Deutschland verstärkt die Durchsetzung der NIS2-Vorgaben und bereitet den Vollzug des Cyber Resilience Act vor. Ab 2027 sind erste Prüfungen durch das BSI geplant. Unternehmen sollten jetzt ihre Registrierung, Cybersicherheitsmaßnahmen und Dokumentation überprüfen, um die Einhaltung ihrer Pflichten nachweisen zu können.
NIS2 und Cyber Resilience Act: Der deutsche Vollzug nimmt Gestalt an
Das Bundesamt für Sicherheit in der Informationstechnik (BSI), Deutschlands nationale Cybersicherheitsbehörde und in etwa das Gegenstück zur ANSSI, will noch im vierten Quartal 2026 Unternehmen ansprechen, die sich trotz NIS2-Pflicht bislang nicht registriert haben. Ab Anfang 2027 sollen bei ausgewählten Einrichtungen Prüfungen angeordnet werden. Gleichzeitig entsteht der nationale Rahmen für den Vollzug des Cyber Resilience Act. Für betroffene Unternehmen stellt sich damit zunehmend die Frage, wie sie der Aufsicht belegen, dass sie ihre Pflichten erfüllen.
Zwei Regelwerke, zwei Perspektiven
Die NIS2-Richtlinie (EU) 2022/2555 regelt die Cybersicherheit von Unternehmen in Sektoren, die für Wirtschaft und Gesellschaft wesentlich sind. Erfasste Einrichtungen müssen Maßnahmen zum Risikomanagement treffen und erhebliche Sicherheitsvorfälle melden. Als Richtlinie musste NIS2 in jedem Mitgliedstaat eigens umgesetzt werden. In Deutschland ist das deutsche NIS-2-Umsetzungsgesetz seit dem 6. Dezember 2025 in Kraft. Es verankert die Pflichten im neu gefassten BSI-Gesetz (BSIG), und zwar ohne allgemeine Übergangsfrist. Für deutsche Gesellschaften französischer Gruppen gilt also dieses deutsche Recht.
Der Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847, setzt dagegen beim Produkt an. Er legt Cybersicherheitsanforderungen für Hard- und Softwareprodukte fest, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Verbindung mit einem Gerät oder Netz einschließt. Als Verordnung gilt er unmittelbar in allen Mitgliedstaaten. Die beiden Regelwerke ergänzen sich: Die Erfüllung des einen ersetzt nicht die des anderen.
Das BSI kündigt Durchsetzung und Audits an
Nach Presseberichten will das BSI zunächst Unternehmen ansprechen, deren Registrierungspflicht aus seiner Sicht offensichtlich ist. Das Verfahren soll mit einer Anhörung beginnen und kann mit einem Bußgeld enden. Ab dem ersten Quartal 2027 sollen bei einzelnen Einrichtungen Prüfungen und Nachweise angeordnet werden. Den Anfang sollen besonders wichtige Einrichtungen in Sektoren machen, in denen das BSI den größten Bedarf sieht. Jedes Audit soll einen thematischen Schwerpunkt haben. Eine offizielle Veröffentlichung des BSI mit Einzelheiten ist bislang nicht ersichtlich.
Für Einrichtungen, die schon beim Inkrafttreten des Gesetzes am 6. Dezember 2025 erfasst waren, endete die dreimonatige Registrierungsfrist am 6. März 2026. Für Unternehmen, die erst später unter das Gesetz fallen, beginnt die Dreimonatsfrist mit dem Zeitpunkt, ab dem sie erstmals erfasst sind. Zum 30. September 2026 waren rund 20.000 Einrichtungen registriert, erwartet werden knapp 30.000. Die Dokumentationshinweise des BSI erläutern die bestehenden Pflichten und geben Empfehlungen. Unter anderem empfehlen sie, die Betroffenheitsprüfung auch bei negativem Ergebnis zu dokumentieren. Einen verbindlichen Prüfkatalog für die Audits enthalten sie nicht.
Wer erfasst ist
Maßgeblich ist nicht die Branche als solche. Entscheidend sind die Zuordnung zu einer Einrichtungsart der Anlagen 1 oder 2 zum BSIG und die Größe des Unternehmens. Ein Unternehmen der Anlage 1 ist grundsätzlich besonders wichtige Einrichtung, wenn es mindestens 250 Beschäftigte hat oder mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme. Unternehmen der Anlagen 1 und 2 können bereits als wichtige Einrichtungen erfasst sein, wenn sie mindestens 50 Beschäftigte haben oder Umsatz und Bilanzsumme jeweils mehr als 10 Millionen Euro betragen. Daneben gibt es größenunabhängige Tatbestände, etwa für Betreiber kritischer Anlagen. Erfasst sein können auch bestimmte Lebensmittel- und Chemieunternehmen sowie Hersteller von Maschinen, Fahrzeugen und elektronischen Erzeugnissen.
Für französische Gruppen liegt hier ein Fallstrick. Jede deutsche Gesellschaft ist zwar gesondert zu prüfen. Für ihre Größe gilt aber die KMU-Empfehlung der Kommission: Beschäftigte und Finanzzahlen von Partner- und verbundenen Unternehmen werden grundsätzlich hinzugerechnet. So kann auch eine kleine deutsche Tochter eines großen Konzerns erfasst sein. Die Hinzurechnung entfällt nur, wenn die Tochter unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bei Beschaffenheit und Betrieb ihrer IT-Systeme, Komponenten und Prozesse unabhängig ist. Eine zentral aus Frankreich betriebene IT spricht eher gegen eine solche Unabhängigkeit.
Die Geschäftsleitung trägt Verantwortung
Die Geschäftsleitung muss die Maßnahmen zum Risikomanagement umsetzen, ihre Umsetzung überwachen und regelmäßig selbst an Schulungen teilnehmen. Verletzt sie ihre Umsetzungs- oder Überwachungspflicht und verursacht dadurch schuldhaft einen Schaden, haftet sie der Gesellschaft nach dem jeweiligen Gesellschaftsrecht, bei einer GmbH also nach § 43 GmbHG. Das gilt auch für Geschäftsführer, die ihr Amt von Frankreich aus wahrnehmen. Eine zentrale IT-Sicherheitsorganisation kann sie unterstützen, ihre eigene Überwachungspflicht ersetzt sie aber nicht. Für die zentralen Verstöße, etwa gegen Risikomanagement- und Meldepflichten, drohen besonders wichtigen Einrichtungen Bußgelder bis zu 10 Millionen Euro, wichtigen Einrichtungen bis zu 7 Millionen Euro. Bei einem Gesamtumsatz von mehr als 500 Millionen Euro reicht der Rahmen bis zu 2 beziehungsweise 1,4 Prozent. Maßgeblich ist der weltweite Vorjahresumsatz des Unternehmens, dem die Einrichtung angehört.
CRA: Meldepflichten seit September 2026, Produktanforderungen ab Dezember 2027
Der CRA ist seit Dezember 2024 in Kraft, wird aber gestaffelt anwendbar. Am 15. Oktober 2026 hat der Bundestag das deutsche Durchführungsgesetz beschlossen. Danach soll das BSI zur zentralen Stelle des Vollzugs werden. Es soll den Markt überwachen, Konformitätsbewertungsstellen notifizieren, Herstellermeldungen bearbeiten und die Bußgeldverfahren führen. Eine Zulassung jedes einzelnen Produkts ist damit nicht verbunden. Der CRA gilt zudem unabhängig von den NIS2-Schwellenwerten. Eine allgemeine Ausnahme für kleine Unternehmen gibt es nicht; entscheidend ist, ob das Produkt in den Anwendungsbereich fällt. Importeure und Händler unterliegen den Herstellerpflichten, wenn sie Produkte unter eigenem Namen oder eigener Marke vertreiben.
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die die Sicherheit ihrer Produkte betreffen. Die Meldung läuft über die europäische Meldeplattform. Eine Frühwarnung ist unverzüglich abzugeben, spätestens 24 Stunden nach Kenntnis, eine ausführlichere Meldung grundsätzlich innerhalb von 72 Stunden. Ist ein Unternehmen zugleich NIS2-Einrichtung und Hersteller, kann derselbe Angriff beide Meldewege auslösen: an die gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe nach § 32 BSIG und über die europäische Plattform nach Art. 14 CRA. Beide Tatbestände sind getrennt zu prüfen. Wie eng Betreiber- und Produktsicherheit zusammenhängen, hat der Angriff auf vernetzte Kühlsysteme Hunderter französischer Supermärkte im Oktober gezeigt. Nach Einschätzung der ANSSI waren dort allerdings vor allem elementare Absicherungsmängel ausschlaggebend, etwa direkt aus dem Internet erreichbare Anlagen und schwache Passwörter.
Die Produktanforderungen gelten grundsätzlich ab dem 11. Dezember 2027. Für Produkte, die schon früher in Verkehr gebracht wurden, gelten sie grundsätzlich nur, wenn diese ab diesem Datum wesentlich geändert werden. Die Meldepflichten erfassen auch solche Produkte bereits jetzt. Zum selben Datum wird der Sanktionsrahmen des CRA anwendbar. Für die schwersten Verstöße sieht er bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Beim BSI soll außerdem eine Beschwerdestelle für Verbraucher entstehen. Hinweise auf fehlende Updates sollten im Unternehmen daher nicht als gewöhnliche Supportfälle behandelt werden.
Was jetzt ansteht
Deutsche Gesellschaften, die betroffen sein könnten, sollten ihre Einstufung einschließlich der Konzernzurechnung nachvollziehbar dokumentieren, ihre Registrierung prüfen und ihre Nachweise geordnet bereithalten. Außerdem muss feststehen, wer eine Anfrage des BSI bewertet, die Antwort koordiniert und die Frist überwacht. Hersteller müssen zwei Zeithorizonte zugleich im Blick haben: die bereits geltenden Meldepflichten und die Produktanforderungen ab Dezember 2027.
Die Registrierung ersetzt keine Cybersicherheitsmaßnahmen. Mit den angekündigten Prüfungen kommt es zunehmend darauf an, ihre Umsetzung belastbar zu belegen.