CRA-Durchführungsgesetz
Die Verordnung gilt unmittelbar, aber Marktüberwachung, Bußgeldbehörde und Beschwerdestelle muss jeder Mitgliedstaat selbst benennen. In Deutschland tut das der Entwurf des CRA-Durchführungsgesetzes.
CRA-Durchführungsgesetz ist das deutsche Gesetz zur Durchführung der Verordnung (EU) 2024/2847, das vor allem die Zuständigkeiten des BSI regelt und das BSI-Gesetz ändert. Es ist am 7. Oktober 2026 noch nicht verkündet.
Definition in der Verordnung
Die Verordnung selbst nennt das Gesetz nicht; sie verlangt nur, dass die Mitgliedstaaten Marktüberwachungsbehörden, notifizierende Behörden und Sanktionen festlegen. Deutschland setzt das mit dem "Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847" um: Referentenentwurf des BMI vom 12. März 2026, Bundestagsdrucksache 21/6134 vom 26. Mai 2026, erste Lesung am 11. Juni 2026 mit Überweisung an den Innenausschuss. Der Bundesrat erhob am 12. Juni 2026 keine Einwendungen. Eine Anhörung, eine zweite und dritte Lesung oder eine Verkündung im Bundesgesetzblatt sind nicht belegt.
Der Entwurf macht das BSI zur zentralen Marktüberwachungsbehörde, zur notifizierenden Behörde, zum CSIRT nach Artikel 14 und zur Bußgeldbehörde. Er richtet eine Beschwerdestelle für Verbraucher und ein Reallabor für Cyberresilienz ein und ändert BSI-Gesetz, Telekommunikationsgesetz und Energiewirtschaftsgesetz.
Was das für Hersteller bedeutet
An den Pflichten ändert das Gesetz nichts; die kommen direkt aus der Verordnung und gelten unabhängig davon, ob Deutschland seine Behörden schon formell benannt hat. Die Meldepflicht läuft seit dem 11. September 2026, CERT-Bund im BSI nimmt die Meldungen als koordinierendes CSIRT entgegen. Solange das Gesetz nicht verkündet ist, fehlt in Deutschland allerdings die Bußgeldbehörde; der Bußgeldrahmen aus Artikel 64 gilt ohnehin erst ab dem 11. Dezember 2027.