Gilt für uns NIS2 oder der Cyber Resilience Act?

In aller Regel beides, weil sie verschiedene Gegenstände regeln. NIS2 und das BSIG betreffen Ihr Unternehmen: Risikomanagement, Meldepflicht, Registrierung, Leitungspflichten. Der Cyber Resilience Act betrifft Ihre Produkte mit digitalen Elementen: Konformität, Schwachstellenbehandlung, Updates. Wer nur eines von beidem bearbeitet, hat eine Lücke — in der Praxis lohnt es sich, beide Meldepflichten in einem Prozess zu führen.

Was gilt seit dem 11. September 2026?

Seit diesem Datum unterliegen Hersteller vernetzter Produkte der Meldepflicht des Cyber Resilience Act für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Die übrigen Pflichten der Verordnung — insbesondere Konformitätsbewertung und Bereitstellung von Sicherheitsupdates — gelten ab dem 11. Dezember 2027. Die Verordnung gilt unmittelbar, eine nationale Umsetzung ist nicht erforderlich.

Wir fertigen nur im Auftrag — betrifft uns das trotzdem?

Für NIS2 kommt es auf Ihre eigenen Schwellenwerte an, nicht auf die Rolle als Auftragsfertiger. Unabhängig davon steuern Ihre Auftraggeber Sie als Lieferanten nach § 30 Abs. 2 Nr. 4 BSIG und geben Anforderungen vertraglich weiter. Weil Sie fremde Konstruktionsdaten verarbeiten, sind die Anforderungen an Vertraulichkeit und Vorfallinformation dabei oft strenger als das gesetzliche Minimum.

Wie sichern wir Fertigungsanlagen, die sich nicht patchen lassen?

Über kompensierende Maßnahmen statt über Patches: eigene Netzzone, streng begrenzte und protokollierte Zugänge, passive Überwachung des Netzverkehrs und gesicherte Konfigurationsstände mit getesteter Rückspielung. Entscheidend für die Nachweisführung ist, dass die Abwägung zwischen Patchbarkeit und Verfügbarkeit dokumentiert vorliegt.

Verarbeitendes Gewerbe

NIS2 im Elektronik

Bauteilfertigung, EMS und Produkte mit digitalen Elementen

Sind Sie betroffen?

Hersteller elektronischer Bauteile, Geräte und elektrischer Ausrüstung fallen als Teil des verarbeitenden Gewerbes unter Anhang II der NIS2-Richtlinie, sobald sie mindestens 50 Beschäftigte oder mehr als 10 Mio. EUR Jahresumsatz erreichen. Für die Produkte selbst greift zusätzlich der Cyber Resilience Act — für kaum eine andere Teilbranche sind beide Regime so eng verzahnt.

Verarbeitendes Gewerbe nach Anhang II der NIS2-Richtlinie
Ab 50 Beschäftigten oder mehr als 10 Mio. EUR Jahresumsatz
Für Produkte mit digitalen Elementen zusätzlich der Cyber Resilience Act
Als Auftragsfertiger mittelbar über die Lieferkettenpflichten der Auftraggeber

Diese Seite vertieft eine Teilbranche des Sektors Verarbeitendes Gewerbe. Die gesetzliche Sektorzuordnung nach Anhang II erfolgt dort — Elektronik ist keine eigene NIS2-Kategorie.

Was im Elektronik anders ist

Zwei Regime treffen dasselbe Unternehmen

NIS2 reguliert das Unternehmen, der Cyber Resilience Act das Produkt. Ein Elektronikhersteller mit vernetzten Geräten erfüllt beide — und braucht dafür zwei getrennte Nachweisstränge, die sich organisatorisch zusammenführen lassen, inhaltlich aber unterschiedlichen Prüfmaßstäben folgen.

Auftragsfertigung heißt fremde Daten im Haus

EMS-Dienstleister verarbeiten Konstruktions- und Prüfdaten ihrer Auftraggeber. Diese Daten gehören einem anderen, unterliegen dessen Schutzanforderungen und sind vertraglich abgesichert. Ein Vorfall ist damit zugleich ein Vorfall beim Kunden — mit entsprechenden Melde- und Informationspflichten.

Die Lieferkette reicht weit über Europa hinaus

Bauteile, Baugruppen und Fertigungsanlagen stammen aus global verteilten Quellen. Die Kritikalitätsbewertung nach § 30 Abs. 2 Nr. 4 BSIG muss deshalb Verfügbarkeitsrisiken und Manipulationsrisiken gleichermaßen abdecken — nicht nur die IT-Sicherheit des unmittelbaren Vertragspartners.

Fertigungsparameter sind das Betriebsgeheimnis

Prozessparameter, Prüfrezepte und Ausbeutedaten entscheiden über die Wirtschaftlichkeit einer Fertigung. Sie liegen in MES-Systemen, häufig mit weiten Leserechten für Produktion und Qualitätssicherung, und sind selten klassifiziert.

Regelwerke, die neben dem BSIG greifen

Regelwerke mit Bezug zu Elektronik neben dem BSIG
Regelwerk	Bezug
Cyber Resilience Act, Verordnung (EU) 2024/2847	Zentrales Produktregime für vernetzte Geräte. Seit dem 11.09.2026 gilt die Meldepflicht für Hersteller bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen, ab dem 11.12.2027 die übrigen Pflichten einschließlich Konformitätsbewertung und Bereitstellung von Sicherheitsupdates.
IEC 62443	Relevant sowohl für die eigene Fertigung als auch für Komponenten, die in industrielle Anlagen eingebaut werden. Teil 4 richtet sich ausdrücklich an Produkthersteller.
ISO/IEC 27001	Trägt einen großen Teil der Nachweise für § 30 BSIG und ist zugleich der Rahmen, in dem sich der Schutz fremder Auftraggeberdaten belegen lässt.

Bedrohungslage

Kompromittierung über die Fertigungsanlage

Bestückungsautomaten, Prüfstände und Messsysteme sind Netzteilnehmer mit langer Lebensdauer und eingeschränkter Patchbarkeit. Sie sind der bequemste Weg in ein Fertigungsnetz.

Weitergabe eines Vorfalls an den Auftraggeber

Wer fremde Konstruktionsdaten verarbeitet, verursacht mit einem eigenen Vorfall einen Vorfall beim Kunden. Das löst vertragliche Informationspflichten aus und kann die Geschäftsbeziehung schneller beenden als der technische Schaden.

Manipulation in der Bauteilkette

Gefälschte oder manipulierte Komponenten sind in der Elektronik ein reales Beschaffungsrisiko. Es ist weniger ein IT-Sicherheitsproblem als ein Lieferantensteuerungsproblem — fällt aber unter dieselbe Pflicht.

Maßnahmen mit Priorität

Die zehn Maßnahmenbereiche des § 30 BSIG gelten unverändert. Diese Punkte werden im Elektronik anders gewichtet als im Durchschnitt.

Fertigungsnetz von der Büro-IT trennen und Prüf- sowie Bestückungsanlagen in eigene Zonen legen
Fremde Auftraggeberdaten gesondert klassifizieren, Zugriff auf das notwendige Team begrenzen und Zugriffe protokollieren
Vertragliche Informationspflichten gegenüber Auftraggebern in den Vorfallprozess aufnehmen
Bauteillieferanten nicht nur nach IT-Sicherheit, sondern auch nach Verfügbarkeits- und Manipulationsrisiko bewerten
Prozess- und Prüfdaten in MES-Systemen klassifizieren und Leserechte darauf ausrichten
CRA-Meldeprozess für Produktschwachstellen aufsetzen und mit dem Meldeprozess nach § 32 BSIG verzahnen
Schwachstellenannahme für Produkte einrichten, damit Meldungen Dritter nicht ins Leere laufen
Sicherungen der Anlagenkonfigurationen führen und Rückspielung testen

Häufige Fragen

Gilt für uns NIS2 oder der Cyber Resilience Act?: In aller Regel beides, weil sie verschiedene Gegenstände regeln. NIS2 und das BSIG betreffen Ihr Unternehmen: Risikomanagement, Meldepflicht, Registrierung, Leitungspflichten. Der Cyber Resilience Act betrifft Ihre Produkte mit digitalen Elementen: Konformität, Schwachstellenbehandlung, Updates. Wer nur eines von beidem bearbeitet, hat eine Lücke — in der Praxis lohnt es sich, beide Meldepflichten in einem Prozess zu führen.
Was gilt seit dem 11. September 2026?: Seit diesem Datum unterliegen Hersteller vernetzter Produkte der Meldepflicht des Cyber Resilience Act für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Die übrigen Pflichten der Verordnung — insbesondere Konformitätsbewertung und Bereitstellung von Sicherheitsupdates — gelten ab dem 11. Dezember 2027. Die Verordnung gilt unmittelbar, eine nationale Umsetzung ist nicht erforderlich.
Wir fertigen nur im Auftrag — betrifft uns das trotzdem?: Für NIS2 kommt es auf Ihre eigenen Schwellenwerte an, nicht auf die Rolle als Auftragsfertiger. Unabhängig davon steuern Ihre Auftraggeber Sie als Lieferanten nach § 30 Abs. 2 Nr. 4 BSIG und geben Anforderungen vertraglich weiter. Weil Sie fremde Konstruktionsdaten verarbeiten, sind die Anforderungen an Vertraulichkeit und Vorfallinformation dabei oft strenger als das gesetzliche Minimum.
Wie sichern wir Fertigungsanlagen, die sich nicht patchen lassen?: Über kompensierende Maßnahmen statt über Patches: eigene Netzzone, streng begrenzte und protokollierte Zugänge, passive Überwachung des Netzverkehrs und gesicherte Konfigurationsstände mit getesteter Rückspielung. Entscheidend für die Nachweisführung ist, dass die Abwägung zwischen Patchbarkeit und Verfügbarkeit dokumentiert vorliegt.

Weiter zu

Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Fachliche Einordnung zur technischen und organisatorischen Umsetzung, keine Rechtsberatung.

NIS2 im Elektronik — wo stehen Sie?

Eine Gap-Analyse zeigt anhand Ihrer Nachweise, welche der zehn Maßnahmenbereiche offen sind und in welcher Reihenfolge sie geschlossen werden sollten.

Gap-Analyse ansehen