What changed

Am 10. Dezember 2024 ist die Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicher heitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung) in Kraft getreten.

Die Verordnung (EU) 2024/2847 stellt erstmals horizontal verpflichtende Anfor derungen an die Cybersicherheit von Produkten mit digitalen Elementen auf und erweitert das bekannte CE-Kennzeichen um den Aspekt der Cybersicherheit. Künftig müssen Produkte mit digitalen Elementen den in der Verordnung (EU) 2024/2847 festgelegten Mindestanforderungen an die Cybersicherheit ge nügen, wenn sie auf dem europäischen Binnenmarkt in den Verkehr gebracht wer den. Hersteller werden ferner verpflichtet, aktiv ausgenutzte Schwachstellen zu melden.

Die Regelungen der Verordnung (EU) 2024/2847 gelten grundsätzlich unmittel bar und werden ab dem 11. Juni 2026 zeitlich gestaffelt wirksam, bis die Rege lungen ab dem 11. Dezember 2027 vollends wirken.

Zur Durchführung der Verordnung (EU) 2024/2847 muss jeder Mitgliedstaat mindestens eine Marktüberwachungsbehörde und eine notifizierende Behörde einrichten. Im Übrigen sollen die Mitgliedstaaten Unterstützungsmaßnahmen für die betroffenen Wirtschaftsakteure ergreifen, insbesondere für kleine und mittlere Unternehmen. Zudem bedürfen die Vorschriften über Sanktionen, die bei Verstö ßen gegen die Verordnung (EU) 2024/2847 zu verhängen sind, ergänzende Ver fahrensregelungen.

Drucksache 21/6134 Deutscher Bundestag – 21. Wahlperiode kann. Zusätzlich werden im Sinne des Koalitionsvertrages für die 21. Legislatur periode, Zeile 285 f., Unterstützungsmaßnahmen für die von der Verordnung (EU) 2024/2847 betroffenen Wirtschaftsakteure ergriffen und die erforderlichen Vorschriften für das Bußgeldverfahren erlassen.

Durch das gestaffelte Wirksamwerden der Verpflichtungen aus der Verordnung (EU) 2024/2847 kommen auf das BSI aufgrund dieses Gesetzes laufend neue Fachaufgaben hinzu. Außerdem werden jedes Jahr neue Produkte mit digitalen Elementen in den Verkehr gebracht, wodurch die Anzahl der Produkte, die das BSI als Marktüberwachungsbehörde auf ihre Konformität hin überprüft, stetig an steigt. Aus diesem Grund werden die Haushaltsausgaben für das BSI bis 2029 sukzessive ansteigen.

Zusätzlich entstehen einmalige Sachkosten in Höhe von 10 Millionen Euro. Diese entstehen insbesondere für die Einrichtung eines Reallabors. Laufende jährliche Sachkosten in Höhe von 8,1 Millionen Euro entstehen insbesondere für die Be auftragung externer Dienstleister, die im Rahmen der Marktüberwachung tätig werden sollen.

Für die Verwaltung entsteht durch die gesetzliche Änderung ein laufender Erfül lungsaufwand in Höhe von ca. 20,5 Millionen Euro und ein einmaliger Erfül lungsaufwand in Höhe von ca. 10 Millionen Euro auf Ebene der Bundesverwal tung.

Die Stellungnahme des Bundesrates zu dem Gesetzentwurf sowie die Auffassung der Bun desregierung zu der Stellungnahme des Bundesrates werden unverzüglich nachgereicht.

(2)Das Bundesamt arbeitet im Rahmen seiner Zuständigkeit mit Behörden, die durch Bundes- oder Landesrecht zu Marktüberwachungsbehörden zur Ausführung der in Anhang I der Verordnung (EU) 2019/1020 genannten Harmonisierungsrechtsvorschriften bestimmt wurden, sowie mit anderen Auf sichtsbehörden kooperativ und vertrauensvoll zusammen. Es teilt ihnen Beobachtungen und Feststellungen mit, die für die Erfüllung ihrer Aufgaben von Bedeutung sein können.

(2)Die Bewertung und Überwachung von Konformitätsbewertungsstellen gemäß der Verordnung (EU) 2024/2847 obliegt der nationalen Akkreditierungsstelle im Sinne und im Einklang mit der Verordnung (EG) Nr. 765/2008. Die Akkreditierung kann unter Bedingungen oder Auflagen erteilt werden. Sie kann be fristet oder mit dem Vorbehalt des Widerrufs erteilt sowie auch nachträglich um Auflagen ergänzt werden.

(3)Das Bundesamt kann abweichend von Absatz 2 die Bewertung von Konformitätsbewertungsstel len selbst durchführen, sofern an der Notifizierung der Konformitätsbewertungsstellen ein öffentliches Inte resse besteht. In diesen Fällen obliegt dem Bundesamt auch die Überwachung dieser Konformitätsbewer tungsstellen. § 3 Absatz 1 des Akkreditierungsstellengesetzes gilt entsprechend.

(4)Hat das Bundesamt aufgrund der Bewertung nach Absatz 2, belegt durch die Vorlage einer Ak kreditierungsurkunde, oder aufgrund eigener Bewertung nach Absatz 3 festgestellt, dass eine Konformitäts bewertungsstelle die Anforderungen nach Artikel 39 der Verordnung (EU) 2024/2847 erfüllt, so erteilt sie dieser die Befugnis, Konformitätsbewertungen vorzunehmen und notifiziert diese nach Artikel 35 Absatz 1 der Verordnung (EU) 2024/2847 der Kommission und den anderen Mitgliedstaaten.

(5)Die Befugnis nach Absatz 4 kann unter Bedingungen oder Auflagen erteilt werden. Sie kann be fristet oder mit dem Vorbehalt des Widerrufs erteilt werden sowie auch nachträglich um Auflagen ergänzt werden. Die Befugnis ist unter der aufschiebenden Bedingung zu erteilen, dass weder die Europäische Kom mission noch ein anderer Mitgliedstaat Einwände nach Artikel 43 Absatz 5 der Verordnung (EU) 2024/2847 gegen die Notifizierung erheben.

Das Bundesamt unterstützt die betroffenen Wirtschaftsakteure, insbesondere kleine und mittlere Unter nehmen, sowie Verwalter quelloffener Software bei der Erfüllung der Anforderungen der Verordnung (EU) 2024/2847. Die Unterstützung erfolgt insbesondere durch die folgenden Maßnahmen:

1. Durchführung spezifischer Sensibilisierungs- und Schulungsmaßnahmen für die Anwendung der Ver ordnung (EU) 2024/2847,

Ordnungswidrigkeiten, sowie § 30 Absatz 1 und 2 des Gesetzes über Ordnungswidrigkeiten sind nicht an zuwenden.

(2)Für Verfahren wegen eines Verstoßes nach Artikel 64 Absatz 2 bis 4 der Verordnung (EU) 2024/2847 gelten, soweit dieses Gesetz nichts anderes bestimmt, die Vorschriften des Gesetzes über Ord nungswidrigkeiten sowie der allgemeinen Gesetze über das Strafverfahren, namentlich der Strafprozessord nung und des Gerichtsverfassungsgesetzes, entsprechend. § 69 Absatz 4 Satz 2 des Gesetzes über Ordnungs widrigkeiten ist mit der Maßgabe anzuwenden, dass die Staatsanwaltschaft das Verfahren nur mit Zustim mung der Behörde, die den Bußgeldbescheid erlassen hat, einstellen kann.

Behörden (1)Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrig keiten ist

(2)Gegen Behörden und sonstige öffentliche Stellen im Sinne des § 2 Absatz 1 oder 2 des Bundesda tenschutzgesetzes werden in den Fällen des Artikels 64 Absatz 2 bis 4 der Verordnung (EU) 2024/2847 keine Geldbußen verhängt.“

Das Telekommunikationsgesetz vom 23. Juni 2021 (BGBl. I S. 1858), das zuletzt durch Artikel 6 des Geset zes vom 11. März 2026 (BGBl. 2026 I Nr. 66) geändert worden ist, wird wie folgt geändert:

1. In Nummer 1 wird die Angabe „Telekommunikationsdienste,“ durch die Angabe „Telekommunikations dienste und“ ersetzt.

„Die Bundesnetzagentur bestimmt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informations technik durch Festlegung nach § 29 Absatz 1 in einem Katalog für den Betrieb von Energieversorgungsnet zen und Energieanlagen, welche Komponenten kritische Komponenten oder welche Funktionen kritisch be stimmte Funktionen sind.“

1. Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersi cherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung) (ABl. L, 2024/2847, 20.11.2024; 2025/90555, 2.7.2025; 2025/90828, 17.10.2025), die zuletzt durch die Verordnung (EU) 2025/327 vom 11. Februar 2025 (ABl. L, 2025/327, 5.3.2025) geändert worden ist

Am 10. Dezember 2024 ist die Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cy berresilienz-Verordnung) in Kraft getreten.

Die Verordnung (EU) 2024/2847 stellt erstmals horizontal verpflichtende Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen auf und erweitert das bekannte CE-Kennzeichen um den Aspekt der Cy bersicherheit. Künftig müssen Produkte mit digitalen Elementen den in der Verordnung (EU) 2024/2847 festge legten Mindestanforderungen an die Cybersicherheit genügen, wenn sie auf dem europäischen Binnenmarkt in den Verkehr gebracht werden. Hersteller werden ferner verpflichtet, aktiv ausgenutzte Schwachstellen zu melden.

Zur Durchführung der Verordnung (EU) 2024/2847 muss jeder Mitgliedstaat mindestens eine Marktüberwa chungsbehörde und eine notifizierende Behörde einrichten.

Die Marktüberwachungsbehörde gemäß Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 überwacht die Ein haltung der in der Verordnung (EU) 2024/2847 niedergelegten Cybersicherheitsanforderungen. Dazu kann sie Marktüberwachungsmaßnahmen ergreifen, die in der Verordnung (EU) 2024/2847 und in der Verordnung (EU) 2019/1020 vorgesehen sind.

Die notifizierende Behörde ist gemäß Artikel 36 der Verordnung (EU) 2024/2847 für die Einrichtung und Durch führung der erforderlichen Verfahren zur Bewertung, Benennung und Notifizierung von Konformitätsbewer tungsstellen zuständig. Der notifizierenden Behörde obliegt zudem die Überwachung der notifizierten Konformi tätsbewertungsstellen. Die Verordnung (EU) 2024/2847 räumt den Mitgliedstaaten die Möglichkeit ein, dass sie die Bewertung und Benennung der Konformitätsbewertungsstellen von einer nationalen Akkreditierungsstelle im Sinne der Verordnung (EG) Nr. 765/2008 durchführen lassen.

Der vorliegende Gesetzentwurf dient der Durchführung der Verordnung (EU) 2024/2847. Mit Artikel 1 wird die notwendige nationale Rechtsgrundlage geschaffen, damit das BSI als Marktüberwachungsbehörde und als notifi zierende Behörde unter der Verordnung (EU) 2024/2847 tätig werden kann. Es werden Unterstützungsmaßnah men getroffen, welche das BSI den von der Verordnung (EU) 2024/2847 betroffenen Wirtschaftsakteure anbieten wird. Ferner werden die erforderlichen Vorschriften für das Bußgeldverfahren erlassen.

Da die Mitgliedstaaten die Verordnung (EU) 2024/2847 durchführen müssen, besteht keine Alternative zum Er lass dieses Gesetzes. Lediglich hinsichtlich der konkreten Ausgestaltung bestehen Alternativen, die geprüft und abgelehnt wurden. So könnte die Marktüberwachung unter der Verordnung (EU) 2024/2847 nicht zentral durch das BSI, sondern durch die bereits bestehenden sektoralen Marktüberwachungsbehörden übernommen werden. Allerdings verfügt das BSI als Cybersicherheitsbehörde des Bundes über die notwendige Fachkompetenz, um die Cybersicherheitsanforderungen aus der Verordnung (EU) 2024/2847 effektiv zu überwachen. Die sektoralen Marktüberwachungsbehörden, die bisher wenig bis keine Berührungspunkte mit der Überwachung von Cybersi cherheitsanforderungen hatten, müssten diese Expertise erst jahrelang aufbauen, was insbesondere mit Blick auf den Fachkräftemangel im IT-Bereich kaum möglich erscheint und nicht ressourcenschonend ist.

Die Gesetzgebungskompetenz des Bundes für Artikel 1 (Änderung des BSI-Gesetzes) beruht auf Artikel 74 Ab satz 1 Nummer 11 GG (Recht der Wirtschaft) in Verbindung mit Artikel 72 Absatz 2 GG sowie für die Bußgeld vorschriften auf Artikel 74 Absatz 1 Nummer 1 (Strafrecht) GG. Das vorliegende Gesetz dient der Durchführung der Verordnung (EU) 2024/2847, die im Schwerpunkt als Produktregulierung wirtschaftsbezogene Anforderun gen enthält. Eine bundesgesetzliche Regelung ist zur Wahrung der Rechts- und Wirtschaftseinheit im gesamt staatlichen Interesse erforderlich (Artikel 72 Absatz 2 GG). Eine Regelung durch die Landesgesetzgeber würde zu erheblichen Nachteilen für die Gesamtwirtschaft führen, die sowohl im Interesse des Bundes als auch der Länder nicht hingenommen werden können. Insbesondere wäre zu befürchten, dass unterschiedliche landesrecht liche Behandlungen von etwaigen Verstößen gegen die in der Verordnung (EU) 2024/2847 niedergelegten Cy bersicherheitsanforderungen zu erheblichen Wettbewerbsverzerrungen und gleicher Lebenssachverhalte, z. B. un terschiedliche erhebliche Wettbewerbsverzerrungen und störende Schranken für die länderübergreifende Wirt schaftstätigkeit zur Folge hätten.

Die ausschließliche Gesetzgebungskompetenz des Bundes für Artikel 2 (Änderung des Telekommunikationsge setzes) beruht auf Artikel 73 Absatz 1 Nummer 7 GG (Telekommunikation).

Die Gesetzgebungskompetenz des Bundes für Artikel 3 (Änderung des Energiewirtschaftsgesetzes), die den rein technischen Schutz der Informationstechnik von und für kritische Komponenten betreffen, folgt der Gesetzge bungskompetenz des Bundes aus Artikel 74 Absatz 1 Nummer 11 GG (Recht der Wirtschaft einschließlich ge fahrenabwehrrechtlicher Annexkompetenz) in Verbindung mit Artikel 72 Absatz 2 GG. Eine bundesgesetzliche Regelung ist zur Wahrung der Rechts- und Wirtschaftseinheit im gesamtstaatlichen Interesse erforderlich. Die Festlegung kritischer Komponenten muss bundeseinheitlich erfolgen, um regionale Unterscheide im Cybersicher heitsniveau bei dem Betrieb von Energieversorgungsnetzen und Energieanlagen zu verhindern.

Der Gesetzentwurf steht im Einklang mit dem Leitgedanken der Bundesregierung zur nachhaltigen Entwicklung im Sinne der Deutschen Nachhaltigkeitsstrategie, die der Umsetzung der UN-Agenda 2030 für nachhaltige Ent wicklung der Vereinten Nationen dient.

Er leistet einen Beitrag zur Verwirklichung des Nachhaltigkeitsziels 12 „Nachhaltige/r Konsum und Produktion“. Die Stärkung der Cybersicherheit von Produkten mit digitalen Elementen sieht u. a. vor, dass für die zu erwarten den Produktlebensdauer Sicherheitsaktualisierungen durch den Hersteller bereitgestellt werden müssen. Dies kann dazu führen, dass Produkte mit digitalen Elementen insgesamt länger genutzt werden.

Damit berücksichtigt der Entwurf die Querverbindungen zwischen den Zielen für nachhaltige Entwicklung und deren integrierenden Charakter, der für die Erfüllung von Ziel und Zweck der UN-Agenda 2030 von ausschlag gebender Bedeutung ist und folgt der Deutschen Nachhaltigkeitsstrategie 2021.

Durch das gestaffelte Wirksamwerden der Verpflichtungen aus der Verordnung (EU) 2024/2847 kommen auf das BSI aufgrund dieses Gesetzes laufend neue Fachaufgaben hinzu. Außerdem werden jedes Jahr neue Produkte mit digitalen Elementen in den Verkehr gebracht, wodurch die Anzahl der Produkte, die das BSI als Marktüberwa chungsbehörde auf ihre Konformität hin überprüft, stetig ansteigt. Aus diesem Grund werden auch die Haushalts ausgaben für BSI bis 2029 sukzessive ansteigen.

Der Personalmehrbedarf beim BSI für die Wahrnehmung der nach diesem Gesetz zugewiesenen Aufgaben beläuft sich bis zum Jahr 2029 dauerhaft auf insgesamt 141 Planstellen/Stellen. Davon entfallen 68 Stellen auf die Wer tigkeit des höheren Dienstes, 54 Stellen auf die Wertigkeit des gehobenen Dienstes und 19 Stellen auf die Wer tigkeit des mittleren Dienstes.

Die Kosten wurden auf Grundlage des Rundschreibens für Wirtschaftlichkeitsuntersuchungen und Kostenberech nungen des Bundesministeriums der Finanzen vom 23. Juni 2025 (Gz.: II A 3 – H 1012/00236/007/015) ermittelt.

Für die Bürgerinnen und Bürger entsteht durch das geplante Regelungsvorhaben kein zusätzlicher Erfüllungsauf wand.

(EU) 2024/2847 entgegennehmen und bearbeiten. Es wird angenommen, dass das BSI im Durchschnitt 2 000 Meldungen entgegennehmen wird. Es wird angenommen, dass bei einem Bearbeitungsaufwand von ca. 45 Stun den je Meldung zur jährlichen Aufgabenerfüllung ca. 89 600 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Jährlich fallen Sachkosten in Höhe von 100 000 Euro für die Unterstützung zur Nutzung der einheitlichen Meldeplattform an. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundes verwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich ein laufender Erfüllungsaufwand in Höhe von 4 078 000 Euro auf Ebene des Bundes.

Das BSI soll zukünftig gemäß § 65 Absatz 3 BSIG-E eine Beschwerdestelle im Rahmen der Marktüberwachung nach den Vorgaben der Verordnung (EU) 2024/2847 einrichten. Es wird angenommen, dass zur jährlichen Auf gabenerfüllung ca. 8 000 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Unter der Berück sichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich ein laufender Erfüllungsaufwand in Höhe von 355 000 Euro auf Ebene des Bundes.

Das BSI soll zukünftig gemäß § 67 Satz 2 Nummer 1 BSIG-E insbesondere kleine und mittlere Unternehmen der betroffenen Wirtschaftsakteure bei der Erfüllung der Anforderungen der Verordnung (EU) 2024/2847 unterstüt zen. Es wird angenommen, dass zur jährlichen Aufgabenerfüllung ca. 17 600 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Weiter wird angenommen, dass zusätzlich jährliche Sachkosten von 500 000 Euro für externe Dienstleistungen anfallen. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich ein laufender Erfüllungsaufwand in Höhe von 1 281 000 Euro auf Ebene des Bundes.

Das BSI soll zukünftig gemäß § 70 Absatz 1 Nummer 2 BSIG-E Ordnungswidrigkeitsverfahren nach den Vorga ben der Verordnung (EU) 2024/2847 durchführen. Es wird angenommen, dass zur jährlichen Aufgabenerfüllung ca. 4 800 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich ein lau fender Erfüllungsaufwand in Höhe von 213 000 Euro auf Ebene des Bundes.

Dieses Gesetz dient der Durchführung der Verordnung (EU) 2024/2847. Durch das Durchführungsgesetz entste hen keine Kosten, die über die durch die Verordnung (EU) 2024/2847 entstehenden Kosten hinausgehen.

Aus dem Gesetzesvorhaben ergeben sich keine über die Verordnung (EU) 2024/2847 hinausgehenden Gesetzes folgen.

Eine Befristung ist nicht vorgesehen, da es sich um ein Gesetz zur Durchführung einer europäischen Verordnung handelt, die unbefristet gilt. Eine Evaluierung ist in der zu Grunde liegenden Verordnung (EU) 2024/2847 in Artikel 70 vorgesehen. Demnach legt die Kommission dem Europäischen Parlament und dem Rat bis zum 11. De zember 2030 und danach alle vier Jahre einen Bericht über die Bewertung und Überprüfung der Verordnung (EU) 2024/2847 vor. Soweit sich daraus relevante Änderungen ergeben sollten, ist dieses Durchführungsgesetz ent sprechend anzupassen.

Die Änderung dient der Klarstellung, dass das Bundesamt als CSIRT, das gemäß Artikel 12 Absatz 1 der Richt linie (EU) 2022/2555 als Koordinator bestimmt wurde, entsprechend Artikel 3 Nummer 51 der Verordnung (EU)

Mit der Nummer 4 wird der bisherige Teil 8 ersetzt. In Teil 8 werden die aus der Verordnung (EU) 2024/24 resultierenden Aufgaben der Marktüberwachung und Notifizierung dem Bundesamt zugewiesen und die Zusam menarbeit des Bundesamtes mit weiteren Behörden geregelt. Ferner werden konkrete Unterstützungsmaßnahmen für die betroffenen Wirtschaftsakteure, die durch das Bundesamt zu leisten sind, festgelegt.

Die Marktüberwachungsbehörde überwacht die Konformität der Produkte mit digitalen Elementen, die in den Anwendungsbereich der Verordnung (EU) 2024/2847 fallen. Dazu zählt insbesondere die Einhaltung der in An hang I der Verordnung (EU) 2024/2847 aufgeführten grundlegenden Cybersicherheitsanforderungen.

Die Rolle der Marktüberwachungsbehörde ist sinnvollerweise dem Bundesamt zuzuweisen, denn als Cybersicher heitsbehörde des Bundes verfügt es über die notwendige Fachkompetenz, um die Einhaltung der Cybersicher heitsanforderungen aus der Verordnung (EU) 2024/2847 effektiv zu überwachen. Ferner ist das Bundesamt seit Jahren vertrauter Ansprechpartner für die Wirtschaft in Cybersicherheitsfragen, unter anderem auch wegen seiner etablierten Funktion als Marktaufsicht im Rahmen des IT-Sicherheitskennzeichens und der Aufsicht über erteilte Cybersicherheitszertifikate.

Bei Produkten mit digitalen Elementen, die in den Anwendungsbereich der Verordnung (EU) 2024/2847 fallen und gemäß Artikel 6 der Verordnung (EU) 2024/1689 als Hochrisiko-KI-Systeme eingestuft sind, sind die für die Zwecke der Verordnung (EU) 2024/1689 benannten Marktüberwachungsbehörden auch für die nach der Verord nung (EU) 2024/2847 erforderlichen Marktüberwachungstätigkeiten zuständig. Das ergibt sich aus Artikel 52 Absatz 14 der Verordnung (EU) 2024/2847. Fällt ein Produkt unter beide Verordnungen, ist daher die Bundes netzagentur oder eine andere nach dem Gesetz zur Durchführung der Verordnung (EU) 2024/1689 benannte Marktüberwachungsbehörde auch für die Marktüberwachung nach der Verordnung (EU) 2024/2847 zuständig.

Zur Durchführung der Marktüberwachung stehen dem Bundesamt die in den Artikeln 52 bis Artikel 60 der Ver ordnung (EU) 2024/2847 sowie die im Marktüberwachungsgesetz (vgl. § 1 Absatz 1 MüG i. V. m. Artikel 2 Ab satz 1 der Verordnung (EU) 2019/2020 i. V. m. Anhang I Nummer 72 der Verordnung (EU) 2019/2020 und Ar tikel 52 Absatz 1 Verordnung (EU) 2024/2847) näher bestimmten Marktüberwachungsmaßnahmen zu.

Mit Blick auf das Verwaltungsverfahren und das -prozessrecht gelten die allgemeinen Regelungen des VwVfG und der VwGO. Insbesondere kann das Bundesamt im Einzelfall bei Vorliegen eines öffentlichen Interesses ge mäß § 80 Absatz 2 Satz 1 Nummer 4 VwGO die sofortige Vollziehung anordnen.

Absatz 2 regelt die Zusammenarbeit mit anderen Behörden, die in sektorspezifischen Bereichen die Marktüber wachung durchführen. Da ein Produkt sowohl in den Anwendungsbereich der Verordnung (EU) 2024/2847 als auch in den Anwendungsbereich einer weiteren in Anhang I der Verordnung (EU) 2019/1020 genannten Harmo nisierungsrechtsvorschriften fallen kann, ist es möglich, dass für ein Produkt mehrere Marktüberwachungsbehör den nebeneinander zuständig sind. Um die reibungslose und effektive Durchführung der jeweiligen Rechtsakte zu gewährleisten, bedarf es einer Regelung zur kooperativen und vertrauensvollen Zusammenarbeit zwischen den Behörden. Das Bundesamt arbeitet zudem kooperativ und vertrauensvoll mit weiteren relevanten Aufsichtsbehör

Drucksache 21/6134 Deutscher Bundestag – 21. Wahlperiode den zusammen, u. a. solche, die für die Aufsicht nach sektorspezifischen Regelwerken zur Cybersicherheit in anderen Wirtschaftssektoren zuständig sind, zum Beispiel mit den nach der Verordnung (EU) 2022/2554 zustän digen Behörden.

Für die Zusammenarbeit mit den nach § 2 KI-MIG zuständigen Marktüberwachungsbehörden gilt Absatz 2 hin gegen nicht, denn die Verordnung (EU) 2024/1689* ist in Anhang I der Verordnung (EU) 2019/1020 nicht ge nannt. Die Zusammenarbeit mit den nach § 2 KI-MIG zuständigen Marktüberwachungsbehörden und dem Bun desamt wird daher in § 10 Absatz 1 KI-MIG explizit geregelt.

Absatz 3 dient der Konkretisierung von Artikel 52 Absatz 11 Verordnung (EU) 2024/2847, wonach Marktüber wachungsbehörden Verbraucher gemäß Artikel 11 der Verordnung (EU) 2019/1020 darüber informieren sollen, wo Beschwerden einzureichen sind.

Mit Absatz 2 wird von der in Artikel 36 Absatz 2 der Verordnung (EU) 2024/2847 eröffneten Option Gebrauch gemacht, die Bewertung und Überwachung der Konformitätsbewertungsstellen grundsätzlich der nationale Ak kreditierungsstelle im Sinne der Verordnung (EG) Nr. 765/2008 zu übertragen.

Für die Akkreditierung gelten die Anforderungen der Verordnung (EG) Nr. 765/2008 und das Akkreditierungs stellengesetz.

Absatz 3 ermöglicht es dem Bundesamt, in Ausnahmefällen eine Konformitätsbewertungsstelle abweichend von Absatz 2 ohne Akkreditierungsurkunde notifizieren zu können. Dabei gelten für die Bewertung der Konformitäts bewertungsstelle die gleichen Anforderungen aus der Verordnung (EU) 2024/2847.

Voraussetzung ist, dass die Notifizierung im öffentlichen Interesse liegt. Die Notifizierung liegt insbesondere im öffentlichen Interesse, wenn aufgrund des Akkreditierungsverfahrens entgegen Artikel 35 Absatz 2 der Verord nung (EU) 2024/2847 keine ausreichende Zahl an notifizierten Stellen vorhanden ist. Dies kann zu einem Engpass bei dem Marktzugang von Produkten führen, die in den Anhängen 3 und 4 der Verordnung (EU) 2024/2847 als wichtige oder kritische Produkte kategorisiert werden. Für diese Produkte kann ausnahmsweise eine Konformi tätsprüfung durch eine Konformitätsbewertungsstelle verpflichtend vorgesehen sein. Die besonderen Anforde rungen an das Konformitätsbewertungsverfahren sind dadurch begründet, dass die wichtigen oder kritischen Pro dukte ausweislich Artikel 7 Absatz 2 der Verordnung (EU) 2024/2847 für ihre vernetzte Umgebung eine Schlüs selfunktion einnehmen. Sofern solche wichtigen oder kritischen Produkte nur begrenzt auf dem Markt verfügbar sind, kann daraus ein erhebliches Cybersicherheitsrisiko resultieren.

Absatz 4 schafft die Rechtsgrundlage, damit das Bundesamt neben der Notifizierung als Realakt den Konformi tätsbewertungsstellen eine entsprechende Befugnis unter Beachtung der Anforderungen aus Artikel 43 Absatz 5 der Verordnung (EU) 2024/2847 erteilen kann.

* Das Gesetz zur Durchführung der KI-Verordnung befindet sich noch im Parlament. Die Begründung muss ggfs. im laufenden Gesetzgebungs prozess angepasst werden.

Absatz 5 ermöglicht es dem Bundesamt, den gebundenen Verwaltungsakt der Befugniserteilung mit Nebenbe stimmungen zu erlassen.

Die Verordnung (EU) 2024/2847 stellt als erster Rechtsakt flächendeckend Cybersicherheitsanforderungen an Produkte mit digitalen Elementen und stellt damit die betroffenen Wirtschaftsakteure vor neuen Herausforderun gen. Um die Herausforderungen abzumildern und zeitgleich die Einhaltung der in der Verordnung (EU) 2024/2847 niedergelegten Anforderungen zu fördern, sieht die Verordnung (EU) 2024/2847 verschiedene Unter stützungsmaßnahmen für die betroffenen Wirtschaftsakteure, insbesondere kleine und mittlere Unternehmen, so wie für die Verwalter von quelloffener Software im Sinne des Artikels 3 Nummer 14 der Verordnung (EU) 2024/2847 vor. Die Durchführung der Unterstützungsmaßnahmen wird von dem Bundesamt übernommen. Dazu wird das Bundesamt die nach Artikel 33 Absatz 1 der Verordnung (EU) 2024/2847 vorgesehenen Sensibilisie rungs- und Schulungsmaßnahmen durchführen. Zusätzlich wird das Bundesamt ein Reallabor für Cyberresilienz nach Artikel 33 Absatz 2 der Verordnung (EU) 2024/2847 einrichten und betreiben, in dem Hersteller in kontrol lierter Prüfumgebung innovative Produkte vor Inverkehrbringen testen können, sofern dies im öffentlichen Inte resse liegt.

Da die Verordnung (EU) 2024/2847 selbst nicht das Verfahren für die Verhängung der Geldbuße regelt, bestimmt § 69 Absatz 2 Satz 1, dass die Vorschriften des OWiG grundsätzlich entsprechend gelten, und stellt dabei aus drücklich klar, dass dies auch für die über § 46 Absatz 1 OWiG sinngemäß anwendbaren Vorschriften der allge meinen Gesetze über das Strafverfahren gilt. Absatz 2 Satz 2 bestimmt, dass die Staatsanwaltschaft im Zwischen verfahren das Verfahren nur mit Zustimmung des Bundesamtes als Marktüberwachungsbehörde einstellen kann, die den Bußgeldbescheid erlassen hat. Hierdurch wird der Bedeutung der Geldbußen in der Verordnung (EU) 2024/2847 Rechnung getragen.

§ 70 Absatz 1 führt den bisherigen § 65 Absatz 10 fort und ergänzt die Vorschrift um die zuständige Verwaltungs behörde für Bußgeldverfahren unter der Verordnung (EU) 2024/2847.

Für Artikel 1 sind die Fristen aus der Verordnung (EU) 2024/2847 für das Inkrafttreten maßgeblich. Die Vor schriften über die Notifizierung gelten gemäß Artikel 71 Absatz 2 Satz 2 der Verordnung (EU) 2024/2847 bereits ab dem 11. Juni 2026. Die Vorschriften über die Meldepflicht gemäß Artikel 14 gelten ab dem 11. September 2026. Im Übrigen gelten die Vorschriften aus der Verordnung (EU) 2024/2847 gemäß Artikel 71 Absatz 2 Satz 1 der Verordnung (EU) 2024/2847 ab dem 11. Dezember 2027.

Im Sinne der erweiterten „One in, one out“-Regel der Bundesregierung stellt der jährliche Erfüllungsauf wand in diesem Regelungsvorhaben ein „In“ von 20,5 Mio. Euro dar.

KMU-Betroffenheit Insbesondere KMU sollen durch spezifische Sensibi lisierungs- und Schulungsmaßnahmen unterstützt werden.

Erwägungen zu anderen Lö sungsmöglichkeiten

Das Ressort hat u. a. geprüft, die bestehenden Markt überwachungsbehörden mit der Durchführung der Aufgaben aus der Cybersicherheits-Verordnung zu betrauen, dies jedoch aus nachvollziehbaren Grün den verworfen.

Die unmittelbar durch die EU-Verordnung geltenden Vorschriften werden durch die Europäische Kommis sion evaluiert. Diese legt dem Europäischen Parla ment und dem Rat bis zum 11. Dezember 2030 und danach alle vier Jahre einen Bericht über die Bewer tung und Überprüfung der Verordnung (EU) 2024/2847 vor.

Das Ressort hat Möglichkeiten zum digitalen Vollzug der Neuregelung (Digitaltauglichkeit) geprüft und hierzu einen Digitalcheck mit nachvollziehbarem Er gebnis durchgeführt.

Die Darstellung der Regelungsfolgen ist nachvollziehbar und methodengerecht. Der Natio nale Normenkontrollrat erhebt hiergegen im Rahmen seines gesetzlichen Auftrags keine Einwände. Er begrüßt die Bündelung der Marktüberwachung beim BSI und weist darauf hin, dass die Umsetzung von ausreichenden Personalkapazitäten für die Konformitätsbe wertungsstellen abhängt.

Das Regelungsvorhaben dient der Durchführung der Europäischen Cyberresilienz-Verord nung (CRA*). Dazu wird insbesondere das Bundesamt für Sicherheit in der Informationstech nik (BSI) als zuständige Marktüberwachungsbehörde sowie notifizierende Stelle benannt.

Die CRA enthält Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Dazu wird das sog. CE-Kennzeichen für das Inverkehrbringen von Produkten auf dem europäi schen Binnenmarkt erweitert. Zudem werden Hersteller verpflichtet, aktiv ausgenutzte Schwachstellen an das BSI zu melden.

Das Regelungsvorhaben benennt das BSI als zentrale Anlaufstelle für alle Fragen im Zusam menhang mit der EU-Cyberresilienz-Verordnung. Darunter fallen u. a. die Aufgaben als Mel destelle für Schwachstellen, die Marktüberwachung und Notifizierung, Unterstützung betroffe ner Wirtschaftsakteure sowie der Betrieb eines Reallabors.

Das Ressort schätzt methodengerecht und nachvollziehbar, dass dem BSI durch die Wahr nehmung dieser Aufgaben zusätzliche jährliche Personalkosten in Höhe von bis zu 14,5 Mio. Euro (ca. 141 Stellen) und jährliche Sachkosten in Höhe von bis zu rund 6 Mio. Euro insbe sondere für externe Dienstleister im Rahmen der Marktüberwachung entstehen.

Des Weiteren veranschlagt das Ressort einmaligen Erfüllungsaufwand in Höhe von rund 10 Mio. Euro, insbesondere für die Einrichtung des Reallabors für Cyberresilienz und die Notifi zierung von Konformitätsbewertungsstellen.

Im Sinne der erweiterten „One in, one out“-Regel der Bundesregierung stellt der Erfüllungs aufwand in diesem Regelungsvorhaben ein „In“ von insgesamt 21,5 Mio. Euro dar.