Der Bundestag hat das Durchführungsgesetz zum Cyber Resilience Act verabschiedet. Das BSI kann unsichere Produkte künftig vom Markt nehmen lassen.
Prüfungen und Bußgelder
CRA-Gesetz: BSI wird Marktaufsicht für digitale Produkte
Bildquelle: Shutterstock AI
Der Deutsche Bundestag hat am 15. Oktober das Gesetz zur Durchführung des Cyber Resilience Act (CRA) verabschiedet. Die EU-Verordnung 2024/2847, auf Deutsch Cyberresilienz-Verordnung, schreibt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen vor, also für Hardware und Software, die im EU-Binnenmarkt angeboten werden. Ab Dezember 2027 gilt das CE-Kennzeichen damit auch für die Cybersicherheit solcher Produkte. Das Durchführungsgesetz regelt die nationale Umsetzung und benennt das Bundesamt für Sicherheit in der Informationstechnik (BSI) als zuständige Behörde.
„Der Cyber Resilience Act schafft europaweit erstmals verpflichtende Cybersicherheitsanforderungen für Produkte mit digitalen Elementen – von der smarten Kaffeemaschine, über Mobile Apps bis hin zum Sicherheitschip.”
Thomas Caspers, BSI-Vizepräsident
Cybersicherheit müsse damit über den gesamten Lebenszyklus eines Produkts berücksichtigt werden, bereits ab der Entwicklung.
Prüfungen, Bußgelder und Rückrufe
Als Marktüberwachungsbehörde kann das BSI künftig IT-Produkte stichprobenartig oder gezielt auf ihre Cybersicherheit prüfen, Nachbesserungen verlangen und bei Verstößen Sanktionen und Bußgelder verhängen. Erfüllen Produkte die Anforderungen des CRA nicht, kann das BSI sie vom Markt nehmen lassen.
Zudem wird das BSI notifizierende Behörde. In dieser Rolle bestätigt es die Kompetenz von Konformitätsbewertungsstellen, bei denen Hersteller ihre Produkte und Prozesse auf die Einhaltung des CRA prüfen lassen können.
Meldestelle seit September
Als zuständiges Computer Security Incident Response Team (CSIRT) koordiniert das BSI bereits seit dem 11. September 2026 die Meldungen nach dem CRA für Deutschland. Seit diesem Tag müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die übrigen Pflichten der Verordnung gelten ab dem 11. Dezember 2027.
Darüber hinaus nimmt das BSI als Beschwerdestelle Hinweise von Verbraucherinnen und Verbrauchern auf Verstöße gegen den CRA entgegen. Betroffene Unternehmen, insbesondere kleine und mittlere, will das Amt bei der Umsetzung der Anforderungen unterstützen. Für sie gibt es zudem Angebote wie den kostenlosen Selbstcheck EASY.CRA, mit dem Unternehmen prüfen können, ob ihre Produkte unter die Verordnung fallen.
(red)
