Länderleitfaden
Die Cyberresilienz-Verordnung in Deutschland: BSI, notifizierte Stellen und Ihre Fristen
Geprüft im August 2026 anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.
Die Cyberresilienz-Verordnung ist eine Verordnung der Union, keine Richtlinie. Sie gilt in Deutschland unmittelbar, ohne nationales Umsetzungsgesetz. Ein Produkt, das auf dem Unionsmarkt bereitgestellt wird, ist für deutsche Unternehmen damit auch in Deutschland bereitgestellt. Auf nationaler Ebene ändert sich die Durchsetzung: wer Konformitätsbewertungsstellen notifiziert, wer den Markt überwacht, wer die Sanktionen festlegt. Dieser Leitfaden behandelt diese deutschen Aspekte und belegt jede Aussage am Wortlaut der Verordnung.
Was der Unionsmarkt für Sie bedeutet
Für ein deutsches Unternehmen löst das Inverkehrbringen eines Produkts die Pflichten aus. Die Verordnung bestimmt diesen Begriff ohne Bezug auf einen einzelnen Mitgliedstaat: derselbe Vorgang, der Kundschaft in Berlin beliefert, beliefert die gesamte Union.
„die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt“
Die Fristen, die deutsche Unternehmen binden
Die Daten gelten unionsweit. Die Meldepflichten nach Artikel 14 binden Hersteller ab dem 11. September 2026; das Notifizierungsverfahren ist seit dem 11. Juni 2026 anwendbar; die vollständige Geltung beginnt am 11. Dezember 2027.
„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“
Notifizierte Stellen und das BSI
Benötigt Ihr Produkt eine Konformitätsbewertung durch Dritte, führt eine notifizierte Stelle sie durch. Notifizierte Stellen werden von den nationalen notifizierenden Behörden nach Kapitel IV benannt, das seit dem 11. Juni 2026 gilt.
„NOTIFIZIERUNG VON KONFORMITÄTSBEWERTUNGSSTELLEN“
„eine Konformitätsbewertungsstelle, die nach Artikel 43 dieser Verordnung und anderen einschlägigen Harmonisierungsrechtsvorschriften der Union benannt wurde“
In Deutschland ist das BSI (Bundesamt für Sicherheit in der Informationstechnik) die notifizierende Behörde für Konformitätsbewertungsstellen nach der Cyberresilienz-Verordnung: es bewertet, benennt und notifiziert die Stellen, die Produkte nach der Verordnung zertifizieren dürfen. Das BSI führt außerdem den Vorsitz der Gruppe für Verwaltungszusammenarbeit der Marktüberwachungsbehörden (AdCo CRA), eine koordinierende Aufgabe, nicht die Marktüberwachung selbst. Welche deutschen Stellen die Marktüberwachung ausüben, richtet sich nach dem nationalen Durchführungsgesetz zur Cyberresilienz-Verordnung (CRA-Durchführungsgesetz), das zum Zeitpunkt der Abfassung noch im Gesetzgebungsverfahren ist; prüfen Sie die aktuellen Benennungen auf der oben verlinkten Notifizierungsseite, bevor Sie eine notifizierte Stelle beauftragen. Diese Aussagen zur deutschen Umsetzung stammen von den Seiten des BSI selbst, nicht aus dem Amtsblatt-Korpus, auf dem der übrige Teil dieser Website beruht, und können sich mit dem Erlass des CRA-Durchführungsgesetzes ändern.
Marktüberwachung und Sanktionen in Deutschland
Marktüberwachungsbehörden prüfen die Einhaltung der Verordnung und können bei Produkten mit erheblichem Risiko einschreiten. Die Verordnung bestimmt den Begriff durch Verweis auf das allgemeine Marktüberwachungsrecht der Union.
„eine Marktüberwachungsbehörde gemäß der Begriffsbestimmung in Artikel 3 Nummer 4 der Verordnung (EU) 2019/1020“
Die Geldbußen selbst werden national festgelegt. Deutschland erlässt eigene Sanktionsvorschriften für Verstöße, sodass sich Höhe und Verfahren nach deutschem Recht richten und nicht allein nach den Obergrenzen der Verordnung.
„Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen diese Verordnung zu verhängen sind, und treffen alle für die Umsetzung der Sanktionen erforderlichen Maßnahmen.“
Ihre nächsten Schritte
- Hersteller: Legen Sie jetzt Ihr Konformitätsbewertungsverfahren fest. Ist eine notifizierte Stelle erforderlich, bilden sich die Warteschlangen über das BSI, beginnen Sie also früh. Ihre Pflichten als Hersteller prüfen.
- Einführer: Prüfen Sie Produkte, bevor Sie sie auf dem Unionsmarkt in den Verkehr bringen, und bereiten Sie die Pflichten nach Artikel 19 vor, die mit der vollständigen Geltung beginnen. Ihre Pflichten als Einführer prüfen.
- Händler: Bestätigen Sie die gebotene Sorgfalt bei der Prüfung und bereiten Sie die Pflichten nach Artikel 20 vor. Ihre Pflichten als Händler prüfen.
Orientierung, keine Rechtsberatung, und keine Aussage zum deutschen Verwaltungsrecht. Nationale Benennungen und Sanktionsverfahren ändern sich; prüfen Sie die Aufgabe des BSI und die anwendbaren deutschen Sanktionen anhand der aktuellen amtlichen Quellen, bevor Sie sich darauf stützen.