Vernetzte Geräte und digitale Produkte sind längst fester Bestandteil des beruflichen und privaten Alltags. Ob Router, Smart-Home-Komponenten, Betriebssysteme, Unternehmenssoftware oder industrielle Steuerungssysteme – zahlreiche Produkte verfügen heute über digitale Funktionen und kommunizieren mit anderen Geräten oder Netzwerken. Damit entstehen jedoch auch neue Angriffsflächen für Cyberkriminelle. Mit dem Cyber Resilience Act (CRA), der europäischen Verordnung (EU) 2024/2847, hat die Europäische Union deshalb erstmals einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen geschaffen. Nachdem die europäische Verordnung bereits in Kraft getreten ist, schreitet nun auch die nationale Durchführung in Deutschland voran: Der Bundestag hat das entsprechende Durchführungsgesetz Mitte Oktober 2026 beschlossen. Damit rückt die konkrete Ausgestaltung der deutschen Zuständigkeiten für Marktüberwachung und Durchsetzung der neuen Anforderungen näher.
Was regelt der Cyber Resilience Act?
Der Cyber Resilience Act verfolgt das Ziel, das Cybersicherheitsniveau von Produkten mit digitalen Elementen über ihren gesamten Lebenszyklus hinweg zu verbessern. Die Verordnung richtet sich insbesondere an Hersteller, Importeure und Händler, die entsprechende Produkte auf dem europäischen Binnenmarkt bereitstellen. Der Anwendungsbereich ist dabei weit gefasst und umfasst sowohl Hardware als auch Software. Dazu zählen beispielsweise vernetzte Haushaltsgeräte, Router, Smartphones, Betriebssysteme und bestimmte Softwareprodukte. Für einzelne Produktgruppen, die bereits speziellen europäischen Regelungen unterliegen, gelten Ausnahmen.
Kern der Verordnung sind verbindliche Sicherheitsanforderungen, die bereits bei der Entwicklung und Herstellung berücksichtigt werden müssen. Hersteller müssen unter anderem eine Risikobewertung durchführen, bekannte ausnutzbare Schwachstellen vermeiden und geeignete Schutzmaßnahmen gegen unbefugte Zugriffe vorsehen. Die Produkte sollen grundsätzlich so konzipiert sein, dass sie mit einer angemessenen Sicherheitskonfiguration ausgeliefert werden und die Vertraulichkeit, Integrität und Verfügbarkeit der verarbeiteten Daten geschützt werden. Dazu gehören beispielsweise sichere Standardeinstellungen, eine angemessene Zugriffskontrolle und der Schutz vor unbefugter Veränderung oder Offenlegung von Informationen.
Ein weiterer Schwerpunkt liegt auf dem Umgang mit Sicherheitslücken während des gesamten Produktlebenszyklus. Hersteller müssen Prozesse zur Identifizierung, Bewertung und Behebung von Schwachstellen etablieren und Sicherheitsaktualisierungen bereitstellen. Dazu gehört auch, Abhängigkeiten von verwendeten Softwarekomponenten zu berücksichtigen und Informationen über enthaltene Komponenten in geeigneter Form zu dokumentieren. Die Dauer des vorgesehenen Unterstützungszeitraums muss ebenfalls festgelegt werden. Die Cybersicherheit eines Produkts soll damit nicht allein zum Zeitpunkt des Inverkehrbringens gewährleistet sein, sondern auch während seiner weiteren Nutzung. Der CRA verlagert Sicherheitsanforderungen somit stärker in die Produktentwicklung und verpflichtet Hersteller dazu, Sicherheitsaspekte dauerhaft in ihre Prozesse einzubeziehen.
Das deutsche Durchführungsgesetz: Welche Aufgaben erhält das BSI?
Da es sich beim CRA um eine unmittelbar geltende EU-Verordnung handelt, ist grundsätzlich kein nationales Umsetzungsgesetz erforderlich, damit die europäischen Produktanforderungen verbindlich werden. Allerdings müssen die Mitgliedstaaten bestimmte organisatorische und behördliche Zuständigkeiten festlegen. Genau hier setzt das deutsche Durchführungsgesetz an. Es soll insbesondere regeln, welche Behörden die Aufgaben der Marktüberwachung, der Konformitätsbewertung und der Durchsetzung der Verordnung übernehmen.
Eine zentrale Rolle kommt dabei dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zu. Das BSI soll als zuständige Marktüberwachungsbehörde kontrollieren, ob Produkte mit digitalen Elementen die Anforderungen des CRA erfüllen. Darüber hinaus soll es als notifizierende Behörde für die entsprechenden Konformitätsbewertungsstellen tätig werden. Auch die Bearbeitung von Meldungen über aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sowie die Verfolgung bestimmter Ordnungswidrigkeiten werden im nationalen Gesetz geregelt. Für die Umsetzung sind Änderungen insbesondere am BSI-Gesetz, am Telekommunikationsgesetz und am Energiewirtschaftsgesetz vorgesehen.
Die Marktüberwachung ist dabei nicht nur eine formale Zuständigkeitsfrage. Werden bei einem Produkt Sicherheitsrisiken oder Verstöße gegen die Anforderungen festgestellt, können die zuständigen Behörden entsprechende Maßnahmen verlangen. Dazu zählen beispielsweise die Aufforderung zur Herstellung der Konformität, die Beschränkung der Bereitstellung auf dem Markt oder im Einzelfall auch die Rücknahme beziehungsweise der Rückruf eines Produkts. Damit erhält das BSI eine wichtige Funktion bei der praktischen Durchsetzung der europäischen Vorgaben.
Der Bundestag hat den Gesetzentwurf der Bundesregierung am 15. Oktober 2026 in der vom Innenausschuss geänderten Fassung angenommen. Die Änderungen betreffen unter anderem den Zeitpunkt, zu dem bestimmte nationale Zuständigkeitsregelungen in Kraft treten sollen. Zusätzlich verabschiedete der Bundestag eine Entschließung, in der die Bundesregierung unter anderem aufgefordert wird, Router bei der Marktüberwachung durch das BSI vorrangig zu berücksichtigen und die Sicherheit kritischer digitaler Lieferketten stärker in den Blick zu nehmen. Am 30. Oktober 2026 wurde der Gesetzesbeschluss dem Bundesrat zugeleitet. Das Gesetzgebungsverfahren ist damit einen wesentlichen Schritt vorangekommen, abgeschlossen ist es jedoch noch nicht.
Was bedeutet das für Hersteller und Unternehmen?
Wichtig ist die Unterscheidung zwischen den unmittelbar geltenden europäischen Produktanforderungen und den nationalen Regelungen zur Durchführung und Überwachung. Die Pflichten aus dem CRA hängen nicht davon ab, ob das deutsche Durchführungsgesetz bereits in Kraft getreten ist. Die Verordnung sieht vielmehr einen gestaffelten Anwendungsbeginn vor. Eine erste wesentliche Frist betrifft die Meldepflichten nach Art. 14 CRA: Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle unter den dort festgelegten Voraussetzungen melden. Die übrigen wesentlichen Produktanforderungen gelten grundsätzlich ab dem 11. Dezember 2027.
Die Meldepflichten nach Art. 14 CRA verlangen von Herstellern, entsprechende Vorfälle über die vorgesehenen Meldewege zu kommunizieren. Dabei sind unterschiedliche Meldezeitpunkte vorgesehen: Auf eine erste Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme folgen eine detailliertere Meldung innerhalb von 72 Stunden und ein abschließender Bericht. Unternehmen benötigen hierfür geeignete interne Prozesse, mit denen Sicherheitsvorfälle erkannt, bewertet und an die zuständigen Stellen weitergegeben werden können. Insbesondere muss geklärt sein, welche Informationen im Unternehmen zusammengeführt werden und wer für die fristgerechte Meldung verantwortlich ist.
Für Hersteller bedeutet das insgesamt, dass die erforderlichen Prozesse bereits jetzt vorbereitet werden müssen. Dazu gehören insbesondere Verfahren zur Überwachung von Sicherheitslücken, zur Bewertung von Sicherheitsvorfällen und zur fristgerechten Meldung an die zuständigen Stellen. Ebenso sollten Produktentwicklungsprozesse, technische Dokumentationen, Sicherheitsupdates und die vorgesehenen Unterstützungszeiträume überprüft werden. Vor dem Inverkehrbringen müssen Hersteller außerdem die erforderlichen Konformitätsbewertungsverfahren durchlaufen und die Konformität ihrer Produkte entsprechend nachweisen. Je nach Produktkategorie und Risikoklasse können hierfür unterschiedliche Bewertungsverfahren gelten. Die CE-Kennzeichnung wird dabei zum sichtbaren Nachweis, dass die einschlägigen europäischen Anforderungen berücksichtigt wurden.
Auch Unternehmen, die selbst keine Produkte herstellen, können betroffen sein. Importeure und Händler müssen sicherstellen, dass die von ihnen bereitgestellten Produkte die geltenden Anforderungen erfüllen und die erforderlichen Nachweise vorliegen. Unternehmen, die digitale Produkte beschaffen oder einsetzen, sollten außerdem berücksichtigen, welche Sicherheits- und Updatezusagen Hersteller für die eingesetzten Komponenten tatsächlich gewährleisten. Gerade bei Software und vernetzten Geräten ist es sinnvoll, die Dauer der Sicherheitsunterstützung sowie den Umgang mit bekannt werdenden Schwachstellen bereits bei der Auswahl und Beschaffung zu berücksichtigen.
Fazit
Mit dem Beschluss des Bundestages vom 15. Oktober 2026 hat das deutsche CRA-Durchführungsgesetz eine wichtige parlamentarische Hürde genommen. Es schafft insbesondere die nationale Grundlage für die Zuständigkeiten des BSI bei Marktüberwachung, Konformitätsbewertung und Durchsetzung der europäischen Cybersicherheitsanforderungen. Für Hersteller und weitere Wirtschaftsakteure ist jedoch entscheidend, dass die Pflichten aus der EU-Verordnung bereits unabhängig vom Abschluss des deutschen Gesetzgebungsverfahrens schrittweise gelten. Insbesondere die seit September 2026 anwendbaren Meldepflichten erfordern bereits jetzt geeignete organisatorische Abläufe.
Unternehmen sollten deshalb frühzeitig prüfen, ob ihre Produkte und Tätigkeiten in den Anwendungsbereich des CRA fallen und welche organisatorischen sowie technischen Anforderungen daraus entstehen. Bei Fragen zur Einordnung des Cyber Resilience Act und zur Umsetzung der daraus resultierenden Anforderungen stehen wir Ihnen als externe Datenschutzbeauftragte und Ansprechpartner für Informationssicherheit gerne zur Verfügung.
Folgende Beiträge könnten Sie auch interessieren: