Cloud-Dienste im Regelungsgeflecht von CRA und NIS2-Richtlinie — Warum Cloud-Dienste den Compliance-Anforderungen von CRA und NIS2-Richtlinie unterfallen

Zusammenfassung Der zeitnah in Kraft tretende Cyber Resilience Act (CRA) wird neue Cybersicherheitsrechtliche Anforderungen an Hard- und Softwareprodukte stellen, die - vereinfacht ausgedrückt - mit IT-Netzen wie dem Internet verbunden sind. Der auf Produktebene geltende CRA wird neben die NIS2-Richtlinie treten, welche dort näher definierte Unternehmen in Gänze zur Schaffung eines erhöhten Cybersicherheitsniveaus verpflichtet. Cloud-Angebote könnten bereits auf den ersten Blick von beiden Rechtsakten umfasst sein. Zunächst setzt sich dieser Beitrag ausführlich mit den in beiden Rechtakten unklar definierten Cloud-Diensten auseinander. Sodann wird herausgearbeitet, dass Cloud-Dienste tatsächlich sowohl dem CRA als auch der NIS2-Richtlinie unterfallen. Abschließend werden die Konsequenzen dieser Mehrfachregulierung beleuchtet.