Von Redaktion codAIx | 22. Juni 2026

Am 12. März 2026 hat das Bundesministerium des Innern den Referentenentwurf für das Gesetz zur Durchführung der Verordnung (EU) 2024/2847 vorgelegt [1]. Damit soll Deutschland die nationale Behörden- und Vollzugsstruktur für den unmittelbar geltenden Cyber Resilience Act (CRA) schaffen. Kern ist eine umfangreiche Erweiterung des BSI-Gesetzes (BSIG) um neue Teile 8 und 9 — das Bundesamt für Sicherheit in der Informationstechnik (BSI) soll zur zentralen Behörde für Marktüberwachung und Notifizierung werden. Das Bundeskabinett beschloss den Regierungsentwurf am 29. April 2026 [8, 9]. Der Bundestag überwies ihn nach der ersten Beratung am 11. Juni 2026 an die Ausschüsse, federführend an den Ausschuss für Inneres [10]; der Bundesrat erhob am 12. Juni 2026 keine Einwendungen [11]. Das war keine abschliessende Verabschiedung des Gesetzes. Zum Prüfungsstand vom 11. August 2026 war es nicht verkündet. Bitkom, TeleTrusT und OSBA haben den Entwurf in ihren Stellungnahmen scharf kritisiert. Wir ordnen ein, was im Entwurf steht — und was darin fehlt.

Aus EU-Verordnung wird nationaler Vollzug

Der CRA ist als EU-Verordnung in allen Mitgliedstaaten unmittelbar anwendbar — anders als eine Richtlinie braucht er kein nationales Umsetzungsgesetz für seinen materiell-rechtlichen Inhalt. Was er aber braucht, ist die nationale Behördenstruktur: Wer ist Marktüberwachungsbehörde nach Art. 52 ff. CRA? Wer notifiziert Konformitätsbewertungsstellen nach Art. 35 CRA? Wer verfolgt Bussgeldverstösse nach Art. 64 CRA? Wer führt das Reallabor nach Art. 33 Abs. 2 CRA?

Diese Lücke schliesst der Referentenentwurf. Er besteht aus vier Artikeln [1]:

  • Art. 1 — umfassende Änderung des BSI-Gesetzes: neue Teile 8 (§§ 65–67 BSIG-E) und 9 (§§ 68–70 BSIG-E)
  • Art. 2 — Anpassungen im Telekommunikationsgesetz (TKG)
  • Art. 3 — Anpassungen im Energiewirtschaftsgesetz (EnWG)
  • Art. 4 — Inkrafttretensregelungen, gestaffelt nach den CRA-Stichtagen

Die materiell entscheidenden Vorschriften stehen in Art. 1 — also den neuen §§ 65–70 BSIG-E.

Das BSI als Marktüberwachungs- und Notifizierungsbehörde

§ 65 BSIG-E — Marktüberwachung

Das BSI wird die nationale Marktüberwachungsbehörde nach Art. 52 ff. CRA in Verbindung mit der Marktüberwachungs-Verordnung (EU) 2019/1020 [1, S. 5]. Die einschlägigen Befugnisse stehen nicht im BSIG, sondern in Art. 14 VO 2019/1020 — dazu zählen Inspektionen, Probenahmen, Untersagungen und Rückrufanordnungen. Das BSIG-E ergänzt diese unionsrechtlichen Befugnisse um vier nationale Bausteine:

  • Zuständigkeitszuweisung an das BSI als Marktüberwachungsbehörde (§ 65 Abs. 1 BSIG-E)
  • Kooperation mit anderen Marktüberwachungsbehörden auf europäischer Ebene (§ 65 Abs. 2 BSIG-E)
  • Einrichtung einer Verbraucher-Beschwerdestelle für CRA-Beschwerden (§ 65 Abs. 3 BSIG-E)
  • Wegfall der aufschiebenden Wirkung von Widerspruch und Klage gegen Massnahmen des BSI (§ 65 Abs. 4 BSIG-E)

Die unionsrechtlichen Bezugspunkte dieser Bausteine finden sich in Art. 52 CRA selbst: Die Benennung der Marktüberwachungsbehörde folgt aus Art. 52 Abs. 2 CRA, die Behandlung von Verbraucherbeschwerden aus Art. 52 Abs. 11 CRA; für die Marktüberwachung gegenüber Verwaltern quelloffener Software enthält Art. 52 Abs. 3 CRA eine eigene Regelung. Der juristische Kommentar von Schröder/Hartl kommentiert diese Absätze gesondert [7, Art. 52 Rn. 36–41, 42–46 und 67–69].

Der letzte Punkt — Wegfall der aufschiebenden Wirkung — ist eingriffsintensiv: Bei einem Verkaufsverbot oder Rückrufbescheid kann ein betroffener Hersteller den Vollzug nicht mehr durch einen einfachen Widerspruch aufhalten. Bitkom und OSBA kritisieren diese Regelung deutlich (siehe unten).

Bereits am 19. März 2026 hat das BSI im Vorgriff auf seine künftige Rolle den Vorsitz der EU-weiten Administrative Cooperation Group (AdCo CRA) übernommen — Anna Schwendicke, Referatsleiterin „Marktaufsicht“ im BSI, leitet das Gremium seit der AdCo-CRA-Sitzung am 19. März 2026 in Athen [2]. Die AdCo CRA ist die formelle Koordinierungs­gruppe der Marktüberwachungs­behörden aller Mitgliedstaaten und entscheidet über gemeinsame Vorgehensweisen, Stichprobenkampagnen und einheitliche Auslegungsfragen.

§ 66 BSIG-E — Notifizierende Behörde

Das BSI ist zugleich die nationale Notifizierungsbehörde nach Art. 36 Abs. 1 CRA [1, S. 5]: Es notifiziert Konformitätsbewertungsstellen, die für Modul B+C oder Modul H nach Anhang VIII CRA tätig werden dürfen. Die fachliche Akkreditierung dieser Stellen erfolgt im Regelfall durch die Deutsche Akkreditierungsstelle (DAkkS). Art. 35 Abs. 2 CRA verlangt, dass die Mitgliedstaaten die Notifizierungs­strukturen bis spätestens 11. Dezember 2026 etabliert haben.

Politisch heikel ist § 66 Abs. 3 BSIG-E: Im Ausnahmefall — wenn ein „öffentliches Interesse“ es rechtfertigt — soll das BSI eine Konformitätsbewertungsstelle auch ohne DAkkS-Akkreditierung selbst bewerten und notifizieren können [1, S. 5]. Dieser Notausgang soll Engpässen vorbeugen, könnte aber zu einer Aushöhlung der Akkreditierungsstandards führen, wenn er grosszügig genutzt wird (siehe Verbändekritik unten).

§ 67 BSIG-E — Unterstützung der Wirtschaftsakteure

Das BSI wird verpflichtet, Hersteller — insbesondere Kleinst- und Kleinunternehmen — bei der CRA-Umsetzung zu unterstützen, durch Schulungs- und Sensibilisierungsmassnahmen sowie ein „Reallabor für Cyberresilienz“ [1, S. 6]. Die Mittelausstattung dafür ist im Entwurf knapp bemessen: 1,281 Mio. Euro jährlich für KMU-Schulung und Sensibilisierung, 10 Mio. Euro Einmal-Sachkosten für das Reallabor und 8,1 Mio. Euro jährliche Sachkosten für die gesamte CRA-Tätigkeit des BSI; gleichzeitig 141 zusätzliche Planstellen (gestuft bis 2029) mit etwa 14,6 Mio. Euro jährlichen Personalkosten [1, S. 2]. Zur Einordnung: Die NIS-2-Umsetzung in Deutschland sieht laut TeleTrusT 5,044 Mio. Euro jährlich allein für regelmässige Schulungen in der Bundesverwaltung vor [4, S. 3].

Bussgelder und Verwaltungsverfahren (§§ 68–70 BSIG-E)

Die Bussgeldvorschriften stehen im neu eingefügten Teil 9 des BSIG, mit § 69 als zentralem Sanktionsrahmen [1, S. 6]. § 69 BSIG-E ist dabei eine Verfahrensnorm, die die Bussgeldtatbestände des Art. 64 CRA mit ihren Höchstgrenzen unmittelbar zur Anwendung bringt und die §§ 17, 30 Abs. 1 und 2 OWiG ausschliesst. Die EU-Bussgeldarchitektur lautet:

  • 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes (der höhere Wert) bei Verstössen gegen die grundlegenden Cybersicherheitsanforderungen aus Anhang I sowie gegen die Hersteller­pflichten nach Art. 13 und Art. 14 CRA — also den materiell-rechtlichen Kern (Art. 64 Abs. 2 CRA)
  • 10 Mio. Euro oder 2 % bei Verstössen gegen weitere Pflichten der Wirtschaftsakteure, insbesondere Bevollmächtigte (Art. 18), Importeure (Art. 19), Händler (Art. 20) sowie ausgewählte Pflichten der Konformitätsbewertungsstellen (Art. 64 Abs. 3 CRA); Verstösse der Verwalter quelloffener Software nach Art. 24 unterliegen demgegenüber keinem Bussgeld nach Art. 64
  • 5 Mio. Euro oder 1 % bei unrichtigen, unvollständigen oder irreführenden Angaben gegenüber notifizierten Stellen oder Marktüberwachungsbehörden auf Auskunftsverlangen (Art. 64 Abs. 4 CRA)

Wichtig — und in der bisherigen Diskussion oft übersehen: Der Begriff „weltweiter Jahresumsatz“ wird in der herrschenden Auslegung des deutschen Kommentar­schrifttums nicht auf die einzelne juristische Person bezogen, sondern auf die „wirtschaftliche Einheit“ im Sinne der Rechtsprechung des EuGH zu Art. 101/102 AEUV — also typischerweise auf den Konzernumsatz [5, § 7 Rn. 57]. Eine deutsche Tochtergesellschaft mit 5 Mio. Euro Umsatz, deren französische Konzernmutter 800 Mio. Euro umsetzt, riskiert dann ein Bussgeld auf Basis der 800 Mio. Hinweis: Im deutschen Ordnungswidrigkeiten­recht gilt der Grundsatz „in dubio pro reo“, weshalb die unionsrechtliche Mutter-Tochter-Vermutung in der nationalen Anwendung als widerlegbarer Erfahrungssatz, nicht als rechtliche Beweislastumkehr verstanden wird [5, § 7 Rn. 57 Fn.].

Für die nationale Verfolgung enthält der Entwurf zwei wichtige Klarstellungen:

  • Kein Gold Plating bei der Bussgeldhöhe: § 69 Abs. 1 BSIG-E übernimmt das EU-Höchstmass ohne nationale Aufstockung; die allgemeinen Geldbussen­höchstmasse aus § 17 OWiG und die Verbandsgeldbusse aus § 30 Abs. 1, 2 OWiG sind ausdrücklich nicht anwendbar [1, S. 6]. Das ist europarechtskonform und folgt der Leitlinie der Bitkom-Stellungnahme „Kein Gold Plating“ [3].
  • Behörden sind ausgenommen: § 70 Abs. 2 BSIG-E nimmt Behörden und öffentliche Stellen ausdrücklich von der Bussgeldverfolgung aus [1, S. 7]. Bitkom warnt, das könne Wettbewerbsverzerrungen für privatwirtschaftliche Hersteller schaffen, weil öffentliche Anbieter auf denselben Beschaffungsmärkten ohne entsprechendes Sanktionsrisiko agieren [3].

Im Entwurf vorgesehene Stichdaten: Drei Stufen bis Dezember 2027

Art. 4 des Entwurfs koppelt das vorgesehene deutsche Inkrafttreten an die CRA-Stichtage [1, S. 7]. Weil das Gesetz vor dem ersten Stichtag nicht verkündet wurde, beschreibt die Tabelle den Plan des Entwurfs, nicht die tatsächlich eingetretene nationale Rechtslage:

| Datum | Was sollte nach dem Entwurf in Kraft treten? | |---|---| | Tag nach Verkündung | TKG- und EnWG-Änderungen (Art. 2, 3) | | 11. Juni 2026 | Vorgesehen waren das BSI als Marktüberwachungs- und notifizierende Behörde, § 66 Notifizierung sowie § 68 BSIG-E (umnummerierte bisherige NIS-2-Bussgeldvorschriften). Dieser nationale Termin wurde mangels rechtzeitiger Verkündung verfehlt. | | 11. September 2026 | Die Meldepflichten nach Art. 14 CRA (aktiv ausgenutzte Schwachstellen, schwerwiegende Sicherheitsvorfälle) gelten unmittelbar aus dem Unionsrecht; ihre Anwendung hängt nicht vom deutschen Durchführungsgesetz ab. | | 11. Dezember 2027 | Vorgesehen sind die restlichen nationalen Vorschriften — einschliesslich der CRA-Bussgeld- und Verfahrensnormen (§§ 69, 70 BSIG-E) — parallel zur vollen Anwendung des CRA. |

Damit das deutsche Gesetz pünktlich zum ersten CRA-Stichtag wirksam gewesen wäre, hätte es spätestens am 10. Juni 2026 verkündet sein müssen. Das Bundeskabinett beschloss den Regierungsentwurf am 29. April 2026 [8, 9]. Nach der ersten Beratung am 11. Juni 2026 überwies der Bundestag ihn an die Ausschüsse; federführend ist der Ausschuss für Inneres [10]. Der Bundesrat beschloss am 12. Juni 2026, gegen den Entwurf keine Einwendungen zu erheben [11]. Diese Stellungnahme im ersten Durchgang schloss das Gesetzgebungsverfahren nicht ab. Nach dem bis zum 11. August 2026 geprüften amtlichen Material waren weder eine zweite und dritte Beratung des Bundestages noch eine Verkündung belegt — der Termin des 10. Juni 2026 ist damit verstrichen. TeleTrusT hatte ausdrücklich gemahnt, eine verspätete Umsetzung zu vermeiden, um ein Vertragsverletzungsverfahren der EU-Kommission abzuwenden [4, S. 2].

Für Hersteller entscheidend: Die materiellen CRA-Pflichten selbst hängen nicht am deutschen Gesetz. Der CRA gilt als Verordnung unmittelbar; die Meldepflichten nach Art. 14 CRA greifen unabhängig vom Stand des nationalen Durchführungsgesetzes ab dem 11. September 2026. Das nationale Gesetz regelt die Behördenzuständigkeit und den Sanktionsvollzug, nicht die Pflicht als solche.

Wer die Pflichten der ersten Stufe — vor allem die Meldepflichten nach Art. 14 CRA ab 11. September 2026 — nicht im Blick hat, sollte sie jetzt einplanen. Wir haben sie in Artikel 8 dieser Serie im Detail dargestellt.

Verbändestellungnahmen: Was die Wirtschaft kritisiert

In der vom BMI organisierten Verbändeanhörung sind insgesamt 17 Stellungnahmen eingegangen — darunter unter anderem von DIHK, BITMi, TeleTrusT, OSBA, VDMA, ZVEI, Wirtschaftsrat und der bne (Bundesverband Neue Energiewirtschaft) [BMI-Verfahrensseite]; zusätzlich hat Bitkom eine eigene Stellungnahme auf bitkom.org veröffentlicht. Wir konzentrieren uns auf drei Stellungnahmen, die jeweils eine repräsentative Sicht spiegeln: Bitkom (Digitalwirtschaft, eingereicht im März 2026), TeleTrusT (IT-Sicherheits­branche, eingereicht am 1. April 2026) und die Open Source Business Alliance (OSBA, eingereicht am 2. April 2026, öffentlich kommuniziert mit Pressemitteilung vom 7. April 2026) [3, 4, 6]. Drei Themen­kreise tauchen — wenn auch mit unterschiedlichen Akzenten — in mehreren Papieren auf.

1. Aufgabenbündelung beim BSI ohne ausreichende Finanzierung

Alle drei Verbände sehen die Konzentration der CRA-Aufgaben beim BSI grundsätzlich positiv — das BSI ist die fachlich kompetente Behörde, und eine Zersplitterung zwischen Bundesnetzagentur, Bundesamt für Verbraucherschutz und Ländern wäre kontraproduktiv. TeleTrusT kritisiert aber, dass die Mehrbedarfe an Personal und Mitteln „künftigen Haushaltsverfahren“ überlassen werden, ohne verbindliche Langfristzusage [4, S. 2]. Bei 1,281 Mio. Euro pro Jahr für KMU-Unterstützung über alle Branchen hinweg ist die Quote pro Hersteller marginal — zum Vergleich: Die NIS-2-Umsetzung sah 5,044 Mio. Euro allein für Schulungen in der Bundesverwaltung vor und etwa 165 Mio. Euro jährlichen Erfüllungsaufwand der Wirtschaft [4, S. 3].

TeleTrusT weist auch auf einen Rollenkonflikt hin: Wenn das BSI sowohl Sanktionsbehörde als auch Unterstützer der KMU ist, droht ein Spannungsverhältnis zwischen autoritativer Aufsicht und niederschwelliger Hilfestellung; deshalb sei eine Auslagerung der Unterstützungs­funktion an externe Stellen erwägenswert [4, S. 3].

Der normative Anker: Art. 52 Abs. 8 CRA. Diese Ressourcendebatte ist nicht nur eine haushaltspolitische Frage. Art. 52 Abs. 8 CRA verpflichtet die Mitgliedstaaten, die benannten Marktüberwachungsbehörden mit angemessenen finanziellen, technischen und personellen Ressourcen auszustatten. Der juristische Kommentar von Schröder/Hartl legt den Massstab der Angemessenheit aufgabenbezogen aus: Angemessen ist die Ausstattung dann, wenn die Behörde die ihr durch die Verordnung zugewiesenen Aufgaben tatsächlich wahrnehmen kann; es müssen also ausreichende Haushaltsmittel bereitgestellt werden, damit die Pflichtaufgaben auch tatsächlich erfüllt werden können [7, Art. 52 Rn. 57 f.]. Für das Personal gilt ein doppelter Massstab, quantitativ und qualitativ: Die Norm selbst verlangt, dass die Beschäftigten über die notwendigen Cybersicherheitskompetenzen verfügen [7, Art. 52 Rn. 60].

Bemerkenswert ist ein Detail der Sprachfassungen. Die deutsche Fassung des Art. 52 Abs. 8 CRA formuliert, die technischen Ressourcen sollten „gegebenenfalls“ auch Werkzeuge zur Prozessautomatisierung umfassen — das liest sich wie ein weiter Gestaltungsspielraum der Mitgliedstaaten. Der Kommentar hält diese Übersetzung für unzulänglich: Die englische Fassung lautet „including, where appropriate, processing automation tools“. Prozessautomatisierung ist danach immer dann einzusetzen, wenn dies angemessen ist — mit der Folge, dass ein Verzicht der Mitgliedstaaten darauf begründungsbedürftig wird [7, Art. 52 Rn. 59].

Für die Einordnung der Verbändekritik heisst das: Die Forderung nach auskömmlicher Ausstattung des BSI ist nicht allein eine politische Position der Verbände, sondern lässt sich an eine unionsrechtliche Pflicht der Mitgliedstaaten rückbinden. Ob die im Entwurf vorgesehene Ausstattung — 141 Planstellen, 8,1 Mio. Euro jährliche Sachkosten, 1,281 Mio. Euro für KMU-Unterstützung — dem Massstab des Art. 52 Abs. 8 CRA genügt, ist eine Frage des tatsächlichen Vollzugs und lässt sich erst an der Aufgabenerfüllung messen. Die Verbände bewerten sie als unzureichend; der Entwurf selbst verweist auf künftige Haushaltsverfahren.

2. Die DAkkS-Akkreditierungsfrage: zwei gegensätzliche Positionen

Hier spaltet sich die Verbändekritik. TeleTrusT sieht die Engpassklausel des § 66 Abs. 3 BSIG-E kritisch: Die Möglichkeit, eine Konformitätsbewertungsstelle ohne DAkkS-Akkreditierung zu notifizieren, dürfe nicht zur Regel werden; die DAkkS müsse rechtzeitig vor dem Stichtag des Art. 35 Abs. 2 CRA (11. Dezember 2026) personell und finanziell ausgestattet werden [4, S. 2 f.].

Bitkom geht in die entgegengesetzte Richtung: Eine verpflichtende DAkkS-Akkreditierung notifizierter Prüfstellen sei nationales Sonderrecht und ein Engpass-Risiko; es müsse sichergestellt werden, dass bis Mitte 2027 — besser bis Ende 2026 — ausreichend Konformitätsbewertungs­stellen verfügbar sind, ohne dass die Akkreditierung zum Nadelöhr wird [3, S. 3]. Bitkom thematisiert dabei auch die laufende Diskussion um die nachhaltige Finanzierung der DAkkS.

Beide Verbände teilen also die Sorge vor Engpässen, ziehen aber unterschiedliche Konsequenzen — TeleTrusT fordert mehr Akkreditierung mit DAkkS-Stärkung, Bitkom weniger Akkreditierungs-Pflicht. Welche Position sich im weiteren Gesetzgebungsverfahren durchsetzt, ist offen.

3. Wegfall der aufschiebenden Wirkung

§ 65 Abs. 4 BSIG-E entzieht Widerspruch und Klage gegen BSI-Bescheide pauschal die aufschiebende Wirkung. Bitkom kritisiert, das sei ein erheblicher Eingriff in den Rechtsschutz und müsse durch die Pflicht des BSI flankiert werden, die wirtschaftlichen Folgen einer Massnahme bei der Wahl des Eingriffsmittels zu berücksichtigen [3, S. 3]. OSBA fordert die ersatzlose Streichung des § 65 Abs. 4 BSIG-E — der bestehende § 80 Abs. 2 Nr. 4 VwGO erlaube ohnehin eine sofortige Vollziehung im Einzelfall, eine Generalklausel sei unverhältnismässig [6].

Die Open-Source-Perspektive

Die OSBA hat darüber hinaus drei spezifische Forderungen formuliert, die für Open-Source-Hersteller und ihre Stewards zentral sind [6]:

  • § 67 BSIG-E müsse die Unterstützung des BSI explizit auf Hersteller freier und quelloffener Software sowie auf Verwalter quelloffener Software (Art. 24 CRA) erstrecken — die im Kommentar zur CRA von Wiebe als eigenständige Akteurs-Kategorie eingeordnete Steward-Rolle [5, § 4 Rn. 38] wird im Entwurf bisher nicht eigens adressiert. Marktüberwachungsseitig hat der Unionsgesetzgeber diese Akteursgruppe in Art. 52 Abs. 3 CRA gesondert geregelt [7, Art. 52 Rn. 42–46].
  • Die nach § 65 Abs. 3 BSIG-E einzurichtende Beschwerdestelle und vergleichbare Portale sollten auf souveräner Open-Source-Infrastruktur betrieben werden — nicht auf US-amerikanischen Hyperscalern wie das NIS-2-Meldeportal.
  • § 67 müsse explizit anerkennen, dass Stewards (typischerweise Stiftungen oder Vereine ohne Gewinnabsicht) trotz reduzierter Pflichten nach Art. 24 CRA dennoch Cybersicherheitsstrategien dokumentieren und Vorfallsprozesse einrichten müssen — und dass ihre begrenzten Ressourcen behördliche Unterstützung rechtfertigen.

Was Hersteller jetzt konkret tun sollten

Auch wenn die finale Gesetzesfassung erst nach Abschluss der parlamentarischen Beratung steht, lassen sich vier Handlungs­empfehlungen schon jetzt fixieren:

  1. CRA-Klassifizierung abschliessen. Wer noch nicht weiss, ob sein Produkt unter Anhang III (wichtige Produkte mit digitalen Elementen, Klasse I oder II) oder Anhang IV (kritische Produkte mit digitalen Elementen) fällt, sollte die Klassifizierung jetzt abschliessen — die technischen Beschreibungen sind in der Durchführungsverordnung (EU) 2025/2392 verbindlich konkretisiert. Die Klassifizierung entscheidet darüber, ob Modul A oder Modul B+C/H zum Einsatz kommt, und damit über Zeitplan und Budget der Konformitätsbewertung. Vertieft in Artikel 9 dieser Serie.
  1. Meldepflichten ab 11. September 2026 vorbereiten. Die einheitliche Meldeplattform nach Art. 16 CRA wird Pflicht — die Anbindung an interne Incident-Response-Prozesse muss vor dem Stichtag stehen, einschliesslich der 24-Stunden-Frühwarnung und der nachgelagerten Berichtsstufen. Details in Artikel 8 dieser Serie.
  1. Lieferantenmanagement nach Art. 13 Abs. 5 und Abs. 6 CRA aufsetzen. Der CRA fordert nicht nur die Sorgfaltspflicht bei der Auswahl von Komponenten von Drittanbietern (culpa in eligendo, ergänzt durch Lieferanten-Audit, EU-Schwachstellendatenbank-Checks und vertragliche Absicherung) — er begründet zudem in Art. 13 Abs. 6 eine eigenständige Meldekette: Wer in einer integrierten Komponente eine Schwachstelle entdeckt, muss diese dem Komponenten-Hersteller melden. Das ist eine zusätzliche B2B-Meldekette parallel zur B2A-Meldepflicht nach Art. 14 [5, § 6 Rn. 19, 20]. Vertieft in Artikel 3 dieser Serie.
  1. Mindest-Unterstützungszeitraum von fünf Jahren einplanen. Art. 13 Abs. 8 CRA verlangt, Sicherheitsupdates für mindestens fünf Jahre bereitzustellen — sofern die voraussichtliche Nutzungsdauer nicht erkennbar kürzer ist; festzulegen ist dabei ein Enddatum, kein Zeitraum; bei langlebigen Produkten (Industrie­steuerungen, Mainboards) kann der Unterstützungszeitraum auch länger ausfallen [Erwägungsgrund 60 CRA; 5, § 6 Rn. 25–27]. Diese Pflicht koppelt sich an SBOM-Pflege, Vulnerability-Management und das Konformitäts­verfahren — und ist budget- wie ressourcenseitig nicht trivial. Praxishinweis: Zulieferer sollten vertraglich auf einen Gleichlauf des Unterstützungszeitraums verpflichtet werden, sonst entsteht eine Lücke zwischen den Update-Pflichten des Endprodukt-Herstellers und der Patch-Verfügbarkeit der eingebetteten Komponenten [5, § 6 Rn. 27].

crAIready unterstützt die Vorbereitung auf die BSI-Aufsicht

crAIready ist die KI-gestützte SaaS-Plattform, die Sie bei der CRA-Compliance entlastet — und die Sie beim Übergang in die nationale Vollzugsphase ab Juni/September 2026 begleitet:

  • CRA-Navigator (Modul 1): Klassifizierungsvorschlag nach Anhang III/IV auf Basis der DVO (EU) 2025/2392 — als Entscheidungsgrundlage für Modulwahl und Notifizierungsbedarf. Die verbindliche Einordnung obliegt dem Hersteller.
  • Audit-Vorbereitung (Modul 4): technische Dokumentation (Anhang VII), EU-Konformitätserklärung und SBOM, gebündelt im Behörden-Dossier als ein PDF für eine BSI-Marktüberwachungsanfrage.
  • Meldepflicht (Modul 5): geführter 24-h-/72-h-/14-Tage-Workflow mit CSAF-Export — vorbereitet auf den Vollzug ab September 2026.
  • Kontinuierliches Monitoring (Fundament): kontinuierliche automatische Compliance-Checks, orchestriert in laufenden Hintergrundprozessen, überwachen SBOM-Aktualität, Dokumentation, Support-Ende und Aufbewahrungsfristen.

Der Einstieg ist unser kostenloser CRA Quick-Check: eine erste, belastbare Orientierung zur Klassifizierung Ihres Produkts, zur Modulwahl und zu den dringendsten offenen Massnahmen — ohne Beratungsabhängigkeit. Die verbindliche Einordnung Ihres Einzelfalls bleibt Ihnen vorbehalten.

Methodik dieser Recherche

Dieser Artikel basiert auf:

  • Dem Referentenentwurf des Bundesministeriums des Innern vom 12. März 2026 sowie der BMI-Verfahrensseite mit den eingegangenen Stellungnahmen
  • Der offiziellen Verordnung (EU) 2024/2847 (Cyber Resilience Act), insbesondere Art. 13, 14, 33, 35, 52 (einschliesslich Abs. 2, 3, 8 und 11) und 64
  • Der BSI-Pressemitteilung vom 19. März 2026 zum AdCo-CRA-Vorsitz
  • Den Verbändestellungnahmen von Bitkom (März 2026), TeleTrusT (1. April 2026) und der Open Source Business Alliance (2. April 2026)
  • Wiebe (Hrsg.), Das neue Recht der Cyberresilienz — Kommentar zur CRA, Verlag Nomos, Stand Juni 2025, insbesondere § 4 Rn. 38 (Verwalter quelloffener Software, Wiebe), § 6 Rn. 18–20 (Serienherstellung, Lieferantenpflichten und Komponenten-Meldepflicht nach Art. 13 Abs. 6, Wiebe), § 6 Rn. 25–27 (Mindest-Unterstützungszeitraum, Wiebe), § 7 Rn. 56 ff. (Sanktionen, Jossen, insbesondere Rn. 57 zur wirtschaftlichen Einheit)
  • Schröder/Hartl (Hrsg.), Cyber Resilience Act: CRA, 1. Auflage 2026, Nomos, dort die Kommentierung von Art. 52 CRA durch Schreiber, insbesondere Rn. 57–60 (Ressourcenausstattung der Marktüberwachungsbehörden nach Art. 52 Abs. 8 CRA, einschliesslich des Hinweises auf die unzulängliche deutsche Übersetzung in Rn. 59) sowie Rn. 36–41 (Marktüberwachungsbehörde, Abs. 2), Rn. 42–46 (Verwalter quelloffener Software, Abs. 3) und Rn. 67–69 (Verbraucherbeschwerden, Abs. 11). Die Kommentierung gliedert Art. 52 CRA im Übrigen in Anwendbarkeit der Marktüberwachungsverordnung (Abs. 1, Rn. 25–35), Zusammenarbeit mit anderen Behörden einschliesslich der Datenschutzaufsicht (Abs. 3–7, 9, 12, Rn. 47–56), Zusammenarbeit mit Interessenträgern (Abs. 12, Rn. 61), Leitlinien und Ratschläge (Abs. 10, Rn. 62–66), Bericht an die Kommission (Abs. 13, Rn. 70), Überwachung von Hochrisiko-KI (Abs. 14, Rn. 71–73) sowie ADCO und Unterstützungszeitraum (Abs. 15, 16, Rn. 74–76).
  • Der Verordnung (EU) 2019/1020 über Marktüberwachung und Konformität von Produkten

Die Angaben zum Referentenentwurf und zu den Verbändestellungnahmen wurden aus den jeweiligen Originaldokumenten übernommen. Das Kabinettsdatum wurde anhand der Mitteilung der Bundesregierung und der BT-Drs. 21/6134 auf den 29. April 2026 korrigiert. Der parlamentarische Stand wurde bis zum 11. August 2026 anhand der Bundestagsdokumentation zur ersten Beratung sowie der BT-Drs. 21/6512 zur Stellungnahme des Bundesrates geprüft. Eine zweite und dritte Beratung des Bundestages oder eine Verkündung waren in den geprüften amtlichen Quellen nicht belegt. Die Auslegung des Art. 52 CRA stützt sich ergänzend auf Schröder/Hartl (Hrsg.), CRA, 1. Aufl. 2026.

Stand dieser Fassung: v14, 12.08.2026. Das Erscheinungsdatum wurde im Rahmen des festgelegten Veröffentlichungsrhythmus auf den 22.06.2026 gesetzt; zeitabhängige Formulierungen bleiben unverändert. Vorherige Fassung: v13, 11.08.2026. Änderungen gegenüber v12: falsches Kabinettsdatum (1. Mai) auf 29. April 2026 korrigiert; erste Beratung und Ausschussüberweisung im Bundestag vom 11. Juni 2026 sowie die einwendungsfreie Stellungnahme des Bundesrates vom 12. Juni 2026 aufgenommen und rechtlich als noch nicht abgeschlossener erster Durchgang eingeordnet; die Stichtagstabelle klar als nicht verwirklichten Plan des Entwurfs gekennzeichnet; Verkündungsstand bis 11. August 2026 aktualisiert; amtliche Primärquellen [8]–[11] ergänzt. Die Fassung v12 bleibt unverändert archiviert.

Quellen

[1] Referentenentwurf des Bundesministeriums des Innern – Gesetz zur Durchführung der Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), 12. März 2026

[2] BSI-Pressemitteilung vom 19. März 2026 — BSI übernimmt Vorsitz der AdCo CRA

[3] Bitkom-Stellungnahme zum Referentenentwurf des Cyberresilienz-Durchführungsgesetzes, März 2026

[4] TeleTrusT-Stellungnahme zum BMI-Referentenentwurf des Cyberresilienz-Durchführungsgesetzes, 1. April 2026

[5] Wiebe, G. (Hrsg.) — Das neue Recht der Cyberresilienz: Kommentar zur CRA, Verlag Nomos, Stand Juni 2025

[6] Open Source Business Alliance: Cyber Resilience Act und Open Source — Umsetzung entscheidet über sichere digitale Infrastrukturen, 7. April 2026

[7] Schröder, M./Hartl, K. (Hrsg.) — Cyber Resilience Act: CRA, 1. Auflage 2026, Nomos (zitiert als NK-CRA/Bearbeiter). Artikelweiser Kommentar zur Verordnung (EU) 2024/2847; Art. 52 kommentiert von Schreiber. Herangezogen: NK-CRA/Schreiber, 1. Aufl. 2026, CRA Art. 52 Rn. 36–41 (Marktüberwachungsbehörde), Rn. 42–46 (Marktüberwachung von Verwaltern quelloffener Software), Rn. 57–60 (Ressourcenausstattung nach Art. 52 Abs. 8 CRA, mit Rn. 59 zur unzulänglichen deutschen Übersetzung gegenüber der englischen Fassung „including, where appropriate, processing automation tools“) und Rn. 67–69 (Verbraucherbeschwerden).

[8] Bundesregierung — „Mehr Cybersicherheit für vernetzte Produkte“, Kabinettsbeschluss vom 29. April 2026

[9] Deutscher Bundestag, BT-Drs. 21/6134 vom 26. Mai 2026 — Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847

[10] Deutscher Bundestag — erste Beratung und Ausschussüberweisung am 11. Juni 2026

[11] Deutscher Bundestag, BT-Drs. 21/6512 vom 15. Juni 2026 — Unterrichtung über die einwendungsfreie Stellungnahme des Bundesrates vom 12. Juni 2026

Verordnung (EU) 2024/2847 – EUR-Lex (Cyber Resilience Act)

Durchführungsverordnung (EU) 2025/2392 – EUR-Lex

Verordnung (EU) 2019/1020 über Marktüberwachung und Konformität von Produkten – EUR-Lex

BMI-Verfahrensseite Cyberresilienz-Verordnung

Haftungsausschluss: Dieser Beitrag ist eine allgemeine Information zum Cyber Resilience Act und ersetzt keine individuelle Rechtsberatung. Eine verbindliche Beurteilung Ihres konkreten Produkts und Ihrer konkreten Pflichten setzt eine Einzelfallprüfung voraus. Das Cyberresilienz-Durchführungsgesetz ist zum Stand dieses Beitrags nicht verkündetes Recht; der Gesetzgebungsprozess ist andauernd. Stand: 11. August 2026. Herausgeberin: codAIx GmbH, Thayngen (Schweiz).

Im nächsten Artikel dieser Serie: Die wesentliche Änderung — wann ein Software-Update ein bereits in Verkehr gebrachtes Produkt erneut konformitätspflichtig macht, wie sich Funktions- von Sicherheitsupdates abgrenzen lassen und was das für Rolling-Release-Modelle bedeutet.

Veröffentlicht am: 22.06.2026 | Zuletzt geprüft am: 13.08.2026

Stand: 13.08.2026 (v15 — freigegebene Schlusskorrektur: fehlerhafte Wortbildung und Pronomenbezug korrigiert; „AI-gestützt“ zu „KI-gestützt“ vereinheitlicht. Vorherige Fassung: v14; zeitabhängige Formulierungen unverändert.)