CRA Response Center Demo anfragen

Leitfaden Stand Lesezeit 10 Min.

Das deutsche CRA-Durchführungsgesetz: Stand, Inhalt, Rolle des BSI

Die Verordnung gilt unmittelbar, aber Marktüberwachung, Bußgeldbehörde und Beschwerdestelle muss Deutschland selbst benennen. Der Gesetzentwurf dafür liegt seit Juni 2026 im Innenausschuss. Diese Seite hält den Stand fest und erklärt, was der Entwurf vorsieht.

Das deutsche CRA-Durchführungsgesetz ist am 7. Oktober 2026 nicht verkündet. Der Bundestag hat den Entwurf (BT-Drs. 21/6134) am 11. Juni 2026 in erster Lesung beraten und an den Innenausschuss überwiesen; eine Anhörung oder eine zweite Lesung ist nicht terminiert. Der Entwurf macht das BSI zur zentralen Marktüberwachungsbehörde, zur notifizierenden Behörde, zum CSIRT und zur Bußgeldbehörde für den Cyber Resilience Act. An den Pflichten der Hersteller ändert das Gesetz nichts: Die kommen unmittelbar aus der Verordnung (EU) 2024/2847 und gelten unabhängig davon, ob Deutschland seine Behörden schon benannt hat.

Das Wichtigste

  • Der Gesetzentwurf (BT-Drs. 21/6134) ist seit dem 11. Juni 2026 im Innenausschuss und nicht verkündet. Ein Termin für die weitere Beratung ist nicht bekannt.
  • Das BSI wird nach dem Entwurf Marktüberwachungsbehörde, notifizierende Behörde, CSIRT und Bußgeldbehörde in einer Hand (§§ 65 bis 70 BSIG-E).
  • Die Meldepflicht nach Artikel 14 gilt seit dem 11. September 2026 trotzdem. CERT-Bund im BSI nimmt Meldungen schon entgegen.
  • Der Bußgeldrahmen aus Artikel 64 greift nach Artikel 71 Absatz 2 erst ab dem 11. Dezember 2027.
  • Verbände kritisieren den Haushaltsvorbehalt, die Akkreditierungspflicht für Prüfstellen und die fehlende aufschiebende Wirkung von Widerspruch und Klage.

Stand am 7. Oktober 2026

Der Entwurf liegt nach der ersten Lesung im Innenausschuss des Bundestages. Weder die Tagesordnung des Plenums für die Sitzungswoche vom 6. bis 9. Oktober 2026 noch die des Innenausschusses vom 7. Oktober 2026 führen das Vorhaben auf. Die öffentliche Anhörung des Innenausschusses am 5. Oktober 2026 betraf ein anderes Gesetz, den Entwurf eines Gesetzes zur Stärkung der Cybersicherheit (BT-Drs. 21/6585). Das BSI schrieb am 25. September 2026 selbst, seine Verfahren liefen "vor Veröffentlichung des CRA-Durchführungsgesetzes". Eine Verkündung im Bundesgesetzblatt ist nirgends belegt.

Warum braucht eine EU-Verordnung überhaupt ein deutsches Gesetz?

Eine Verordnung gilt in jedem Mitgliedstaat direkt, ohne Umsetzung in nationales Recht. Die Pflichten der Hersteller aus Artikel 13 und Artikel 14 brauchen deshalb kein deutsches Gesetz. Was die Verordnung den Mitgliedstaaten aber überlässt, ist die Organisation der Aufsicht: Welche Behörde überwacht den Markt, welche notifiziert Prüfstellen, welche verhängt Bußgelder, und nach welchem Verfahren. Genau das regelt das Durchführungsgesetz. Es ändert dafür das BSI-Gesetz (BSIG) und fügt dort neue Paragrafen ein, dazu kleinere Änderungen im Telekommunikationsgesetz und im Energiewirtschaftsgesetz.

Solange das Gesetz fehlt, gibt es in Deutschland keine förmlich benannte Marktüberwachungsbehörde für den CRA und keine Bußgeldbehörde. Das ist ein Zustand, den die Verordnung selbst nicht vorsieht, der aber für Hersteller wenig ändert: Melden müssen sie trotzdem, und die Frist läuft trotzdem.

Wie ist das Verfahren bisher gelaufen?

  1. 12. März 2026Referentenentwurf des Bundesministeriums des Innern: "Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung)".
  2. April 2026Stellungnahmen der Verbände zum Referentenentwurf: ZVEI (2. April), BDI (9. April), TeleTrusT (berichtet am 10. April).
  3. 1. Mai 2026Nach dem Kabinettsbeschluss Zuleitung an den Bundesrat als BR-Drs. 260/26 (erster Durchgang).
  4. 26. Mai 2026Gesetzentwurf im Bundestag als BT-Drs. 21/6134.
  5. 11. Juni 2026Erste Lesung im Bundestag, Überweisung federführend an den Innenausschuss.
  6. 12. Juni 2026Bundesrat erhebt in seiner 1066. Sitzung keine Einwendungen (BR-Drs. 260/26(B)).
  7. 17. Juni 2026Unterrichtung des Bundestages mit der Stellungnahme des Bundesrates (BT-Drs. 21/6512).
  8. 11. September 2026Die Meldepflicht nach Artikel 14 gilt. Die ENISA-Plattform geht in Betrieb, ohne dass das deutsche Gesetz verkündet ist.
  9. OffenAnhörung im Innenausschuss, zweite und dritte Lesung, zweiter Durchgang im Bundesrat, Verkündung.

Was regelt der Entwurf?

Kern des Entwurfs sind die neuen §§ 65 bis 70 BSIG-E. Sie bündeln die Aufsicht beim BSI. Die wichtigsten Punkte:

AufgabeZuständig nach dem EntwurfFundstelle
Marktüberwachung für Produkte mit digitalen ElementenBSI als zentrale Marktüberwachungsbehörde, in Kooperation mit den Marktüberwachungsbehörden der Länder§ 65 BSIG-E
Beschwerdestelle für VerbraucherBSI§ 65 Absatz 3 BSIG-E
Notifizierung von KonformitätsbewertungsstellenBSI als notifizierende Behörde, Akkreditierung vorher durch die DAkkS§ 66 BSIG-E
Reallabor für CyberresilienzBSI§ 67 BSIG-E
CSIRT nach Artikel 14 (Annahme von Meldungen)BSI, operativ CERT-Bund§ 5 Absatz 3 Nummer 6 BSIG-E
BußgeldbehördeBSI; das Bundesinnenministerium nur in Sonderfällen§ 68 und § 70 BSIG-E
Verfahren bei BußgeldernGesetz über Ordnungswidrigkeiten entsprechend anwendbar, § 17 und § 30 OWiG ausgenommen§ 69 BSIG-E

BSI als Marktüberwachung, notifizierende Behörde, CSIRT und Bußgeldbehörde

Vier Rollen in einer Behörde: Das BSI überwacht den Markt, es benennt die Stellen, die Konformitätsbewertungen durchführen dürfen, es nimmt als CSIRT die Meldungen nach Artikel 14 entgegen und es verhängt die Bußgelder. Die Bundesnetzagentur erhält über den Entwurf keine Marktaufsicht für den CRA; sie bleibt für die Sektor-Kataloge nach Telekommunikations- und Energiewirtschaftsgesetz zuständig. Eine Sekundärquelle nennt sie außerdem für Produkte, die zugleich Hochrisiko-KI-Systeme sind. Das Bundesinnenministerium ist Bußgeldbehörde nur in den Sonderfällen des § 68.

Reallabor

§ 67 BSIG-E sieht ein Reallabor für Cyberresilienz vor. Ein Reallabor ist ein geschützter Rahmen, in dem Hersteller neue Produkte und Verfahren gemeinsam mit der Behörde erproben können. Von den einmalig vorgesehenen 10 Millionen Euro entfällt der größte Teil auf das Reallabor. Wie Hersteller teilnehmen und was dort konkret geprüft wird, lässt der Entwurf offen.

Bußgelder und Verfahren

Die Höhe der Bußgelder regelt der Entwurf nicht selbst, sie steht in Artikel 64 der Verordnung: bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Anforderungen und die Herstellerpflichten, bis 10 Millionen Euro oder 2 Prozent bei sonstigen Pflichten, bis 5 Millionen Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. § 69 BSIG-E erklärt das Gesetz über Ordnungswidrigkeiten für entsprechend anwendbar, nimmt aber § 17 (Bemessung der Geldbuße) und § 30 (Geldbuße gegen juristische Personen) aus, weil das Sanktionsrecht der EU vorgeht. Gegen öffentliche Stellen werden nach § 70 Absatz 2 keine Bußgelder verhängt. Nach § 65 Absatz 4 haben Widerspruch und Klage gegen Anordnungen der Marktüberwachung keine aufschiebende Wirkung.

Personal und Geld

Der Entwurf rechnet mit 141 zusätzlichen Stellen beim BSI bis 2029, einmalig 10 Millionen Euro und laufend 8,1 Millionen Euro Sachkosten. Der Erfüllungsaufwand der Verwaltung liegt bei rund 20,5 Millionen Euro im Jahr. Für die Wirtschaft nennt der Entwurf keinen zusätzlichen Aufwand, weil alle Pflichten aus der EU-Verordnung stammen. Für die Schulung kleiner und mittlerer Unternehmen sind 1,28 Millionen Euro im Jahr vorgesehen.

Was kritisieren die Verbände?

  • Haushaltsvorbehalt. TeleTrusT bemängelt, dass die Stellen und Mittel unter Haushaltsvorbehalt stehen, und hält die 1,28 Millionen Euro im Jahr für KMU-Schulung für zu wenig. Kritisiert wird auch § 66 Absatz 3, nach dem das BSI Prüfstellen "im öffentlichen Interesse" auch ohne Akkreditierung notifizieren darf.
  • Akkreditierungspflicht. Bitkom lehnt die Pflicht zur DAkkS-Akkreditierung vor der Notifizierung als nationale Sonderregel ab und warnt vor Engpässen bei den Prüfstellen, solange die Finanzierung der DAkkS nicht gesichert ist.
  • Keine aufschiebende Wirkung. Bitkom kritisiert, dass Widerspruch und Klage gegen Anordnungen der Marktüberwachung nach § 65 Absatz 4 nicht aufschiebend wirken.
  • Tempo. Der BDI drängt in seiner Stellungnahme vom 9. April 2026 darauf, das Gesetz konsequent voranzutreiben. Der ZVEI hat am 2. April 2026 ein Positionspapier zum Referentenentwurf vorgelegt.

Die Bundesregierung hält die Strukturen in der Drucksache 21/7731 vom 26. August 2026 für leistungsfähig, räumt aber einen Reformprozess bei der DAkkS ein.

Was gilt, obwohl das Gesetz fehlt?

Mehr, als man beim Blick auf den Verfahrensstand vermuten würde. Die Verordnung wartet nicht auf Berlin.

  • Die Meldepflicht läuft. Seit dem 11. September 2026 verpflichtet Artikel 14 Hersteller, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden zu melden. Die ENISA führt CERT-Bund seit dem 4. September 2026 in ihrer Liste der koordinierenden CSIRTs für Deutschland. Wer meldet, wählt bei der Registrierung Deutschland und CERT-Bund aus. Mehr dazu unter CERT-Bund, BSI, ENISA.
  • Die Notifizierung läuft. Das BSI hat sein Notifizierungsverfahren für Prüfstellen am 11. Juni 2026 gestartet, die DAkkS nimmt seit dem 28. Juli 2026 Akkreditierungsanträge an. Beide Behörden haben ihre Verwaltungsvereinbarung am 25. September 2026 um den CRA erweitert.
  • Das BSI arbeitet europäisch mit. Seit dem 19. März 2026 führt das BSI den Vorsitz der Verwaltungskooperationsgruppe der Marktüberwachungsbehörden (AdCo CRA).
  • Bußgelder noch nicht. Artikel 64 fällt nach Artikel 71 Absatz 2 unter die Vorschriften, die erst ab dem 11. Dezember 2027 gelten. Bis dahin gibt es in Deutschland zudem keine Bußgeldbehörde. Auch die Vorschriften zur Marktüberwachung (Artikel 52 bis 60) gelten erst ab dem 11. Dezember 2027; die Nachweise, die eine Behörde dann verlangen kann, entstehen aber jetzt. Details unter Bußgelder und Marktüberwachung.

Andere Mitgliedstaaten sind weiter: Ungarn hat mit dem Act CXXXV of 2025 bereits ein nationales Durchführungsgesetz verabschiedet.

Was das praktisch heißt

Für die Geschäftsführung eines Herstellers hat der Verfahrensstand drei Folgen. Erstens: Es gibt keinen Grund zu warten. Die Meldepflicht gilt, die Plattform läuft, CERT-Bund nimmt Meldungen an. Ein Hersteller von Verpackungsmaschinen, der auf das deutsche Gesetz wartet, bevor er eine Meldeadresse und eine Rufkette einrichtet, hat die Pflicht schon seit dem 11. September 2026 und erfüllt sie nicht. Zweitens: Wer die Meldefristen heute einhält und das dokumentiert, muss sich vor der späteren Marktüberwachung nicht fürchten. Die Nachweise, die eine Behörde ab 2027 verlangen kann, entstehen jetzt. Drittens: Wer ein Produkt der wichtigen oder kritischen Klasse herstellt, sollte den Stand der notifizierten Stellen im Blick behalten, denn ohne Prüfstelle gibt es keine Drittprüfung.

Für diese Bereitschaft bietet CRA Response Center die Bausteine: Meldeadresse, Prüfung jeder Meldung, Rufkette, Fristen-Uhren und ein Protokoll, das später als Nachweis dient. Die Entscheidung und die Einreichung bleiben beim Hersteller.

Häufige Fragen

Muss ich melden, obwohl das deutsche Gesetz noch nicht gilt?

Ja. Die Meldepflicht steht in Artikel 14 der Verordnung und gilt seit dem 11. September 2026 unmittelbar. Das deutsche Gesetz regelt nur die Behördenorganisation. CERT-Bund im BSI nimmt Meldungen über die ENISA-Plattform bereits entgegen.

Wann kommt das Durchführungsgesetz?

Das ist offen. Der Entwurf liegt seit dem 11. Juni 2026 im Innenausschuss, ein Termin für Anhörung oder zweite Lesung ist am 7. Oktober 2026 nicht bekannt. Diese Seite wird nachgezogen, sobald sich der Stand ändert.

Wer ist in Deutschland die Marktüberwachungsbehörde für den CRA?

Nach dem Entwurf das BSI als zentrale Marktüberwachungsbehörde, in Kooperation mit den Marktüberwachungsbehörden der Länder. Förmlich benannt ist sie erst mit Verkündung des Gesetzes.

Drohen jetzt schon Bußgelder?

Nein. Artikel 64 gilt nach Artikel 71 Absatz 2 erst ab dem 11. Dezember 2027, und in Deutschland fehlt bis zur Verkündung des Gesetzes die Bußgeldbehörde. Die Meldefristen gelten aber unabhängig davon, und ihre Einhaltung ist später nachzuweisen.

Was ist das Reallabor für Cyberresilienz?

§ 67 BSIG-E sieht beim BSI ein Reallabor vor, in dem Hersteller Produkte und Verfahren in einem geschützten Rahmen erproben können. Der Großteil der einmalig vorgesehenen 10 Millionen Euro ist dafür eingeplant. Teilnahme und Ablauf regelt der Entwurf nicht im Detail.

Bekommt die Bundesnetzagentur eine Rolle?

Keine Marktaufsicht für den CRA. Sie bleibt für die Sektor-Kataloge nach Telekommunikations- und Energiewirtschaftsgesetz zuständig; eine Sekundärquelle nennt sie für Produkte, die zugleich Hochrisiko-KI-Systeme sind.

Entsteht Herstellern durch das Gesetz zusätzlicher Aufwand?

Laut Entwurf nicht. Alle Pflichten der Hersteller stammen aus der EU-Verordnung; das Gesetz verteilt nur Aufgaben zwischen Behörden. Der Aufwand aus der Verordnung selbst ist davon unberührt.

Weiterlesen

Quellen

Die Meldepflicht läuft. Wer nimmt bei Ihnen nachts ab?

CRA Response Center nimmt Schwachstellen-Meldungen an, prüft sie, weckt Ihre Rufkette und führt die Fristen-Uhren. Ab 190 Euro im Monat, Einrichtung zum Festpreis.

Demo anfragen