Cyber Resilience Act (CRA) & Cybersecurity in der Datenschutzpraxis

Inhalte

CRA kompakt: Was kommt auf Unternehmen zu?

• Zielsetzung und Einordnung des CRA
• Anwendungsbereich und wichtige Ausnahmen
• Was sind „Produkte mit digitalen Elementen“?
• Hersteller, Importeure, Händler und weitere Akteure
• Wesentliche Anforderungen durch den Cyber Resilience Act im Überblick
• Security by Design, Security by Default
• Zeitplan: Was gilt bereits, was kommt ab Dezember 2027?
• Aktuell: Seit 11.09.2026 geltende Meldepflichten, CRA Single Reporting Plattform

CRA und DSGVO – Überschneidungen und Differenzen

• Unterschiedliche Zielsetzung
• Wann gelten sowohl CRA als auch DSGVO?
• Security by Design, Privacy by Design
• Cybersecurity-Risikobewertung und datenschutzrechtliche Risikobewertung
• Warum CRA-Compliance nicht gleich DSGVO-Compliance bedeutet

Cybersecurity: CRA, NIS-2 und DSGVO

• Welches Regelwerk greift wann?
• CRA: Sicherheit von Produkten mit digitalen Elementen
• NIS-2: Cybersicherheit und Risikomanagement bestimmter Organisationen
• DSGVO: Schutz personenbezogener Daten
• Rollen und Verantwortlichkeiten im Unternehmen
• Zusammenspiel von Datenschutz, Informationssicherheit und IT

Cybersecurity-Vorfälle und Datenschutzverletzungen – Meldepflichten

• Was ist ein CRA-relevanter Cybersecurity-Vorfall? Was ist eine aktiv ausgenutzte Schwachstelle?
• Was ist eine Datenschutzverletzung nach Art. 4 Nr. 12 DSGVO?
• Was ist ein erheblicher Sicherheitsvorfall im Sinne des BSI-Gesetzes (NIS-2)?
• Wann kann ein Cybersecurity-Vorfall auch eine Datenschutzverletzung sein?
• CRA-Meldepflichten seit 11.09.2026
• Art. 33 und 34 DSGVO: Melde- und Benachrichtigungspflichten
• Meldung nach § 32 BSI-Gesetz (NIS-2)
• Frühwarnung und Hauptmeldung: 24 vs. 72 Stunden
• Unterschiede bei Fristen, Adressaten und Voraussetzungen
• Praxisfall: Schwachstelle wird genutzt, personenbezogene Daten sind betroffen

Was bedeutet der CRA für die Arbeit des DSB?

• Welche Rolle hat der DSB bei der CRA-Umsetzung?
• Informations- und Beratungsfunktion des DSB
• Einbindung in neue IT-/Produktprojekte sowie Incident-Response-Prozesse
• Bedeutung für Datenschutzmanagement und Datenschutzkontrollen
• Welche CRA-Themen sollte der DSB regelmäßig adressieren?
• Grenzen der Verantwortlichkeit

Datenschutz bei der Umsetzung von Cybersecurity

• Verhältnis von Sicherheitsinteressen und Datenschutz
• Datenschutzrechtliche Anforderungen an Cybersecurity-Maßnahmen
• Art. 5 und Art. 35 DSGVO als zentrale Anknüpfungspunkte
• Datenminimierung und Zweckbindung
• Beschäftigtendatenschutz bei IT-Sicherheitsmaßnahmen
• Datenschutz-Folgenabschätzung bei besonders risikoreichen Maßnahmen

Praxis-Checkliste für DSB

• „5 Fragen, die der DSB zum CRA im Unternehmen stellen sollte“

Ihr Nutzen

• Sie verstehen das Zusammenspiel von CRA, DSGVO und NIS-2 und können Überschneidungen und Abgrenzungen sicher einordnen.
• Sie kennen die seit September 2026 geltenden CRA-Meldepflichten und deren Zusammenspiel mit Art. 33/34 DSGVO.
• Sie können die datenschutzrechtlichen Implikationen von Cybersecurity-Maßnahmen einordnen.
• Sie wissen, welche Rolle der Datenschutzbeauftragte bei der CRA-Umsetzung einnehmen kann.
• Sie erhalten mit der 5-Punkte-Checkliste ein konkretes Werkzeug für die praktische Arbeit im Unternehmen.

Zielgruppe

Datenschutzbeauftragte und Datenschutzverantwortliche, insbesondere aus Unternehmen mit

• eigenen Software- oder Produktentwicklungen
• vernetzten Produkten bzw. IoT
• IT-/Technologiebezug
• hohen Anforderungen an Informationssicherheit
• Berührungspunkten mit NIS-2 oder anderen CybersecurityVorgaben.

Darüber hinaus eignet sich das Seminar für Datenschutzkoordinatoren/-innen, IT-Verantwortliche, Informationssicherheitsbeauftragte und Compliance-Verantwortliche.