Diese Seite erklärt beide Regelwerke in einfacher Sprache und legt danach offen, wo wir als Hersteller heute stehen. Einschließlich der Punkte, die noch nicht gelöst sind. Sie sollen unsere Lieferkette bewerten können – dafür brauchen Sie unsere Schwachstellen, nicht nur unsere Stärken.
NIS2 verpflichtet betroffene Betreiber, Risiken in ihrer Lieferkette zu beherrschen. Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen, Sicherheit über den gesamten Lebenszyklus nachzuweisen. Für Sie als Käufer eines Konverters heißt das: Sie müssen künftig belegen können, woher die Komponente kommt, was darin steckt und wer reagiert, wenn eine Schwachstelle bekannt wird.
NIS2 ist eine EU-Richtlinie zur Cybersicherheit (Richtlinie (EU) 2022/2555). Sie richtet sich an Organisationen in als wesentlich oder wichtig eingestuften Sektoren – dazu zählen unter anderem Energie, Wasser, Transport, Gesundheit, Abfallwirtschaft, Teile des verarbeitenden Gewerbes und digitale Infrastrukturen. Sie ersetzt und erweitert die frühere NIS-Richtlinie und senkt vor allem die Schwelle, ab der ein Unternehmen betroffen ist.
Das entscheidet sich an Sektor, Unternehmensgröße und Umsatz – nicht daran, ob Sie sich als „kritisch“ empfinden. Zwei Konstellationen werden regelmäßig übersehen:
Eine rechtsverbindliche Einordnung können wir nicht leisten – wir sind Hersteller, keine Rechtsberatung. Was wir leisten können, ist Auskunft über unsere eigenen Komponenten.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist das Gegenstück zu NIS2: Er nimmt nicht den Betreiber, sondern den Hersteller in die Pflicht. Betroffen sind „Produkte mit digitalen Elementen“ – also auch Hardware, in der Software oder Firmware steckt, und zwar unabhängig davon, ob sie netzwerkfähig ist.
Als Verordnung gilt der CRA unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz. Die Pflichten greifen gestaffelt über mehrere Jahre.
Ein USB-Seriell-Konverter wirkt wie ein passives Kabelstück. Er ist es nicht. In ihm sitzt ein Baustein mit eigener Logik, der am Rechner ein Gerät anmeldet und einen Treiber lädt. Damit ist er:
Der bekannteste Praxisfall dazu ist nicht theoretisch: Nachbauten verbreiteter USB-Seriell-Bausteine haben in der Vergangenheit reale Betriebsstörungen verursacht, weil Treiber sie erkannten und unbrauchbar machten. Wer nicht weiß, was verbaut ist, kann so etwas nicht vorhersehen.
Wir könnten an dieser Stelle „NIS2-ready“ schreiben. Das wäre nicht belegbar, und Sie hätten damit im Audit nichts gewonnen. Stattdessen finden Sie hier drei klar getrennte Spalten: was heute gilt, was wir als Altlast kennen, und was geplant ist – wobei Geplantes ausdrücklich kein Liefergegenstand ist.
Das sind Aussagen über unsere Fertigung und Beschaffung. Es sind keine Aussagen über die Konformität mit NIS2 oder CRA.
Wir führen diese Punkte auf, weil Sie sie in einer Lieferantenbewertung ohnehin abfragen würden. Lieber Sie erfahren es hier als im Audit.
Diese Punkte sind Absichtserklärung, kein Lieferumfang und keine Zusage mit Termin.
Zeitplan, Umfang und Reihenfolge sind noch nicht festgelegt. Platzhalter — Konkrete Zusagen erst nach interner Freigabe hier eintragen.
Damit unsere Aussagen für Ihre Dokumentation brauchbar sind, muss auch die Abgrenzung eindeutig sein:
Was wir stattdessen anbieten: belastbare Auskunft über unsere eigene Fertigung und Beschaffung, in schriftlicher Form, die Sie Ihrer Lieferantenakte beilegen können.
Auch ohne fertige SBOM lässt sich ein Lieferantennachweis führen. Diese Auskünfte geben wir auf Anfrage schriftlich – benennen Sie einfach Gerät und Charge.
Nein. NIS2-Konformität ist eine Eigenschaft Ihrer Organisation, nicht eines eingekauften Bauteils. Ein nachvollziehbar beschaffter Konverter erleichtert Ihnen den Nachweis für einen Baustein Ihrer Lieferkette – mehr, aber auch nicht weniger.
Ja, sofern digitale Elemente enthalten sind. Maßgeblich ist, ob ein Produkt Software- oder Firmwarebestandteile enthält und Daten verarbeitet oder überträgt – nicht, ob es eine Netzwerkschnittstelle hat. Ein USB-Seriell-Konverter fällt damit grundsätzlich in den Anwendungsbereich.
Eine SBOM ist eine Stückliste der Softwarebestandteile eines Produkts. Sie ermöglicht es, nach Bekanntwerden einer Schwachstelle in wenigen Minuten zu prüfen, ob ein eingesetztes Gerät betroffen ist, statt beim Hersteller nachzufragen und auf Antwort zu warten. Wir stellen derzeit keine SBOM bereit; siehe Abschnitt „Bekannte Altlast“.
Weil „Not Recommended for New Designs“ ein Planungssignal ist. Der Baustein wird weiterhin geliefert und funktioniert im Feld. Aber wer ein Gerät für die nächsten zehn Jahre in eine Anlage einbaut, sollte wissen, dass die Basis dieses Geräts nicht mehr für Neuentwicklungen empfohlen wird. Das ist eine Information, die Sie in die Ersatzteilplanung aufnehmen sollten – deshalb steht sie hier und nicht im Kleingedruckten.
Nein, dafür sind wir nicht die richtige Adresse. Wir sind Hersteller von Schnittstellenhardware, keine Beratung für Informationssicherheit und keine Rechtsberatung. Was wir liefern, sind belastbare Auskünfte zu unseren eigenen Komponenten, die Sie in Ihre Nachweisführung übernehmen können.
Beschreiben Sie uns die Schnittstelle, die Umgebung und die Stückzahl. Sie bekommen eine technische Einschätzung, bevor irgendetwas bestellt wird.