Wenn man von außen auf den Cyber Resilience Act schaut oder ihn einfach nur liest, bleibt verborgen, wie groß der Umsetzungskontext ist. Aus diesem Grund haben wir beim Bundesamt für Sicherheit in der Inforamtionstechnik (BSI) nachgefragt. Warum? Das BSI ist unser Hauptakteur und Zentrum an Kernkompetenz. Es ist das so genannte CSIRT, das Computer Security Incident Response Team. Hier laufen die Fäden zusammen. Wenn über die Meldeplattform der ENISA ein Hersteller eine in seinem Produkt ausgenutzte Schwachstelle meldet, bekommt das BSI die Information direkt. Darüber hinaus vermittelt das BSI als notifizierende Behörde. Was das ist und wie das mit anderen Instanzen zusammenhängt, hat uns das BSI hier aus der entsprechenden Fachabteilung verraten.
EASY.CRA (EC): Können Sie kurz die Rolle des BSI als notifzierende Behörde beschreiben? Die Eigenschaft „notifizieren“ ist vielleicht erklärungsbedürftig.
BSI: Für einige im Cyber Resilience Act (CRA) gelisteten Produktkategorien wird eine Drittstellenbewertung gefordert, um die Konformität des jeweiligen Produktes zum CRA nachweisen zu können. Diese Drittstellen – auch Konformitätsbewertungsstellen (KBS) genannt – müssen ihre Fähigkeiten und Kenntnisse für den jeweiligen Bereich nachweisen. Beim CRA erfolgt dieser Nachweis im Zuge der erfolgreichen Notifizierung der KBS. Das BSI ist die notifizierende Behörde für den Geltungsbereich des CRA. Diese Rolle wird auch im BSIG festgeschrieben, aktuell befindet sich der dazu notwendige Referentenentwurf des BMI (Gesetzesentwurf zur Durchführung der Verordnung (EU) 2024/2847) im Gesetzgebungsverfahren. Sobald dieser in Kraft getreten ist, verfügt das BSI über entscheidende Aufgaben und Befugnisse. Diese ergeben sich wiederum aus dem New Legislative Framework (NLF), dem der CRA angehört. Im so genannten „Blue Guide“, einem Leitfaden der Europäischen Kommission für die Umsetzung der Produktvorschriften (2016/C 272/01), werden in Kapitel 5.3.1 die Anforderungen an eine notifizierende Behörde beschrieben. So dürfen beispielsweise „weder Tätigkeiten, die Konformitätsbewertungsstellen durchführen, noch Beratungsleistungen auf einer gewerblichen oder wettbewerblichen Basis“ durch eine notifizierende Behörde angeboten oder erbracht werden.
Das BSI arbeitet bei der Notifizierung eng mit der Deutschen Akkreditierungsstelle (DAkkS) zusammen. Das bedeutet, dass nur erfolgreich im Geltungsbereich des CRA akkreditierte KBS auch notifiziert werden. Im Rahmen einer Akkreditierung für den Geltungsbereich CRA werden durch die DAkkS die Anforderungen, die an KBS aus dem CRA herausgestellt werden, überprüft. Dabei erfolgt die Systembegutachtung durch die DAkkS selbst, die fachliche Begutachtung durch Fachbegutachtende, die in der Regel das BSI zur Verfügung stellt. Hat die begutachtete KBS alle gestellten Anforderungen erfüllt, erhält sie eine Akkreditierungsurkunde. Dort sind neben der Art und Weise der Konformitätsbewertung (Baumusterprüfung nach Modul B oder auf der Grundlage einer umfassenden Qualitätssicherung nach Modul H) auch Details zur Produktkategorie aufgelistet. Diese Akkreditierungsurkunde ist dann die Basis, auf der das BSI der KBS die Befugnis erteilt, im Rahmen des CRA tätig zu werden. Im Anschluss daran wird die KBS gegenüber der Europäischen Kommission auf dem Portal NANDO notifiziert. Im Nachgang haben die Europäische Kommission sowie alle weiteren EU-Mitgliedstaaten gem. Art. 43 Abs. 5 CRA die Möglichkeit, binnen zwei Wochen Einspruch gegen die Notifizierung der KBS zu erheben. Ist diese Einspruchsfrist abgelaufen, kann die KBS ihrer Tätigkeit im Geltungsbereich CRA nachgehen. Die Notifizierung durch das BSI erlaubt es KBS im Rahmen des CRA tätig zu werden. Ohne eine solche Notifizierung durch das BSI sind Tätigkeiten im Geltungsbereich des CRA nicht erlaubt.
EC: Was genau ist die Rolle der notifizierenden Behörde im Kontext zwischen EU, ENISA und dem CSIRT als nationaler Verantwortungsträger?
BSI: Die notifizierende Behörde ist in dieser Frage unabhängig zu betrachten. Hierzu muss Marktüberwachung des BSI befragt werden (vgl. § 65 Gesetzesentwurf BMI).
Einzig im Falle sich häufender Unregelmäßigkeiten, die an das BSI ihm Rahmen des Beschwerdemanagements oder über die Marktüberwachung herangetragen werden, müsste die DAkkS die KBS prüfen und ggf. das BSI die erteilte Befugnis widerrufen und die Notifizierung gem. Art. 45 CRA aussetzen, einschränken oder widerrufen.
Die notifizierenden Behörden stellen sicher, dass KBS die Fähigkeiten haben, fachgerechte Drittstellenbewertungen im Rahmen des CRA durchzuführen. Jeder EU-Mitgliedstaat muss eine eigene notifizierende Behörde für den CRA einrichten. Diese treffen sich in regelmäßigen Abständen in der Notifying Authorities Group, um auch über Ländergrenzen hinweg eine größtmögliche Harmonisierung innerhalb der EU sicher zu stellen.
EC: Was müssen Sie aus dem Gesetz umsetzen und mit wem?
BSI: Das BSI als notifizierende Behörde muss sich an mehrere Gesetzesvorgaben halten. Als notifizierende Behörde setzt das BSI das Kapitel IV des CRA um. Insbesondere für die Prüfung der Anforderungen gem. Art. 39 CRA arbeitet das BSI mit der DAkkS zusammen, die im Rahmen der Akkreditierung die Anforderungen für die Baumusterprüfung (Modul B) bzw. des Qualitätssicherungssystems (Modul H) prüfen. Dazu hat das BSI mit der DAkkS eine entsprechende Verwaltungsvereinbarung geschlossen.
Die Aufgaben der notifizierenden Behörde richten sich nach Kapitel IV des CRA sowie dem künftigen § 66 des BSIG – sobald der Gesetzentwurf des BMI in Kraft getreten ist. Da die CRA-Notifizierung in Deutschland auf einer gültigen Akkreditierung beruht, ist für die Bewertung sowie für die Überwachung der KBS die Deutsche Akkreditierungsstelle (DAkkS) zuständig. Sobald eine gültige Akkreditierungsurkunde für den Geltungsbereich des CRA vorgelegt werden kann und nachweislich alle Anforderungen des Art. 39 CRA erfüllt sind, erteilt das BSI der KBS zunächst per Bescheid die Befugnis, im Rahmen des CRA tätig zu werden. Anschließend wird die KBS gegenüber der Europäischen Kommission gem. Art. 35 Abs. 1 CRA auf dem Portal NANDO notifiziert. Diese Notifizierung wird unter der Bedingung erteilt, dass weder die Europäische Kommission noch die anderen EU-Mitgliedstaaten gem. Art. 43 Abs. 5 CRA dagegen Einspruch erheben.
EC: Seit wann arbeiten Sie daran?
BSI: Die Vorbereitung der Notifizierungsverfahren laufen seit Sommer 2025. Der Europäischen Kommission wurde das BSI im Oktober 2025 als notifizierende Behörde gemeldet. Der Fokus der Vorbereitungen lag auf dem Stichtag 11.06.2026, an dem gem. CRA die Bestimmungen über die Notifizierung von KBS galten. Bis dahin mussten die Verfahren entwickelt, mit BMI und DAkkS abgestimmt und auf der Website des BSI veröffentlicht werden. Darunter zählt die Einrichtung eines Funktionspostfachs bis hin zur Finalisierung des Konformitätsbewertungsprogramms mit dem Fokus auf ein umfassendes Qualitätssicherungssystem (Modul H). Insbesondere die Abstimmung und Veröffentlichung des Konformitätsbewertungsprogramms war notwendig, da Anforderungen für die Umsetzung der DIN EN ISO/IEC 17021-1 im Rahmen des CRA bis dato nicht für KBS zur Verfügung standen.
Pünktlich zum Stichtag 11.06.2026 können sich KBS über den Prozess zur Notifizierung mittels unserer Website www.bsi.bund.de/dok/notifizierung informieren. Seitdem hat das BSI als notifizierende Behörde bereits eine Vielzahl an Informationsgesprächen geführt und es sind bereits erste Anträge auf Akkreditierung bei der DAkkS für den CRA eingegangen.
EC: Welche Konsequenz hat Ihre Arbeit für KMU als Hersteller von Produkten mit digitalen Elementen?
BSI: KMU müssen mit ihren Ressourcen besonders haushalten, müssen jedoch trotzdem die Cybersicherheitsanforderungen aus dem CRA erfüllen. Werden auch noch wichtige Produkte Klasse 2 wie manipulationssichere Mikroprozessoren oder gar kritische Produkte aus den Anhängen III und IV des CRA hergestellt, ist zwingend eine Drittstellenbewertung notwendig. Für den Fall, dass vertikale Standards für wichtige Produkte der Klasse I (Anhang III CRA) fehlen, muss ebenfalls eine Drittstellenbewertung erfolgen. Das BSI sorgt als notifizierende Behörde dafür, dass eine ausreichende Anzahl an KBS für die Drittstellenbewertung zur Verfügung steht. Damit erhalten auch KMU bei Bedarf eine Drittstellenbewertung durch notifizierte KBS.
Zusätzlich bietet das BSI durch die TR-03183 Cyber Resilienz Anforderungen Hilfestellung, um die Anforderungen aus dem CRA umsetzen zu können. Zielgruppe sind insbesondere Hersteller, die noch keine ausgereiften IT-Sicherheitsprozesse im Rahmen ihrer Entwicklung und Schwachstellenbehandlung etabliert haben.