Pulse · Documents · Germany · Bundestag (Germany)

Law for the Implementation of Regulation (EU) 2024/2847 on Horizontal Cybersecurity Requirements for Products with Digital Elements (Cyber Resilience Regulation)

Gesetz zur Durchführung der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung)

law / bill 2026-05-01 1 448 401 characters versions: 4 Cybersecurity
No translation Download On the source site Original file
Current version. Last change recorded on 2026-09-17.

Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen

(Cyberresilienz-Verordnung)

Vom ...

Der Bundestag hat das folgende Gesetz beschlossen:

Artikel 1 — Änderung des BSI-Gesetzes

Das BSI-Gesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2), das durch Artikel 4 des Gesetzes vom 11. März 2026 (BGBl. 2026 I Nr. 66) geändert worden ist, wird wie folgt geändert:

1. Die Inhaltsübersicht wird wie folgt geändert:

a) Die Angabe zu Teil 8 wird durch die folgende Angabe ersetzt:

„Teil 8

Cybersicherheit von Produkten mit digitalen Elementen“.

b) Die Angabe zu § 65 wird durch die folgende Angabe ersetzt:

„§ 65 Marktüberwachung“.

c) Nach der Angabe zu § 65 wird die folgende Angabe hinzugefügt:

„§ 66 Notifizierung und Akkreditierung

§ 67 Unterstützung der betroffenen Wirtschaftsakteure

Teil 9

Bußgeldvorschriften

§ 68 Bußgeldvorschriften

§ 69 Anwendung der Vorschriften über das Bußgeld- und Strafverfahren

§ 70 Behörden

Teil 10

Anwendungsbestimmungen; Übergangsregelungen

§ 71 Anwendungsbestimmungen und Übergangsregelungen“.

2.§ 3 Absatz 1 Satz 2 wird wie folgt geändert:

a) In Nummer 29 wird die Angabe „Informationen.“ durch die Angabe „Informationen;“ ersetzt.

b) Nach Nummer 29 werden die folgenden Nummern 30 und 31 eingefügt:

30. „ Aufgaben und Befugnisse als zuständige Marktüberwachungsbehörde gemäß der Verordnung (EU) 2024/2847;

31. Aufgaben und Befugnisse als zuständige notifizierende Behörde gemäß der Verordnung (EU) 2024/2847.“

3.§ 5 Absatz 3 Satz 2 wird wie folgt geändert:

a) In Nummer 5 wird die Angabe „wahrzunehmen.“ durch die Angabe „wahrzunehmen;“ ersetzt.

b) Nach Nummer 5 wird die folgende Nummer 6 eingefügt:

6. „ seine Aufgaben als CSIRT gemäß der Verordnung (EU) 2024/2847 wahrzunehmen.“

4. In § 41 Absatz 2 wird die Angabe „mit dem in Absatz 1 genannten Bundesministerium“ durch die Angabe „mit dem in Absatz 1 für den jeweiligen Sektor genannten Bundesministerium sowie dem Auswärtigen Amt“ ersetzt.

5. Nach Teil 7 wird der folgende Teil 8 eingefügt:

„Teil 8

Cybersicherheit von Produkten mit digitalen Elementen

§ 65Marktüberwachung (1) Das Bundesamt ist die zuständige nationale Marktüberwachungsbehörde gemäß der Verordnung (EU) 2024/2847.

(2) Das Bundesamt arbeitet im Rahmen seiner Zuständigkeit mit Behörden, die durch Bundes- oder Landesrecht zu Marktüberwachungsbehörden zur Ausführung der in Anhang I der Verordnung (EU) 2019/1020 genannten Harmonisierungsrechtsvorschriften bestimmt wurden, sowie mit anderen Aufsichtsbehörden kooperativ und vertrauensvoll zusammen. Es teilt ihnen Beobachtungen und Feststellungen mit, die für die Erfüllung ihrer Aufgaben von Bedeutung sein können.

(3) Das Bundesamt richtet eine Beschwerdestelle ein, bei der Verbraucher Beschwerden einreichen können, die auf eine Nichteinhaltung der Verordnung (EU) 2024/2847 hindeuten. Betrifft die Beschwerde die Zuständigkeit einer Behörde, die durch Bundes- oder Landesrecht zur Marktüberwachungsbehörde zur Ausführung der in Anhang I der Verordnung (EU) 2019/1020 genannten Harmonisierungsrechtsvorschriften bestimmt wurde, so leitet das Bundesamt die Beschwerde der betreffenden Behörde entsprechend Absatz 2 weiter.

§ 66Notifizierung und Akkreditierung (1) Das Bundesamt ist die notifizierende Behörde gemäß der Verordnung (EU) 2024/2847.

(2) Die Bewertung und Überwachung von Konformitätsbewertungsstellen gemäß der Verordnung (EU) 2024/2847 obliegt der nationalen Akkreditierungsstelle im Sinne und im Einklang mit der Verordnung (EG) Nr. 765/2008. Die Akkreditierung kann unter Bedingungen oder Auflagen erteilt werden. Sie kann befristet oder mit dem Vorbehalt des Widerrufs erteilt sowie auch nachträglich um Auflagen ergänzt werden.

(3) Das Bundesamt kann abweichend von Absatz 2 die Bewertung von Konformitätsbewertungsstellen selbst durchführen, sofern an der Notifizierung der Konformitätsbewertungsstellen ein öffentliches Interesse besteht. In diesen Fällen obliegt dem Bundesamt auch die Überwachung dieser Konformitätsbewertungsstellen. § 3 Absatz 1 des Akkreditierungsstellengesetzes gilt entsprechend.

(4) Hat das Bundesamt aufgrund der Bewertung nach Absatz 2, belegt durch die Vorlage einer Akkreditierungsurkunde, oder aufgrund eigener Bewertung nach Absatz 3 festgestellt, dass eine Konformitätsbewertungsstelle die Anforderungen nach Artikel 39 der Verordnung (EU) 2024/2847 erfüllt, so erteilt sie dieser die Befugnis, Konformitätsbewertungen vorzunehmen und notifiziert diese nach Artikel 35 Absatz 1 der Verordnung (EU) 2024/2847 der Kommission und den anderen Mitgliedstaaten.

(5) Die Befugnis nach Absatz 4 kann unter Bedingungen oder Auflagen erteilt werden. Sie kann befristet oder mit dem Vorbehalt des Widerrufs erteilt werden sowie auch nachträglich um Auflagen ergänzt werden. Die Befugnis ist unter der aufschiebenden Bedingung zu erteilen, dass weder die Europäische Kommission noch ein anderer Mitgliedstaat Einwände nach Artikel 43 Absatz 5 der Verordnung (EU) 2024/2847 gegen die Notifizierung erheben.

§ 67Unterstützung der betroffenen Wirtschaftsakteure

Das Bundesamt unterstützt die betroffenen Wirtschaftsakteure, insbesondere kleine und mittlere Unternehmen, sowie Verwalter quelloffener Software bei der Erfüllung der Anforderungen der Verordnung (EU) 2024/2847. Die Unterstützung erfolgt insbesondere durch die folgenden Maßnahmen:

1. Durchführung spezifischer Sensibilisierungs- und Schulungsmaßnahmen für die Anwendung der Verordnung (EU) 2024/2847,

2. Einrichtung und Betrieb eines Reallabors für Cyberresilienz nach Artikel 33 Absatz 2 der Verordnung (EU) 2024/2847.“

6. Der bisherige Teil 8 wird zu Teil 9.

7. Der bisherige § 65 wird zu § 68 und wird wie folgt geändert:

a) Absatz 10 wird gestrichen.

b) Absatz 11 wird zu Absatz 10.

8. Nach § 68 werden die folgenden §§ 69 und 70 eingefügt:

§ 69 „

Anwendung der Vorschriften über das Bußgeld- und Strafverfahren (1) Für Verstöße nach Artikel 64 Absatz 2 bis 4 der Verordnung (EU) 2024/2847 gelten, soweit dieses Gesetz nichts anderes bestimmt, die Vorschriften des Gesetzes über Ordnungswidrigkeiten entsprechend. § 17 des Gesetzes über Ordnungswidrigkeiten, auch in Verbindung mit § 30 Absatz 3 des Gesetzes über Drucksache 21/6134 Deutscher Bundestag – 21. Wahlperiode

Ordnungswidrigkeiten, sowie § 30 Absatz 1 und 2 des Gesetzes über Ordnungswidrigkeiten sind nicht anzuwenden.

(2) Für Verfahren wegen eines Verstoßes nach Artikel 64 Absatz 2 bis 4 der Verordnung (EU) 2024/2847 gelten, soweit dieses Gesetz nichts anderes bestimmt, die Vorschriften des Gesetzes über Ordnungswidrigkeiten sowie der allgemeinen Gesetze über das Strafverfahren, namentlich der Strafprozessordnung und des Gerichtsverfassungsgesetzes, entsprechend. § 69 Absatz 4 Satz 2 des Gesetzes über Ordnungswidrigkeiten ist mit der Maßgabe anzuwenden, dass die Staatsanwaltschaft das Verfahren nur mit Zustimmung der Behörde, die den Bußgeldbescheid erlassen hat, einstellen kann.

§ 70Behörden (1) Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten ist

1. das Bundesministerium des Innern in den Fällen des § 68 Absatz 2 Nummer 11 sowie

2. das Bundesamt a) in den Fällen des § 68 Absatz 1, 2 Nummer 1 bis 10 und 12 bis 17, Absatz 3 und 4 und b) in den Fällen des Artikels 64 Absatz 2 bis 4 der Verordnung (EU) 2024/2847.

(2) Gegen Behörden und sonstige öffentliche Stellen im Sinne des § 2 Absatz 1 oder 2 des Bundesdatenschutzgesetzes werden in den Fällen des Artikels 64 Absatz 2 bis 4 der Verordnung (EU) 2024/2847 keine Geldbußen verhängt.“

9. Der bisherige Teil 9 wird zu Teil 10.

10. Der bisherige § 66 wird zu § 71.

Artikel 2 — Änderung des Telekommunikationsgesetzes

Das Telekommunikationsgesetz vom 23. Juni 2021 (BGBl. I S. 1858), das zuletzt durch Artikel 6 des Gesetzes vom 11. März 2026 (BGBl. 2026 I Nr. 66) geändert worden ist, wird wie folgt geändert:

§ 167 Absatz 1 Satz 1 wird wie folgt geändert:

1. In Nummer 1 wird die Angabe „Telekommunikationsdienste,“ durch die Angabe „Telekommunikationsdienste und“ ersetzt.

2. In Nummer 2 wird die Angabe „im Sinne von § 2 Nummer 23 Buchstabe c Doppelbuchstabe bb des BSI- Gesetzes“ gestrichen und wird die Angabe „werden, und“ durch die Angabe „werden.“ ersetzt.

3. Nummer 3 wird gestrichen.

Artikel 3 — Änderung des Energiewirtschaftsgesetzes

Das Energiewirtschaftsgesetz vom 7. Juli 2005 (BGBl. I S. 1970, 3621), das zuletzt durch Artikel 5 des Gesetzes vom 29. März 2026 (BGBl. 2026 I Nr. 84) geändert worden ist, wird wie folgt geändert:

§ 5c Absatz 6 wird wie folgt geändert:

1. Satz 1 wird durch den folgenden Satz ersetzt:

„Die Bundesnetzagentur bestimmt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik durch Festlegung nach § 29 Absatz 1 in einem Katalog für den Betrieb von Energieversorgungsnetzen und Energieanlagen, welche Komponenten kritische Komponenten oder welche Funktionen kritisch bestimmte Funktionen sind.“

2. In den Sätzen 3 und 4 wird jeweils die Angabe „§ 56 Absatz 7 des BSI-Gesetzes“ durch die Angabe „§ 56 Absatz 6 des BSI-Gesetzes“ ersetzt.

Artikel 4 — Inkrafttreten

(1) Die Artikel 2 und 3 treten am Tag nach der Verkündung in Kraft.

(2) In Artikel 1 treten § 3 Absatz 1 Satz 2 Nummer 30 und 31 und § 66 des BSI-Gesetzes am 11. Juni 2026 in Kraft.

(3) In Artikel 1 treten § 5 Absatz 3 Satz 2 Nummer 5 und 6 des BSI-Gesetzes am 11. September 2026 in Kraft.

(4) Im Übrigen tritt dieses Gesetz am 11. Dezember 2027 in Kraft.

EU-Rechtsakte:

1. Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung) (ABl. L, 2024/2847, 20.11.2024; 2025/90555, 2.7.2025; 2025/90828, 17.10.2025), die zuletzt durch die Verordnung (EU) 2025/327 vom 11. Februar 2025 (ABl. L, 2025/327, 5.3.2025) geändert worden ist

2. Verordnung (EU) 2019/1020 des Europäischen Parlaments und des Rates vom 20. Juni 2019 über Marktüberwachung und die Konformität von Produkten sowie zur Änderung der Richtlinie 2004/42/EG und der Verordnungen (EG) Nr. 765/2008 und (EU) Nr. 305/2011 (ABl. L 169 vom 25.6.2019, S. 1; L, 2024/90589, 1.10.2024), die zuletzt durch die Verordnung (EU) 2024/1252 vom 11. April 2024 (ABl. L, 2024/1252, 3.5.2024) geändert worden ist

Drucksache 21/6134 Deutscher Bundestag – 21. Wahlperiode