CRA vs. NIS2, DORA, ISO 27001 & RED: Wie die Regularien zusammengreifen

 

Kaum ein Unternehmen wird heute nur von einer einzigen Cybersicherheits-Regulierung erfasst. Ein mittelständischer Maschinenbauer, der vernetzte Anlagen ausliefert, fällt unter den Cyber Resilience Act und ab 2027 unter die neue Maschinenverordnung, ist als Unternehmen einer kritischen Branche zugleich NIS2-pflichtig und zertifiziert sich für Ausschreibungen nach ISO 27001. Vier Regelwerke, vier Fristen, vier Bußgeldregime, die auf den ersten Blick nichts miteinander zu tun haben. Die Folge ist oft ein teurer Reflex: Für jede Vorschrift wird ein eigenes Projekt aufgesetzt, mit eigener Dokumentation, eigenem Verantwortlichen und eigenem Audit-Kalender.

Dieser Vergleich ordnet das Dickicht. Er erklärt die eine Grundunterscheidung, die alles verständlich macht, stellt die fünf zentralen Regelwerke in einer Übersicht gegenüber und geht jede Paarung mit dem CRA einzeln durch. Am Ende steht die entscheidende Erkenntnis für die Planung: Wo sich die Regularien überschneiden, entstehen nicht zwangsläufig mehr Silos, sondern die Chance, ein einziges Managementsystem als gemeinsames Fundament zu nutzen. Die deutsche Bezeichnung Cyberresilienz-Verordnung meint dasselbe wie der englische Begriff Cyber Resilience Act, unter dem gesucht und international kommuniziert wird.

 

Produkt, Organisation oder freiwilliger Standard: die eine Grundunterscheidung

Der Schlüssel zum Verständnis liegt in einer simplen Frage: Was genau reguliert das jeweilige Regelwerk? Sobald diese Achse klar ist, sortieren sich alle Überschneidungen von selbst.

Produkt-Regulierung setzt am einzelnen Gerät oder der einzelnen Software an. Der Cyber Resilience Act, die Radio Equipment Directive und die kommende Maschinenverordnung schreiben vor, welche Cybersicherheitseigenschaften ein Produkt haben muss, bevor es in den EU-Markt kommt. Adressat ist der, der das Produkt bereitstellt: Hersteller, Importeur, Händler. Der Nachweis erfolgt über CE-Kennzeichnung und Konformitätsbewertung.

Organisations-Regulierung setzt am Unternehmen als Ganzem an. NIS2 und DORA fragen nicht, ob ein bestimmtes Produkt sicher ist, sondern ob die Organisation ihre Risiken beherrscht: Gibt es Risikomanagement, Meldeprozesse, Business Continuity, Lieferantensteuerung? Adressat ist die Geschäftsführung der betroffenen Einrichtung.

Der freiwillige Standard ISO/IEC 27001 steht quer zu beiden. Er zwingt niemanden per Gesetz, liefert aber die international anerkannte Blaupause für genau das Managementsystem, das die organisatorischen Pflichten aus NIS2 und DORA und die Prozessanforderungen des CRA in geordnete Bahnen lenkt. Deshalb ist er kein vierter Konkurrent, sondern das gemeinsame Fundament.

 

Die fünf Regelwerke im direkten Vergleich

Die folgende Übersicht stellt die zentralen Merkmale nebeneinander. Sie zeigt auf einen Blick, warum sich die Regularien nicht ausschließen, sondern ineinandergreifen.

Regelwerk	Typ	Reguliert was	Gilt für wen	Zentrale Fristen	Sanktionen (Höchststufe)
Cyber Resilience Act (EU) 2024/2847	Produkt-Verordnung, unmittelbar geltend	Cybersicherheit von Produkten mit digitalen Elementen über den Lebenszyklus	Hersteller, Importeure, Händler	In Kraft 10.12.2024, Meldepflichten ab 11.09.2026, Vollanwendung 11.12.2027	bis 15 Mio. € oder 2,5 % Weltumsatz
NIS2-Richtlinie (EU) 2022/2555	Richtlinie, nationale Umsetzung nötig	Risikomanagement und Meldepflichten von Organisationen in kritischen Sektoren	Wesentliche und wichtige Einrichtungen in 18 Sektoren (ab 50 Mitarbeitende oder 10 Mio. € Umsatz)	EU-Frist 17.10.2024, in Deutschland seit 06.12.2025	bis 10 Mio. € oder 2 % Weltumsatz (wesentlich)
DORA (EU) 2022/2554	Verordnung, sektorspezifisch	Digitale operationale Resilienz im Finanzsektor	Rund 22.000 Finanzunternehmen und ihre kritischen IKT-Drittdienstleister	Gilt seit 17.01.2025	aufsichtsrechtliche Maßnahmen, Zwangs- und Bußgelder
ISO/IEC 27001:2022	Freiwilliger internationaler Standard	Aufbau und Betrieb eines Informationssicherheits-Managementsystems (ISMS)	Jede Organisation freiwillig, oft vom Kunden oder Vertrag gefordert	Keine gesetzliche Frist, Zertifikat drei Jahre gültig	Keine gesetzlichen, Verlust der Zertifizierung
RED 2014/53/EU + del. VO (EU) 2022/30	Produkt-Richtlinie (Funkanlagen)	Cybersicherheit vernetzter Funkanlagen (Art. 3.3 d, e, f)	Hersteller von Funk- und Funknetz-Produkten	Cyber-Pflichten seit 01.08.2025, Ablösung durch CRA am 11.12.2027	national geregelte Marktüberwachung

Die Maschinenverordnung (EU) 2023/1230 gehört als sechstes Regelwerk in die Spalte der Produkt-Regulierung, dazu weiter unten mehr. Wichtig ist das Muster: Zwei der fünf greifen am Produkt, zwei an der Organisation, eines ist freiwillig. Wer diese Sortierung verinnerlicht hat, versteht jede einzelne Paarung in Sekunden.

 

CRA vs. NIS2: Produkt trifft Organisation

Diese beiden werden am häufigsten verwechselt, weil beide „Cybersicherheit” und „EU” im Titel tragen. Tatsächlich stehen sie nebeneinander, nicht gegeneinander. Der CRA verlangt, dass ein Produkt sicher ist. NIS2 verlangt, dass eine Organisation ihre IT-Risiken beherrscht, unter anderem indem sie in ihrer Lieferkette auf die Sicherheit eingesetzter Produkte achtet.

Damit greifen sie ineinander: Der CRA sorgt für ein höheres Grundniveau bei genau den Produkten, die NIS2-pflichtige Unternehmen einkaufen und betreiben. Wer die Grundzüge der Organisationspflicht nachlesen will, findet sie in der Zusammenfassung der NIS-2-Richtlinie. Der praktische Knackpunkt entsteht bei Unternehmen, die beides sind: NIS2-pflichtige Einrichtung und Hersteller von Produkten mit digitalen Elementen. Ein Energieversorger, der eigene Steuerungshardware baut, oder ein Industriebetrieb, der vernetzte Sensoren vertreibt, muss die Organisationspflichten aus NIS2 und die Produktpflichten aus dem CRA parallel erfüllen. Beide teilen sich denselben Unterbau aus Risikoanalyse, Schwachstellenmanagement und Vorfallmeldung, nur mit unterschiedlichem Bezugsobjekt. Ob Ihr Unternehmen produktseitig überhaupt in den Anwendungsbereich fällt, lässt sich vorab klären, indem Sie die Betroffenheit vom Cyber Resilience Act prüfen.

 

CRA vs. DORA: der Finanzsektor als Sonderfall

DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) ist die Organisations-Regulierung des Finanzsektors und gilt bereits seit dem 17. Januar 2025. Sie verpflichtet rund 22.000 Banken, Versicherer, Wertpapier- und Kryptodienstleister sowie ihre kritischen IKT-Drittanbieter zu striktem IKT-Risikomanagement, Vorfallmeldungen, regelmäßigen Resilienztests und einer engmaschigen Steuerung von Drittparteienrisiken. Ein Überblick über die Einzelpflichten findet sich in den DORA-Anforderungen für Finanzunternehmen.

Zum CRA verhält sich DORA nach dem Grundsatz lex specialis: Das speziellere Gesetz geht dem allgemeineren vor. Für Belange, die DORA für den Finanzsektor bereits abschließend regelt, tritt der CRA zurück. Das entbindet ein Finanzunternehmen aber nicht generell: Stellt es selbst Produkte mit digitalen Elementen für den Markt her, gelten für diese Produkte weiterhin die CRA-Regeln, während DORA die organisatorische Resilienz des Unternehmens adressiert. Auch hier ist die Trennlinie wieder das Bezugsobjekt: DORA schaut auf die Organisation, der CRA auf das Produkt.

 

CRA vs. ISO 27001: Pflicht trifft freiwilligen Standard

Der CRA ist geltendes EU-Recht mit empfindlichen Bußgeldern. Die ISO/IEC 27001 ist ein freiwilliger Standard ohne gesetzliche Sanktion. Trotzdem ist die ISO 27001 das nützlichste Werkzeug, um den CRA praktisch zu erfüllen, denn ihr Kern ist ein Informationssicherheits-Managementsystem mit genau den Prozessen, die der CRA für Hersteller voraussetzt: Risikomanagement, Schwachstellenbehandlung, dokumentierte Verantwortlichkeiten, Umgang mit Sicherheitsvorfällen und kontinuierliche Verbesserung.

Der CRA fordert diese Prozesse produktbezogen und verlangt zusätzlich technische Nachweise wie eine Software-Stückliste (SBOM), einen definierten Support-Zeitraum und die konkreten Anforderungen aus Annex I des Cyber Resilience Act. Die ISO 27001 wiederum liefert den organisatorischen Rahmen, in dem sich diese Nachweise sauber führen lassen. Eine bestehende ISO-27001-Zertifizierung erfüllt den CRA nicht automatisch, verkürzt aber den Weg dorthin erheblich, weil das Managementsystem bereits steht und nur um die produktspezifischen Bausteine ergänzt werden muss.

 

 

CRA vs. RED: vom Funkgeräte-Sonderweg zur einheitlichen Produktregel

Die Radio Equipment Directive (RED, Richtlinie 2014/53/EU) war der erste EU-Rechtsakt, der verbindliche Cybersicherheitsanforderungen an Produkte stellte, allerdings nur an Funkanlagen. Über die delegierte Verordnung (EU) 2022/30 wurden die grundlegenden Anforderungen des Artikels 3 Absatz 3 Buchstaben d, e und f für bestimmte vernetzte Funkgeräte aktiviert, etwa zum Schutz des Netzes, personenbezogener Daten und vor Betrug. Diese Cybersicherheitspflichten gelten seit dem 1. August 2025, nachdem der ursprüngliche Termin um ein Jahr verschoben worden war. Die einschlägige harmonisierte Norm ist die EN 18031.

Dieser Sonderweg für Funkgeräte ist eine Übergangslösung. Ab dem 11. Dezember 2027, mit der Vollanwendung des CRA, wird die delegierte Verordnung (EU) 2022/30 nicht mehr angewendet und von der Europäischen Kommission aufgehoben. Der CRA übernimmt die Cybersicherheitsziele der RED vollständig in seinem Annex I, aber eben nicht mehr nur für Funkanlagen, sondern für alle Produkte mit digitalen Elementen. Für Funkgeräte, die zwischen dem 1. August 2025 und dem 10. Dezember 2027 in Verkehr gebracht werden, bleiben die RED-Cybersicherheitsanforderungen weiterhin durchsetzbar. Praktisch bedeutet das: Wer heute in RED-Konformität investiert, arbeitet bereits auf das CRA-Zielbild hin, muss aber den Übergang aktiv planen, weil ab 2027 die CRA-Konformität nachzuweisen ist.

 

Maschinenverordnung (EU) 2023/1230: Cybersicherheit wird Maschinensicherheit

In dieselbe Familie der Produkt-Regulierung gehört die neue Maschinenverordnung (EU) 2023/1230, die ab dem 20. Januar 2027 unmittelbar in allen Mitgliedstaaten gilt und die bisherige Maschinenrichtlinie 2006/42/EG ersetzt. Erstmals enthält sie Cybersicherheit als grundlegende Sicherheitsanforderung: Maschinen mit digitalen Elementen müssen so konstruiert sein, dass ihre Sicherheitsfunktionen nicht durch unbefugte digitale Zugriffe manipuliert werden können.

Für Maschinenbauer heißt das, dass sich CRA und Maschinenverordnung überlappen. Der CRA adressiert die Cybersicherheit der digitalen Elemente an sich, die Maschinenverordnung verknüpft sie mit der klassischen Betriebs- und Personensicherheit der Maschine. Beide fordern dieselbe Denkweise von Security by Design, Risikobeurteilung und Dokumentation, nur unter unterschiedlicher rechtlicher Flagge. Auch hier zahlt ein einmal aufgesetzter, produktbezogener Sicherheitsprozess doppelt ein.

 

Der gemeinsame Nenner: ein ISMS als Fundament für alle vier

Stellt man die Regelwerke nebeneinander, fällt auf, wie stark sich ihre inhaltlichen Bausteine gleichen. Risikomanagement, Schwachstellenbehandlung, Umgang mit Sicherheitsvorfällen, Lieferantensteuerung und lückenlose Nachweisführung tauchen in jedem einzelnen auf, nur mit verschobenem Bezugsobjekt und unterschiedlicher Frist.

Gemeinsamer Baustein	CRA	NIS2	DORA	ISO 27001
Risikomanagement	produktbezogen	organisationsweit	IKT-bezogen	Kern des ISMS
Schwachstellenmanagement	Pflicht (Annex I)	Teil der Maßnahmen	Teil des IKT-Risikos	Control A.8.8
Vorfallmeldung	an ENISA/CSIRT	an Behörde/CSIRT	an Aufsicht	Managementprozess
Lieferanten-/Drittparteirisiko	Komponenten, SBOM	Lieferkette	IKT-Drittanbieter	Control-Bereich A.5.19 ff.
Nachweis und Dokumentation	technische Doku, CE	Nachweispflicht	Aufsichts-Reporting	Auditnachweise

Genau darin liegt die eigentliche Botschaft dieses Vergleichs: Kein Unternehmen sollte für CRA, NIS2, DORA und ISO 27001 vier getrennte Compliance-Silos aufbauen. Ein einmal sauber aufgesetztes Informationssicherheits-Managementsystem bildet das gemeinsame Fundament. Aus ihm heraus werden dieselben Kernprozesse für jede Regulierung nur passend zugeschnitten und mit dem jeweils geforderten Nachweis bedient, statt sie viermal parallel zu pflegen. Das spart nicht nur Aufwand, sondern verhindert auch Widersprüche zwischen den Dokumentationen, die in Audits regelmäßig auffallen.

 

Fazit: unterschiedliche Flaggen, gemeinsames Fundament

Der Cyber Resilience Act, NIS2, DORA, die ISO 27001, die RED und die Maschinenverordnung wirken auf den ersten Blick wie sechs unverbundene Baustellen. Der Blick auf die eine Achse ordnet alles: CRA, RED und Maschinenverordnung regulieren Produkte, NIS2 und DORA regulieren Organisationen, und die ISO 27001 ist der freiwillige Standard, der beiden Welten ihren methodischen Rahmen gibt. Überall dort, wo ein Unternehmen von mehreren Regelwerken gleichzeitig erfasst wird, überlappen sich die inhaltlichen Anforderungen weit stärker, als es die getrennten Gesetzestexte vermuten lassen.

Wer das erkennt, plant nicht mehr in Einzelprojekten, sondern baut ein Managementsystem, das mehrere Regularien zugleich bedient. Die Fristen bis 2027 sind eng genug, um jetzt mit dieser Konsolidierung zu beginnen, statt später vier getrennte Nachweisketten nachträglich zusammenzuführen.

 

Häufige Fragen (FAQ)

Was ist der Unterschied zwischen CRA und NIS2?

Der Cyber Resilience Act reguliert Produkte: Er schreibt Herstellern, Importeuren und Händlern vor, welche Cybersicherheitseigenschaften ein Produkt mit digitalen Elementen haben muss. NIS2 reguliert Organisationen: Es verpflichtet Unternehmen kritischer Sektoren zu Risikomanagement und Meldeprozessen. Ein Unternehmen kann beide Pflichten gleichzeitig haben, wenn es einer NIS2-Branche angehört und zugleich Produkte herstellt.

Gilt der CRA zusätzlich zu DORA für Finanzunternehmen?

DORA ist für den Finanzsektor das speziellere Recht (lex specialis) und geht dem CRA vor, soweit es die Belange abschließend regelt. Stellt ein Finanzunternehmen aber selbst Produkte mit digitalen Elementen für den Markt her, gelten für diese Produkte weiterhin die Anforderungen des CRA. DORA adressiert die organisatorische Resilienz, der CRA das Produkt.

Ersetzt der Cyber Resilience Act die ISO 27001?

Nein. Der CRA ist verpflichtendes EU-Recht, die ISO 27001 ein freiwilliger Standard. Eine ISO-27001-Zertifizierung erfüllt den CRA nicht automatisch, liefert aber das Managementsystem mit genau den Prozessen, die der CRA voraussetzt. Ein bestehendes ISMS verkürzt den Weg zur CRA-Konformität deutlich, weil nur die produktspezifischen Bausteine ergänzt werden müssen.

Was passiert mit den RED-Cybersicherheitsanforderungen?

Die Cybersicherheitspflichten der delegierten Verordnung (EU) 2022/30 gelten seit dem 1. August 2025 für vernetzte Funkanlagen. Mit der Vollanwendung des CRA am 11. Dezember 2027 werden sie aufgehoben und vom CRA abgelöst, der dieselben Ziele in seinem Annex I für alle Produkte mit digitalen Elementen übernimmt. Für Funkgeräte, die vorher in Verkehr gebracht wurden, bleiben die RED-Anforderungen durchsetzbar.

Kann ein Managementsystem mehrere dieser Regularien gleichzeitig abdecken?

Ja, das ist der wirtschaftlich sinnvollste Weg. Risikomanagement, Schwachstellenbehandlung, Vorfallmeldung, Lieferantensteuerung und Nachweisführung sind in CRA, NIS2, DORA und ISO 27001 dieselben Kernprozesse, nur mit anderem Bezugsobjekt. Ein einmal aufgesetztes ISMS liefert diese Nachweise für alle Regularien aus einer Quelle und macht vier getrennte Compliance-Silos überflüssig.