Cyber Resilience Act Response Center Kostenlos testenTesten

Aktuelles

Der Bundestag hat das CRA-Durchführungsgesetz beschlossen

Am 15. Oktober 2026 hat der Bundestag das Gesetz zur Durchführung der Cyberresilienz-Verordnung angenommen, mit einer Änderung beim Inkrafttreten. Damit bekommen die Rollen des BSI als CSIRT und als notifizierende Behörde eine gesetzliche Grundlage, sobald das Gesetz verkündet ist. Für die Pflichten der Hersteller ändert sich nichts.

Der Bundestag hat am Donnerstag, 15. Oktober 2026, den Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847 angenommen (BT-Drs. 21/6134). Grundlage war die Beschlussempfehlung des Innenausschusses vom 14. Oktober 2026 (BT-Drs. 21/8622). Dafür stimmten CDU/CSU, SPD und Bündnis 90/Die Grünen, dagegen die AfD, die Linke enthielt sich. Der Ausschuss hatte den Entwurf am Vortag abschließend beraten; noch Anfang Oktober stand das Vorhaben auf keiner Tagesordnung. Das BSI meldete den Beschluss am 16. Oktober 2026. Verkündet ist das Gesetz noch nicht: Es geht jetzt in den zweiten Durchgang im Bundesrat.

Inhaltlich hat der Bundestag den Regierungsentwurf nur an einer Stelle geändert, beim Inkrafttreten (Artikel 4). Der Entwurf hatte die Rollen des BSI an feste Daten geknüpft: Notifizierung ab 11. Juni 2026, Aufgaben als CSIRT ab 11. September 2026. Beide Termine sind verstrichen. Nach der beschlossenen Fassung treten diese Vorschriften deshalb am Tag nach der Verkündung in Kraft. Alles Übrige bleibt beim 11. Dezember 2027.

Was es für Hersteller bedeutet

An den Pflichten der Hersteller ändert das Gesetz nichts. Sie stehen in der Verordnung, die unmittelbar gilt; die Meldepflicht nach Artikel 14 läuft seit dem 11. September 2026. Das Gesetz ordnet die Behördenseite, und zwar in zwei Stufen:

  • Am Tag nach der Verkündung. Der Aufgabenkatalog des BSI nennt dann die Marktüberwachung und die Notifizierung nach der Verordnung, dazu die Aufgabe als CSIRT (§ 3 Absatz 1 Satz 2 Nummer 30 und 31, § 5 Absatz 3 Satz 2 Nummer 6 BSIG). Das Verfahren zur Notifizierung von Prüfstellen nach Akkreditierung durch die DAkkS (§ 66 BSIG) gilt ebenfalls ab diesem Tag. Praktisch übt das BSI diese Rollen schon aus; CERT-Bund nimmt Meldungen über das ENISA-Portal entgegen. Neu ist die gesetzliche Grundlage.
  • Am 11. Dezember 2027. Die eigentliche Vorschrift zur Marktüberwachung mit der Beschwerdestelle (§ 65), die Unterstützung für kleine und mittlere Unternehmen samt Reallabor (§ 67) und die Bußgeldvorschriften (§§ 68 bis 70) treten erst dann in Kraft, zeitgleich mit Artikel 64 der Verordnung. Bußgeldbehörde wird das BSI. Gegen Behörden und öffentliche Stellen werden keine Geldbußen verhängt.

Zusammen mit dem Gesetz hat der Bundestag eine Entschließung angenommen. Sie fordert die Bundesregierung unter anderem auf, bei der Marktüberwachung nach der Cyberresilienz-Verordnung Router vorrangig zu prüfen. Wer Router oder vergleichbare Netzwerktechnik herstellt, sollte damit rechnen, dass das BSI dort früh hinschaut, sobald es ab Dezember 2027 den Markt überwacht. Eine Entschließung bindet die Behörde nicht, zeigt aber die politische Richtung.

Für die Bereitschaft heißt das: Empfänger der Meldung bleibt CERT-Bund über das ENISA-Portal. Was vorher gefehlt hat, war die Rechtsgrundlage, nicht die Stelle. Die Fristen nach Artikel 14 laufen unabhängig vom deutschen Gesetz, und die Nachweise über ihre Einhaltung, die eine Marktüberwachung ab 2027 verlangen kann, entstehen jetzt.

Was offen bleibt

Der Bundesrat muss sich im zweiten Durchgang mit dem Gesetz befassen. Die nächste Plenarsitzung nach seinem Sitzungskalender ist am 20. November 2026; ob das Gesetz dort auf der Tagesordnung steht, war am 19. Oktober 2026 noch nicht bekannt. Im ersten Durchgang hatte der Bundesrat am 12. Juni 2026 keine Einwendungen erhoben. Danach folgen Ausfertigung und Verkündung im Bundesgesetzblatt; erst von da an gelten die vorgezogenen Rollen des BSI. Offen bleibt auch, wie Hersteller am Reallabor teilnehmen können. Den Inhalt des Gesetzes im Einzelnen erklärt der Leitfaden Das deutsche CRA-Durchführungsgesetz, die Zuständigkeiten für Bußgelder der Leitfaden Bußgelder und Marktüberwachung nach dem CRA.

Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordern

Quellen

Die Meldepflicht läuft. Wer nimmt bei Ihnen nachts ab?

CRA Response Center liest Ihr Sicherheits-Postfach mit, erkennt wichtige Meldungen mit einer KI in Deutschland, ohne OpenAI und Co., und benachrichtigt Ihre Leute per SMS und E-Mail. 190 Euro im Monat je Domain inklusive Mehrwertsteuer, 30 Tage kostenlos testen.

30 Tage kostenlos testen