CRA, NIS2 und Data Act: was gilt für digitale Produkte?

Veröffentlicht am 1. November 2026

CRA, NIS2 und Data Act treffen deutsche Hersteller, die in die Niederlande liefern, an verschiedenen Stellen: am Produkt, an der Organisation des Kunden, an den Daten und an der Haftung. Wer verwechselt, wen welche Regel verpflichtet, verhandelt falsche Klauseln oder verpasst echte Pflichten. Diese Übersicht zeigt, welche Regel für Sie gilt, ab wann und wer in der Kette verantwortlich ist.

Welche EU-Regeln betreffen digitale Produkte, die Sie in die Niederlande liefern?

Für Hersteller digitaler Produkte zählen vier Regelwerke: der Cyber Resilience Act für das Produkt, NIS2 für die Organisation, die Datenverordnung für Produktdaten und die neue Produkthaftungsrichtlinie für Schäden. Jedes hat einen anderen Gegenstand und einen anderen Adressaten.

Die Fragen, die Sie aus den Niederlanden erreichen, klingen oft gleich: „Sind Sie NIS2-konform?“, „Liefern Sie eine CRA-Erklärung?“, „Wie kommen wir an die Maschinendaten?“. Rechtlich stehen dahinter sehr unterschiedliche Dinge. Die Verordnung (EU) 2024/2847, die Cyberresilienz-Verordnung oder Cyber Resilience Act (CRA), regelt Produkte mit digitalen Elementen. Die NIS-2-Richtlinie, in den Niederlanden umgesetzt durch die Cyberbeveiligingswet (Cbw) und das Cyberbeveiligingsbesluit (Cbb), regelt Organisationen. Die Verordnung (EU) 2023/2854, die Datenverordnung oder Data Act, regelt den Zugang zu Daten vernetzter Produkte. Die Richtlinie (EU) 2024/2853, die neue Produkthaftungsrichtlinie, regelt die zivilrechtliche Haftung für fehlerhafte Produkte.

Daneben steht die KI-Verordnung (EU) 2024/1689. Sie stellt Anforderungen an Anbieter und Betreiber von KI-Systemen; für Produkte mit KI kann sie neben der CRA gelten.

Der wichtigste Unterschied liegt nicht im Inhalt, sondern in der Frage: Wer ist Adressat? Nur wenn Sie das für jede Regel klären, wissen Sie, ob eine Anfrage Ihres niederländischen Kunden aus dem Gesetz folgt oder aus seinem Wunsch nach vertraglicher Absicherung.

Wer trägt welche Pflicht? Die Regeln im Vergleich

Die Tabelle stellt Gegenstand, Adressat und Stichtag der vier Regeln nebeneinander. Daraus folgt, ob die Pflicht Sie als Hersteller, Ihren Kunden als Einrichtung oder beide über den Vertrag trifft.

Regel	Worum es geht	Für wen	Gilt ab	Vertiefung
Cyber Resilience Act, Verordnung (EU) 2024/2847	Cybersicherheit von Produkten mit digitalen Elementen; CE-Kennzeichnung	Hersteller, Einführer, Händler	Meldepflicht des Herstellers seit 11. September 2026; übrige Pflichten ab 11. Dezember 2027	Cyber Resilience Act in den Niederlanden
NIS-2-Richtlinie, Cyberbeveiligingswet und Cyberbeveiligingsbesluit	Cybersicherheit von Organisationen	wesentliche und wichtige Einrichtungen mit Niederlassung in den Niederlanden; Lieferanten über den Vertrag	Cbw und Cbb in Kraft seit 15. August 2026	NIS2 in den Niederlanden für deutsche Unternehmen und NIS2 Lieferkette: was niederländische Kunden verlangen
Datenverordnung, Verordnung (EU) 2023/2854	Zugang zu und Weitergabe von Daten vernetzter Produkte und verbundener Dienste; keine CE-Kennzeichnung, keine Meldepflicht	Hersteller vernetzter Produkte, Anbieter verbundener Dienste, Dateninhaber	seit 12. September 2025; Gestaltungspflicht für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden	Data Act für Hersteller vernetzter Produkte
Produkthaftungsrichtlinie, Richtlinie (EU) 2024/2853	zivilrechtliche Haftung für fehlerhafte Produkte; Software ist ein Produkt	Hersteller und weitere Akteure der Kette	für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden	neue Produkthaftungsrichtlinie in den Niederlanden

Zwei Zeilen werden häufig verwechselt. Die CRA ist Produktrecht: Sie knüpft an das Produkt an, das Sie in Verkehr bringen, gleich ob Sie in Deutschland oder anderswo sitzen. NIS2 ist Organisationsrecht: Die Cyberbeveiligingswet verpflichtet die Einrichtung, die in den Niederlanden niedergelassen ist. Als deutscher Lieferant ohne niederländische Niederlassung haben Sie aus der Cbw keine eigene Pflicht; Ihre Pflichten entstehen aus dem Vertrag mit dem Kunden.

Was verlangt der Cyber Resilience Act von Ihnen als Hersteller?

Die CRA stellt Anforderungen an Produkte mit digitalen Elementen und verpflichtet Hersteller, Einführer und Händler. Für Hersteller gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bereits seit dem 11. September 2026.

Die Meldepflicht steht in Art. 14 CRA und gilt nach Art. 71 Abs. 2 seit dem 11. September 2026. Sie erfasst nach Art. 69 Abs. 3 auch Produkte, die Sie schon vor diesem Datum in Verkehr gebracht haben. Für die Meldepflicht kommt es also nicht darauf an, wann ein Gerät auf den Markt kam: Wer heute ein Produkt mit digitalen Elementen im Markt hat, braucht heute ein funktionierendes Verfahren, um aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu erkennen und zu melden.

Der Rest der Verordnung, darunter die Produktanforderungen, die CE-Kennzeichnung und die Pflichten der Einführer und Händler, gilt ab dem 11. Dezember 2027 (Art. 71 Abs. 2). Ihr niederländischer Händler oder Einführer hat aus der CRA heute also noch keine eigenen Pflichten. Verlangt er schon jetzt eine „CRA-Konformitätserklärung“, geht es um seine Planung, nicht um eine bestehende gesetzliche Pflicht.

Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, fallen nur dann unter die Anforderungen, wenn sie danach wesentlich geändert werden (Art. 69 Abs. 2). Für Ihre Produktplanung heißt das: Jedes Produkt, das ab diesem Datum in Verkehr gebracht oder danach wesentlich geändert wird, muss die Anforderungen erfüllen.

In den Niederlanden liegt der Entwurf des Durchführungsgesetzes zur CRA (Uitvoeringswet verordening cyberweerbaarheid, Kamerstukken 36 875) vor. Die Tweede Kamer hat ihn angenommen, er wird in der Eerste Kamer beraten. Er ist noch kein Gesetz. Einzelheiten zu Meldewegen und Rollen finden Sie unter Cyber Resilience Act in den Niederlanden.

Gilt NIS2 für Sie oder nur für Ihren niederländischen Kunden?

NIS2 verpflichtet Organisationen, nicht Produkte. In den Niederlanden trifft die Cyberbeveiligingswet wesentliche und wichtige Einrichtungen mit Niederlassung dort; als Lieferant erhalten Sie Anforderungen über den Vertrag, solange Sie nicht selbst Einrichtung sind.

Die Cyberbeveiligingswet und das Cyberbeveiligingsbesluit sind seit dem 15. August 2026 in Kraft (Art. 35 Cbb). Seitdem muss Ihr Kunde, wenn er Einrichtung ist, die Sicherheit seiner Lieferkette nachweisen. Deshalb erreichen Sie Fragebögen, Sicherheitsanlagen, Auditrechte und Meldeklauseln. Diese Anforderungen sind vertraglich; das Gesetz richtet sich an Ihren Kunden.

Anders liegt es, wenn Ihr Unternehmen in den Niederlanden niedergelassen ist und selbst unter die Cbw fällt. Anlage 2 der Cbw übernimmt die Sektoren aus Anhang II der NIS-2-Richtlinie, unter anderem die Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, die Herstellung von elektrischen Ausrüstungen und den Maschinenbau. Ein mittleres oder größeres Unternehmen in diesen Sektoren kann dann eigene Pflichten haben, zusätzlich zum Vertrag. Ihre NIS2-Pflichten in Deutschland richten sich nach deutschem Recht und sind gesondert zu beurteilen.

Wie Sie Ihre Rolle bestimmen, steht in NIS2 in den Niederlanden für deutsche Unternehmen. Welche Klauseln aus dem Gesetz folgen und welche Sie verhandeln können, behandelt NIS2 Lieferkette: was niederländische Kunden verlangen.

Eine NIS2-Anlage unterschreibe ich nicht so, wie sie kommt. Ich gehe Punkt für Punkt durch, was der Kunde nach der Cyberbeveiligingswet selbst nachweisen muss. Das liefern wir ihm. Alles, was darüber hinausgeht, etwa weitreichende Auditrechte oder eine erweiterte Haftung, ist Verhandlungssache.

Liegt Ihnen eine NIS2-Anlage oder eine CRA-Anfrage eines niederländischen Kunden vor? Lassen Sie uns klären, was davon aus dem Gesetz folgt. Kontakt über die Seite deutschsprachiger Anwalt in den Niederlanden.

Was bedeutet die Datenverordnung für vernetzte Produkte?

Die Datenverordnung regelt, wer auf Daten vernetzter Produkte und verbundener Dienste zugreifen darf. Sie gilt seit dem 12. September 2025. Sie ist keine CE-Regelung und kennt weder Konformitätsbewertung noch Meldepflicht für Vorfälle.

Die Datenverordnung gilt nach Art. 50 seit dem 12. September 2025. Seitdem können Nutzer, also auch Ihr gewerblicher Kunde, der eine Maschine betreibt, Zugang zu den Daten verlangen, die das Produkt erzeugt. Für die Konstruktion kommt ein zweiter Stichtag hinzu: Vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, müssen so gestaltet sein, dass die Daten standardmäßig zugänglich sind (Art. 3 Abs. 1). Produkte, die vorher in Verkehr gebracht wurden, fallen nicht unter diese Gestaltungspflicht.

Für deutsche Hersteller ist die Aufsicht ein wichtiger Punkt. In den Niederlanden ist die Uitvoeringswet dataverordening seit dem 21. November 2025 in Kraft und die ACM zuständige Behörde. Das gilt aber für Einrichtungen mit Niederlassung in den Niederlanden. Ein deutscher Hersteller fällt unter die zuständige Behörde seines eigenen Mitgliedstaats (Art. 37 Abs. 10). Ihr niederländischer Kunde kann seine Rechte als Nutzer trotzdem geltend machen und wird das oft über den Vertrag tun.

Die Datenverordnung ist nicht die CRA. Eine Datenzugangsfunktion macht Ihr Produkt nicht CE-pflichtig, und ein Datenzugangsantrag ist keine Sicherheitsmeldung. Mehr dazu unter Data Act für Hersteller vernetzter Produkte.

Was ändert sich in der Produkthaftung für Software?

Nach der neuen Produkthaftungsrichtlinie ist Software ein Produkt. Die neuen Regeln gelten für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Fehlt eine Sicherheitsaktualisierung, die unter Ihrer Kontrolle steht, können Sie sich nicht mehr darauf berufen, der Fehler sei erst später entstanden.

Die Richtlinie (EU) 2024/2853 ersetzt die alte Produkthaftungsrichtlinie. Software fällt ausdrücklich unter den Begriff „Produkt“ (Art. 4 Nr. 1). Für Hersteller vernetzter Geräte wichtig ist Art. 11 Abs. 2: Der Einwand, der Fehler sei erst nach dem Inverkehrbringen entstanden, entfällt unter anderem, wenn eine Sicherheitsaktualisierung fehlt, die unter der Kontrolle des Herstellers steht. Ihre Update-Politik wird damit auch zu einer Haftungsfrage.

Die neuen Regeln gelten für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden (Art. 2 Abs. 1). Die Niederlande setzen die Richtlinie über einen Gesetzentwurf um (Kamerstukken 36 906), der in der Eerste Kamer beraten wird; er ist noch kein Gesetz. In Deutschland ist das Umsetzungsgesetz laut Bundesministerium der Justiz verkündet. Ob niederländisches oder deutsches Haftungsrecht auf einen konkreten Schaden anwendbar ist, hängt vom Einzelfall ab. Mehr dazu unter neue Produkthaftungsrichtlinie in den Niederlanden.

Was sollten Sie als deutscher Hersteller zuerst regeln?

Beginnen Sie bei Ihrem Produkt und Ihren Kunden, nicht bei den Gesetzen. Regeln Sie zuerst das Meldeverfahren nach der CRA, dann den Datenzugang für neue Markteinführungen und Ihre Update-Politik; die Produktanforderungen der CRA folgen 2027.

Wenn Kunde, Einkauf und Geschäftsführung gleichzeitig nach NIS2, CRA und Data Act fragen, fange ich nicht bei den Gesetzen an. Ich stelle zwei Fragen: Was verkaufen Sie, ein Produkt mit Software, ein vernetztes Gerät oder einen Dienst? Und an wen, an einen Kunden, der selbst unter die Cyberbeveiligingswet fällt? In der Praxis zeigt sich dann oft, dass die Hälfte der Fragen den Vertrag betrifft und keine eigene gesetzliche Pflicht.

Daraus ergibt sich eine sinnvolle Reihenfolge:

1. Rollen bestimmen. Halten Sie pro Produkt fest, ob Sie Hersteller im Sinne der CRA sind, ob das Produkt vernetzt ist und ob Ihr Kunde in den Niederlanden Einrichtung nach der Cbw ist. Dann wissen Sie, welche Regel für das Produkt, für Ihre Organisation oder nur über den Vertrag gilt.
2. Meldeverfahren einrichten. Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach Art. 14 CRA gilt bereits, auch für Produkte, die schon im Markt sind. Klären Sie, wer im Unternehmen meldet und wie Informationen aus Vertrieb, Service und Entwicklung zusammenkommen.
3. Datenzugang in die Konstruktion aufnehmen. Prüfen Sie für jedes vernetzte Produkt, das nach dem 12. September 2026 in Verkehr gebracht wird, ob die Daten standardmäßig zugänglich sind.
4. Update-Politik prüfen. Im Hinblick auf die neue Produkthaftung für Produkte ab dem 9. Dezember 2026: Wie lange liefern Sie Sicherheitsaktualisierungen, und wie dokumentieren Sie das?
5. Kundenverträge ordnen. Gleichen Sie NIS2-Anlagen und Fragebögen mit dem ab, was Ihr Kunde gesetzlich nachweisen muss, und nutzen Sie die Zeit bis zum 11. Dezember 2027 für die Produktanforderungen der CRA.

Ich rate zu einem einzigen Programm mit einem Verantwortlichen und einem Dokumentensatz: Produktakte, Schwachstellenverfahren, Vertragsanlage. Die Unterlagen überschneiden sich ohnehin, vom Schwachstellenmanagement über die Update-Politik bis zur Dokumentation, und Ihre Kunden fragen in einem einzigen Fragebogen danach.

Wie sieht das in der Praxis aus?

Ein typischer Fall: Ein Kunde schickt eine NIS2-Anlage, während Sie ein neues vernetztes Produkt auf den Markt bringen. Dann greifen drei Regeln gleichzeitig, mit unterschiedlichen Adressaten und Stichtagen.

Stellen Sie sich vor, Sie stellen in Baden-Württemberg Steuerungen für Industrieanlagen her und liefern an einen niederländischen Lebensmittelverarbeiter. Ihr Kunde ist nach der Cyberbeveiligingswet Einrichtung und schickt Ihnen im Herbst 2026 eine Sicherheitsanlage mit Auditrecht, Meldeklausel und Haftungserweiterung. Gleichzeitig bringen Sie Anfang 2027 ein neues Steuergerät mit Fernwartung auf den Markt.

Die NIS2-Anlage betrifft Ihren Vertrag. Die Pflicht zur Lieferkettensicherheit liegt bei Ihrem Kunden; Sie prüfen, was er für seinen Nachweis wirklich braucht, und verhandeln den Rest. Ihr Meldeverfahren nach der CRA gilt bereits für die Steuerungen, die er heute einsetzt, und für das neue Gerät. Das neue Steuergerät wird nach dem 12. September 2026 in Verkehr gebracht und muss deshalb die Gestaltungspflicht der Datenverordnung erfüllen: Die Betriebsdaten müssen für Ihren Kunden standardmäßig zugänglich sein. Und weil das Gerät erst 2027 in Verkehr gebracht wird, gilt für Schäden die neue Produkthaftung, bei der auch die Software als Produkt zählt. Für die Produktanforderungen der CRA kommt es auf das einzelne Gerät an: Steuergeräte, die Sie vor dem 11. Dezember 2027 in Verkehr bringen, fallen nur darunter, wenn sie danach wesentlich geändert werden (Art. 69 Abs. 2). Jedes Gerät, das Sie ab dem 11. Dezember 2027 in Verkehr bringen, muss die Anforderungen erfüllen, auch wenn das Modell schon Anfang 2027 auf den Markt kam. Richten Sie die Konstruktion deshalb schon jetzt darauf aus.

Ein Vertrag, ein Produkt, vier Regeln. Wer sie trennt, verhandelt die richtigen Punkte und baut die richtigen Funktionen ein.

Häufige Fragen

Was ist der Unterschied zwischen CRA und NIS2?

Die CRA regelt Produkte mit digitalen Elementen und verpflichtet Hersteller, Einführer und Händler. NIS2 regelt die Cybersicherheit von Organisationen; in den Niederlanden verpflichtet die Cyberbeveiligingswet wesentliche und wichtige Einrichtungen. Als Lieferant spüren Sie NIS2 meist über den Vertrag, die CRA direkt über Ihr Produkt.

Gilt das auch, wenn mein Unternehmen außerhalb der Niederlande sitzt?

Die CRA und die Datenverordnung knüpfen an das Produkt an, das Sie in der EU in Verkehr bringen, und gelten deshalb auch für einen deutschen Hersteller. Die Cyberbeveiligingswet gilt für Einrichtungen mit Niederlassung in den Niederlanden; ohne Niederlassung dort erreichen Sie ihre Anforderungen über den Vertrag. Für die Datenverordnung ist die Behörde Ihres eigenen Mitgliedstaats zuständig.

Muss ich wegen der Datenverordnung eine CE-Kennzeichnung anbringen?

Nein. Die Datenverordnung kennt keine CE-Kennzeichnung, keine Konformitätsbewertung und keine Meldepflicht für Vorfälle. Sie verlangt, dass Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden, ihre Daten standardmäßig zugänglich machen. Die CE-Kennzeichnung für Cybersicherheit kommt aus der CRA.

Gilt die neue Produkthaftung auch für Software?

Ja. Nach der Richtlinie (EU) 2024/2853 ist Software ein Produkt. Die neuen Regeln gelten für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Fehlt eine Sicherheitsaktualisierung, die unter Ihrer Kontrolle steht, können Sie sich nicht darauf berufen, der Fehler sei erst später entstanden.

Wann sollte ich einen Anwalt einschalten?

Wenn ein Kunde eine Anlage oder einen Fragebogen schickt, der Ihre Haftung oder Auditrechte erweitert, wenn unklar ist, ob Ihr Produkt unter die CRA fällt oder wer in Ihrer Kette Hersteller ist, und vor einer Markteinführung mit vernetzten Funktionen. Ein Gespräch vorher ist einfacher als einen Vertrag nachträglich zu reparieren.

Primärquellen

• Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 (Cyberresilienz-Verordnung, Cyber Resilience Act), ABl. L 2024/2847 vom 20.11.2024; Art. 14, 69 Abs. 2 und 3, 71 Abs. 2.
• Wetsvoorstel Uitvoeringswet verordening cyberweerbaarheid, Kamerstukken 36 875 (Gesetzentwurf, in Beratung in der Eerste Kamer).
• Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022; Cyberbeveiligingswet, Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 (Art. 35 Cbb).
• Verordnung (EU) 2023/2854 (Datenverordnung, Data Act), ABl. L 2023/2854 vom 22.12.2023; Art. 3 Abs. 1, 37 Abs. 10, 50; Uitvoeringswet dataverordening, in Kraft seit 21.11.2025.
• Richtlinie (EU) 2024/2853 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über die Haftung für fehlerhafte Produkte, ABl. L vom 18.11.2024; Art. 2 Abs. 1, 4 Nr. 1, 11 Abs. 2; Wetsvoorstel Kamerstukken 36 906 (Gesetzentwurf).
• Verordnung (EU) 2024/1689 (KI-Verordnung), nur erwähnt.

Zuletzt geprüft am 1. November 2026 · nächstes relevantes Datum: 9. Dezember 2026 (neue Produkthaftungsrichtlinie gilt für Produkte, die ab diesem Tag in Verkehr gebracht werden), danach 11. Dezember 2027 (Cyber Resilience Act vollständig anwendbar)

Sie liefern digitale Produkte in die Niederlande und wollen wissen, welche Regel für Sie zuerst zählt? Legen Sie mir Ihre Situation vor, über die Seite deutschsprachiger Anwalt in den Niederlanden. — Martin Krüger