Cyber Resilience Act und NIS2 im Maschinenbau: Was jetzt gilt.

1. Drei Regelwerke, zwei Rollen, ein Unternehmen

Ein Maschinenbauer, der vernetzte Maschinen ausliefert, wird von drei europäischen Regelwerken gleichzeitig erfasst - aber in zwei verschiedenen Rollen. Als Einrichtung mit eigener IT und Produktion unterliegt er der NIS-2-Richtlinie, die in Deutschland seit dem 6. Dezember 2025 durch das neue BSI-Gesetz umgesetzt ist. Als Hersteller vernetzter Produkte unterliegt er dem Cyber Resilience Act, dessen Meldepflichten seit dem 11. September 2026 gelten, und ab dem 20. Januar 2027 der Maschinenverordnung, die Cybersicherheit erstmals zur Bedingung für die CE-Kennzeichnung macht. Die drei Texte haben unterschiedliche Adressaten, Fristen und Aufsichtswege - und sie verweisen kaum aufeinander.

Wie groß die Lücke zwischen Rechtslage und Vorbereitung ist, zeigt die Bitkom-Umfrage vom 10. September 2026 (1.003 Unternehmen ab zehn Beschäftigten, befragt im April bis Juni 2026): 67 Prozent kennen den Cyber Resilience Act dem Namen nach, aber nur 29 Prozent wissen, was er für das eigene Unternehmen bedeutet; 28 Prozent haben noch nie von ihm gehört. Bei NIS2 sieht es nicht besser aus: In der Cybersecurity-Studie des TÜV-Verbands (Ipsos, 506 Unternehmen, Februar bis März 2025, also vor Inkrafttreten des Gesetzes) kannte die Hälfte der Befragten die Richtlinie nicht. Und eine Studie von VDMA und Fraunhofer AISEC (2025) kam zu dem Ergebnis, dass rund zwei Drittel der befragten Industrieunternehmen direkt von CRA und NIS2 betroffen sind - während etwa ein Viertel davon ausging, nicht unter NIS2 zu fallen.

2. Die Meldepflicht seit dem 11. September 2026 - und warum sie die installierte Basis trifft

Der Cyber Resilience Act gilt als Ganzes erst ab dem 11. Dezember 2027. Art. 71 nimmt aber die Meldepflichten des Art. 14 aus und setzt sie auf den 11. September 2026. Seit diesem Tag muss jeder Hersteller eines Produkts mit digitalen Elementen zwei Arten von Ereignissen melden: aktiv ausgenutzte Schwachstellen in seinem Produkt und schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts beeinträchtigen. Die Meldung geht gleichzeitig an das koordinierende CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat, und an die ENISA - über eine einzige Plattform.

Der Satz, der in vielen Zusammenfassungen fehlt, steht in Art. 69 Abs. 3: Abweichend von der Übergangsregel für Bestandsprodukte gelten die in Artikel 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden. Die Produktanforderungen - Security by Design, Software-Stückliste, Updates - treffen Bestandsprodukte nur bei einer wesentlichen Änderung. Die Meldepflicht trifft die gesamte installierte Basis, also auch die Anlage von 2014 mit der Fernwartungsbox, die seit Jahren beim Kunden läuft. Wer 800 Maschinen im Feld hat, hat seit dem 11. September 2026 für 800 Maschinen eine 24-Stunden-Uhr.

Der Meldeweg ist neu und hat drei Eigenheiten, die das BSI auf seiner Seite zur Plattform klar benennt. Erstens: Die Meldung läuft ausschließlich über die Single Reporting Platform der ENISA, nicht über das BSI-Portal - das BSI ist mit dem CERT-Bund das koordinierende CSIRT für Deutschland und erhält die Meldung von dort. Zweitens: Die Meldungen sind auf Englisch zu verfassen. Drittens: Eine vorherige Registrierung auf der Plattform ist nicht nötig, ein EU-Login genügt. Die ENISA hat die Plattform am 11. September 2026 selbst in Betrieb genommen und spricht von einer ersten Betriebsfähigkeit; wer die 24-Stunden-Frist ernst nimmt, sollte den Zugang nicht erst im Ernstfall einrichten.

Was die Fristen kosten, wenn sie reißen, regelt Art. 64: Verstöße gegen die Melde- und Herstellerpflichten der Art. 13 und 14 sind mit bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes bewehrt, je nachdem, welcher Betrag höher ist. Kleinst- und Kleinunternehmen sind nach Art. 64 Abs. 10 nur von der Geldbuße für die verpasste 24-Stunden-Frist ausgenommen - nicht von der Pflicht selbst, und klein heißt hier unter 50 Beschäftigte. Für den typischen Maschinenbauer gilt die Ausnahme nicht.

3. Was der CRA ab Dezember 2027 von jedem vernetzten Produkt verlangt

Erfasst ist nach Art. 2 jedes Produkt mit digitalen Elementen, dessen bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt. Eine Maschine mit vernetzter Steuerung, einem HMI im Netz oder einer Fernwartungsschnittstelle ist damit ein Produkt mit digitalen Elementen; die Verbindung über einen Zellencontroller zählt als indirekte Verbindung ebenfalls. Die Erwägungsgründe nennen industrielle Steuerungssysteme ausdrücklich als Beispiel für Produkte mit langer Nutzungsdauer. Ausgenommen sind Medizinprodukte, Fahrzeuge, Luftfahrt und Schiffsausrüstung - Maschinen nicht. Die Ausnahme für Ersatzteile in Art. 2 Abs. 6 ist eng: Sie gilt nur für identische Komponenten nach denselben Spezifikationen, nicht für eine modernisierte Austauschsteuerung.

Für alle Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, gelten die grundlegenden Anforderungen des Anhangs I. Teil I beschreibt das Produkt: ohne bekannte ausnutzbare Schwachstellen, mit sicherer Standardkonfiguration, mit Schutz vor unbefugtem Zugriff, mit Sicherheitsupdates, die sich einspielen lassen. Teil II beschreibt den Prozess dahinter, und dort steht die Anforderung, über die am meisten geredet wird: Der Hersteller muss Schwachstellen und Komponenten seines Produkts dokumentieren, unter anderem durch eine Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten hervorgehen. Zwei Klarstellungen, die viel Aufregung ersparen: Die Pflicht beginnt bei den obersten Abhängigkeiten, nicht bei jeder Bibliothek in der dritten Ebene. Und die Stückliste muss laut BSI nicht veröffentlicht werden - sie gehört in die technische Dokumentation und wird der Marktüberwachung auf Verlangen vorgelegt.

Dazu kommt der Unterstützungszeitraum. Art. 13 Abs. 8 verlangt, dass der Hersteller ihn so festlegt, dass er die voraussichtliche Nutzungsdauer des Produkts widerspiegelt - und dass er mindestens fünf Jahre beträgt. Für Maschinen, die 15 bis 25 Jahre laufen, sind fünf Jahre also die Untergrenze, nicht das Ziel. Während dieses Zeitraums sind Sicherheitsupdates unverzüglich und, sofern für ein maßgeschneidertes Produkt nichts anderes vereinbart ist, kostenlos bereitzustellen; jedes Update muss nach Art. 13 Abs. 9 mindestens zehn Jahre verfügbar bleiben. Das Enddatum des Unterstützungszeitraums gehört in die Nutzerinformation und muss beim Kauf erkennbar sein. Wer heute Angebote schreibt, schreibt damit ab Dezember 2027 eine Zusage über Jahre.

Die gute Nachricht steckt in der Einstufung. Anhang III listet wichtige Produkte der Klassen I und II - Router, Switches, Betriebssysteme, Firewalls, Mikrocontroller mit sicherheitsrelevanten Funktionen und ähnliches - und Anhang IV kritische Produkte wie Smart-Meter-Gateways. Steuerungen und industrielle Automatisierungssysteme stehen nicht darin. Eine Maschine mit vernetzter Steuerung ist ein Standardprodukt, für das die Konformitätsbewertung in Eigenverantwortung nach Art. 32 Abs. 1 genügt; und Art. 7 Abs. 1 stellt klar, dass der Einbau einer Komponente aus Anhang III die Maschine nicht selbst zum wichtigen Produkt macht. Anders liegt es nur, wer ein gelistetes Produkt unter eigenem Namen in Verkehr bringt - etwa eine eigene Industrie-Firewall oder ein eigenes Gateway.

Was fehlt, sind Normen und Erfahrung. Harmonisierte Normen zum CRA sind bislang keine im Amtsblatt gelistet; die Normungsarbeit läuft unter dem Auftrag der Kommission in der Reihe EN 40000, und die verbreitete Annahme, EN 18031 sei die CRA-Norm, ist falsch - sie gehört zur Funkanlagenrichtlinie. Die Leitlinien der Kommission zur Anwendung des CRA erschienen am 27. Juli 2026, sieben Wochen vor der ersten harten Frist. Für die Kosten gibt es nur die Folgenabschätzung der Kommission von 2022, die für die Konformitätsbewertung in Eigenverantwortung durchschnittlich 18.400 Euro je Unternehmen ansetzt - eine Modellannahme von vor der Verabschiedung, keine Messung.

4. NIS2: die Pflichten als Einrichtung

Die zweite Ebene betrifft das Unternehmen selbst. Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz vollständig neu gefasst. Wer betroffen ist, regelt § 28: Eine wichtige Einrichtung ist, wer einer Einrichtungsart der Anlagen 1 und 2 zuzuordnen ist und mindestens 50 Beschäftigte hat oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Der Maschinenbau steht in Anlage 2 wörtlich: Sektor Verarbeitendes Gewerbe, Branche Maschinenbau, Unternehmen mit Wirtschaftstätigkeiten nach NACE-Abteilung 28. Zwei Folgen daraus werden oft übersehen: Ein reiner Maschinenbauer kann nur wichtige, nie besonders wichtige Einrichtung sein, weil das verarbeitende Gewerbe in Anlage 1 nicht vorkommt. Und die Schwellen gelten für das Unternehmen, nicht für den Konzern - verbundene Unternehmen werden nach § 28 Abs. 4 nicht hinzugerechnet, wenn die IT tatsächlich unabhängig betrieben wird.

Die erste Pflicht ist die Registrierung. § 33 verlangt sie spätestens drei Monate, nachdem ein Unternehmen erstmals als Einrichtung gilt - für alle, die am 6. Dezember 2025 bereits darunter fielen, war das der 6. März 2026, ohne allgemeine Übergangsfrist. Laut BSI waren zum 30. Juni 2026 im Registrierungsportal 17.729 Einrichtungen erfasst, 11.501 davon als wichtige Einrichtung; auf den Sektor Verarbeitendes Gewerbe entfielen 4.095. Das BSI stellt eine Betroffenheitsprüfung bereit, weist aber selbst darauf hin, dass sie nur Orientierung gibt und die Selbsteinschätzung nicht ersetzt; wer sich nicht registriert, kann vom BSI registriert werden und bewegt sich mit dem Bußgeld in der Klasse bis 500.000 Euro.

Der Kern sind die Maßnahmen nach § 30: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität mit Backup und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Management und Offenlegung von Schwachstellen, Wirksamkeitsbewertung, Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle, Multi-Faktor-Authentifizierung - jeweils nach dem Stand der Technik und verhältnismäßig zur Größe. Dass hier Handlungsbedarf besteht, zeigt die DIHK-Digitalisierungsumfrage 2026 (4.686 Unternehmen, November 2025): Nur 40 Prozent betreiben ein Informationssicherheitsmanagementsystem, 30 Prozent haben einen Notfallplan, 13 Prozent üben ihn. Bei Unternehmen ab 1.000 Beschäftigten war jedes zweite im vergangenen Jahr von mindestens einem erheblichen Cybersicherheitsvorfall betroffen.

Zwei Regelungen richten sich direkt an die Geschäftsführung. § 32 verlangt die Meldung erheblicher Sicherheitsvorfälle an das BSI in denselben Stufen wie der CRA - Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats -, allerdings über das BSI-Portal und für Vorfälle in den eigenen Systemen. Und § 38 verpflichtet die Geschäftsleitung persönlich, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen, regelmäßig an Schulungen teilzunehmen und für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts gegenüber der eigenen Einrichtung zu haften. Die Bußgelder des § 65 reichen für wichtige Einrichtungen bis 7 Millionen Euro; die oft zitierten Prozentsätze vom Umsatz greifen erst ab 500 Millionen Euro Konzernumsatz. Die Aufsicht über wichtige Einrichtungen ist anlassbezogen - das BSI prüft, wenn es einen Grund gibt, und ein gemeldeter Vorfall ist einer.

5. Maschinenverordnung: Cybersicherheit wird Produktsicherheit

Die dritte Ebene kommt am 20. Januar 2027 mit der Maschinenverordnung, die wir im Beitrag zur digitalen Betriebsanleitung bereits im Detail behandelt haben. Für die Cybersicherheit sind zwei Abschnitte des Anhangs III neu. Abschnitt 1.1.9, Schutz gegen Korrumpierung, verlangt, dass Software und Daten, die für die Konformität der Maschine entscheidend sind, als solche benannt und gegen unbeabsichtigte oder vorsätzliche Korrumpierung geschützt werden, dass die Maschine die für den sicheren Betrieb erforderliche installierte Software kenntlich macht und dass sie Nachweise für ein rechtmäßiges oder unrechtmäßiges Eingreifen in die Software sammelt. Abschnitt 1.2.1 verlangt, dass Steuerungen vernünftigerweise vorhersehbaren böswilligen Versuchen Dritter standhalten und ein Protokoll der Eingriffe und der Versionen der Sicherheitssoftware bis zu fünf Jahre nach dem Hochladen zugänglich halten.

Der Zusammenhang mit dem CRA wird häufig falsch dargestellt. Der CRA gewährt keine Konformitätsvermutung für die Maschinenverordnung. Sein Erwägungsgrund 53 sagt nur, dass die Einhaltung der CRA-Anforderungen die Einhaltung der Abschnitte 1.1.9 und 1.2.1 erleichtern könnte - und dass solche Synergieeffekte vom Hersteller nachzuweisen sind, der beide Konformitätsbewertungsverfahren befolgen muss. Die einzige echte Vermutung steht in Art. 20 Abs. 9 der Maschinenverordnung und läuft über Zertifikate nach dem Cybersecurity Act, also über europäische Zertifizierungsschemata, die für Maschinen noch nicht existieren. Praktisch heißt das: ein Sicherheitskonzept, zwei Nachweise, und die Zuordnung, welche Maßnahme welche Anforderung erfüllt, muss der Hersteller selbst dokumentieren.

6. Doppelt melden, einmal organisieren

Die unangenehmste Konsequenz der drei Regelwerke ist die Doppelmeldung. Wird eine Schwachstelle in der Fernwartungssoftware einer Maschine aktiv ausgenutzt und trifft der Angriff zugleich das eigene Servicenetz, ist derselbe Vorfall einmal nach dem CRA über die ENISA-Plattform und einmal nach dem BSI-Gesetz über das BSI-Portal zu melden. Das BSI beantwortet die Frage, ob das vorkommen kann, auf seiner Seite zur Plattform mit einem klaren Ja. Eine Regelung, nach der die eine Meldung die andere ersetzt, gibt es nicht. Die Kommission hat im November 2025 im Rahmen des Digital Omnibus eine zentrale Anlaufstelle bei der ENISA für alle Meldepflichten vorgeschlagen; dieser Teil des Pakets war am 11. September 2026 noch im Rat und nicht beschlossen - anders als der KI-Teil, der im Juli 2026 in Kraft trat.

Was sich organisieren lässt, ist der Prozess dahinter. Ein einziger Ablauf für Sicherheitsvorfälle - Erkennung, Bewertung, Eindämmung, Kommunikation - mit zwei Ausgängen: einem für die eigene Einrichtung nach § 32 BSI-Gesetz, einem für das Produkt nach Art. 14 CRA. Dieselbe Logik trägt bei den Maßnahmen: Wer Schwachstellenmanagement, Lieferkettensicherheit und sichere Entwicklung nach IEC 62443 aufbaut, bedient die zehn Bereiche des § 30, die Prozessanforderungen des Anhangs I Teil II und die Abschnitte 1.1.9 und 1.2.1 der Maschinenverordnung mit demselben System. Der VDMA hat dafür eine Lieferantenselbstauskunft veröffentlicht, deren Fragen ausdrücklich auf CRA, NIS2 und Maschinenverordnung zugleich abgebildet sind - ein brauchbarer Startpunkt, weil die Lieferkette in allen drei Texten vorkommt.

7. Das Wissensproblem hinter den 24 Stunden

Die Frist ist nicht das eigentliche Problem. Das eigentliche Problem ist die Frage, die in den ersten Stunden beantwortet sein muss: Welche unserer Produkte, in welchen Versionen, bei welchen Kunden sind betroffen? Die Frühwarnung verlangt die betroffenen Mitgliedstaaten, die Meldung die betroffenen Produkte, die Nutzerinformation nach Art. 14 Abs. 8 die konkreten Kunden. Wer diese Antwort aus Serviceberichten, Auslieferungslisten, Firmwareständen in Excel und der Erinnerung des Servicetechnikers zusammensuchen muss, hat die 24 Stunden verbraucht, bevor die Meldung beginnt.

Aus unserer Sicht ist der CRA deshalb vor allem ein Datenproblem, das sich als Sicherheitsproblem verkleidet. Drei Bestände müssen für jede Maschine zusammenpassen: die Software-Stückliste je Produktversion, die installierte Basis mit Seriennummer, Ausbaustand und Kunde, und die technische Dokumentation, in der die Risikominderungsmaßnahme für genau diese Konfiguration steht. Dieselben drei Bestände sind es, die den Service beschleunigen, wenn keine Schwachstelle im Spiel ist - wo KI im After-Sales belegbar wirkt und was sie dafür voraussetzt, hängt an genau dieser Datenbasis. Ein Wissenssystem, das in Sekunden beantwortet, welche Anlagen bei Kunde X die Steuerungsversion Y mit der Fernwartungskomponente Z tragen, ist für den Service ein Produktivitätswerkzeug und für die Meldepflicht der Unterschied zwischen einer belastbaren und einer geratenen Frühwarnung. Die Regelwerke liefern dafür das Budget-Argument, das Datenprojekten im Service sonst fehlt.

8. Sechs Schritte, die jetzt anstehen

1. Zugang zur Meldeplattform einrichten und den Meldeprozess üben. EU-Login anlegen, Zuständigkeiten für die 24-Stunden-Frühwarnung benennen - auch für Wochenenden -, eine englische Meldevorlage vorbereiten. Für die eigene Einrichtung dasselbe für das BSI-Portal, sofern die Registrierung noch aussteht.
2. Die installierte Basis mit Softwareständen erfassen. Welche Maschine steht wo, mit welcher Steuerung, welcher Firmware, welcher Fernwartungskomponente? Ohne diese Liste ist keine Frühwarnung belastbar. Sie ist zugleich der erste Schritt zur Software-Stückliste, die ab Dezember 2027 für neue Produkte Pflicht ist.
3. NIS2-Betroffenheit prüfen und dokumentieren. Beschäftigte, Umsatz, Bilanzsumme und NACE-Zuordnung festhalten, Registrierung nachholen, falls sie fehlt, und die Geschäftsleitung über § 38 informieren - einschließlich der Schulungspflicht.
4. Einen Vorfallprozess mit zwei Ausgängen aufsetzen. Eine Erkennungs- und Bewertungskette, am Ende zwei Meldewege: BSI-Portal für die Einrichtung, ENISA-Plattform für das Produkt. Wer entscheidet in der ersten Stunde, ob ein Vorfall meldepflichtig ist, und nach welchen Kriterien?
5. Unterstützungszeitraum und Update-Prozess für neue Produkte festlegen. Für alles, was ab Dezember 2027 ausgeliefert wird: Wie lange gibt es Sicherheitsupdates, wer baut sie, wie kommen sie auf die Maschine beim Kunden, und wie steht das Enddatum im Angebot? Diese Zusage prägt die Produktplanung, nicht nur die Dokumentation.
6. Ein Sicherheitskonzept mit Zuordnung zu allen drei Texten schreiben. Die Maßnahme einmal beschreiben, dann zuordnen: § 30 BSI-Gesetz, Anhang I CRA, Anhang III Maschinenverordnung. Diese Tabelle ist der Nachweis, den Erwägungsgrund 53 vom Hersteller verlangt - und der Schlüssel, damit aus drei Regelwerken nicht drei Projekte werden.

9. Wann Sie (fast) keinen Handlungsdruck haben

Ehrlichkeit gehört dazu, also auch die Gegenrichtung. Drei Konstellationen, in denen die drei Regelwerke heute wenig verlangen:

1. Ihre Maschinen haben keine Datenverbindung - auch keine indirekte. Rein mechanische oder elektrische Maschinen ohne Netzanschluss, ohne Fernwartung und ohne Datenschnittstelle sind keine Produkte mit digitalen Elementen. Dann trifft Sie der CRA nicht, und die Cybersicherheitsabschnitte der Maschinenverordnung laufen weitgehend leer. Prüfen Sie das ehrlich: Ein USB-Port für Diagnose und ein Feldbus zum Kundennetz sind Datenverbindungen.
2. Sie liegen unter den NIS2-Schwellen und bleiben es. Unter 50 Beschäftigten und unter 10 Millionen Euro Umsatz oder Bilanzsumme sind Sie keine wichtige Einrichtung. Die Kunden, die Sie beliefern, sind es aber womöglich - und deren Lieferkettenpflicht nach § 30 wird als Fragebogen bei Ihnen ankommen.
3. Sie haben Produktsicherheit nach IEC 62443 bereits organisiert. Wer sichere Entwicklung, Schwachstellenmanagement und Lieferantenbewertung eingeführt hat, muss für CRA und Maschinenverordnung vor allem zuordnen und dokumentieren, nicht neu aufbauen. Was bleibt, ist die Meldeorganisation - die kannte IEC 62443 in dieser Form nicht.

Für alle anderen gilt: Die Meldepflicht ist scharf, die Plattform steht, und die Frist beginnt mit der Kenntnis - nicht mit dem Ende des Projekts, das die Datenbasis aufbaut. Laut Bitkom (Wirtschaftsschutz 2026, 1.003 Unternehmen) berichten 23 Prozent der Unternehmen von physischer Sabotage an Produktionsanlagen oder Betriebsabläufen. Die Kenntnis, die die Uhr startet, kommt oft nicht aus dem eigenen Haus, sondern vom Kunden, dessen Anlage steht.

10. Häufige Fragen

11. Quellen

Rechtstexte in der konsolidierten Fassung, Behördenangaben und Studien mit Erhebungsdaten. Studien von Verbänden und Anbietern mit Eigeninteresse sind entsprechend gekennzeichnet.

• Cyber Resilience Act: VO (EU) 2024/2847, konsolidierte Fassung mit Berichtigungen (Art. 2, 3, 7, 13, 14, 32, 64, 69, 71; Anhänge I, III, IV; Erwägungsgründe 53 und 57).
• Maschinenverordnung: VO (EU) 2023/1230, konsolidierte Fassung (Art. 20 Abs. 9, Art. 54; Anhang III Abschnitte 1.1.9 und 1.2.1).
• NIS2-Umsetzung: BSI-Gesetz in der Fassung des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301), in Kraft seit 6. Dezember 2025 (§§ 28, 30, 32, 33, 38, 65; Anlage 2).
• BSI, Pressemitteilung zum Start der CRA-Meldepflicht (11. September 2026); Informationen zur Single Reporting Platform; NIS-2 in Zahlen (Registrierungsstand 30. Juni 2026); NIS-2-Betroffenheitsprüfung.
• ENISA, Inbetriebnahme der Single Reporting Platform (11. September 2026); Europäische Kommission, Meldepflichten nach dem CRA, Leitlinien zur Anwendung des CRA (27. Juli 2026) und Folgenabschätzung SWD(2022) 282 (September 2022): Kostenschätzungen.
• Bitkom, Presseinformation zum Cyber Resilience Act (10. September 2026; Branchenverband; 1.003 Unternehmen ab zehn Beschäftigten, April bis Juni 2026): Bekanntheit und Vorbereitung; Wirtschaftsschutz 2026 (26. August 2026, dieselbe Stichprobe): Sabotage an Produktionsanlagen.
• DIHK, Digitalisierungsumfrage 2026 (PDF, 4.686 Unternehmen, Befragung November 2025): Informationssicherheitsmanagement, Notfallvorsorge, Vorfälle.
• TÜV-Verband, Cybersecurity-Studie 2025 (PDF; Ipsos, 506 Unternehmen, Februar bis März 2025; Verband der Prüforganisationen): Bekanntheit von NIS2.
• Fraunhofer AISEC und VDMA, Studie Industrial Security (Pressemitteilung, April 2025; Verband und Forschungsinstitut, Stichprobe in der Mitteilung nicht ausgewiesen): Betroffenheit von CRA und NIS2; VDMA, Themenseite Cyber Resilience Act mit Lieferantenselbstauskunft.