Was wurde am 15. Oktober beschlossen?
Angenommen wurden der Regierungsentwurf auf BT-Drs. 21/6134 und 21/6512 mit der Änderung aus BT-Drs. 21/8622 sowie eine gesonderte Entschließung. Die Änderung des Innenausschusses vom 14. Oktober betrifft die Inkrafttretensregelung. Das Ereignisdatum ist der 15. Oktober; der 20. Oktober ist hier das Datum der Quellenprüfung, keine neue Beschlussfassung.
Eine belastbare Fundstelle der Verkündung im Bundesgesetzblatt und ein tatsächliches Inkrafttretensdatum sind in dieser Prüfung nicht bestätigt. Daraus folgt nicht der Nachweis, dass keine Verkündung existiert. Bis zur Verifikation bleiben diese Felder offen; ein Beschlussdatum darf sie nicht ersetzen.
Bundestag: Beschluss vom 15.10.2026EU-Verordnung und deutsches Durchführungsgesetz sind nicht dasselbe
Die Verordnung (EU) 2024/2847 gilt als EU-Verordnung unmittelbar. Nationale Regeln ordnen insbesondere Behörden, Zusammenarbeit und Verfahrensfragen. Sie ersetzen weder die europäischen Produktanforderungen noch deren Zeitplan. Artikel 14 gilt seit dem 11. September 2026; das übrige CRA-Regelwerk wird grundsätzlich ab dem 11. Dezember 2027 angewandt, mit gesonderten früheren Regelungen für Konformitätsbewertungsstellen.
Ein noch nicht bestätigter nationaler Verkündungsstand setzt die europäischen Meldefristen nicht aus. Hersteller müssen Kenntniserlangung, Zuständigkeit, verantwortliche Person und tatsächliche Übermittlung getrennt dokumentieren.
Verordnung (EU) 2024/2847, Artikel 14, 32, 35, 64 und 71BSI: drei Rollen, getrennte Rechtsgrundlagen
Der beschlossene Text weist dem BSI Aufgaben als Marktüberwachungsbehörde und als notifizierende Behörde zu und ergänzt die Grundlage für seine CSIRT-Aufgaben. Diese Rollen sind getrennt zu erfassen. Marktüberwachung betrifft die behördliche Kontrolle; Notifizierung betrifft die Bewertung und Benennung von Konformitätsbewertungsstellen; CSIRT-Aufgaben betreffen den entsprechenden CRA-Melde- und Sicherheitskontext.
Die Rolle als notifizierende Behörde bedeutet nicht, dass das BSI automatisch die Drittstellenprüfung jedes Produkts durchführt. Der Text sieht die nationale Akkreditierungsstelle und unter bestimmten Voraussetzungen eine eigene Bewertung von Konformitätsbewertungsstellen durch das BSI vor. Ob für ein Produkt eine notifizierte Stelle benötigt wird, folgt aus dem CRA-Verfahren, nicht aus der nationalen Behördenbezeichnung.
BT-Drs. 21/6134, §§ 65–70 BSIG und Artikel 4Inkrafttreten: Bedingung und Datum nicht verwechseln
Nach der geänderten Fassung sollen § 3 Absatz 1 Satz 2 Nummer 30 und 31, § 5 Absatz 3 Satz 2 Nummer 5 und 6 sowie § 66 BSIG und die Artikel 2 und 3 am Tag nach der Verkündung in Kraft treten. Die zuvor vorgesehenen nationalen Anknüpfungen an den 11. Juni und 11. September 2026 wurden ersetzt. Ohne bestätigte Verkündung lässt sich daraus kein konkretes Datum berechnen.
Im Übrigen bleibt der 11. Dezember 2027 im beschlossenen Text stehen. Dazu gehören insbesondere § 65 zur Marktüberwachung, § 67 zur Unterstützung und die neuen Verfahrensregelungen. Deshalb bildet das Register bei Marktüberwachung sowohl die frühere allgemeine Aufgabenzuweisung als auch den späteren § 65 getrennt ab. Diese Darstellung beschreibt den beschlossenen Text, nicht schon geltendes nationales Recht.
BT-Drs. 21/8622, 14.10.2026, S. 4–5 und 8Unterstützung, Reallabor und Sanktionen
Vorgesehen sind Unterstützung für betroffene Wirtschaftsakteure, insbesondere KMU und Verwalter quelloffener Software, Sensibilisierung und Schulung sowie ein Reallabor für Cyberresilienz. Eine vorgesehene Einrichtung ist noch kein Nachweis, dass ein konkretes Programm bereits geöffnet ist oder eine Teilnahme eine Konformitätsbewertung ersetzt.
Die nationalen Verfahrensregeln betreffen auch die Durchsetzung von Sanktionen. Die Bußgeldrahmen des CRA sind davon zu unterscheiden. Ohne bestätigte Verkündung und die jeweils einschlägige Inkrafttretensregel darf die nationale Zuständigkeit nicht als bereits wirksam ausgegeben werden.
BT-Drs. 21/6134, §§ 65–70 BSIG und Artikel 4Router: politischer Schwerpunkt, keine neue Produktklasse
Die gesonderte Entschließung fordert die Bundesregierung auf, Router bei der CRA-Marktüberwachung durch das BSI vorrangig zu prüfen. Sie behandelt außerdem Herstellerabhängigkeiten, Lieferketten, Updates und Wartungsmöglichkeiten. Das ist ein politisches Aufsichtssignal, kein zusätzlicher Herstellerpflichtenkatalog und kein Beleg einer bereits gestarteten Kontrollkampagne.
Die CRA-Klassifizierung, die Kernfunktionsprüfung und das Konformitätsbewertungsverfahren ändern sich dadurch nicht. Die Aufforderung betrifft Router; die gemeinsame Checker-Kategorie für Router, Modems und Switches darf nicht zu einer pauschalen Ausweitung auf alle drei Produktgruppen führen.
BT-Drs. 21/8622, 14.10.2026, S. 4–5 und 8Was Hersteller jetzt organisatorisch vorbereiten können
Halten Sie EU-Pflicht, nationalen Behördenstatus und operative Kontaktdaten getrennt. Dokumentieren Sie Produkt, Release, SBOM, Risikobegründung und Nachweise; prüfen Sie die Konformitätsroute anhand der tatsächlichen Produktkategorie. Bei einem Artikel-14-Fall sind gesetzliche Fristen weiter ab Kenntniserlangung zu führen und der aktuelle zuständige CDaC über die offizielle Quelle zu bestätigen.
CRACompliance kann diese interne Vorbereitung und die Nachweisablage unterstützen. Das neue Länderregister bestätigt keine Zuständigkeit, trifft keine Klassifizierungsentscheidung und ersetzt weder rechtliche Prüfung noch behördliche Annahme. Nächster Verifikationspunkt ist die konkrete Bundesgesetzblatt-Fundstelle mit den wirksamen Inkrafttretensdaten.
Verordnung (EU) 2024/2847, Artikel 14, 32, 35, 64 und 71