Auf Hersteller und Unternehmen in Europa kommen in den nächsten Wochen und Monaten (z.B. ab 11.09.2026) einige Cybersecurity-Pflichten zu, die EU-weit geregelt sind. NIS-2, Cyber Resilience Act und Maschinenverordnung. Mir hat der Betreiber einer entsprechenden Infoseite einige Informationen zukommen lassen. Ich nutze die Gelegenheit, einen kuren Überblick über die Sachlage zu geben.
Rückblick: Die EU AI-Transparenzregeln
Im Blog-Beitrag Ab dem 2. August 2026 gelten die EU AI-Transparenzregeln hatte ich gerade auf die Kennzeichnungspflichten für bestimmte AI-generierte Inhalte innerhalb der EU hingewiesen. Die betreffenden EU AI-Transparenzregeln gelten seit dem 2. August 2026, wobei für bestehende Angebote eine Übergangsfrist bis zum 2. Dezember 2026 existiert, um die Anforderungen an die maschinenlesbare Kennzeichnung gemäß Artikel 50 Absatz 2 zu erfüllen. Der Artikel erhält auch Links auf Artikel mit praktischen Hinweisen, was unter die EU AI-Transparenzregeln fällt und was nicht.
Dicker Brocken: NIS2 und die Registrierung
Dann gibt es noch den "dicken Brocken" NIS2 Registrierungspflicht" für betroffene Unternehmen. NIS steht für steht für Network and Information Security. Die NIS-2-Richtlinie (nachfolgend kurz als NIS2 bezeichnet) der Europäischen Union legt verbindliche Cyber Security-Mindeststandards für Betreiber kritischer Infrastrukturen (KRITIS) fest.
NIS2 bildet die Grundlage für Risikomanagementmaßnahmen und Meldepflichten im Bereich Cybersicherheit in allen Sektoren, die unter die Richtlinie fallen. Dazu gehören etwa Energie, Verkehr, Gesundheit und digitale Infrastruktur. NIS2 ist eine EU-weite Gesetzgebung zur Netzwerk- und Informationssicherheit, die bereits 2022 beschlossen und im Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht wurde. In Deutschland gilt NIS2 seit Dezember 2025 Ab heute, 6. Dez. 2025, gilt die NIS-2-Richtlinie in Deutschland. Bis Ende Juli 2026 mussten geschätzt 29.500 Unternehmen eine Meldung auf dem betreffenden BSI-Portal abgeben. Aber ca. 2/3 der Unternehmen scheinen diese Frist gerissen zu haben, wie ich im Beitrag Das Problem der NIS2-Registrierungslücke; Meldung bis 31. Juli 2026 möglich angesprochen habe. Hier drohen nun Bußgelder.
Durchblick bei den EU-Regulierungen
Mitte Juli 2026 hat mich dann Thomas Schack von TBG-Automation per E-Mail kontaktiert und auf die von ihnen erstellte Webseite EU-Cybersecurity-Pflichten für Hersteller & Betriebe hingewiesen. Dazu schrieb er mir:
Ihr Beitrag zu KI-Verordnung, NIS-2 und CRA für KMU [gemeint ist der Beitrag KI-Verordnung, NIS-2-Richtlinie und Cyber Resilience Act: Auswirkungen auf KMU] hat das zusammengebracht, was sonst über drei Beratungs-Websites verstreut ist — und Ihre Leserschaft ist genau die, die jetzt an der Betroffenheits-Frage hängt.
Weil die meisten CRA-Checker im Netz Lead-Magnets von Beratungen sind, haben die Leute von TBG-Automation bewusst das Gegenteil gebaut: Einen kostenlosen, interaktiven CRA-Check ohne Anmeldung und ohne Datenerfassung.
- Rolle × Produktkategorie × Markt-Timing ergibt die Klasse nach Anhang III/IV
- das Konformitätsverfahren und die Pflichten je Frist
- Jede Zuordnung mit EUR-Lex-/BSI-Quelle
Dazu der vielfach übersehene Hinweis: Die Meldepflicht ab 11.09.2026 gilt auch für Bestandsprodukte. Es gibt drei Regelwerke und drei Fristen, die auf nachfolgender Webseite thematisiert sind:
- Der Cyber Resilience Act bringt Meldepflichten ab September 2026 und volle Produktpflichten ab Ende 2027,
- die neue Maschinenverordnung macht Cybersecurity ab Januar 2027 zur CE-Pflicht
- und die NIS2-Verordnung gilt bereits seit Dezember 2025, wobei die Meldepflicht für Betroffene Ende Juli 2026 ausgelaufen ist.
Die obige Webseite ermöglicht eine schnelle Prüfung, wenn was, ab wann, trifft — mit verlinkten Quellen :
- Einfach die Webseite aufrufen, in eine der drei Kategorien blättern und dann die angezeigten Kästchen für die Unterkategorien im Browserfenster anklicken.
- Bei Bedarf in angebotenen Drop-Down Listenfeldern die zutreffenden Informationen auswählen.
Dann erscheinen im rechten Teil des Browserfensters sowie unterhalb des Auswahlbereichs die relevanten Informationen samt den Links zu den zugehörigen Quellen. Dies ermöglicht eine schnelle Orientierung bezüglich der Fragen statt Panik. Vielleicht hilft die Seite dem einen oder anderen Verantwortlichen aus der Leserschaft. Obwohl ich mich persönlich bei der Gestaltung gegen den schlecht lesbaren Darkmodus entschieden hätte – aber das ist wohl eher Geschmacksache.
Ähnliche Artikel:
NIS-2-Richtlinie von Deutschland beschlossen
Ab heute, 6. Dez. 2025, gilt die NIS-2-Richtlinie in Deutschland
NIS-2-Registrierung im BSI-Portal jetzt möglich (6.1.2026)
Kommunal-IT und Informationssicherheitsbeauftragte (ISBs) in der NIS-2-Falle?
KI-Verordnung, NIS-2-Richtlinie und Cyber Resilience Act: Auswirkungen auf KMU
Das Problem der NIS2-Registrierungslücke; Meldung bis 31. Juli 2026 möglich
Ab dem 2. August 2026 gelten die EU AI-Transparenzregeln
MVP: 2013 – 2016
