Cyber Resilienz
Cyber Resilience Act: Benennung der Konformitätsbewertungsstellen beginnt
Kernaussagen
- Kapitel IV CRA gilt ab 11. Juni 2026 — Mitgliedstaaten benennen notifizierende Behörden und ermöglichen die Notifizierung von Konformitätsbewertungsstellen (KBS).
- Hersteller wichtiger und kritischer Produkte brauchen Benannte Stellen oder EU-Zertifizierungsschemata — Kapazitätsengpässe bis Ende 2026 sind realistisch.
- In Deutschland koordiniert das BSI Notifizierung und Marktüberwachung — technische Richtlinie TR-03183 unterstützt Evidenzaufbau.
- Harmonisierte Normen fehlen teils noch — Übergang über Benannte Stellen parallel zu Annex-I-Selbstvorbereitung.
- Einkauf und Integratoren sollten KBS-Status und Konformitätsmodule in Lieferantenbewertungen aufnehmen.
Mit dem 11. Juni 2026 beginnt für den Cyber Resilience Act ein operativer Meilenstein: Die Benennung und Notifizierung von Konformitätsbewertungsstellen (Benannte Stellen) wird europaweit ansatzfähig. Für Hersteller, Importeure und Industrie-Integratoren bedeutet das: Zertifizierung, Compliance und Produktsicherheit im CRA-Sinne verlassen die Planungsphase — wer wichtige oder kritische Produkte vertreibt, braucht jetzt konkrete Kapazitäts- und Terminplanung.
Was Kapitel IV CRA auslöst
Der CRA unterscheidet Produktklassen mit unterschiedlichen Konformitätsbewertungsmodulen. Für viele Standardprodukte reicht Selbstbewertung (Modul A). Wichtige Produkte (Anhang III, Klasse 2) und kritische Produkte (Anhang IV) erfordern in der Regel Benannte Stellen oder Zertifizierung nach europäischen Schemata.
Kapitel IV regelt ab 11. Juni 2026:
- Mitgliedstaaten benennen notifizierende Behörden,
- Verfahren zur Bewertung, Benennung und Notifizierung von Konformitätsbewertungsstellen müssen stehen,
- Stellen können in der EU-Datenbank (NANDO) gelistet werden,
- bis 11. Dezember 2026 soll ausreichend Union-weite Kapazität verhindern, dass Marktzugang an fehlenden KBS scheitert.
Das BSI führt in Deutschland die notifizierende Rolle und baut Marktüberwachung aus.
Benannte Stellen vs. Zertifizierung
| Mechanismus | Wofür | Wer |
|---|---|---|
| Modul A | Standardprodukte | Hersteller selbst |
| Modul B/C, H | wichtige/kritische Produkte | Benannte Stelle |
| EU-Zertifizierungsschema | kritische Produkte (Anhang IV) | Schema + Stelle |
Benannte Stellen prüfen Typ, Qualitätssystem oder Baumuster — sie ersetzen nicht das interne Secure Development Lifecycle, sondern bestätigen Konformität gegen CRA-Anforderungen und referenzierte Normen.
Synergien mit dem EU Cybersecurity Act (EUCC etc.) prüfen, wenn Produkte ohnehin hohe Assurance brauchen — aber Schemata decken nicht automatisch alle CRA-Pflichten ab.
Hersteller-Timeline ab Juni 2026
- Jetzt: Produktklassifikation, KBS-Kontakt, technische Akte.
- Sep 2026: Meldepflichten ENISA produktiv — unabhängig von KBS-Termin.
- Dez 2026: Kapazitätsziel KBS in der Union.
- Dez 2027: Vollanwendung CRA inkl. Annex I vor Inverkehrbringen.
Produktsicherheit und Compliance-Realität
Produktsicherheit im CRA umfasst Cyber-Lebenszyklus: sichere Defaults, Updates, Schwachstellenbehandlung, Support-Kommunikation. Benannte Stellen bewerten, ob Herstellerprozesse und Produktmuster diese Anforderungen erfüllen — Compliance ist dokumentierte Nachweiskette, nicht Marketing.
Das BSI erarbeitet die Technische Richtlinie TR-03183 (General Requirements, SBOM, Vulnerability Reports) als nationalen Orientierungsrahmen — ergänzend zu CRA-Leitlinien der Kommission.
Engpass harmonisierte Normen
Horizontale CRA-Standards sind angekündigt, aber nicht überall im Amtsblatt zitiert. Folge:
- Wichtige Produkte Klasse 1 ohne Norm können früher KBS brauchen als geplant,
- Selbstbewertung über „Konformitätsvermutung“ scheitert ohne Normenreferenz,
- paralleler Annex-I-Evidenzaufbau bleibt Pflicht.
Hersteller sollten Szenarien „mit Norm“ und „ohne Norm“ budgetieren — siehe Konformitätsanforderungen für Hersteller.
Auswirkungen auf Industrie und Einkauf
Integratoren und Betreiber, die OEM-Produkte weiterverkaufen oder unter eigenem Label bringen, prüfen:
- Lieferantennachweis: welches Modul, welche KBS, welche Akte?
- Update- und Meldeverantwortung vertraglich,
- CRA-Bezug in Industrial Readiness und NIS2-Lieferantenregister.
Beschaffung sollte KBS-Status nicht mit ISO-Zertifikaten verwechseln — unterschiedliche Schemata, unterschiedliche Gültigkeit.
Fragen an eine Benannte Stelle (RFQ-Kern)
Welche CRA-Produktkategorien und Module decken Sie ab?
Wartezeit und Dauer Baumusterprüfung / Modul H?
Welche technische Akte erwarten Sie vor Audit?
Wie gehen Sie mit fehlenden harmonisierten Normen um?
Fazit
Die Benennung der Konformitätsbewertungsstellen markiert den Start der CRA-Infrastruktur für Zertifizierung und Compliance: Benannte Stellen, BSI-Koordination und Kapazitätsziele bis Ende 2026. Hersteller wichtiger und kritischer Produkte sollten KBS-Kapazität, technische Akten und Meldeprozesse jetzt verzahnen — Industrie und Einkauf sollten Lieferantennachweise schärfen. Wer wartet, konkurriert um begrenzte Audit-Slots vor der Vollanwendung 2027.
Weiterführend: EU CRA für Unternehmen. Besetzung: Cybersecurity Recruiting.
Quelle
Bundesamt für Sicherheit in der Informationstechnik — Cyber Resilience Act
Häufige Fragen
- Das System startet — Notifizierung läuft an, Kapazität baut auf. Hersteller sollten früh anfragen und interne Evidenz parallel fertigstellen.
- Nein. Die Stelle bewertet Konformität — Secure SDLC, SBOM und Meldeprozesse bleiben interne Pflicht.
- Compliance Engineers, Product Security und Regulatory Profiles, die KBS-Gespräche und technische Akten vorbereiten — schwer zu finden, gezielt zu suchen.