Deutschland startet nationale Umsetzung der Cyberresilienz-Verordnung
Der Bundestag hat den Entwurf zur Umsetzung der Cyberresilienz-Verordnung in deutsches Recht beraten. Für Hersteller bedeutet das: neue Pflichten zur IT‑Sicherheit, angepasste CE‑Kennzeichnung und mehr Marktüberwachung.
Zuletzt aktualisiert am: 17. Juni 2026
Mit der Cyberresilienz-Verordnung (EU) 2024/2847 gelten erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Nun geht Deutschland den nächsten Schritt: Am 11. Juni 2026 hat der Bundestag erstmals den Gesetzentwurf der Bundesregierung vom 26. Mai 2026 zur nationalen Umsetzung beraten und zur weiteren Prüfung in die Ausschüsse überwiesen.
Ziel des Gesetzes ist es, die europäischen Vorgaben organisatorisch in Deutschland zu verankern. Künftig soll insbesondere das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Marktüberwachungsbehörde und notifizierende Stelle fungieren.
Der Handlungsdruck ist hoch: Erste Vorgaben – etwa zur Notifizierung von Konformitätsbewertungsstellen – gelten bereits seit dem 11. Juni 2026. Eine schnelle Verabschiedung des Gesetzes ist daher erforderlich.
Das bedeutet der Gesetzentwurf konkret
Für Hersteller und Wirtschaftsakteure zeichnen sich folgende zentrale Punkte ab:
- verbindliche Cybersicherheitsanforderungen für vernetzte Produkte
- Erweiterung der CE-Kennzeichnung um IT-Sicherheitsaspekte
- Pflicht zur Erfüllung von Mindestanforderungen und Meldung von Sicherheitslücken
- Einführung von Marktüberwachung, Sanktionen und Unterstützungsmaßnahmen
Die EU-Regelungen werden stufenweise wirksam und gelten vollständig ab Dezember 2027.
Den Gesetzesentwurf als PDF finden Sie hier: Gesetzentwurf der Bundesregierung (DS 21/6134).
