Ratgeber - Abgrenzung
Worin unterscheidet sich der CRA von NIS-2, DORA und der DSGVO?
Vier Vorschriften, vier Anknüpfungspunkte, echte Überlappungen
Kaum ein Vorfall trifft nur eine Vorschrift. Wer die Anknüpfungspunkte der vier Regeln kennt, weiß vor der ersten Meldung, welche Pflichten gleichzeitig laufen und welche Meldungen er erstatten muss.
Die Kurzfassung
Der CRA regelt das Produkt, die anderen Vorschriften regeln Unternehmen und Daten
Der Cyber Resilience Act knüpft an das Produkt mit digitalen Elementen an, das in Verkehr gebracht wird. Die NIS-2-Richtlinie knüpft an den Betreiber kritischer oder wichtiger Einrichtungen an, die DORA an Finanzinstitute, die DSGVO an die Verarbeitung personenbezogener Daten. Weil die Anknüpfungspunkte verschieden sind, kann derselbe Vorfall mehrere Vorschriften gleichzeitig auslösen, und dann gelten mehrere Fristen und mehrere Empfänger nebeneinander.
GrundlageArt. 3 Nr. 1 CRAArt. 14 Abs. 1 CRA
Die Übersicht
Die vier Vorschriften im Vergleich
| Vorschrift | Woran sie anknüpft | Wen sie trifft | Typische Meldung |
|---|---|---|---|
| CRA | Produkt mit digitalen Elementen, Inverkehrbringen | Hersteller | Schwachstelle und Vorfall an CSIRT und ENISA, 24 und 72 Stunden |
| NIS-2 | Kritische oder wichtige Einrichtung, Netz- und Informationssysteme | Betreiber, etwa Anbieter digitaler Dienste | Erheblicher Vorfall an die zuständige Stelle, je nach nationaler Umsetzung |
| DORA | Finanzinstitut, ICT-Risikomanagement | Banken, Versicherungen, Zahlungsdienstleister | Meldepflichtige Vorfälle an die Aufsicht, strukturiert nach Kategorien |
| DSGVO | Verarbeitung personenbezogener Daten | Verantwortlicher und Auftragsverarbeiter | Datenpanne an die Aufsichtsbehörde, in der Regel binnen 72 Stunden |
Die Spalte der Meldungen zeigt das Muster: Kein Empfänger und kein Fristenregime deckt sich vollständig. Die 72 Stunden, die DSGVO und CRA beide nennen, sind jeweils ab unterschiedlichen Kenntniszeitpunkten und an unterschiedliche Adressaten gerichtet.
GrundlageArt. 14 Abs. 2 Buchst. a CRAArt. 14 Abs. 2 Buchst. b CRA
Der Ernstfall
Doppelbefassung verlangt doppelte Meldung, keine Auswahl
Was bei einem Vorfall passiert, der mehrere Regeln trifft
Ein schwerwiegender Sicherheitsvorfall in einem ausgelieferten Produkt, das personenbezogene Daten verarbeitet und bei einem NIS-2-Betreiber läuft, kann drei Meldungen auslösen: die CRA-Meldung des Herstellers, die NIS-2-Meldung des Betreibers und die DSGVO-Meldung des Verantwortlichen. Jede Meldung hat ihren eigenen Inhalt, weil jede Vorschrift etwas anderes wissen will: der CRA das Produkt und die Schwachstelle, NIS 2 den Vorfall im System, die DSGVO die betroffenen Daten und Personen.
Praktisch hilft eine Zuordnungstabelle im eigenen Notfallplan: Wer meldet was an wen binnen welcher Frist. Wer sie einmal geschrieben hat, verwechselt im Ernstfall die Adressaten nicht.
Eine Meldung erfüllt genau eine Pflicht. Wer zwei Pflichten hat, meldet zweimal.
Der Grund
Warum die Vorschriften nebeneinander bestehen
Das Interesse hinter der Aufteilung
Jede Vorschrift schützt ein anderes Gut: Der CRA die Sicherheit der Produkte auf dem Markt, NIS 2 die Verfügbarkeit kritischer Dienste, DORA die Stabilität des Finanzsystems, die DSGVO die personenbezogenen Daten. Die Union hat bewusst getrennte Regeln geschaffen, weil die Gefahren verschieden sind. Für die Betroffenen ist die Aufteilung teuer, für den Schutz ist sie präzise: Jede Meldung geht an die Stelle, die für ihr Gut zuständig ist.
Vertiefung