schwachstellenmanagement über den Produktlebenszyklus, Konformitätsbewertung – werden ab dem 11. Dezember 2027 verbindlich. Ausgenommen sind unter anderem Medizinprodukte, Fahrzeuge und Luftfahrt, für die eigene Regime gelten.
Finanzsektor und KI haben eigene Uhren
Für Finanzunternehmen gilt seit dem 17. Januar 2025 bereits DORA, die Verordnung über die digitale operationale Resilienz. Sie verpflichtet Banken, Versicherer, Zahlungsdienstleister und weitere Finanzakteure zu IKT-Risikomanagement, Vorfallsmeldungen und einer strengen Steuerung ihrer IT-Dienstleister – was, ähnlich wie bei NIS2, über Vertragsanforderungen auf die Dienstleister durchschlägt.
Bei der KI-Verordnung gelten seit dem 2. Februar 2025 die Verbote bestimmter Praktiken und seit dem 2. August 2025 die Pflichten für Anbieter großer KI-Modelle. Seit dem 2. August 2026 sind die Transparenzpflichten des Artikels 50 anwendbar: Chatbots müssen sich als KI zu erkennen geben, generierte Inhalte und Deepfakes sind zu kennzeichnen; für Bestandssysteme läuft eine Übergangsfrist bis zum 2. Dezember 2026. Die Pflichten für Hochrisiko-Systeme nach Anhang III hat der Gesetzgeber mit dem Digital Omnibus dagegen auf den 2. Dezember 2027 verschoben.
Auffällig ist die gemeinsame Grammatik dieser Rechtsakte: Risikoanalyse, dokumentierte Maßnahmen, Meldeprozesse mit engen Fristen, Verantwortung der Leitungsebene. Wer diese Bausteine einmal als System aufgebaut hat – etwa entlang des Compliance-Regelkreises aus Selbstcheck, Maßnahme und Wirksamkeitskontrolle im Modul Compliance –, ergänzt neue Rechtsakte als weitere Anforderungsquelle statt jedes Mal bei null zu beginnen. Für die NIS2-spezifischen Pflichten bleibt das Modul NIS2 der Startpunkt.
