- Keine CRA-Klassifizierung für Militär- und Geheimdiensttechnik erfolgt
- BSI bearbeitete 2020–2025 insgesamt 942 Schwachstellenmeldungen
- Sicherheitsanforderungen nur einzelfallweise in Beschaffungsverträgen geregelt
Hintergrund
Der Cyber Resilience Act (Verordnung EU 2024/2847) ist am 10. Dezember 2024 in Kraft getreten und wird ab dem 11. Dezember 2027 vollständig anwendbar. Die Verordnung schließt eine Regulierungslücke im europäischen Binnenmarkt, indem sie Hersteller digitaler Produkte — von Smartphones über Firewalls bis hin zu Apps — erstmals verpflichtet, Cybersicherheit über den gesamten Produktlebenszyklus zu gewährleisten. Artikel 2 Absatz 7 CRA nimmt jedoch Produkte für nationale Sicherheit, Verteidigung und die Verarbeitung von Verschlusssachen aus dem Anwendungsbereich heraus. Erwägungsgrund 26 der Verordnung erwartet von den Mitgliedstaaten, für diese Produkte eigenständig ein gleichwertiges oder höheres Schutzniveau sicherzustellen.
- 15 Meldungen (2020) — Ausgangswert der BSI-Schwachstellenmeldungen im CVD-Prozess.
- 459 Meldungen (2023) — Höchstwert der validen BSI-Schwachstellenmeldungen, mehr als dreimal so viele wie 2022.
- 136 Meldungen (2024) — Deutlicher Rückgang gegenüber dem Spitzenwert 2023.
- 111 Meldungen (2025) — Leichter weiterer Rückgang im aktuellsten erfassten Jahr.
- Ab 11. Dezember 2027 — Datum der vollständigen Anwendbarkeit des Cyber Resilience Act in der EU.
Im Detail
Eine Klassifizierung im Sinne der Fragestellung wurde nicht vorgenommen.
— Antwort der Bundesregierung, BT-Drs. 21/6961, S. 3
Militärische IT-Produkte und Systeme zur Verarbeitung von Verschlusssachen sind vom neuen EU-Cybersicherheitsgesetz ausgenommen — doch Deutschland hat bisher keine eigenen verbindlichen Sicherheitsregeln als Ersatz geschaffen. Das geht aus der Antwort der Bundesregierung (BT-Drs. 21/6961) vom 7. Juli 2026 auf eine Kleine Anfrage der Fraktion Bündnis 90/Die Grünen (BT-Drs. 21/6672) hervor.
Cyber Resilience Act: Was gilt für Verteidigungsprodukte?
Der Cyber Resilience Act (CRA), die Verordnung EU 2024/2847, ist am 10. Dezember 2024 in Kraft getreten und gilt ab dem 11. Dezember 2027 vollständig. Sie verpflichtet Hersteller digitaler Produkte — von Smartphones über Firewalls bis hin zu mobilen Apps — erstmals europaweit verbindlich, Cybersicherheit über den gesamten Produktlebenszyklus zu gewährleisten. Artikel 2 Absatz 7 CRA nimmt jedoch Produkte, die ausschließlich für nationale Sicherheit oder Verteidigungszwecke entwickelt wurden, sowie Produkte zur Verarbeitung von Verschlusssachen aus dem Anwendungsbereich heraus. Erwägungsgrund 26 der Verordnung erwartet, dass Mitgliedstaaten für diese Produkte eigenständig ein gleichwertiges oder höheres Schutzniveau sicherstellen.
Keine Klassifizierung vorgenommen
Die Bundesregierung erklärt in ihrer Antwort knapp: „Eine Klassifizierung im Sinne der Fragestellung wurde nicht vorgenommen.“ Das bedeutet: Es gibt bisher keine öffentlich kommunizierte Einteilung der betroffenen Produkte in die CRA-Kategorien Klasse I, Klasse II und kritische Produkte. Stattdessen verweist die Bundesregierung auf die Verschlusssachenanweisung Bund, wonach für informationssicherheitsrelevante Anwendungsbereiche ausschließlich durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) zugelassene Produkte verwendet werden dürfen. Darüber hinaus können im jeweiligen Beschaffungsvorgang vertragsrechtliche Sicherheitsanforderungen — etwa zu Sicherheitsupdates, Schwachstellenmeldungen oder einer Software Bill of Materials (SBOM) — einzelfallbezogen festgelegt werden.
Eine systematische, öffentlich verbindliche Regelung, die CRA-äquivalente Anforderungen für alle ausgenommenen Produkte durchsetzt, besteht damit nicht. Die Grünen-Fraktion hatte in ihrer Anfrage explizit nach Konformitätsbewertungsverfahren, Pflichten zur Schwachstellenbehebung und zur Bereitstellung von Sicherheitsupdates für mindestens fünf Jahre gefragt — Fragen, die durch den Verweis auf Einzelfallverträge strukturell unbeantwortet bleiben.
BSI-Schwachstellenmeldungen: Spitzenwert 2023 mit 459 Fällen
Einen konkreten Datenpunkt liefert die Antwort zu den Schwachstellenmeldungen beim BSI: Im Rahmen des sogenannten CVD-Prozesses (Coordinated Vulnerability Disclosure) hat das BSI zwischen 2020 und 2025 insgesamt 942 valide Schwachstellenmeldungen bearbeitet. Der Verlauf zeigt einen starken Anstieg von 15 Meldungen im Jahr 2020 auf einen Höchstwert von 459 Meldungen im Jahr 2023, gefolgt von einem deutlichen Rückgang auf 136 (2024) und 111 (2025). Eine Unterscheidung zwischen anonymen und nicht-anonymen Meldungen ist laut Bundesregierung nicht möglich, da die Verifizierung angegebener Namen technisch nicht realisierbar ist.
Was gilt aktuell?
Aktuell existiert für den sicherheits- und verteidigungsrelevanten Bereich kein eigenständiges nationales Regelwerk, das den CRA-Anforderungen gleichwertig wäre. Die BSI-Zulassung gilt als zentrales Instrument, ergänzt durch vertragliche Einzelfallregelungen bei der Beschaffung. Eine gesetzliche Verpflichtung der Hersteller zu Transparenz, Schwachstellenmeldungen oder langfristigen Updates — wie sie der CRA für zivile Produkte vorschreibt — besteht für den Rüstungsbereich nicht flächendeckend. Dies kann dazu führen, dass Hersteller ihre Produkte bewusst als sicherheitsrelevant klassifizieren, um regulatorischen Pflichten zu entgehen — ein systemisches Risiko, das auch die Anfrage der Grünen thematisiert.
Die Debatte um IT-Sicherheitsstandards betrifft nicht nur den militärischen Bereich: Auch im zivilen Sektor werden Sicherheitslücken digitaler Produkte zunehmend als politisches Thema diskutiert, wie etwa die Fragen zur Energiewende-Infrastruktur zeigen. Verwandte Sicherheitsfragen stellen sich auch bei kritischen Versorgungsinfrastrukturen.
Betroffen sind Hersteller und Beschaffer von IT-Produkten im nationalen Sicherheits- und Verteidigungsbereich, insbesondere die Bundeswehr und Nachrichtendienste sowie deren Zulieferer. Mittelbar ist die gesamte Bevölkerung betroffen, da Sicherheitslücken in Verteidigungssystemen systemische Risiken für kritische Infrastrukturen erzeugen können.
Die Bundesregierung beantwortet die Kernfrage nach einer Produktklassifizierung eindeutig verneinend und verweist auf einzelfallbezogene Beschaffungsverträge sowie BSI-Zulassungsverfahren. Detailfragen zu konkreten Konformitätsbewertungsverfahren und einer eigenständigen nationalen Regelung bleiben damit strukturell unbeantwortet.
Die Anfrage ist beantwortet; das parlamentarische Verfahren ist abgeschlossen. Die Frage, ob Deutschland eine eigenständige nationale Regelung für CRA-ausgenommene Verteidigungsprodukte schafft, bleibt politisch offen. Eine gesetzliche Nachfolgeregelung ist laut Bundesregierung bisher weder beschlossen noch konkret angekündigt.
- Cyber Resilience Act (CRA)
- EU-Verordnung (2024/2847), die Hersteller digitaler Produkte verpflichtet, Cybersicherheit von der Entwicklung bis zum Ende des Produktlebenszyklus sicherzustellen. Gilt ab Dezember 2027.
- CVD-Prozess
- Coordinated Vulnerability Disclosure — ein strukturiertes Verfahren, bei dem Sicherheitsforscher entdeckte Schwachstellen koordiniert an Hersteller oder Behörden wie das BSI melden, bevor sie öffentlich bekannt gemacht werden.
- SBOM (Software Bill of Materials)
- Eine strukturierte Liste aller Softwarekomponenten, Bibliotheken und Abhängigkeiten eines Produkts — vergleichbar einer Zutatenliste. Ermöglicht die schnelle Identifikation anfälliger Komponenten.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (EU 2024/2847) ist eine EU-Verordnung, die seit Dezember 2024 in Kraft ist und ab Dezember 2027 vollständig gilt. Sie verpflichtet Hersteller digitaler Produkte erstmals verbindlich zur Cybersicherheit über den gesamten Produktlebenszyklus.
Warum sind Verteidigungsprodukte vom CRA ausgenommen?
Artikel 2 Absatz 7 CRA nimmt Produkte, die ausschließlich für nationale Sicherheit oder Verteidigungszwecke entwickelt wurden, sowie Produkte für Verschlusssachen vom Anwendungsbereich aus. Die Mitgliedstaaten sollen dafür eigenständig ein gleichwertiges Schutzniveau sicherstellen.
Wie viele Schwachstellen hat das BSI gemeldet bekommen?
Das BSI hat zwischen 2020 und 2025 insgesamt 942 valide Schwachstellenmeldungen im CVD-Prozess bearbeitet. Den höchsten Wert verzeichnete das Jahr 2023 mit 459 Meldungen.
Dieser Beitrag bezieht sich auf BT-Drs. 21/6961 und gibt den Inhalt der Drucksache zusammenfassend wieder. Die inhaltliche Verantwortung liegt beim jeweiligen Verfasser der Drucksache. Der Beitrag spiegelt nicht notwendigerweise die Meinung des Seitenbetreibers wider.
Weitere Beiträge
