Technologie, Produktentwicklung, Recht und Geschäftsleitung müssen ineinandergreifen, um Marktzugangsrisiken abzuwenden. Folgender Maßnahmenplan ist unabdingbar:
1. Regulatorisches Scope-Mapping
Identifizieren Sie vollständig Ihre betroffenen Produkte und Gesellschaften.
Prüfen und dokumentieren Sie gezielt branchenspezifische Anschlusspflichten wie DORA, CER/KRITIS-DachG und etwaige CRA-Ausschlüsse (z.B. für Medizinprodukte oder Automotive) in einem Abgrenzungsvermerk.
2. Aufbau einer zentralen Governance
Etablieren Sie ein integriertes Steuerungsmodell (RACI) für CRA, NIS-2, Data Act und KI, inklusive Board-Reporting und Fristensteuerung.
Die Ausgestaltung des Governance-Systems muss explizit auch der haftungsrechtlichen Entlastung dienen. Hierzu ist eine revisionssichere Dokumentation sämtlicher wesentlicher Entscheidungen, Risikobewertungen und Eskalationen erforderlich. Nur wenn Entscheidungsgrundlagen nachvollziehbar festgehalten und Verantwortlichkeiten eindeutig zugewiesen sind, kann das Leitungsorgan im Sinne der Business Judgement Rule eine ordnungsgemäße Wahrnehmung seiner Pflichten darlegen.
3. Harmonisierung der Dokumentation
Überarbeiten Sie die technische Dokumentation, die Konformitätsunterlagen und die CE-Logik so, dass sie für alle überschneidenden Gesetze verwendbar sind.
Führen Sie ein KI-Inventar ein und integrieren Sie Transparenz- sowie Logging-Pflichten in die bestehenden Produktprozesse.
4. Härtung der Reaktionsprozesse
Implementieren Sie ein koordiniertes Meldewesen (Incident Playbooks, Decision Trees), das genau aussteuert, ob ein Vorfall nach CRA, NIS-2 oder KRITIS-DachG gemeldet werden muss.
Besondere Aufmerksamkeit erfordern regulatorische Überschneidungen und Sonderkonstellationen. Für Finanzunternehmen ist insbesondere das Verhältnis von NIS-2 zu DORA zu klären, da hier parallele, aber teilweise speziellere Anforderungen bestehen. Zudem sind mögliche Ausnahmen vom Anwendungsbereich des Cyber Resilience Act, etwa für regulierte Produktkategorien wie Medizinprodukte, sauber zu dokumentieren. In Mehrrollen-Konstellationen, in denen Unternehmen gleichzeitig als Hersteller, Importeur und Händler auftreten, kumulieren die jeweiligen Pflichten und sind entsprechend integriert abzubilden.
Ohne ein integriertes Cyber-Resilienz-Governance-Modell ist eine haftungsrechtliche Entlastung der Geschäftsleitung faktisch nicht mehr darstellbar. Gleichzeitig wird Governance zur unmittelbaren Voraussetzung für den Marktzugang, insbesondere unter dem Cyber Resilience Act. Unternehmen, die die regulatorischen Regime nicht konsistent verzahnen, riskieren daher nicht nur operative Ineffizienzen, sondern konkrete Vertriebsverbote sowie persönliche Haftungsrisiken auf Leitungsebene.
