Mit der gestrigen Verabschiedung des Durchführungsgesetzes zum Cyber Resilience Act (CRA) durch den Deutschen Bundestag wird ein weiterer wichtiger Schritt für mehr Cybersicherheit in Deutschland und Europa vollzogen. Das bekannte CE-Kennzeichen wird damit ab Dezember 2027 um den Aspekt Cybersicherheit erweitert und auf Produkte mit digitalen Elementen angewendet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) begrüßt diesen wichtigen Schritt.
BSI-Vizepräsident Thomas Caspers: „Der Cyber Resilience Act schafft europaweit erstmals verpflichtende Cybersicherheitsanforderungen für Produkte mit digitalen Elementen – von der smarten Kaffeemaschine, über Mobile Apps bis hin zum Sicherheitschip. Cybersicherheit muss damit über den gesamten Lebenszyklus bereits von Entwicklung der Produkte an verbindlich berücksichtigt werden. Das schafft Transparenz und Sicherheit für Verbraucherinnen und Verbraucher im Alltag.“
Mit dem Durchführungsgesetz werden die Voraussetzungen für eine wirksame nationale Umsetzung und Durchsetzung der europäischen Vorgaben geschaffen, indem das Bundesamt für Sicherheit in der Informationstechnik (BSI) als zuständige Behörde benannt wird. Damit kommen dem BSI neue Aufgaben zu:
- Als marktüberwachende Behörde kann das BSI stichprobenartig oder gezielt IT-Produkte auf Cybersicherheit überprüfen, Nachbesserungen einfordern und bei Verstößen Sanktionen und Bußgelder verhängen. Dem BSI wird in dieser Rolle auch die Möglichkeit eingeräumt, Produkte mit digitalen Elementen vom Markt zu nehmen, wenn sie den Anforderungen des CRA nicht gerecht werden.
- Als notifizierende Behörde wird das BSI die Kompetenz von Konformitätsbewertungsstellen bestätigen, damit Hersteller ihre Produkte und Prozesse durch diese Stellen auf CRA-Konformität prüfen lassen können.
- Als zuständiges CSIRT übernimmt das BSI bereits seit 11. September 2026 die Koordinierung der CRA-Meldungen für Deutschland.
- Als Beschwerdestelle für Verbraucherinnen und Verbraucher nimmt das BSI Hinweise auf Nichteinhaltung des CRA entgegen.
- Betroffene Wirtschaftsakteure, insbesondere kleine und mittlere Unternehmen, werden seitens des BSI bei der Erfüllung der CRA-Anforderungen unterstützt.
Mit dem CRA, zu deutsch Cyberresilienz-Verordnung, wird der Schutz von Bürgerinnen und Bürgern und Unternehmen sowie den digitalen Infrastrukturen substantiell gestärkt und ein zentraler Beitrag für die Cybersicherheit im EU Binnenmarkt geleistet.