AfD fragt nach Umsetzung des EU Cyber Resilience Act und Meldepflichten für Unternehmen

veröffentlicht am

Die AfD-Bundestagsfraktion hat eine Kleine Anfrage zur Umsetzung des EU Cyber Resilience Act (CRA) in Deutschland eingereicht. Der CRA legt verbindliche Mindestanforderungen an die Cybersicherheit von Produkten mit digitalen Elementen fest. Hersteller müssen seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden an die zuständige nationale Behörde melden; das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist dafür als zentrale Meldestelle benannt.

Die Anfrage kritisiert, dass die Vorbereitung von Unternehmen und Behörden unzureichend sei. Laut einer Bitkom-Umfrage aus dem Frühjahr 2026 verstanden nur 29 Prozent der befragten Unternehmen die konkreten Auswirkungen des CRA auf ihr eigenes Geschäft. Die zentrale Meldeplattform der ENISA, über die das BSI die Meldungen deutscher Hersteller entgegennimmt, sei erst zum Stichtag am 11. September 2026 betriebsbereit gewesen. Die nötige Prüfkompetenz für Konformitätsbewertungsstellen sei erst mehr als drei Monate nach Beginn des Notifizierungsverfahrens geschaffen worden.

BSI und Deutsche Akkreditierungsstelle (DAkkS) haben am 24. September 2026 eine aktualisierte Verwaltungsvereinbarung unterzeichnet, die den Spielraum für die Benennung des BSI erweitern und die Bereitstellung von BSI-Experten für DAkkS-Akkreditierungsverfahren regelt. Kleine und mittlere Unternehmen würden bei der Umsetzung der umfangreichen neuen Anforderungen nach Ansicht der Fragesteller nur unzureichend unterstützt. Die Anfrage sieht darin ein wiederkehrendes Muster bei europäischen und nationalen Digitalgesetzen, bei dem umfangreiche Meldepflichten mit knappen Fristen eingeführt werden, ohne dass Behörden und Mittelstand ausreichend Zeit und Hilfe erhalten.

Kernpunkte:

  • Die Europäische Union hat den Cyber Resilience Act (CRA) eingeführt, der verbindliche Mindestanforderungen an die Cybersicherheit von Produkten mit digitalen Elementen festlegt.
  • Hersteller sind seit dem 11. September 2026 verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden an die zuständige nationale Behörde zu melden.
  • Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde als zentrale Meldestelle in Deutschland benannt.

Quelle: Bundestags Drucksachen (Deutsch)