Von Redaktion codAIx | 22. Juni 2026

Wer überwacht in Deutschland die Einhaltung des Cyber Resilience Act (CRA), und wer ahndet Verstösse mit Geldbussen? Nach dem Regierungsentwurf des Cyberresilienz-Durchführungsgesetzes soll das Bundesamt für Sicherheit in der Informationstechnik (BSI) beides übernehmen [9]. In Kraft ist das Gesetz noch nicht: Der Bundestag hat dem Entwurf am 15. Oktober 2026 in der vom Innenausschuss geänderten Fassung zugestimmt; der zweite Durchgang im Bundesrat und die Verkündung standen bis zum 16. Oktober 2026 noch aus [10]. Wir zeigen, was der Entwurf regelt, welche Verbändekritik am Referentenentwurf sich erledigt hat und was Hersteller schon heute tun sollten.

Aus EU-Verordnung wird nationaler Vollzug

Der CRA ist als EU-Verordnung in allen Mitgliedstaaten unmittelbar anwendbar — anders als eine Richtlinie braucht er kein nationales Umsetzungsgesetz für seinen materiell-rechtlichen Inhalt. Was er aber braucht, ist die nationale Behördenstruktur: Wer ist Marktüberwachungsbehörde nach Art. 52 ff. CRA? Wer notifiziert Konformitätsbewertungsstellen nach Art. 35 CRA? Wer ahndet Verstösse nach Art. 64 CRA mit Geldbussen? Wer führt das Reallabor nach Art. 33 Abs. 2 CRA?

Diese Lücke soll der Regierungsentwurf (BT-Drs. 21/6134) schliessen. Er besteht wie schon der Referentenentwurf des Bundesministeriums des Innern vom 12. März 2026 [1] aus vier Artikeln [9]:

  • Art. 1 — umfassende Änderung des BSI-Gesetzes: ein neuer Teil 8 „Cybersicherheit von Produkten mit digitalen Elementen“ (§§ 65–67 BSIG-E); der bisherige Teil 8 (Bussgeldvorschriften) wird Teil 9 und um die neuen §§ 69 und 70 BSIG-E ergänzt, der bisherige § 65 wird § 68; der bisherige Teil 9 wird mit § 71 zu Teil 10; dazu Ergänzungen des Aufgaben- und CSIRT-Katalogs in §§ 3 und 5 BSIG-E
  • Art. 2 — Anpassungen im Telekommunikationsgesetz (TKG)
  • Art. 3 — Anpassungen im Energiewirtschaftsgesetz (EnWG)
  • Art. 4 — Inkrafttretensregelungen, gestaffelt nach den CRA-Stichtagen

Die für Hersteller entscheidenden Vorschriften stehen in Art. 1, insbesondere in den §§ 65–67, 69 und 70 BSIG-E.

Das BSI als Marktüberwachungs- und Notifizierungsbehörde

§ 65 BSIG-E — Marktüberwachung

Das BSI soll die nationale Marktüberwachungsbehörde nach Art. 52 ff. CRA in Verbindung mit der Marktüberwachungs-Verordnung (EU) 2019/1020 werden [9, S. 8, 19]. Die einschlägigen Befugnisse folgen aus Art. 52 bis 60 CRA und — über das Marktüberwachungsgesetz — aus der Verordnung (EU) 2019/1020, insbesondere Art. 14 mit Befugnissen unter anderem zu Inspektionen, Untersagungen sowie Rücknahme- und Rückrufanordnungen [9, S. 19]. Das BSIG-E ergänzt diese Grundlagen um drei nationale Bausteine:

  • Zuständigkeitszuweisung an das BSI als Marktüberwachungsbehörde (§ 65 Abs. 1 BSIG-E)
  • Zusammenarbeit mit den sektoralen Marktüberwachungsbehörden von Bund und Ländern nach Anhang I der Verordnung (EU) 2019/1020 und mit anderen Aufsichtsbehörden, einschliesslich gegenseitiger Information (§ 65 Abs. 2 BSIG-E)
  • Einrichtung einer Verbraucher-Beschwerdestelle für CRA-Beschwerden (§ 65 Abs. 3 BSIG-E)

Die unionsrechtlichen Bezugspunkte dieser Bausteine finden sich in Art. 52 CRA selbst: Die Benennung der Marktüberwachungsbehörde folgt aus Art. 52 Abs. 2 CRA, die Behandlung von Verbraucherbeschwerden aus Art. 52 Abs. 11 CRA; für die Marktüberwachung gegenüber Verwaltern quelloffener Software enthält Art. 52 Abs. 3 CRA eine eigene Regelung. Die Kommentierung von Schreiber in Schröder/Hartl behandelt diese Absätze gesondert [7, NK-CRA/Schreiber Art. 52 Rn. 36–41, 42–46, 67–69].

Der Referentenentwurf hatte in § 65 Abs. 4 zusätzlich vorgesehen, dass Widerspruch und Klage gegen Massnahmen des BSI keine aufschiebende Wirkung haben. Der Regierungsentwurf enthält diese Regelung nicht mehr. Nach seiner Begründung gelten VwVfG und VwGO; das BSI kann die sofortige Vollziehung im Einzelfall bei Vorliegen eines öffentlichen Interesses nach § 80 Abs. 2 Satz 1 Nr. 4 VwGO anordnen [9, S. 19].

Bereits am 19. März 2026 hat das BSI im Vorgriff auf seine künftige Rolle den Vorsitz der EU-weiten Gruppe zur administrativen Zusammenarbeit (ADCO) nach Art. 52 Abs. 15 CRA, im BSI-Sprachgebrauch „AdCo CRA“, übernommen — Anna Schwendicke, Referatsleiterin „Marktaufsicht“ im BSI, leitet das Gremium seit der AdCo-CRA-Sitzung am 19. März 2026 in Athen [2]. Die AdCo CRA ist die formelle Koordinierungsgruppe der Marktüberwachungsbehörden aller Mitgliedstaaten. Sie koordiniert gemeinsame Vorgehensweisen und Marktüberwachungsmassnahmen und wirkt auf eine einheitliche Auslegung hin.

§ 66 BSIG-E — Notifizierende Behörde

Das BSI soll zugleich die nationale notifizierende Behörde nach Art. 36 Abs. 1 CRA werden (§ 66 Abs. 1 BSIG-E) [9, S. 9]. Es soll Konformitätsbewertungsstellen notifizieren, die die EU-Baumusterprüfung nach Modul B (an die sich die interne Fertigungskontrolle des Herstellers nach Modul C anschliesst) oder die Bewertung umfassender Qualitätssicherung nach Modul H durchführen dürfen. Die Bewertung und Überwachung der Stellen soll grundsätzlich die Deutsche Akkreditierungsstelle (DAkkS) übernehmen (§ 66 Abs. 2 BSIG-E, gestützt auf Art. 36 Abs. 2 CRA). Unabhängig vom Gesetzgebungsstand hat die DAkkS am 28. Juli 2026 das Akkreditierungsverfahren nach dem CRA geöffnet, nach ISO/IEC 17065 für Modul B und ISO/IEC 17021-1 für Modul H; Grundlage ist eine Verwaltungsvereinbarung mit dem BSI [12]. Welche Stellen mit welchem Anwendungsbereich notifiziert sind, weist die NANDO-Datenbank der EU-Kommission aus; sie sollte vor der Verfahrensplanung aktuell geprüft werden. Kapitel IV CRA gilt seit dem 11. Juni 2026. Nach Art. 35 Abs. 2 CRA müssen die Mitgliedstaaten bis zum 11. Dezember 2026 dafür sorgen, dass in der Union ausreichend notifizierte Stellen zur Verfügung stehen.

Politisch heikel ist § 66 Abs. 3 BSIG-E: Liegt an der Notifizierung ein öffentliches Interesse vor, kann das BSI eine Konformitätsbewertungsstelle auch ohne DAkkS-Akkreditierung selbst bewerten und notifizieren [9, S. 9]. Nach der Begründung ist das insbesondere der Fall, wenn entgegen Art. 35 Abs. 2 CRA keine ausreichende Zahl notifizierter Stellen vorhanden ist [9, S. 20]. Dieser Notausgang soll Engpässen vorbeugen, könnte aber die Akkreditierungsstandards aushöhlen, wenn er grosszügig genutzt wird (siehe Verbändekritik unten).

§ 67 BSIG-E — Unterstützung der Wirtschaftsakteure

Das BSI soll betroffene Wirtschaftsakteure — insbesondere kleine und mittlere Unternehmen sowie Verwalter quelloffener Software — bei der CRA-Umsetzung unterstützen, durch Schulungs- und Sensibilisierungsmassnahmen sowie ein „Reallabor für Cyberresilienz“; ein Anspruch auf Individualberatung besteht nicht [9, S. 9, 21]. Der Regierungsentwurf veranschlagt 1,281 Mio. Euro jährlich für Schulung und Sensibilisierung, rund 1,36 Mio. Euro jährlich und 7,5 Mio. Euro einmalig für das Reallabor. Insgesamt sind einmalige Sachkosten von 10 Mio. Euro, davon 2,5 Mio. Euro für die Notifizierung, und laufende Sachkosten von 8,1 Mio. Euro jährlich vorgesehen. Hinzu kommen 141 Planstellen und Stellen bis 2029 mit Personalkosten von rund 14,6 Mio. Euro im Jahr 2029. Den gesamten Erfüllungsaufwand der Bundesverwaltung beziffert der Entwurf auf rund 20,5 Mio. Euro jährlich und 10 Mio. Euro einmalig [9, S. 2 f., 14–18].

Geldbussen und Verwaltungsverfahren (§§ 69, 70 BSIG-E)

Die CRA-Bussgeldvorschriften stehen im bisherigen Teil 8 des BSIG, der zu Teil 9 wird; dort werden die §§ 69 und 70 neu eingefügt. Zuständige Verwaltungsbehörde für Bussgeldverfahren wegen Verstössen nach Art. 64 Abs. 2 bis 4 CRA soll das BSI sein (§ 70 Abs. 1 Nr. 2 lit. b BSIG-E) [9, S. 10]. § 69 ist die zentrale Verfahrensnorm für Geldbussen nach dem CRA [9, S. 9 f.]: Er erklärt das OWiG für Verstösse nach Art. 64 Abs. 2 bis 4 CRA für entsprechend anwendbar und schliesst § 17 OWiG, auch in Verbindung mit § 30 Abs. 3, sowie § 30 Abs. 1 und 2 OWiG aus. Die Höchstbeträge selbst folgen unmittelbar aus Art. 64 CRA:

  • 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes (der höhere Wert) bei Verstössen gegen die grundlegenden Cybersicherheitsanforderungen aus Anhang I sowie gegen die Herstellerpflichten nach Art. 13 und Art. 14 CRA — also den materiell-rechtlichen Kern (Art. 64 Abs. 2 CRA)
  • 10 Mio. Euro oder 2 % bei Verstössen gegen die in Art. 64 Abs. 3 CRA aufgezählten Pflichten: Bevollmächtigte, Einführer und Händler (Art. 18–23), EU-Konformitätserklärung (Art. 28), CE-Kennzeichnung (Art. 30 Abs. 1–4), technische Dokumentation (Art. 31 Abs. 1–4), Konformitätsbewertungsverfahren (Art. 32 Abs. 1–3), vereinfachte technische Dokumentation für Kleinst- und Kleinunternehmen (Art. 33 Abs. 5), Pflichten notifizierter Stellen (Art. 39, 41, 47 und 49) sowie Zugang der Marktüberwachungsbehörden zu Daten und Dokumentation (Art. 53)
  • 5 Mio. Euro oder 1 % bei unrichtigen, unvollständigen oder irreführenden Angaben gegenüber notifizierten Stellen oder Marktüberwachungsbehörden auf Auskunftsverlangen (Art. 64 Abs. 4 CRA)

Nach Art. 64 Abs. 10 CRA (berichtigte Fassung) werden diese Geldbussen nicht verhängt gegen Hersteller, die als Kleinst- oder Kleinunternehmen gelten, soweit sie lediglich die 24-Stunden-Frist für die Frühwarnung nach Art. 14 Abs. 2 lit. a oder Abs. 4 lit. a CRA versäumen, sowie gegen Verwalter quelloffener Software bei jedem Verstoss gegen die Verordnung.

Der Begriff „weltweiter Jahresumsatz“ wird im deutschen Kommentarschrifttum teils nicht auf die einzelne juristische Person, sondern auf die „wirtschaftliche Einheit“ im Sinne der Rechtsprechung des EuGH zu Art. 101/102 AEUV bezogen (Jossen, in: Wiebe (Hrsg.), CRA-Kommentar, 2025, § 7 Rn. 57) [5]; zweifelnd NK-CRA/Kühne Art. 64 Rn. 34 [7]. Der CRA selbst definiert den Unternehmensbegriff nicht. Folgt man der weiten Auslegung, richtet sich bei einer deutschen Tochtergesellschaft (5 Mio. Euro Umsatz) einer französischen Konzernmutter (800 Mio. Euro Konzernumsatz) die umsatzabhängige Obergrenze nach dem Konzernumsatz: Bei Verstössen nach Art. 64 Abs. 2 CRA stiege der Höchstbetrag der Geldbusse von 15 Mio. Euro auf bis zu 20 Mio. Euro (2,5 % von 800 Mio. Euro). Der Umsatz bestimmt dabei nur den Höchstbetrag; die konkrete Geldbusse richtet sich nach den Kriterien des Art. 64 Abs. 5 CRA, darunter Grösse und Marktanteil des Wirtschaftsakteurs. Im deutschen Ordnungswidrigkeitenrecht gilt allerdings der Grundsatz „in dubio pro reo“. Die im EU-Kartellrecht entwickelte Vermutung, dass eine Muttergesellschaft mit (nahezu) allen Anteilen bestimmenden Einfluss auf ihre Tochter ausübt, ist nach Jossen deshalb im deutschen Recht nicht anwendbar und reduziert sich auf einen Erfahrungssatz [5, Jossen, § 7 Rn. 57 Fn. 44].

Für die nationale Verfolgung enthält der Entwurf zwei wichtige Klarstellungen:

  • Unionsrechtlicher Rahmen abschliessend: Die Höchstbeträge ergeben sich unmittelbar aus Art. 64 CRA. Nach der Begründung enthält das europäische Sanktionenrecht insoweit „abschliessende und vorrangige Regelungen“; deshalb sollen die Bussgeldrahmen des § 17 OWiG und die Verbandsgeldbusse nach § 30 Abs. 1 und 2 OWiG nicht gelten [9, S. 9 f., 21]. Nationale Zuschläge auf die Höchstbeträge des Art. 64 CRA gibt es nicht. Das entspricht der allgemeinen Forderung von Bitkom, auf zusätzliche nationale Anforderungen zu verzichten [3, S. 1 f.].
  • Behörden sind ausgenommen: § 70 Abs. 2 BSIG-E nimmt Behörden und öffentliche Stellen, gestützt auf die Öffnungsklausel des Art. 64 Abs. 7 CRA, ausdrücklich von Geldbussen aus [9, S. 10, 22]. Bitkom warnt, das könne zu Marktverzerrungen führen [3, S. 4].

Im Entwurf vorgesehene Stichdaten: Drei Stufen bis Dezember 2027

Art. 4 des Regierungsentwurfs koppelt das vorgesehene deutsche Inkrafttreten an die CRA-Stichtage [9, S. 11]. Weil das Gesetz vor den ersten beiden Stichtagen nicht verkündet wurde, beschreibt die Tabelle den Plan des Entwurfs, nicht die tatsächlich eingetretene nationale Rechtslage:

| Datum | Was sollte nach dem Entwurf in Kraft treten? | |---|---| | Tag nach Verkündung | TKG- und EnWG-Änderungen (Art. 2, 3) | | 11. Juni 2026 | Aufgabenzuweisung an das BSI als Marktüberwachungs- und notifizierende Behörde (§ 3 Abs. 1 Satz 2 Nr. 30 und 31 BSIG-E) sowie § 66 BSIG-E (Notifizierung und Akkreditierung). Dieser nationale Termin wurde mangels rechtzeitiger Verkündung verfehlt. | | 11. September 2026 | § 5 Abs. 3 Satz 2 Nr. 5 und 6 BSIG-E: Das BSI nimmt die CSIRT-Aufgaben nach der CRA wahr. Die Meldepflichten nach Art. 14 CRA gelten unabhängig davon unmittelbar; das CERT-Bund im BSI ist bereits koordinierendes CSIRT [13]. | | 11. Dezember 2027 | Alle übrigen Vorschriften, insbesondere § 65 (Benennung als Marktüberwachungsbehörde, Beschwerdestelle), § 67 (Unterstützung, Reallabor), die Umnummerierung des bisherigen § 65 zu § 68 sowie §§ 69 und 70 BSIG-E. |

Damit das deutsche Gesetz pünktlich zum ersten CRA-Stichtag wirksam gewesen wäre, hätte es spätestens am 10. Juni 2026 verkündet sein müssen. Das Bundeskabinett beschloss den Regierungsentwurf am 29. April 2026 [8, 9]. Nach der ersten Beratung am 11. Juni 2026 überwies der Bundestag ihn an die Ausschüsse; federführend ist der Ausschuss für Inneres [10]. Der Bundesrat beschloss am 12. Juni 2026, gegen den Entwurf keine Einwendungen zu erheben [11]. Diese Stellungnahme im ersten Durchgang schloss das Gesetzgebungsverfahren nicht ab. Erst am 14. Oktober 2026 billigte der Innenausschuss den Entwurf, mit einer Änderung, die das Inkrafttreten einzelner Vorschriften betrifft; am 15. Oktober 2026 stimmte der Bundestag ihm in dieser geänderten Fassung zu [10]. Der zweite Durchgang im Bundesrat und die Verkündung standen danach noch aus. Die geänderten Inkrafttretensregeln ergeben sich aus der Beschlussempfehlung des Innenausschusses (BT-Drs. 21/8622, Vorabfassung vom 14. Oktober 2026): § 3 Abs. 1 Satz 2 Nr. 30 und 31 und § 66 BSIG-E (bisher 11. Juni 2026) sowie § 5 Abs. 3 Satz 2 Nr. 5 und 6 BSIG-E (bisher 11. September 2026) sollen danach zusammen mit Art. 2 und 3 am Tag nach der Verkündung in Kraft treten; im Übrigen bleibt es beim 11. Dezember 2027 (Art. 4 Abs. 2 n. F., bisher Abs. 4). Die bisherige Anknüpfung an den 11. Juni bzw. 11. September 2026 sei „durch Zeitablauf gegenstandlos geworden“; die Regelungen fänden damit ab ihrem Inkrafttreten Anwendung (BT-Drs. 21/8622) [10]. Die Tabelle oben gibt den ursprünglichen Plan des Regierungsentwurfs wieder. Die im Regierungsentwurf vorgesehenen nationalen Termine 11. Juni und 11. September 2026 sind verstrichen. TeleTrusT hatte ausdrücklich gemahnt, eine verspätete Durchführung zu vermeiden, um ein Vertragsverletzungsverfahren der EU-Kommission abzuwenden [4, S. 2].

Für Hersteller entscheidend: Die materiellen CRA-Pflichten selbst hängen nicht am deutschen Gesetz. Der CRA gilt als Verordnung unmittelbar; die Meldepflichten nach Art. 14 CRA gelten unabhängig vom Stand des nationalen Durchführungsgesetzes seit dem 11. September 2026. Das nationale Gesetz regelt die Behördenzuständigkeit und den Sanktionsvollzug, nicht die Pflicht als solche. Die Sanktionsvorschrift des Art. 64 CRA selbst gilt — anders als Art. 14 — erst ab dem 11. Dezember 2027 (Art. 71 Abs. 2 CRA); dazu passt, dass §§ 69 und 70 BSIG-E erst zu diesem Datum in Kraft treten sollen.

Eine Sonderzuständigkeit gilt für Produkte, die zugleich Hochrisiko-KI-Systeme nach Art. 6 der KI-Verordnung (EU) 2024/1689 sind: Für sie übernehmen die für die KI-Verordnung benannten Marktüberwachungsbehörden auch die CRA-Marktüberwachung (Art. 52 Abs. 14 CRA). Bei der Aufsicht über die Meldepflichten nach Art. 14 CRA arbeiten sie gegebenenfalls mit den als Koordinatoren benannten CSIRTs und der ENISA zusammen. Welche Behörde das in Deutschland ist, regelt das KI-Durchführungsrecht. Vertieft in Artikel 5 dieser Serie.

Wer die seit dem 11. September 2026 geltenden Meldepflichten nach Art. 14 CRA noch nicht in seine Prozesse integriert hat, sollte das umgehend nachholen. Wir haben sie in Artikel 8 dieser Serie im Detail dargestellt.

Verbändestellungnahmen: Was die Wirtschaft kritisiert

In der vom BMI organisierten Verbändeanhörung sind insgesamt 17 Stellungnahmen eingegangen — unter anderem von DIHK, BITMi, TeleTrusT, OSBA, VDMA, ZVEI, Wirtschaftsrat und der bne (Bundesverband Neue Energiewirtschaft), siehe BMI-Verfahrensseite. Zusätzlich hat Bitkom eine eigene Stellungnahme auf bitkom.org veröffentlicht. Wir konzentrieren uns auf drei Stellungnahmen zum Referentenentwurf: Bitkom (Digitalwirtschaft, März 2026), TeleTrusT (IT-Sicherheitsbranche, 1. April 2026) und die Open Source Business Alliance (OSBA, Stellungnahme vom 2. April 2026 und Pressemitteilung vom 7. April 2026) [3, 4, 6]. Die Kritik ist deshalb als Entstehungsgeschichte zu lesen; an mehreren Stellen hat der Regierungsentwurf bereits anders entschieden.

1. Aufgabenbündelung beim BSI ohne ausreichende Finanzierung

Alle drei Verbände sehen die Konzentration der CRA-Aufgaben beim BSI grundsätzlich positiv — das BSI ist die fachlich kompetente Behörde, und eine Zersplitterung zwischen Bundesnetzagentur, Bundesamt für Verbraucherschutz und Ländern wäre kontraproduktiv. TeleTrusT kritisierte am Referentenentwurf, dass Mehrbedarfe an Personal und Mitteln „künftigen Haushaltsverfahren“ überlassen würden, ohne verbindliche Langfristzusage [4, S. 2]. Der Regierungsentwurf beziffert die Aufwände (siehe oben) und sieht vor, den Mehrbedarf im Einzelplan 06 auszugleichen [9, S. 2] — also innerhalb des Haushalts des Bundesinnenministeriums gegenzufinanzieren, nicht aus zusätzlichen Mitteln des Gesamthaushalts. Ob das die Kritik von TeleTrusT ausräumt, ist offen. Zum Vergleich zog TeleTrusT Zahlen aus der NIS-2-Umsetzung heran: 5,044 Mio. Euro jährlich für regelmässige Schulungen in der Bundesverwaltung und rund 165 Mio. Euro jährlicher Erfüllungsaufwand der Wirtschaft für Schulungen in den betroffenen Unternehmen; TeleTrusT weist selbst darauf hin, dass diese Zahlen nicht direkt auf den CRA übertragbar sind [4, S. 3].

TeleTrusT weist auch auf einen Rollenkonflikt hin: Wenn das BSI sowohl Sanktionsbehörde als auch Unterstützer der KMU ist, droht ein Spannungsverhältnis zwischen autoritativer Aufsicht und niederschwelliger Hilfestellung; deshalb sei eine Auslagerung der Unterstützungsfunktion an externe Stellen erwägenswert [4, S. 3].

Der normative Anker: Art. 52 Abs. 8 CRA. Diese Ressourcendebatte ist nicht nur eine haushaltspolitische Frage. Art. 52 Abs. 8 CRA verpflichtet die Mitgliedstaaten, die benannten Marktüberwachungsbehörden mit angemessenen finanziellen, technischen und personellen Ressourcen auszustatten. Der juristische Kommentar von Schröder/Hartl legt den Massstab der Angemessenheit aufgabenbezogen aus: Angemessen ist die Ausstattung dann, wenn die Behörde die ihr durch die Verordnung zugewiesenen Aufgaben tatsächlich wahrnehmen kann; es müssen also ausreichende Haushaltsmittel bereitgestellt werden, damit die Pflichtaufgaben auch tatsächlich erfüllt werden können [7, Art. 52 Rn. 57 f.]. Für das Personal gilt ein doppelter Massstab, quantitativ und qualitativ: Die Norm selbst verlangt, dass die Beschäftigten über die notwendigen Cybersicherheitskompetenzen verfügen [7, Art. 52 Rn. 60].

Bemerkenswert ist ein Detail der Sprachfassungen. Die deutsche Fassung des Art. 52 Abs. 8 CRA formuliert, die technischen Ressourcen sollten „gegebenenfalls“ auch Werkzeuge zur Prozessautomatisierung umfassen — das liest sich wie ein weiter Gestaltungsspielraum der Mitgliedstaaten. Der Kommentar hält diese Übersetzung für unzulänglich: Die englische Fassung lautet „including, where appropriate, processing automation tools“. Prozessautomatisierung ist danach immer dann einzusetzen, wenn dies angemessen ist — mit der Folge, dass ein Verzicht der Mitgliedstaaten darauf begründungsbedürftig wird [7, Art. 52 Rn. 59].

Für die Einordnung der Verbändekritik heisst das: Die Forderung nach auskömmlicher Ausstattung des BSI ist nicht allein eine politische Position der Verbände, sondern lässt sich an eine unionsrechtliche Pflicht der Mitgliedstaaten rückbinden. Ob die im Regierungsentwurf vorgesehene Ausstattung — 141 Planstellen und Stellen, 8,1 Mio. Euro jährliche Sachkosten, 1,281 Mio. Euro für Schulung und Sensibilisierung — dem Massstab des Art. 52 Abs. 8 CRA genügt, ist eine Frage des tatsächlichen Vollzugs und lässt sich erst an der Aufgabenerfüllung messen.

2. Die DAkkS-Akkreditierungsfrage: zwei gegensätzliche Positionen

Hier spaltet sich die Verbändekritik. TeleTrusT sieht die Engpassklausel des § 66 Abs. 3 BSIG-E kritisch: Die Möglichkeit, eine Konformitätsbewertungsstelle ohne DAkkS-Akkreditierung zu notifizieren, dürfe nicht zur Regel werden; die DAkkS müsse rechtzeitig vor dem Stichtag des Art. 35 Abs. 2 CRA (11. Dezember 2026) personell und finanziell ausgestattet werden [4, S. 2 f.].

Bitkom geht in die entgegengesetzte Richtung: Eine verpflichtende DAkkS-Akkreditierung notifizierter Prüfstellen sei nationales Sonderrecht und ein Engpass-Risiko; es müsse sichergestellt werden, dass bis Mitte 2027 — besser bis Ende 2026 — ausreichend Konformitätsbewertungsstellen verfügbar sind, ohne dass die Akkreditierung zum Nadelöhr wird [3, S. 3]. Bitkom thematisiert dabei auch die laufende Diskussion um die nachhaltige Finanzierung der DAkkS.

Beide Verbände teilen also die Sorge vor Engpässen, ziehen aber unterschiedliche Konsequenzen — TeleTrusT fordert mehr Akkreditierung mit DAkkS-Stärkung, Bitkom weniger Akkreditierungspflicht. Der Regierungsentwurf hält an beidem fest, an der Regelzuständigkeit der DAkkS (§ 66 Abs. 2 BSIG-E) und an der Ausnahme des § 66 Abs. 3 BSIG-E [9, S. 9]; die Kritik besteht insoweit fort. Der Bundestag hat § 66 BSIG-E am 15. Oktober 2026 inhaltlich unverändert angenommen; die Änderung des Innenausschusses betraf nur das Inkrafttreten [10].

3. Wegfall der aufschiebenden Wirkung — im Regierungsentwurf gestrichen

§ 65 Abs. 4 des Referentenentwurfs entzog Widerspruch und Klage gegen BSI-Bescheide pauschal die aufschiebende Wirkung. Bitkom kritisierte, das sei ein erheblicher Eingriff in den Rechtsschutz und müsse durch die Pflicht des BSI flankiert werden, die wirtschaftlichen Folgen einer Massnahme bei der Wahl des Eingriffsmittels zu berücksichtigen [3, S. 3]. OSBA forderte die ersatzlose Streichung — der bestehende § 80 Abs. 2 Satz 1 Nr. 4 VwGO erlaube ohnehin eine sofortige Vollziehung im Einzelfall, eine Generalklausel sei unverhältnismässig [6]. Der Regierungsentwurf entspricht im Ergebnis dieser Forderung: Er enthält § 65 Abs. 4 nicht mehr und verweist in der Begründung auf die allgemeinen Regeln von VwVfG und VwGO [9, S. 19].

Die Open-Source-Perspektive

Die OSBA hat neben der Forderung zum Rechtsschutz zwei weitere Forderungen formuliert, die für Open-Source-Hersteller und Verwalter quelloffener Software zentral sind [6]:

  • § 67 BSIG-E müsse die Unterstützung des BSI explizit auf Hersteller freier und quelloffener Software sowie auf Verwalter quelloffener Software nach Art. 24 CRA erstrecken und deren begrenzte Ressourcen trotz verbleibender Pflichten berücksichtigen. Die Rolle der Verwalter quelloffener Software — im Kommentar von Wiebe als eigenständige Akteurskategorie mit eigenen Pflichten nach Art. 24 CRA eingeordnet [5, Wiebe, § 4 Rn. 38] — war im Referentenentwurf nicht eigens adressiert [1, 6]. Der Regierungsentwurf hat Verwalter quelloffener Software in § 67 Satz 1 BSIG-E aufgenommen; Hersteller freier und quelloffener Software werden dagegen nicht gesondert genannt [9, S. 9, 21]. Marktüberwachungsseitig hat der Unionsgesetzgeber diese Akteursgruppe in Art. 52 Abs. 3 CRA gesondert geregelt [7, Art. 52 Rn. 42–46].
  • Die nach § 65 Abs. 3 BSIG-E einzurichtende Beschwerdestelle und vergleichbare Portale sollten nach Auffassung der OSBA auf souveräner Open-Source-Infrastruktur betrieben werden und nicht, wie nach ihrer Darstellung das NIS-2-Meldeportal, bei einem US-amerikanischen Hyperscaler [6].

Was Hersteller jetzt konkret tun sollten

Auch wenn die finale Gesetzesfassung erst nach Abschluss der parlamentarischen Beratung steht, lassen sich vier Handlungsempfehlungen schon jetzt festhalten:

  1. CRA-Klassifizierung abschliessen. Wer noch nicht weiss, ob sein Produkt unter Anhang III (wichtige Produkte mit digitalen Elementen, Klasse I oder II) oder Anhang IV (kritische Produkte mit digitalen Elementen) fällt, sollte die Klassifizierung jetzt abschliessen — die technischen Beschreibungen sind in der Durchführungsverordnung (EU) 2025/2392 verbindlich konkretisiert. Die Klassifizierung entscheidet darüber, ob Modul A oder Modul B+C/H zum Einsatz kommt, und damit über Zeitplan und Budget der Konformitätsbewertung. Vertieft in Artikel 9 dieser Serie.
  1. Meldeprozess nach Art. 14 CRA prüfen. Die Meldepflichten gelten seit dem 11. September 2026; gemeldet wird über die einheitliche Meldeplattform der ENISA nach Art. 16 CRA. Koordinierendes CSIRT für Hersteller mit Hauptniederlassung in Deutschland ist das CERT-Bund im BSI; eine vorherige Registrierung ist nach Angaben des BSI nicht erforderlich [13]. Die interne Incident-Response muss die 24-Stunden-Frühwarnung und die nachgelagerten Berichtsstufen abbilden. Details in Artikel 8 dieser Serie.
  1. Lieferantenmanagement nach Art. 13 Abs. 5 und Abs. 6 CRA aufsetzen. Der CRA fordert nicht nur die Sorgfaltspflicht bei der Auswahl von Komponenten von Drittanbietern (ergänzt durch Lieferanten-Audit, EU-Schwachstellendatenbank-Checks und vertragliche Absicherung) — er begründet zudem in Art. 13 Abs. 6 eine eigenständige Meldekette: Stellt ein Hersteller in einer integrierten Komponente eine Schwachstelle fest, muss er diese dem Komponenten-Hersteller melden. Das ist eine zusätzliche B2B-Meldekette parallel zur Meldepflicht gegenüber CSIRT und ENISA nach Art. 14 [5, Wiebe, § 6 Rn. 19 f.]. Vertieft in Artikel 3 dieser Serie.
  1. Unterstützungszeitraum einplanen. Nach Art. 13 Abs. 8 CRA müssen Hersteller Schwachstellen während des Unterstützungszeitraums wirksam behandeln. Den Zeitraum legen sie nach den Kriterien des UAbs. 2 fest; er beträgt mindestens fünf Jahre, es sei denn, das Produkt wird voraussichtlich kürzer genutzt (UAbs. 3). Fünf Jahre sind nach der Guidance kein Regelwert für alle Produkte (Rn. 126)[14]. Nach Art. 13 Abs. 19 CRA ist das Enddatum des Unterstützungszeitraums, mindestens Monat und Jahr, anzugeben. Bei langlebigen Produkten wie Industriesteuerungen und Hauptplatinen kann der Unterstützungszeitraum länger ausfallen [Erwägungsgrund 60 CRA]. Diese Pflicht koppelt sich an die Pflege der Software-Stückliste (englisch software bill of materials, SBOM), Vulnerability-Management und das Konformitätsverfahren — und ist budget- wie ressourcenseitig nicht trivial. Praxishinweis: Zulieferer sollten vertraglich auf einen Gleichlauf des Unterstützungszeitraums verpflichtet werden, sonst entsteht eine Lücke zwischen den Update-Pflichten des Endproduktherstellers und der Patch-Verfügbarkeit der eingebetteten Komponenten [5, Wiebe, § 6 Rn. 27, Praxishinweis].

So unterstützt crAIready

Hinweis der Herausgeberin: crAIready ist die CRA-Compliance-Plattform der codAIx GmbH.

  • Onboarding-Wizard und CRA-Wegweiser: erfassen Produkte und Rolle, unterstützen die Einordnung in die Produktklassen und führen je Produkt Schritt für Schritt durch die Pflichten – mit Kennzeichnung, welche bereits gelten und welche erst ab dem 11. Dezember 2027 verbindlich werden.
  • Meldepflicht & Incident Response: unterstützt die Prüfung der Meldepflicht nach Art. 14 CRA und bereitet die Angaben für Frühwarnung, Meldung und Abschlussbericht mit Fristenübersicht vor. Prüfung, Freigabe und Einreichung über die einheitliche Meldeplattform bleiben beim verantwortlichen Unternehmen.
  • Dokumentation & Konformität: erstellt Entwürfe der technischen Dokumentation nach Anhang VII und der EU-Konformitätserklärung zur fachlichen Prüfung und Freigabe.

Der Einstieg ist unser kostenloser CRA-Quick-Check. Er unterstützt mit wenigen Fragen eine unverbindliche Ersteinschätzung dazu, ob und wie der CRA Ihr Produkt betreffen könnte. Die vertiefte Einordnung in die Produktklassen unterstützt der Onboarding-Wizard; die abschliessende Einordnung bleibt beim Hersteller.

Methodik dieser Recherche

Dieser Artikel basiert auf:

Die Angaben zum Regierungsentwurf und zur Vorfassung sowie zu den Verbändestellungnahmen wurden aus den jeweiligen Originaldokumenten übernommen. Der Kabinettsbeschluss vom 29. April 2026 ergibt sich aus der Mitteilung der Bundesregierung; die Zuleitung an den Bundesrat am 1. Mai 2026 aus BT-Drs. 21/6134, S. 5. Der parlamentarische Stand wurde bis zum 16. Oktober 2026 anhand des amtlichen Bundestagsvorgangs, der Dokumentation zur ersten Beratung, der BT-Drs. 21/6512 zur Stellungnahme des Bundesrates, der Meldungen des Bundestages vom 14. und 15. Oktober 2026 sowie der Beschlussempfehlung des Innenausschusses (BT-Drs. 21/8622, Vorabfassung) geprüft. Danach hat der Bundestag dem Entwurf am 15. Oktober 2026 zugestimmt; der zweite Durchgang im Bundesrat und die Verkündung standen noch aus.

Quellen

[1] Referentenentwurf des Bundesministeriums des Innern – Gesetz zur Durchführung der Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), 12. März 2026

[2] BSI-Pressemitteilung vom 19. März 2026 — BSI übernimmt Vorsitz der AdCo CRA

[3] Bitkom-Stellungnahme zum Referentenentwurf des Cyberresilienz-Durchführungsgesetzes, März 2026

[4] TeleTrusT-Stellungnahme zum BMI-Referentenentwurf des Cyberresilienz-Durchführungsgesetzes, 1. April 2026

[5] Wiebe, G. (Hrsg.) — Das neue Recht der Cyberresilienz: Kommentar zur CRA, Verlag Nomos, Stand Juni 2025 — Wiebe, § 4 Rn. 38, § 6 Rn. 19 f., 27 (Praxishinweis); Jossen, § 7 Rn. 57 mit Fn. 44.

[6] Open Source Business Alliance: Stellungnahme zum Referentenentwurf des CRA-Durchführungsgesetzes, 2. April 2026; ergänzend Pressemitteilung vom 7. April 2026

[7] Schröder/Hartl (Hrsg.), Cyberresilienz-Verordnung, Nomos Kommentar, 1. Aufl. 2026, Stand Dezember 2025 (zit.: NK-CRA/Bearbeiter) — Schreiber, Art. 52 Rn. 36–41 (Marktüberwachungsbehörde), Rn. 42–46 (Marktüberwachung von Verwaltern quelloffener Software), Rn. 57–60 (Ressourcenausstattung nach Art. 52 Abs. 8 CRA, mit Rn. 59 zur unzulänglichen deutschen Übersetzung gegenüber der englischen Fassung „including, where appropriate, processing automation tools“) und Rn. 67–69 (Verbraucherbeschwerden); Kühne, Art. 64 Rn. 34 (Unternehmensbegriff).

[8] Bundesregierung — „Mehr Resilienz für Smart-Geräte“, 29. April 2026

[9] Deutscher Bundestag, BT-Drs. 21/6134 vom 26. Mai 2026 — Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847

[10] Deutscher Bundestag — erste Beratung und Ausschussüberweisung am 11. Juni 2026; hib 822/2026 vom 14.10.2026 — Ausschuss billigt Gesetzentwurf zu Cyberresilienz-Verordnung; Deutscher Bundestag — Abschliessende Beratung am 15. Oktober 2026; BT-Drs. 21/8622 vom 14.10.2026 — Beschlussempfehlung und Bericht des Innenausschusses (Vorabfassung)

[11] Deutscher Bundestag, BT-Drs. 21/6512 vom 15. Juni 2026 — Unterrichtung über die einwendungsfreie Stellungnahme des Bundesrates vom 12. Juni 2026

[12] Deutsche Akkreditierungsstelle (DAkkS) — „DAkkS starts accreditation process under the Cyber Resilience Act“, 28. Juli 2026

[13] Bundesamt für Sicherheit in der Informationstechnik — „Cyber Resilience Act: Meldepflicht startet“, 11. September 2026

[14] Europäische Kommission, Communication C(2026) 5252 final mit Annex, „Commission guidance on the application of Regulation (EU) 2024/2847 (Cyber Resilience Act)“, veröffentlicht am 27.07.2026; nicht verbindlich. Insbesondere Rn. 126 (Unterstützungszeitraum von fünf Jahren kein Regelwert).

Verordnung (EU) 2024/2847 – EUR-Lex (Cyber Resilience Act)

Durchführungsverordnung (EU) 2025/2392 – EUR-Lex

Verordnung (EU) 2019/1020 über Marktüberwachung und Konformität von Produkten – EUR-Lex

Verordnung (EU) 2024/1689 – KI-Verordnung – EUR-Lex

BMI-Verfahrensseite Cyberresilienz-Verordnung

Haftungsausschluss: Dieser Beitrag ist eine allgemeine Information zum Cyber Resilience Act und ersetzt keine individuelle Rechtsberatung. Eine verbindliche Beurteilung Ihres konkreten Produkts und Ihrer konkreten Pflichten setzt eine Einzelfallprüfung voraus. Keine Rechtsberatung im Sinne des RDG. Das Cyberresilienz-Durchführungsgesetz war bis zum 16. Oktober 2026 nicht verkündet; der Bundestag hat ihm am 15. Oktober 2026 zugestimmt, der zweite Durchgang im Bundesrat stand noch aus. Herausgeberin: codAIx GmbH, Thayngen (Schweiz). Veröffentlicht am 22.06.2026, zuletzt geändert am 18.10.2026.

Im nächsten Artikel dieser Serie: Wesentliche Änderung im CRA: Wann ein Software-Update zählt — wann ein Software-Update ein bereits in Verkehr gebrachtes Produkt erneut konformitätspflichtig macht, wie sich Funktions- von Sicherheitsupdates abgrenzen lassen und was das für Rolling-Release-Modelle bedeutet.