Mit der Verordnung (EU) 2024/2847, dem Cyber Resilience Act, führt die Europäische Union erstmals einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein, und der Referentenentwurf des Bundesministeriums des Innern und für Heimat (BMI) regelt nun die nationale Durchführung. Die DIHK unterstützt das Ziel eines höheren Sicherheitsniveaus, warnt aber vor einer Umsetzung, die insbesondere kleine und mittlere Unternehmen überfordert und damit die Innovationskraft des Standorts schwächt.
Hintergrund
Der Cyber Resilience Act legt horizontale Cybersicherheitsanforderungen für vernetzte Produkte und Software fest, die im europäischen Binnenmarkt bereitgestellt werden. Hersteller, Importeure und Händler müssen künftig nachweisen, dass ihre Produkte definierte Sicherheitsstandards erfüllen, und sie unterliegen neuen Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Das CE-Kennzeichen (Conformité Européenne) umfasst damit künftig ausdrücklich auch Cybersicherheitsaspekte. Der deutsche Referentenentwurf setzt die europäischen Vorgaben im Wesentlichen eins zu eins in nationales Recht um und passt dazu insbesondere das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz) an. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) soll als zentrale Marktüberwachungsbehörde, Beschwerdestelle und notifizierende Behörde für Konformitätsbewertungsstellen fungieren. Die neuen Pflichten greifen gestaffelt ab dem 11. Juni 2026, weitere ab dem 11. September 2026 und vollständig ab dem 11. Dezember 2027 – in einer Phase, in der Unternehmen bereits andere Digitalvorgaben wie die Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS2-Richtlinie), die Datenschutz-Grundverordnung (DSGVO), den Digital Operational Resilience Act (DORA) und den Rechtsrahmen für Künstliche Intelligenz umsetzen müssen.
Das Wichtigste in Kürze
- Der Cyber Resilience Act führt europaweit einheitliche Anforderungen für vernetzte Produkte ein und verknüpft das CE-Kennzeichen künftig mit klaren Vorgaben zur Cybersicherheit.
- Die DIHK sieht erheblichen Anpassungsbedarf insbesondere bei kleinen und mittleren Unternehmen, die neue organisatorische, technische und finanzielle Anforderungen schultern müssen.
- Positiv bewertet die DIHK, dass der Referentenentwurf die europäischen Vorgaben schlank und ohne zusätzliche nationale Verschärfungen umsetzt und das BSI als zentrale Marktüberwachungs- und notifizierende Behörde vorsieht.
- Unternehmen benötigen frühzeitig verständliche Leitfäden, praxisnahe Unterstützung und digitale Meldewege, die mit anderen Cyber- und Digitalregimen abgestimmt sind, um Doppelarbeit zu vermeiden.
- Für ein funktionsfähiges System sind rechtzeitig ausreichend Kapazitäten bei Konformitätsbewertungsstellen sowie klare Leitlinien und Unterstützung für Verwalter quelloffener Software wichtig, die für die digitale Souveränität Europas eine Schlüsselrolle spielen.
Forderungen der DIHK
Praxisgerechter Vollzug mit Verhältnismäßigkeitsprüfung
Im BSI-Gesetz sollte eine ausdrückliche Verhältnismäßigkeitsprüfung verankert werden, damit Maßnahmen zur Marktüberwachung nicht zu unverhältnismäßigen Eingriffen in Geschäftsabläufe und Versorgungssicherheit führen. Insbesondere die vorgesehene sofortige Vollziehbarkeit von Entscheidungen des BSI braucht klare Kriterien, eine vorherige Anhörung – außer bei eindeutigen Gefährdungslagen – und eine risikobasierte Vorgehensweise.
Belastungen realistisch benennen und begrenzen
Der zusätzliche Erfüllungsaufwand durch neue Meldewege, Beschwerdeprozesse und Konformitätsbewertungen sollte transparent ausgewiesen werden. Die Durchführung des Cyber Resilience Act ist so unbürokratisch wie möglich zu gestalten, damit gerade kleinere Unternehmen nicht strukturell überfordert werden.
Frühzeitige, zielgruppengerechte Unterstützung durch BSI und BMI
Das BSI sollte spätestens sechs Monate vor der vollen Anwendbarkeit des Cyber Resilience Act, also bis zum 11. Juni 2027, branchenspezifische Umsetzungsleitfäden, Muster, häufig gestellte Fragen und Praxisbeispiele veröffentlichen. Diese Materialien sollten gemeinsam mit Wirtschaftsverbänden erarbeitet, verständlich aufbereitet und allen betroffenen Akteuren – einschließlich kommunaler Unternehmen und Unternehmen der öffentlichen Daseinsvorsorge – zugänglich gemacht werden.
Niedrigschwellige Betroffenheitsprüfung und Reallabor
Für viele kleine und mittlere Unternehmen ist bereits die Frage, ob und in welchem Umfang sie unter den Cyber Resilience Act fallen, eine erste Hürde. Das BSI sollte nutzerfreundliche Online-Selbsttests bereitstellen, mit denen Unternehmen ihre Betroffenheit pragmatisch prüfen können. Das geplante Reallabor für Cyberresilienz muss frühzeitig, mit klar definierten Zugangsregeln, ausreichenden Kapazitäten und zu angemessenen Kosten zur Verfügung stehen.
Spezieller Kommunikationskanal für Kleinst- und Kleinunternehmen
Die in der europäischen Verordnung vorgesehene Möglichkeit eines speziellen Kommunikationskanals für Kleinst- und Kleinunternehmen sollte im BSI-Gesetz genutzt werden. Ein klar definierter, niedrigschwelliger Kontaktweg würde helfen, Verständnisfragen zur praktischen Umsetzung frühzeitig zu klären und besonders ressourcenschwache Unternehmen gezielt zu entlasten.
Koordinierte Marktüberwachung und gebündelte Meldewege
Angesichts der Vielzahl an Cyber- und Digitalgesetzen sollten die zuständigen Aufsichtsbehörden – einschließlich Zollbehörden – eng koordiniert arbeiten, um Doppelprüfungen und widersprüchliche Anforderungen zu vermeiden. Für die Wirtschaft ist ein einheitlicher, digitaler Meldekanal für den Cyber Resilience Act, die NIS2-Richtlinie und weitere einschlägige Meldepflichten zentral, etwa über das bestehende Portal des BSI; zusätzliche europäische Sammelstellen wären aus Sicht der Unternehmen nicht hilfreich.
Skalierbares Prüfökosystem und harmonisierte Standards
Das BMI und das BSI sollten frühzeitig auf ausreichend Kapazitäten bei Konformitätsbewertungsstellen hinwirken, damit Produkte zügig und zu wettbewerbsfähigen Kosten zertifiziert werden können. Die Bundesregierung sollte sich auf europäischer Ebene aktiv an der Ausgestaltung harmonisierter Standards beteiligen, um Rechtsklarheit zu schaffen und Innovation nicht zu bremsen.
Partnerschaftliche Unterstützung durch die IHK-Organisation
Die DIHK und die IHKs bieten an, gemeinsam mit dem BSI Informations- und Unterstützungsstrukturen in die Fläche zu bringen – etwa durch Schulungen, Informationsveranstaltungen und praxisnahe Materialien für Unternehmen aller Größenklassen.
FAQ
Häufig gestellte Fragen
Wen betrifft der Cyber Resilience Act konkret?
Der Cyber Resilience Act richtet sich an Unternehmen, die vernetzte Produkte mit digitalen Elementen entwickeln, herstellen, importieren oder im Binnenmarkt vertreiben – also sowohl Hardware als auch viele Softwareprodukte. Betroffen sind nicht nur Technologieanbieter, sondern beispielsweise auch Industrieunternehmen mit vernetzten Maschinen, Stadtwerke mit eigenen Anwendungen oder kommunale Unternehmen mit digitalen Kundendiensten. Entscheidend ist, ob ein Produkt in den Anwendungsbereich der Verordnung fällt und in der Europäischen Union bereitgestellt wird.
Welche neuen Pflichten kommen typischerweise auf Hersteller und Importeure zu?
Hersteller müssen sicherstellen, dass ihre Produkte über den gesamten Lebenszyklus hinweg grundlegende Cybersicherheitsanforderungen erfüllen, dies dokumentieren und ein strukturiertes Schwachstellen- und Vorfallmanagement einführen. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind an die zuständige Stelle zu melden. Hinzu kommen Konformitätsbewertungen als Voraussetzung für das CE-Kennzeichen sowie Anpassungen in Entwicklungs-, Support- und Dokumentationsprozessen. Importeure und Händler müssen prüfen, ob die von ihnen in Verkehr gebrachten Produkte den Vorgaben entsprechen und bei Hinweisen auf Sicherheitsmängel reagieren.
Was sollten kleine und mittlere Unternehmen jetzt tun?
Kleine und mittlere Unternehmen sollten zunächst klären, ob ihre Produkte oder Dienstleistungen unter den Cyber Resilience Act fallen und welche Rolle sie im Markt einnehmen – etwa als Hersteller, Importeur oder Händler. Sinnvoll ist es, frühzeitig Zuständigkeiten festzulegen, Prozesse für das Management von Sicherheitslücken und Vorfällen zu strukturieren und vorhandene Cybersicherheitsmaßnahmen kritisch zu prüfen. Unternehmen können sich bei ihrer IHK über den Stand der Regulierung informieren und sollten Informations- und Unterstützungsangebote von DIHK, IHKs und dem BSI nutzen, sobald diese breiter verfügbar sind. Wichtig ist, die Übergangsfristen im Blick zu behalten und ausreichend Zeit für technische und organisatorische Anpassungen einzuplanen.
Download
Veröffentlicht 27.03.2026
Aktualisiert 12.06.2026
Ansprechpartnerin
Dr. Katrin Sobania
Referatsleiterin Informations- und Kommunikationstechnologie | E-Government | Postdienste | IT-Sicherheit