- Meldepflicht für Cyberlücken gilt seit 11. September 2026
- Nur 29 Prozent der Unternehmen kennen CRA-Anforderungen laut Bitkom
- Prüfstellen-Frist läuft am 11. Dezember 2026 ab – BSI-Vereinbarung erst September 2026
Hintergrund
Der Cyber Resilience Act ist eine EU-Verordnung, die am 10. Dezember 2024 in Kraft trat. Sie verpflichtet Hersteller von Produkten mit digitalen Elementen zu Mindeststandards in der Cybersicherheit. Während die vollständige Anwendung erst ab dem 11. Dezember 2027 gilt, traten die Meldepflichten nach Artikel 14 bereits am 11. September 2026 in Kraft. In Deutschland ist das BSI die zuständige nationale Meldestelle. Eine im Frühjahr 2026 durchgeführte Bitkom-Befragung von 1.003 Unternehmen, veröffentlicht am 10. September 2026, ergab, dass zwar 67 Prozent der Betriebe den CRA dem Namen nach kannten, aber nur 29 Prozent einschätzen konnten, was das Gesetz konkret für ihr Unternehmen bedeutet.
- 67 % — der befragten Unternehmen kannten den CRA dem Namen nach (Bitkom, September 2026).
- 29 % — konnten einschätzen, was der CRA konkret für das eigene Unternehmen bedeutet.
- 28 % — der Unternehmen kannten den CRA zum Zeitpunkt der Befragung überhaupt nicht.
- 24 Stunden — Frist für die Erstmeldung aktiv ausgenutzter Schwachstellen oder schwerwiegender Vorfälle beim BSI.
- 11. Dezember 2026 — Frist für ausreichende Zahl akkreditierter Konformitätsbewertungsstellen in den EU-Mitgliedstaaten.
Im Detail
Bereits seit dem 11. Juni 2026 gilt nach Artikel 71 des Cyber Resilience Act der rechtliche Rahmen für die Notifizierung von Konformitätsbewertungsstellen gemäß Kapitel IV der Verordnung.
— Vorbemerkung BT-Drs. 21/8884
Seit dem 11. September 2026 gilt in der EU eine neue Meldepflicht für Cybersicherheitsvorfälle: Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsereignisse innerhalb von 24 Stunden beim Bundesamt für Sicherheit in der Informationstechnik (BSI) anzeigen. Doch wie gut sind Behörden und Unternehmen tatsächlich auf diese Anforderungen vorbereitet? Diese Frage stellt die AfD-Fraktion in der Kleinen Anfrage BT-Drs. 21/8884 vom 3. November 2026 mit insgesamt 22 Einzelfragen an die Bundesregierung.
Cyber Resilience Act: Was gilt aktuell?
Der Cyber Resilience Act trat im Dezember 2024 in Kraft und wird schrittweise verbindlich. Seit dem 11. September 2026 gelten die Meldepflichten nach Artikel 14 der Verordnung. Die vollständige Anwendung – einschließlich der Pflicht zur Konformitätsbewertung bestimmter Produktkategorien durch unabhängige Stellen – folgt erst am 11. Dezember 2027. In Deutschland ist das BSI als zentrale Meldestelle benannt. Die ENISA-Meldeplattform, über die das BSI Meldungen entgegennimmt, ging jedoch erst am 11. September 2026 selbst online – am selben Tag, an dem die Pflichten begannen. Gut vorbereitete Unternehmen konnten die Meldewege damit vorab weder erproben noch sich auf der Plattform registrieren.
Nur 29 Prozent der Unternehmen kennen die konkreten Anforderungen
Eine repräsentative Bitkom-Befragung von 1.003 Unternehmen ab 10 Beschäftigten, die am 10. September 2026 – einen Tag vor Beginn der Meldepflicht – veröffentlicht wurde, zeigt eine erhebliche Wissenslücke: Zwar kannten 67 Prozent der Betriebe den Cyber Resilience Act dem Namen nach. Doch nur 29 Prozent konnten einschätzen, was die Verordnung konkret für das eigene Unternehmen bedeutet. 38 Prozent hatten zwar davon gehört, konnten die Konsequenzen aber nicht beurteilen. Weitere 28 Prozent kannten den CRA überhaupt nicht. Besonders für kleine und mittlere Unternehmen, die keine eigenen Rechts- oder Compliance-Abteilungen unterhalten, stellen die neuen Anforderungen eine besondere Herausforderung dar.
Prüfkompetenz und Akkreditierung: Frist rückt näher
Ein zweites Problemfeld betrifft die Akkreditierung von Konformitätsbewertungsstellen. Diese unabhängigen Prüforganisationen müssen ab dem 11. Dezember 2027 für bestimmte Produktkategorien feststellen, ob Hersteller die CRA-Anforderungen erfüllen. Der rechtliche Rahmen für ihre Notifizierung gilt in Deutschland seit dem 11. Juni 2026. Die notwendige Prüfkompetenz auf Behördenseite wurde jedoch erst mehr als drei Monate später geschaffen: Am 24. September 2026 unterzeichneten BSI und Deutsche Akkreditierungsstelle (DAkkS) eine aktualisierte Verwaltungsvereinbarung – weniger als elf Wochen vor der EU-Frist aus Artikel 35 Absatz 2 CRA, die den Mitgliedstaaten vorschreibt, bis zum 11. Dezember 2026 eine ausreichende Zahl notifizierter Stellen bereitzustellen. Ob Deutschland diese Frist einhalten kann, ist eine der zentralen Fragen der Anfrage.
22 Fragen zu BSI-Kapazitäten und Unternehmensunterstützung
Die AfD-Fraktion erkundigt sich konkret nach der Zahl der beim BSI eingegangenen Meldungen seit dem 11. September 2026, aufgeschlüsselt nach Frühwarnmeldungen, Aktualisierungen und Abschlussberichten sowie nach Unternehmensgröße. Weitere Fragen betreffen die Vollzeitäquivalente im BSI für die Meldungsbearbeitung, die durchschnittliche Bearbeitungsdauer und den technischen Reifegrad der Schnittstellen zur ENISA-Plattform. Darüber hinaus fragt die Fraktion nach dem Stand der Akkreditierungsverfahren für Konformitätsbewertungsstellen und nach den finanziellen Mitteln, die die Bundesregierung im Jahr 2026 für die Unterstützung von KMU beim Cyber Resilience Act bereitgestellt hat. Thematisch ähnliche Fragen zur Vorbereitung von Behörden und Unternehmen auf neue digitale Regelwerke tauchen auch in anderen Bereichen auf, etwa beim Überblick der Bundestagsdrucksachen vom 4. November 2026.
Die Anfrage steht im Kontext eines aus Sicht der Fragesteller wiederkehrenden Musters: Bereits nach der Datenschutz-Grundverordnung (DSGVO) und der NIS-2-Richtlinie seien weitreichende Meldepflichten in Kraft getreten, ohne dass Behörden und Unternehmen ausreichend Zeit zur Vorbereitung hatten. Die Bundesregierung hat nun grundsätzlich 14 Tage nach Zuleitung an das Bundeskanzleramt Zeit, die 22 Fragen zu beantworten.
Betroffen sind vor allem Hersteller von Produkten mit digitalen Elementen – von vernetzten Haushaltsgeräten über Industriesoftware bis hin zu Netzwerkkomponenten. Besonders kleine und mittlere Unternehmen (KMU) stehen vor Herausforderungen, da ihnen im Unterschied zu Großunternehmen häufig eigene Rechts- und Compliance-Abteilungen fehlen. Auch das BSI als zuständige Behörde ist direkt betroffen, da es die Meldungen entgegennehmen und bearbeiten muss.
Die Kleine Anfrage (BT-Drs. 21/8884) wurde am 3. November 2026 eingereicht. Die Bundesregierung hat nun grundsätzlich 14 Tage nach Zuleitung an das Bundeskanzleramt Zeit, die 22 Fragen zu beantworten. Parallel läuft die Frist aus Artikel 35 Absatz 2 CRA: Bis zum 11. Dezember 2026 muss Deutschland eine ausreichende Zahl akkreditierter Konformitätsbewertungsstellen sicherstellen. Frage 22 der Anfrage zielt direkt darauf ab, ob diese Frist eingehalten werden kann.
- Cyber Resilience Act (CRA)
- EU-Verordnung mit verbindlichen Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, vollständig anwendbar ab 11. Dezember 2027.
- Konformitätsbewertungsstelle
- Unabhängige, akkreditierte Organisation, die prüft, ob ein Produkt die gesetzlichen Sicherheitsanforderungen erfüllt.
- DAkkS
- Deutsche Akkreditierungsstelle – die nationale Behörde, die Prüf- und Zertifizierungsstellen in Deutschland akkreditiert.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die erstmals EU-weit verbindliche Mindestanforderungen an die Cybersicherheit von Produkten mit digitalen Elementen festlegt. Die vollständige Anwendung ist für den 11. Dezember 2027 vorgesehen.
Was müssen Hersteller seit September 2026 melden?
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden beim BSI melden, die Meldung nach 72 Stunden ergänzen und spätestens nach 14 Tagen bzw. einem Monat einen Abschlussbericht vorlegen.
Was ist eine Konformitätsbewertungsstelle?
Das sind unabhängige Prüforganisationen, die ab Dezember 2027 für bestimmte Produktkategorien prüfen, ob diese die Cybersicherheitsanforderungen des CRA erfüllen. Die Mitgliedstaaten müssen bis zum 11. Dezember 2026 genügend solcher Stellen akkreditiert haben.
Dieser Beitrag bezieht sich auf BT-Drs. 21/8884 und gibt den Inhalt der Drucksache zusammenfassend wieder. Die inhaltliche Verantwortung liegt beim jeweiligen Verfasser der Drucksache. Der Beitrag spiegelt nicht notwendigerweise die Meinung des Seitenbetreibers wider.
Weitere Beiträge
