Mobile-Menu

Kritik vom Teletrust-Verband BMI veröffentlicht Referentenentwurf zur Umsetzung des CRA

Quelle: Pressemitteilung 3 min Lesedauer

Anbieter zum Thema

Bundesverband IT-Sicherheit e.V. (TeleTrusT)
FAST LTA GmbH
FTAPI Software GmbH
cyberintelligence.institute GmbH

Der Teletrust-Verband kritisiert den aktuellen BMI‑Entwurf zur Umsetzung des Cyber Resilience Acts und fordert Nachbesserungen und klare Fi­nan­zierung. Dies sind die wichtigsten Punkte des Entwurfs.

Der Referentenentwurf zur Umsetzung des CRA des Bundesministeriums des Innern stößt beim Teletrust-Verband auf Kritik.(Bild: Dall-E / KI-generiert)
Der Referentenentwurf zur Umsetzung des CRA des Bundesministeriums des Innern stößt beim Teletrust-Verband auf Kritik.
(Bild: Dall-E / KI-generiert)

Am 18. März 2026 hat das Bundesministerium des Innern (BMI) einen Gesetzesentwurf zur Durchführung der Verordnung (EU) 2024/2847 veröffentlicht. Das ist die offizielle Be­zeich­nung für den Cyber Resilience Act (CRA), der am 10. Dezember 2024 in Kraft trat. Während die EU-Verordnung unmittelbar in allen Mitgliedsstaaten gilt, gibt es einige Umsetzungsfristen, die den betroffenen Unternehmen Zeit geben, die Anforderungen umzusetzen. Mit dem Refer­en­ten­ent­wurf kommt Deutschland seiner Pflicht nach, bestimmte nationale Regelungen zu tref­fen. Dazu gehören zum Beispiel die Benennung von Zuständig­kei­ten sowie Durchsetzungs­be­fug­nis­sen.

Umsetzungsfristen des Cyber Resilience Acts

Mit Inkrafttreten des CRA am 10. Dezember 2024 läuft eine Frist von drei Jahren. Ab dem 11. September 2026 gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Vorfälle. Ab 11. Dezember 2027 müssen alle CRA-Anforderungen erfüllt werden. In speziellen Fällen gibt es auch noch Übergangsfristen, die über dieses Datum hinausgehen. Darauf sollten Unternehmen sich aber besser nicht verlassen und bis zu den genannten Stichtagen ihre Prozesse und Produkte auf Vordermann gebracht haben.

Das beinhaltet der BMI-Referentenentwurf zum CRA

Der Referentenentwurf sieht einige Änderungen am Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz, BSIG) vor, um den Cyber Resilience Act umzusetzen. Die wichtigsten Punkte des Referentenentwurfs sind:

  • Das BSI wird die zentrale Markt­über­wachungs­behörde und notifizierende Behörde für Konformitätsbewertungsstellen. Außerdem übernimmt das Bundesamt zusätzlich formal Aufgaben als CSIRT wie die Entgegennahme und Bearbeitung von Meldungen zu aktiv ausgenutzten Schwachstellen und sicherheitsrelevanten Vorfällen.
  • Der Entwurf legt fest, dass das BSI die notifizierende Behörde für Konformitäts­bewertungs­stellen wird. Die notifizierende Behörde prüft, ob eine Prüfstelle fachlich geeignet ist, und meldet sie bei der EU‑Kommission, damit die Stelle offizielle Prüfbescheinigungen ausstellen darf. In Ausnahmefällen kann das BSI selbst Bewertungen vornehmen, wenn dies aus öffentlichem Interesse nötig ist.
  • Das BSI soll betroffene Wirtschaftsakteure durch Sensibilisierungs‑ und Schulungs­maß­nahmen unterstützen und ein Reallabor für Cyberresilienz einrichten und betreiben. Dazu richtet das BSI eine Beschwerdestelle ein, bei der Verbraucher Hinweise auf mögliche Ver­stöße einreichen können. Der Entwurf prognostiziert einen dauerhaften Perso­nal­mehr­bedarf beim BSI von insgesamt 141 Planstellen bis 2029 und einmalige Kosten von etwa 10 Millionen Euro für das Reallabor.
  • Für Verstöße gegen die Verordnung werden die Vorschriften des Gesetzes über Ordnungswidrigkeiten entsprechend angewendet, und die Zuständigkeiten für Bußgeldverfahren werden national geregelt.

Teletrust empfindet Entwurf als unzureichend

Wenige Wochen nach der Veröffentlichung des Referentenentwurfs hat der Bundesverband IT-Sicherheit Teletrust eine Stellungnahme formuliert. Zwar greife der Entwurf die CRA-Re­gel­ungen zwar im Grundsatz auf, bleibe jedoch in zentralen Punkten hinter den praktischen und rechtlichen Anforderungen zurück. „Die vorgesehene Aufgabenbündelung beim BSI ist nur dann tragfähig, wenn dessen personelle, technische und organisatorische Ausstattung ver­läss­lich und dauerhaft abgesichert wird. Daran fehlt es bislang“, heißt es in der Stel­lung­nahme.

Als besonders kritisch sieht der Verband die „zu weit gefasste Ausnahmeregelung für die Notifizierung von Konformitätsbewertungsstellen ohne Akkreditierung, die unzureichend konkretisierten Unterstützungsleistungen für Wirtschaftsakteure sowie die unklare Aus­gestaltung des Reallabors für Cyberresilienz“. In allen drei Bereichen bestehe die Gefahr, dass der Entwurf formale Strukturen schaffe, ohne deren praktische Wirksamkeit belastbar sicherzustellen.

Daher halte der Teletrust eine deutliche Nachschärfung des Entwurfs für erforderlich. Not­wen­dig seien insbesondere eine verlässliche Finanzierung und Ausstattung des BSI und der deut­schen Akkreditierungsstelle, enge und klare Voraussetzungen für Ausnahmen von der ak­kre­di­tie­rungs­basierten Notifizierung, ein substantiell ausgebautes und praxisnahes Un­ter­stüt­zungs­kon­zept für Unternehmen sowie transparente und nachvollziehbare Regelungen zum Reallabor.

(ID:50812382)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte