Drei Cyber-Fristen treffen dieselben Teams, und die erste ist längst gelaufen

Wer die Cybersicherheitspflichten für vernetzte Medizinprodukte und für Pharmawerke im Kalender führt, hat meist zwei Termine notiert, beide im September 2026. Sie liegen tatsächlich einen Tag auseinander. Der eigentliche Befund ist ein dritter Termin, und er steht nicht in der Zukunft.

Der 11. und der 12. September 2026

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, ist seit dem 10. Dezember 2024 in Kraft. Er wird gestaffelt scharf. Die Meldepflichten gelten ab dem 11. September 2026, die Hauptpflichten erst ab dem 11. Dezember 2027. Dazwischen liegt ein Jahr und drei Monate, in dem gemeldet werden muss, was noch nicht vollständig geregelt sein muss. Bereits seit dem 11. Juni 2026 können Konformitätsbewertungsstellen notifiziert werden. Die Kommission hat am 27. Juli 2026 praktische Leitlinien zur Umsetzung veröffentlicht.

Einen Tag nach dem CRA-Termin greift der Data Act, Verordnung (EU) 2023/2854. Sein Artikel 50 Absatz 3 ist ungewöhnlich präzise formuliert, und die Formulierung entscheidet, wen er trifft: „Die Verpflichtung gemäß Artikel 3 Absatz 1 gilt für vernetzte Produkte und die mit ihnen verbundenen Dienste, die nach dem 12. September 2026 in Verkehr gebracht wurden."

Das ist keine Übergangsfrist für den Bestand, sondern eine Zäsur nach Inverkehrbringen. Ein Produkt, das am 12. September 2026 auf dem Markt ist, trägt die Gestaltungspflicht aus Artikel 3 Absatz 1 nicht. Dasselbe Produkt, in einer Variante ab dem 13. September in Verkehr gebracht, trägt sie. Für Entwicklungsprogramme, deren Markteinführung im Herbst 2026 liegt, ist das kein Randdatum, sondern eine Weiche.

Eine Einschränkung gehört an dieser Stelle dazu, und wir schreiben sie hin, statt sie wegzulassen: dass vernetzte Medizinprodukte und Gesundheits-Wearables in den Anwendungsbereich fallen, ist die übereinstimmende Lesart mehrerer Kanzleien, nicht ein von uns am Normtext nachgeprüfter Befund. Wer eine Investitionsentscheidung darauf stützt, lässt die Einordnung für das eigene Produkt rechtlich prüfen, statt sie einem Fachartikel zu entnehmen, auch diesem nicht.

Die dritte Frist ist die älteste, und sie ist keine Ankündigung

NIS-2, Richtlinie (EU) 2022/2555, hatte eine Umsetzungsfrist bis zum 17. Oktober 2024. Deutschland hat sie gerissen, zusammen mit vielen anderen: im November 2024 eröffnete die Kommission Vertragsverletzungsverfahren gegen 23 Mitgliedstaaten, am 7. Mai 2025 richtete sie eine begründete Stellungnahme an 19, Deutschland darunter.

Das ist erledigt. Der Bundestag beschloss das NIS2UmsuCG am 13. November 2025, der Bundesrat am 21. November 2025, verkündet wurde es im Bundesgesetzblatt 2025 I Nr. 301 vom 5. Dezember 2025, und seit dem 6. Dezember 2025 gilt es. Umgesetzt wird es vor allem über die Neufassung des BSI-Gesetzes. Das BSI beaufsichtigt danach rund 29.500 Einrichtungen.

Daraus folgt eine Frist, die in vielen Häusern unbemerkt verstrichen ist. Die Registrierung beim BSI ist nach § 33 BSIG spätestens drei Monate fällig, nachdem eine Einrichtung erstmals betroffen ist. Für alle, die am 6. Dezember 2025 betroffen waren, endete diese Frist rechnerisch Anfang März 2026. Dieser Stichtag ist unsere Rechnung aus zwei amtlich belegten Angaben, dem Inkrafttreten und der Drei-Monats-Frist, und keine Datumsangabe, die eine Behörde so veröffentlicht hätte. Die beiden Angaben, aus denen er folgt, sind belegt.

Zwei Anlagen, zwei Wege in die Betroffenheit

Die Betroffenheit entscheidet sich in zwei Schritten: erst die Einrichtungsart nach Anlage 1 oder Anlage 2 BSIG, dann die Größenschwelle nach § 28.

Anlage 1, Sektor Gesundheitswesen, erfasst unter anderem Erbringer von Gesundheitsdienstleistungen, EU-Referenzlaboratorien, die Forschung und Entwicklung von Arzneimitteln, die Herstellung pharmazeutischer Erzeugnisse und die Herstellung kritischer Medizinprodukte.

Anlage 2 ordnet die Herstellung von Medizinprodukten und In-vitro-Diagnostika dem verarbeitenden Gewerbe zu.

Hier liegt der Fehler, der am häufigsten passiert: Ein Medizinproduktehersteller sucht sich im Gesundheitssektor und findet sich dort nicht, weil er in Anlage 2 steht. Umgekehrt kann derselbe Hersteller über die Herstellung kritischer Medizinprodukte doch in Anlage 1 landen. Welche Produkte kritisch sind, hängt zusätzlich an den Schwellenwerten der BSI-KritisV, und die haben wir für einzelne Produktarten nicht geprüft.

Für die Größenschwelle nennen wir bewusst nur die Zahl, die wir im Normtext belegen können. Eine wichtige Einrichtung ist nach § 28 Absatz 2 Nummer 3 BSIG, wer mindestens 50 Beschäftigte hat oder dessen Jahresumsatz und Jahresbilanzsumme je über 10 Millionen Euro liegen. Die höheren Schwellen für besonders wichtige Einrichtungen kursieren in Sekundärquellen mit Zahlen aus der KMU-Definition. Wir haben sie im Normtext nicht verifizieren können und nennen sie deshalb nicht. Wer sie braucht, liest § 28 Absatz 1 BSIG im Wortlaut.

Das BSI stellt eine Betroffenheitsprüfung als Selbsteinschätzung bereit. Sie ersetzt die juristische Prüfung nicht, aber sie beantwortet in einer halben Stunde die Frage, ob überhaupt eine nötig ist.

Drei Pflichten, und eine Uhr, die schneller läuft als erwartet

Für betroffene Einrichtungen gelten drei zentrale Pflichten: Registrierung beim BSI, Meldung erheblicher Sicherheitsvorfälle und Umsetzung samt Dokumentation von Risikomanagementmaßnahmen.

Die Meldekette ist der Teil, der am ehesten unterschätzt wird, weil sie in drei Stufen läuft und die erste sehr kurz ist: 24 Stunden für die Erstmeldung, 72 Stunden für die Meldung, 30 Tage für die Abschluss- oder Folgemeldung, jeweils ab Kenntniserlangung. Eine Erstmeldung binnen 24 Stunden ist keine Aufgabe für eine Eskalationskette, die erst gebildet wird, wenn etwas passiert ist. Für Betreiber kritischer Anlagen verlängert sich immerhin der Nachweiszyklus von zwei auf drei Jahre.

Warum die drei zusammen gehören und nicht nacheinander

Es ist verlockend, die drei Regelwerke drei Zuständigkeiten zu geben: den CRA der Produktentwicklung, NIS-2 der IT, den Data Act der Rechtsabteilung. Genau daran scheitern die Programme.

Der CRA trifft das Produkt, NIS-2 die Organisation, der Data Act den Zeitpunkt des Inverkehrbringens. Bei einem vernetzten Medizinprodukt ist das dieselbe Sache, von drei Seiten betrachtet. Die Schwachstellenmeldung nach CRA und die Vorfallmeldung nach BSIG laufen über dieselben Menschen, oft über dieselbe Nummer. Wer zwei getrennte Meldeprozesse baut, hat im Ernstfall zwei Uhren und eine Mannschaft.

Was jetzt zu tun ist

Vier Schritte, in dieser Reihenfolge:

1. Die Registrierungsfrage beantworten, schriftlich, diese Woche. Nicht ob Sie betroffen sind, sondern ob Sie registriert sind. Ist die Antwort nein und die Betroffenheit ja, ist die Frist aus § 33 BSIG bereits verstrichen, und das gehört dokumentiert und nachgeholt, nicht abgewartet.
2. Die eigene Einrichtung in Anlage 1 und Anlage 2 suchen, in beiden. Ein Blick nur in den Gesundheitssektor übersieht die Zuordnung des verarbeitenden Gewerbes, und umgekehrt.
3. Die Meldekette auf 24 Stunden auslegen, nicht auf 72. Mit benannten Personen, einer Rufbereitschaft und einem Formular, das jemand schon einmal ausgefüllt hat.
4. Für jedes Entwicklungsprogramm mit Markteinführung ab Herbst 2026 den Inverkehrbringungstermin gegen den 12. September 2026 halten. Ein Datum, das ohnehin geplant wird, entscheidet hier über eine Gestaltungspflicht.

Die Reihenfolge ist kein Stil. Punkt 1 betrifft eine Frist, die vermutlich schon läuft, Punkt 4 eine, die planbar ist. Wer umgekehrt anfängt, arbeitet am gut sichtbaren Termin und lässt den unsichtbaren liegen.