Regulierung · 19. Oktober 2026

CRA-Durchführungsgesetz beschlossen: BSI wird Marktaufsicht, Bundestag fordert neue Beschaffungskriterien

Der Deutsche Bundestag hat am 15. Oktober 2026 das Gesetz zur Durchführung der Cyberresilienz-Verordnung (EU) 2024/2847 verabschiedet. Grundlage ist der Regierungsentwurf auf Drucksache 21/6134 in der Fassung der Beschlussempfehlung des Innenausschusses (Drucksache 21/8622). Das Gesetz macht das Bundesamt für Sicherheit in der Informationstechnik (BSI) zur zentralen Marktüberwachungsbehörde und zur notifizierenden Behörde für den Cyber Resilience Act (CRA). Für Behörden ist es aus zwei Gründen wichtig: Es legt fest, wer künftig prüft, ob vernetzte Produkte die Cybersicherheitsanforderungen erfüllen, und der Bundestag verbindet es mit einem klaren Auftrag an die Bundesregierung für die Beschaffung kritischer digitaler Komponenten.

Im Innenausschuss stimmten CDU/CSU, SPD und Bündnis 90/Die Grünen für den Gesetzentwurf, die AfD dagegen, Die Linke enthielt sich. Die begleitende Entschließung wurde mit den Stimmen von CDU/CSU und SPD angenommen. Das Gesetz geht nun in den zweiten Durchgang im Bundesrat; danach folgen Ausfertigung und Verkündung. Das BSI hat den Beschluss am 16. Oktober 2026 in einer Pressemitteilung begrüßt.

Was sich ändert

Die Cyberresilienz-Verordnung gilt unmittelbar. Sie verpflichtet Hersteller, Einführer und Händler von Produkten mit digitalen Elementen auf Cybersicherheit über den gesamten Lebenszyklus und erweitert das CE-Kennzeichen um diesen Aspekt. Die Verordnung wird gestaffelt wirksam: Die Vorschriften zur Notifizierung von Konformitätsbewertungsstellen gelten seit dem 11. Juni 2026, die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027.

Das Durchführungsgesetz schafft selbst keine neuen Pflichten für die Wirtschaft. Es regelt, was die Verordnung den Mitgliedstaaten überlässt: Zuständigkeiten, Zusammenarbeit der Behörden und das Bußgeldverfahren. Kern ist ein neuer Teil im BSI-Gesetz zur Cybersicherheit von Produkten mit digitalen Elementen.

• Marktüberwachung: Das BSI wird zuständige nationale Marktüberwachungsbehörde. Es kann IT-Produkte stichprobenartig oder gezielt prüfen, Nachbesserungen verlangen, Bußgelder verhängen und Produkte vom Markt nehmen. Hinweise auf Verstöße nimmt es über eine Beschwerdestelle entgegen.
• Notifizierung (§ 66 BSIG): Das BSI bestätigt die Kompetenz von Konformitätsbewertungsstellen und notifiziert sie bei der Kommission.
• Meldungen: Das BSI nimmt die Aufgaben als CSIRT nach der Verordnung wahr. Nach eigener Angabe koordiniert es die CRA-Meldungen für Deutschland bereits seit dem 11. September 2026.
• Unterstützung: Das BSI unterstützt Wirtschaftsakteure, insbesondere kleine und mittlere Unternehmen, bei der Umsetzung.
• Bußgelder: Das BSI wird Bußgeldbehörde für Verstöße gegen die Verordnung. Gegen Behörden und sonstige öffentliche Stellen werden keine Geldbußen verhängt.

Geändert hat der Innenausschuss nur das Inkrafttreten. Die ursprünglich vorgesehenen Stichtage 11. Juni und 11. September 2026 waren durch Zeitablauf gegenstandslos. Am Tag nach der Verkündung treten nun unter anderem die Aufgabenzuweisung an das BSI und die Notifizierungsvorschrift in Kraft.

Die Entschließung: Beschaffung und Lieferketten

Für die Verwaltung praktisch bedeutsamer als der Gesetzestext ist die Entschließung, die zusammen mit dem Gesetz angenommen wurde. Sie stellt fest, dass Wirtschaft, Verwaltung und Infrastrukturen weiterhin in hohem Maße von einzelnen Herstellern und Lieferketten abhängig sind, und nennt als Beispiele für systemkritische Komponenten Router im Telekommunikationsbereich und Wechselrichter im Bereich Energie. Die Bundesregierung wird unter anderem aufgefordert,

• im Rahmen der Marktüberwachung durch das BSI die Prüfung von Routern vorrangig durchzuführen,
• sich auf europäischer Ebene, auch bei den Verhandlungen zum Cybersecurity Act 2, für eine stärkere Regulierung netz- und systemkritischer Komponenten nicht vertrauenswürdiger Anbieter einzusetzen und
• bei Beschaffungsaufträgen kritischer digitaler Komponenten neben technischen Sicherheitsanforderungen insbesondere Herstellerabhängigkeiten, Lieferketten, Update- und Wartungsmöglichkeiten sowie die Substituierbarkeit von Komponenten zu berücksichtigen.

Eine Entschließung ist kein Gesetz und bindet Vergabestellen nicht unmittelbar. Sie zeigt aber, nach welchen Kriterien der Bundestag die Beschaffung kritischer IT künftig bewertet sehen will.

Folgen für Behörden

Als Beschaffer. Ab dem 11. Dezember 2027 dürfen Produkte mit digitalen Elementen nur noch mit CE-Kennzeichnung nach der Cyberresilienz-Verordnung in Verkehr gebracht werden. Mit dem BSI gibt es dann eine Behörde, die das am Markt prüft und durchsetzt. Für Vergabestellen heißt das: Konformitätserklärung, angegebener Supportzeitraum und die Sicherheitsinformationen des Herstellers werden zu prüfbaren Merkmalen eines Angebots. Verträge mit mehrjähriger Laufzeit, die heute geschlossen werden, reichen über diesen Stichtag hinaus.

Als Betreiber. Behörden betreiben genau die Komponenten, die die Entschließung als Beispiele nennt, etwa Router in Dienststellen und Außenstellen oder Wechselrichter in Photovoltaikanlagen auf Dienstgebäuden. Wer seinen Bestand an solchen Komponenten nicht kennt, kann weder Herstellerabhängigkeiten noch Updatezusagen bewerten.

Als Anbieter eigener Software. Öffentliche Stellen und ihre IT-Dienstleister entwickeln und verteilen selbst Software. Ob sie dabei als Hersteller unter die Verordnung fallen, ist im Einzelfall nach den Vorgaben der Verordnung zu prüfen. Das Durchführungsgesetz schließt für öffentliche Stellen nur Geldbußen aus, nicht die Anforderungen der Verordnung. Im Innenausschuss hat die Fraktion Bündnis 90/Die Grünen genau diese Ausnahme kritisiert.

Was jetzt zu tun ist

1. Bestand erfassen. Die vernetzten Produkte und Softwarekomponenten auflisten, die die Behörde beschafft und betreibt. Systemkritische Komponenten wie Router, Firewalls und Steuerungstechnik gesondert kennzeichnen.
2. Vergabeunterlagen anpassen. Leistungsbeschreibungen und Vertragsbedingungen um CRA-bezogene Nachweise ergänzen: Konformitätserklärung, Supportzeitraum, Umgang mit Schwachstellen und Sicherheitsupdates. Bei Verträgen, die über den 11. Dezember 2027 hinauslaufen, gehört das schon in die laufenden Verfahren.
3. Abhängigkeiten bewerten. Die Kriterien der Entschließung als Prüfraster nutzen: Herstellerabhängigkeit, Lieferkette, Update- und Wartungsfähigkeit, Austauschbarkeit. Die Bewertung so dokumentieren, dass sie in der Vergabeakte nachvollziehbar ist.
4. Eigene Rolle klären. Für selbst entwickelte oder an andere Stellen weitergegebene Software prüfen, ob die Behörde oder ihr IT-Dienstleister Hersteller im Sinne der Verordnung ist, und festlegen, wer in diesem Fall Meldungen an das BSI abgibt.
5. BSI-Angebote verfolgen. Die CRA-Seite des BSI und den Abschluss des Verfahrens im Bundesrat beobachten.

Die Abnahme als Nachweis

Ob ein beschafftes Produkt hält, was der Hersteller zusagt, zeigt sich nicht in der Konformitätserklärung, sondern in der Abnahme und im Betrieb. Wer die Sicherheitsanforderungen aus Leistungsbeschreibung und Verordnung als prüfbare Kriterien festlegt, sie mit Testfällen verknüpft und die Ergebnisse dokumentiert, kann später belegen, welche Zusagen geprüft wurden und mit welchem Ergebnis. Das gilt für die Erstabnahme ebenso wie für jedes Sicherheitsupdate, das der Hersteller über den Supportzeitraum liefert.