Marktüberwachungsbehörde
Die Verordnung schreibt die Pflichten vor, eine nationale Behörde setzt sie durch. Sie darf Unterlagen anfordern, Korrekturen verlangen, Produkte vom Markt nehmen und Bußgelder verhängen. Für Deutschland sieht der Gesetzentwurf das BSI vor.
Marktüberwachungsbehörde ist die nationale Behörde, die prüft, ob Produkte mit digitalen Elementen dem Cyber Resilience Act entsprechen, Korrekturmaßnahmen anordnet und Bußgelder verhängt. In Deutschland soll das BSI diese Aufgabe übernehmen.
Definition in der Verordnung
Nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 benennt jeder Mitgliedstaat eine oder mehrere Marktüberwachungsbehörden; die Verordnung (EU) 2019/1020 über Marktüberwachung gilt dabei (Artikel 52 Absatz 1). Die Befugnisse stehen in Artikel 53 bis 60: Zugang zu Daten und Dokumentation auf begründeten Antrag (Artikel 53), Aufforderung zu Korrekturmaßnahmen bis hin zu Rücknahme und Rückruf bei erheblichem Cybersicherheitsrisiko (Artikel 54). Dazu kommen Maßnahmen bei formaler Nichtkonformität wie fehlender CE-Kennzeichnung oder Dokumentation (Artikel 58) und koordinierte Kontrollen mit Testkäufen (Artikel 60). Bei der Aufsicht über die Meldepflicht arbeitet die Behörde mit den CSIRTs und der ENISA zusammen (Artikel 52 Absatz 4). Bußgelder verhängt sie nach Artikel 64; falsche Angaben ihr gegenüber sind nach Artikel 64 Absatz 4 ein eigener Tatbestand.
Was das für Hersteller bedeutet
In Deutschland weist der Entwurf des CRA-Durchführungsgesetzes (§ 65 BSIG-E) die Marktüberwachung dem BSI zu, in Zusammenarbeit mit den Behörden der Länder; der Entwurf ist am 7. Oktober 2026 nicht verkündet. In Österreich ist die Marktüberwachung noch nicht festgelegt. Hersteller müssen der Behörde nach Artikel 13 Absatz 22 auf Verlangen Informationen herausgeben und mit ihr zusammenarbeiten. Deshalb lohnt sich ein Protokoll, das belegt, wer wann Kenntnis hatte und wann gemeldet wurde. Die Marktüberwachungsvorschriften gelten nach Artikel 71 Absatz 2 wie der Bußgeldrahmen ab dem 11. Dezember 2027.