CRA Response Center Demo anfragen

Aktuelles

Das deutsche CRA-Durchführungsgesetz steckt im Innenausschuss

Der Bundestag hat den Entwurf des CRA-Durchführungsgesetzes am 11. Juni 2026 in erster Lesung beraten und an den Innenausschuss überwiesen. Der Bundesrat hat keine Einwendungen erhoben. Seitdem ist nichts Weiteres belegt. In der Sitzungswoche vom 6. bis 9. Oktober 2026 steht das Gesetz nicht auf der Tagesordnung.

Das "Gesetz zur Durchführung der Verordnung (EU) 2024/2847" soll regeln, welche deutsche Behörde welche Aufgabe aus dem Cyber Resilience Act übernimmt. Der Entwurf der Bundesregierung liegt dem Bundestag als Drucksache 21/6134 vom 26. Mai 2026 vor. Die erste Lesung fand am 11. Juni 2026 statt, federführend ist seitdem der Innenausschuss. Der Bundesrat hat in seiner Sitzung am 12. Juni 2026 keine Einwendungen erhoben; die Bundesregierung hat den Bundestag darüber mit Drucksache 21/6512 vom 17. Juni 2026 unterrichtet. Danach reißt die Spur ab: Eine Anhörung, eine Beschlussempfehlung des Ausschusses oder eine zweite und dritte Lesung sind bis zum 7. Oktober 2026 nirgends belegt. Die Tagesordnung des Bundestags für die Sitzungswoche vom 6. bis 9. Oktober 2026 enthält keinen Punkt zur Cyberresilienz-Verordnung. Die öffentliche Anhörung des Innenausschusses am 5. Oktober 2026 betraf ein anderes Vorhaben, das "Gesetz zur Stärkung der Cybersicherheit" (Drucksache 21/6585).

Das BSI selbst schrieb am 25. September 2026, seine Verfahren liefen "vor Veröffentlichung des CRA-Durchführungsgesetzes".

Was es für Hersteller bedeutet

Die Pflichten der Hersteller hängen nicht am deutschen Gesetz. Die Verordnung gilt unmittelbar in jedem Mitgliedstaat; die Meldepflicht nach Artikel 14 läuft seit dem 11. September 2026, mit oder ohne Durchführungsgesetz. Das deutsche Gesetz regelt die Behördenseite. Solange es fehlt, fehlt Folgendes:

  • Die gesetzliche Grundlage für die Rolle des BSI. Der Entwurf macht das BSI zur zentralen Marktüberwachungsbehörde, zur notifizierenden Behörde für Prüfstellen, zum CSIRT nach der Verordnung und zur Bußgeldbehörde (neue Paragrafen 65 bis 70 im BSI-Gesetz). Praktisch übt das BSI mehrere dieser Rollen schon aus: Es nimmt seit dem 11. Juni 2026 Anträge auf Notifizierung entgegen, CERT-Bund steht auf der ENISA-Liste der koordinierenden CSIRTs, und das BSI führt seit März 2026 den Vorsitz der europäischen Koordinierungsgruppe der Marktüberwachungsbehörden. Die gesetzliche Verankerung dieser Aufgaben steht aber aus.
  • Eine Bußgeldbehörde. Der Bußgeldrahmen aus Artikel 64 der Verordnung gilt ohnehin erst ab dem 11. Dezember 2027. Wer ihn in Deutschland anwendet, bestimmt erst das Durchführungsgesetz. Der Entwurf sieht das BSI vor und erklärt das Ordnungswidrigkeitengesetz für anwendbar. Mehr dazu in der Einordnung Bußgelder greifen erst ab dem 11. Dezember 2027.
  • Die Beschwerdestelle und das Reallabor. Der Entwurf sieht eine Beschwerdestelle für Verbraucher beim BSI und ein "Reallabor für Cyberresilienz" vor. Beides gibt es erst mit dem Gesetz.
  • Planungssicherheit für Prüfstellen. Der Weg zur notifizierten Stelle läuft in Deutschland zweistufig über eine Akkreditierung bei der DAkkS und die Notifizierung durch das BSI. Beide Stellen haben ihre Zusammenarbeit am 25. September 2026 um den CRA erweitert. Verbände kritisieren die Akkreditierungspflicht als nationale Sonderregel; ob der Bundestag daran etwas ändert, ist offen.

Für Hersteller ändert sich durch das Warten nichts an der Reihenfolge: Meldeadresse, Rufkette, Zugang zum ENISA-Portal und Protokoll müssen stehen, weil die Fristen der Verordnung laufen. Was das Gesetz im Einzelnen regeln soll, steht im Leitfaden Das deutsche CRA-Durchführungsgesetz: Stand, Inhalt, Rolle des BSI; die Zuständigkeiten für Bußgelder und Marktüberwachung erklärt der Leitfaden Bußgelder und Marktüberwachung nach dem CRA.

Für die Bereitschaft heißt das: Der Empfänger der Meldung steht fest (CERT-Bund über das ENISA-Portal), auch wenn seine Rolle in Deutschland noch nicht im Gesetz steht. CRA Response Center richtet die Meldewege auf diesen Stand ein und zieht nach, sobald das Gesetz verkündet ist.

Was offen bleibt

Ob der Innenausschuss intern einen Termin für eine Anhörung oder die abschließende Beratung festgelegt hat, ließ sich nicht feststellen. Die Kritik der Verbände an einzelnen Punkten (Akkreditierungspflicht, keine aufschiebende Wirkung von Widerspruch und Klage, Finanzierung) kann noch zu Änderungen im Ausschuss führen. Einen Termin für die Verkündung gibt es nicht. Wir aktualisieren diese Einordnung, wenn sich der Stand ändert.

Quellen

Die Meldepflicht läuft. Wer nimmt bei Ihnen nachts ab?

CRA Response Center nimmt Schwachstellen-Meldungen an, prüft sie, weckt Ihre Rufkette und führt die Fristen-Uhren. Ab 190 Euro im Monat, Einrichtung zum Festpreis.

Demo anfragen