STELLUNGNAHME | DIGITALPOLITIK | CYBERSICHERHEIT
CRA-Durchführungsgesetz Stellungnahme der deutschen Industrie zum Referentenentwurf des Bundesministeriums des Innern
13. April 2026 Executive Summary Die Zunahme der Quantität und Intensität von Cybercrime erhöhen die Notwendigkeit, dass alle Produkte mit digitalen Elementen risikoadäquate Cybersicherheitsanforderungen erfüllen. Die deutsche Industrie unterstützt daher grundsätzlich das Ziel des Cyber Resilience Acts (Verordnung (EU) 2024/2847) (CRA), horizontal verpflichtende Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen einzuführen. Für die wirksame Umsetzung des CRA ist es zwingend erforderlich, dass jeder Mitgliedstaat mindestens eine Marktüberwachungsbehörde und eine notifizierende Behörde benennt. Den vorliegenden Referentenentwurf begrüßt die deutsche Industrie daher grundsätzlich, da er die Umsetzung des CRA konsequent vorantreibt. Die deutsche Industrie implementiert heute bereits bei Produkten mit digitalen Elementen ein hohes Sicherheitsniveau durch risikoadäquate Cyberresilienzmaßnahmen. Für eine praxistaugliche Umsetzung des CRA empfehlen wir: ▪
Marktaufsicht mit ausreichenden Kapazitäten: Eine starke und fachkundige Marktüberwachung ist ein elementarer Bestandteil einer wirksamen Durchführung des CRA und wird somit vom BDI ausdrücklich unterstützt. Es gilt zu prüfen, inwiefern der vorgesehene Aufwuchs um 114 Planstellen hierfür ausreichend ist. Eine nur punktuelle oder selektive Marktüberwachung würde dazu führen, dass sich regelkonforme Hersteller einem Wettbewerbsnachteil gegenüber solchen Marktakteuren ausgesetzt sehen, die die regulatorischen Anforderungen nicht oder nur unzureichend erfüllen.
▪
Funktionale Trennung und Governance im BSI sicherstellen: Marktüberwachung, CSIRTAufgaben, Notifizierung, Unterstützungsmaßnahmen sowie Bewertung und Aufsicht von Konformitätsbewertungsstellen müssen klar voneinander getrennt sein.
▪
Unterstützungsmaßnahmen für die Wirtschaft: Ebenso erachten wir die im Referentenentwurf vorgesehenen Unterstützungsmaßnahmen für betroffene Wirtschaftsakteure – etwa durch Sensibilisierungs- und Schulungsangebote oder die Einführung eines Reallabors für Cyberresilienz – als sehr positiv. Insbesondere in der frühen Umsetzungsphase sowie auch über einen längeren Zeitraum für kleine und mittlere Unternehmen (KMU) können solche Maßnahmen die Implementierung der CRA-Anforderungen deutlich erleichtern.
▪
Praxisorientierte Weiterentwicklung des CRA auf EU-Ebene: Neben den vorgesehenen Unterstützungsmaßnahmen erachtet die deutsche Industrie jedoch eine praxisgerechte Ausgestaltung und Weiterentwicklung des Cyber Resilience Acts auf europäischer Ebene als darüberhinausgehenden notwendigen Schritt.
Bundesverband der Deutschen Industrie e.V. Steven Heckler | Senior Referent Cybersicherheit und Digitale Unternehmensidentitäten | s.heckler@bdi.eu | www.bdi.eu