Законопроект о регулировании токенизации активов 2026 года, Bill No. XXX of 2026

Bundesrat Drucksache

01.05.26 BRFuss

Gesetzentwurf der Bundesregierung

Entwurf eines Gesetzes zur Durchführung der Verordnung

(EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung)

A. Problem und Ziel

Am 10. Dezember 2024 ist die Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung) in Kraft getreten.

Die Verordnung (EU) 2024/2847 stellt erstmals horizontal verpflichtende Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen auf und erweitert das bekannte CE-Kennzeichen um den Aspekt der Cybersicherheit. Künftig müssen Produkte mit digitalen Elementen den in der Verordnung (EU) 2024/2847 festgelegten Mindestanforderungen an die Cybersicherheit genügen, wenn sie auf dem europäischen Binnenmarkt in den Verkehr gebracht werden. Hersteller werden ferner verpflichtet, aktiv ausgenutzte Schwachstellen zu melden.

Die Regelungen der Verordnung (EU) 2024/2847 gelten grundsätzlich unmittelbar und werden ab dem 11. Juni 2026 zeitlich gestaffelt wirksam, bis die Regelungen ab dem 11. Dezember 2027 vollends wirken.

Zur Durchführung der Verordnung (EU) 2024/2847 muss jeder Mitgliedstaat mindestens eine Marktüberwachungsbehörde und eine notifizierende Behörde einrichten. Im Übrigen sollen die Mitgliedstaaten Unterstützungsmaßnahmen für die betroffenen Wirtschaftsakteure ergreifen, insbesondere für kleine und mittlere Unternehmen. Zudem bedürfen die Vorschriften über Sanktionen, die bei Verstößen gegen die Verordnung (EU) 2024/2847 zu verhängen sind, ergänzende Verfahrensregelungen.

B. Lösung

Der vorliegende Gesetzesentwurf dient der Durchführung der Verordnung (EU) 2024/2847. Artikel 1 schafft die Rechtsgrundlage, damit das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Marktüberwachungsbehörde und als notifizierende Behörde unter der Verordnung (EU) 2024/2847 tätig werden kann. Zusätzlich werden im Sinne des Koalitionsvertrages für die 21. Legislaturperiode, Zeile 285 f., Unterstützungsmaßnahmen für die von der Verordnung (EU) 2024/2847 betroffenen Wirt- Fristablauf: 12.06.26 besonders eilbedürftige Vorlage gemäß Artikel 76 Absatz 2 Satz 4 GG schaftsakteure ergriffen und die erforderlichen Vorschriften für das Bußgeldverfahren erlassen.

C. Alternativen

Keine.

D. Haushaltsausgaben ohne Erfüllungsaufwand

Durch das gestaffelte Wirksamwerden der Verpflichtungen aus der Verordnung (EU) 2024/2847 kommen auf das BSI aufgrund dieses Gesetzes laufend neue Fachaufgaben hinzu. Außerdem werden jedes Jahr neue Produkte mit digitalen Elementen in den Verkehr gebracht, wodurch die Anzahl der Produkte, die das BSI als Marktüberwachungsbehörde auf ihre Konformität hin überprüft, stetig ansteigt. Aus diesem Grund werden die Haushaltsausgaben für das BSI bis 2029 sukzessive ansteigen.

Der Personalmehrbedarf beim BSI für die Wahrnehmung der nach diesem Gesetz zugewiesenen Aufgaben beläuft sich bis zum Jahr 2029 dauerhaft auf insgesamt 141 Planstellen / Stellen. Davon entfallen 68 Stellen auf die Wertigkeit des höheren Dienstes, 54 Stellen auf die Wertigkeit des gehobenen Dienstes und 19 Stellen auf die Wertigkeit des mittleren Dienstes.

Zusätzlich entstehen einmalige Sachkosten in Höhe von 10 Millionen Euro. Diese entstehen insbesondere für die Einrichtung eines Reallabors. Laufende jährliche Sachkosten in Höhe von 8,1 Millionen Euro entstehen insbesondere für die Beauftragung externer Dienstleister, die im Rahmen der Marktüberwachung tätig werden sollen.

Der Mehrbedarf an Sach- und Personalmitteln sowie an Planstellen und Stellen für BSI soll im Einzelplan 06 ausgeglichen werden.

E. Erfüllungsaufwand

Die Verpflichtungen für die Wirtschaft und die Bürgerinnen und Bürger ergeben sich aus der unmittelbar geltenden Verordnung (EU) 2024/2847. Mit diesem Durchführungsgesetz werden keine neuen Verpflichtungen geschaffen, sondern lediglich die zuständigen Behörden benannt und deren Zusammenarbeit geregelt. Ein Erfüllungsaufwand für Bürgerinnen und Bürger und die Wirtschaft ergibt sich daher aus diesem Gesetz nicht.

E.1 Erfüllungsaufwand für Bürgerinnen und Bürger

Siehe Ausführungen unter E.

E.2 Erfüllungsaufwand für die Wirtschaft

Siehe Ausführungen unter E.

E.3 Erfüllungsaufwand der Verwaltung

Für die Verwaltung entsteht durch die gesetzliche Änderung ein laufender Erfüllungsaufwand in Höhe von ca. 20,5 Millionen Euro und ein einmaliger Erfüllungsaufwand in Höhe von ca. 10 Millionen Euro auf Ebene der Bundesverwaltung.

F. Weitere Kosten

Keine.

Bundesrat

Drucksache

01.05.26BRFuss

In - DS

Gesetzentwurf der Bundesregierung

Entwurf eines Gesetzes zur Durchführung der Verordnung

(EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung)

Bundesrepublik Deutschland

Berlin, 1. Mai 2026

Der Bundeskanzler

An den Präsidenten des Bundesrates

Herrn Bürgermeister

Dr. Andreas Bovenschulte

Sehr geehrter Herr Bundesratspräsident, hiermit übersende ich gemäß Artikel 76 Absatz 2 Satz 4 des Grundgesetzes den von der Bundesregierung beschlossenen

Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen

Elementen (Cyberresilienz-Verordnung)

mit Begründung und Vorblatt.

Der Gesetzentwurf ist besonders eilbedürftig, da die europäischen Vorschriften über die Notifizierung von Konformitätsbewertungsstellen bereits ab dem 11. Juni 2026 gelten. Um ein Vertragsverletzungsverfahren abzuwenden, ist es unabdingbar als

Bundesregierung jede Form der beschleunigten Verfahrensbehandlung nachzuweisen.

Fristablauf: 12.06.26 besonders eilbedürftige Vorlage gemäß Artikel 76 Absatz 2 Satz 4 GG

Federführend ist das Bundesministerium des Innern.

Die Stellungnahme des Nationalen Normenkontrollrates gemäß § 6 Absatz 1 NKRG ist als Anlage beigefügt.

Mit freundlichen Grüßen

Friedrich Merz

Begründung

A. Allgemeiner Teil

I.Zielsetzung und Notwendigkeit der Regelungen

Am 10. Dezember 2024 ist die Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung) in Kraft getreten.

Die Verordnung (EU) 2024/2847 stellt erstmals horizontal verpflichtende Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen auf und erweitert das bekannte CE-Kennzeichen um den Aspekt der Cybersicherheit. Künftig müssen Produkte mit digitalen Elementen den in der Verordnung (EU) 2024/2847 festgelegten Mindestanforderungen an die Cybersicherheit genügen, wenn sie auf dem europäischen Binnenmarkt in den Verkehr gebracht werden. Hersteller werden ferner verpflichtet, aktiv ausgenutzte Schwachstellen zu melden.

Die Regelungen der Verordnung (EU) 2024/2847 gelten grundsätzlich unmittelbar und werden ab dem 11. Juni 2026 zeitlich gestaffelt wirksam, bis die Regelungen ab dem 11. Dezember 2027 vollends wirken.

Zur Durchführung der Verordnung (EU) 2024/2847 muss jeder Mitgliedstaat mindestens eine Marktüberwachungsbehörde und eine notifizierende Behörde einrichten.

Die Marktüberwachungsbehörde gemäß Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 überwacht die Einhaltung der in der Verordnung (EU) 2024/2847 niedergelegten Cybersicherheitsanforderungen. Dazu kann sie Marktüberwachungsmaßnahmen ergreifen, die in der Verordnung (EU) 2024/2847 und in der Verordnung (EU) 2019/1020 vorgesehen sind.

Die notifizierende Behörde ist gemäß Artikel 36 der Verordnung (EU) 2024/2847 für die Einrichtung und Durchführung der erforderlichen Verfahren zur Bewertung, Benennung und Notifizierung von Konformitätsbewertungsstellen zuständig. Der notifizierenden Behörde obliegt zudem die Überwachung der notifizierten Konformitätsbewertungsstellen. Die Verordnung (EU) 2024/2847 räumt den Mitgliedstaaten die Möglichkeit ein, dass sie die Bewertung und Benennung der Konformitätsbewertungsstellen von einer nationalen Akkreditierungsstelle im Sinne der Verordnung (EG) Nr. 765/2008 durchführen lassen.

Zudem wird der Auftrag aus dem Koalitionsvertag für die 21. Legislaturperiode, Zeile 285 f., Unternehmen bei der Umsetzung der Cyberresilienz-Verordnung zu unterstützen, aufgegriffen, indem der Gesetzesentwurf konkrete Unterstützungsmaßnahmen für die betroffenen Wirtschaftsakteure vorsieht.

Im Übrigen bedürfen die Vorschriften über Sanktionen, die bei Verstößen gegen die Verordnung (EU) 2024/2847 zu verhängen sind, ergänzende Verfahrensvorschriften.

II.Wesentlicher Inhalt des Entwurfs

Der vorliegende Gesetzesentwurf dient der Durchführung der Verordnung (EU) 2024/2847. Mit Artikel 1 wird die notwendige nationale Rechtsgrundlage geschaffen, damit das BSI als

Marktüberwachungsbehörde und als notifizierende Behörde unter der Verordnung (EU) 2024/2847 tätig werden kann. Es werden Unterstützungsmaßnahmen getroffen, welche das BSI den von der Verordnung (EU) 2024/2847 betroffenen Wirtschaftsakteure anbieten wird. Ferner werden die erforderlichen Vorschriften für das Bußgeldverfahren erlassen.

III.Exekutiver Fußabdruck

Es haben weder Interessenvertreter noch beauftragte Dritte wesentlich zum Inhalt des Entwurfs beigetragen.

IV.Alternativen

Da die Mitgliedstaaten die Verordnung (EU) 2024/2847 durchführen müssen, besteht keine Alternative zum Erlass dieses Gesetzes. Lediglich hinsichtlich der konkreten Ausgestaltung bestehen Alternativen, die geprüft und abgelehnt wurden. So könnte die Marktüberwachung unter der Verordnung (EU) 2024/2847 nicht zentral durch das BSI, sondern durch die bereits bestehenden sektoralen Marktüberwachungsbehörden übernommen werden. Allerdings verfügt das BSI als Cybersicherheitsbehörde des Bundes über die notwendige Fachkompetenz, um die Cybersicherheitsanforderungen aus der Verordnung (EU) 2024/2847 effektiv zu überwachen. Die sektoralen Marktüberwachungsbehörden, die bisher wenig bis keine Berührungspunkte mit der Überwachung von Cybersicherheitsanforderungen hatten, müssten diese Expertise erst jahrelang aufbauen, was insbesondere mit Blick auf den Fachkräftemangel im IT-Bereich kaum möglich erscheint und nicht ressourcenschonend ist.

V.Gesetzgebungskompetenz

Die Gesetzgebungskompetenz des Bundes für Artikel 1 (Änderung des BSI-Gesetzes) beruht auf Artikel 74 Absatz 1 Nummer 11 GG (Recht der Wirtschaft) in Verbindung mit Artikel 72 Absatz 2 GG sowie für die Bußgeldvorschriften auf Artikel 74 Absatz 1 Nummer 1 (Strafrecht) GG. Das vorliegende Gesetz dient der Durchführung der Verordnung (EU) 2024/2847, die im Schwerpunkt als Produktregulierung wirtschaftsbezogene Anforderungen enthält. Eine bundesgesetzliche Regelung ist zur Wahrung der Rechts- und Wirtschaftseinheit im gesamtstaatlichen Interesse erforderlich (Artikel 72 Absatz 2 GG). Eine Regelung durch die Landesgesetzgeber würde zu erheblichen Nachteilen für die Gesamtwirtschaft führen, die sowohl im Interesse des Bundes als auch der Länder nicht hingenommen werden können. Insbesondere wäre zu befürchten, dass unterschiedliche landesrechtliche Behandlungen von etwaigen Verstößen gegen die in der Verordnung (EU) 2024/2847 niedergelegten Cybersicherheitsanforderungen zu erheblichen Wettbewerbsverzerrungen und gleicher Lebenssachverhalte, z.B. unterschiedliche erhebliche Wettbewerbsverzerrungen und störende Schranken für die länderübergreifende Wirtschaftstätigkeit zur Folge hätten.

Die ausschließliche Gesetzgebungskompetenz des Bundes für Artikel 2 (Änderung des Telekommunikationsgesetzes) beruht auf Artikel 73 Absatz 1 Nummer 7 GG (Telekommunikation).

Die Gesetzgebungskompetenz des Bundes für Artikel 3 (Änderung des Energiewirtschaftsgesetzes), die den rein technischen Schutz der Informationstechnik von und für kritische Komponenten betreffen, folgt der Gesetzgebungskompetenz des Bundes aus Artikel 74 Absatz 1 Nummer 11 GG (Recht der Wirtschaft einschließlich gefahrenabwehrrechtlicher Annexkompetenz) in Verbindung mit Artikel 72 Absatz 2 GG. Eine bundesgesetzliche Regelung ist zur Wahrung der Rechts- und Wirtschaftseinheit im gesamtstaatlichen Interesse erforderlich. Die Festlegung kritischer Komponenten muss bundeseinheitlich erfolgen, um regionale Unterscheide im Cybersicherheitsniveau bei dem Betrieb von Energieversorgungsnetzen und Energieanlagen zu verhindern.

VI.Vereinbarkeit mit dem Recht der Europäischen Union und völkerrechtlichen

Verträgen

Das vorliegende Gesetz ist mit dem Recht der Europäischen Union und mit völkerrechtlichen Verträgen, die die Bundesrepublik abgeschlossen hat, vereinbar. Es dient der Durchführung der Verordnung (EU) 2024/2847.

VII.Gesetzesfolgen

Die wesentlichen Gesetzesfolgen ergeben sich aus der unmittelbar anwendbaren Verordnung (EU) 2024/2847. Das vorliegende Gesetz regelt nur dessen Durchführung.

1.Rechts- und Verwaltungsvereinfachung

Es werden keine bestehenden Regelungen vereinfacht oder aufgehoben. Allerdings verfolgt der Gesetzesentwurf das Ziel, den Verwaltungs- und Bürokratieaufwand für die nationale Durchführung der Verordnung (EU) 2024/2847 auf Seiten der Verwaltung und der Wirtschaft so gering wie möglich zu halten. Insbesondere mit Blick auf eine schlanke Verwaltungsstruktur siedelt das Gesetz eine zentrale Marktüberwachungsbehörde beim BSI an, anstelle die Marktüberwachung auf eine Vielzahl von sektoralen Marktüberwachungsbehörden zu übertragen.

2.Nachhaltigkeitsaspekte

Der Gesetzentwurf steht im Einklang mit dem Leitgedanken der Bundesregierung zur nachhaltigen Entwicklung im Sinne der Deutschen Nachhaltigkeitsstrategie, die der Umsetzung der UN-Agenda 2030 für nachhaltige Entwicklung der Vereinten Nationen dient.

Er leistet einen Beitrag zur Verwirklichung des Nachhaltigkeitsziels 12 „Nachhaltige/r Konsum und Produktion“. Die Stärkung der Cybersicherheit von Produkten mit digitalen Elementen sieht u.a. vor, dass für die zu erwartenden Produktlebensdauer Sicherheitsaktualisierungen durch den Hersteller bereitgestellt werden müssen. Dies kann dazu führen, dass Produkte mit digitalen Elementen insgesamt länger genutzt werden.

Im Sinne des systemischen Zusammendenkens der Nachhaltigkeitsziele leistet der Entwurf gleichzeitig einen Beitrag für Ziel 16 „Frieden, Gerechtigkeit und starke Institutionen“. Der Entwurf fördert die Erreichung dieser Zielvorgabe, indem die Cybersicherheit von Produkten mit digitalen Elementen gestärkt wird und dadurch jene Produkte schwieriger für kriminelle Aktivitäten missbraucht werden können.

Damit berücksichtigt der Entwurf die Querverbindungen zwischen den Zielen für nachhaltige Entwicklung und deren integrierenden Charakter, der für die Erfüllung von Ziel und Zweck der UN-Agenda 2030 von ausschlaggebender Bedeutung ist und folgt der Deutschen Nachhaltigkeitsstrategie 2021.

3.Haushaltsausgaben ohne Erfüllungsaufwand

Durch das gestaffelte Wirksamwerden der Verpflichtungen aus der Verordnung (EU) 2024/2847 kommen auf das BSI aufgrund dieses Gesetzes laufend neue Fachaufgaben hinzu. Außerdem werden jedes Jahr neue Produkte mit digitalen Elementen in den Verkehr gebracht, wodurch die Anzahl der Produkte, die das BSI als Marktüberwachungsbehörde auf ihre Konformität hin überprüft, stetig ansteigt. Aus diesem Grund werden auch die Haushaltsausgaben für BSI bis 2029 sukzessive ansteigen.

Der Personalmehrbedarf beim BSI für die Wahrnehmung der nach diesem Gesetz zugewiesenen Aufgaben beläuft sich bis zum Jahr 2029 dauerhaft auf insgesamt 141 Planstellen / Stellen. Davon entfallen 68 Stellen auf die Wertigkeit des höheren Dienstes, 54 Stellen auf die Wertigkeit des gehobenen Dienstes und 19 Stellen auf die Wertigkeit des mittleren Dienstes.

Der errechnete Stellenmehrbedarf wächst aufgrund zunehmender neuer Aufgaben aufgrund dieses Gesetzes bis 2029 wie folgt auf:

hD gD

Gesamt:

Hieraus resultieren voraussichtlich folgende jährliche Personalkosten:

In TEUR hD 4 903 5 657 7 040 8 549 gD 3 509 3 509 3 948 4 737

1 077 1 076 1 076 1 279

Gesamt: 9 489 10 243 12 064 14 565

Zudem entstehen voraussichtlich folgende Kosten jährlich:

In TEUR

Sacheinzelkosten 3 253 3 459 4 007 4 829

Gemeinkosten 3 746 4 029 4 725 5 702

Die Kosten wurden auf Grundlage des Rundschreibens für Wirtschaftlichkeitsuntersuchungen und Kostenberechnungen des Bundesministeriums der Finanzen vom 23. Juni 2025 (Gz.: II A 3 – H 1012/00236/007/015) ermittelt.

Zusätzlich fallen einmalige Sachkosten in Höhe von 10 000 000 Euro an. Diese entstehen insbesondere für die Einrichtung des Reallabors. In dem Reallabor können Hersteller innovative Produkte vor Inverkehrbringen in einer kontrollierten Prüfumgebung testen. Laufende jährliche Sachkosten in Höhe von 8 100 000 Euro entstehen insbesondere für die Beauftragung externer Dienstleister, die im Rahmen der Marktüberwachung tätig werden sollen.

Der Mehrbedarf an Sach- und Personalmitteln sowie an Planstellen und Stellen für BSI soll im Einzelplan 06 ausgeglichen werden.

4.Erfüllungsaufwand

4.1. Erfüllungsaufwand für Bürgerinnen und Bürger

Für die Bürgerinnen und Bürger entsteht durch das geplante Regelungsvorhaben kein zusätzlicher Erfüllungsaufwand.

4.2. Erfüllungsaufwand für die Wirtschaft

Für die Wirtschaft entsteht durch das geplante Regelungsvorhaben kein zusätzlicher Erfüllungsaufwand.

4.3. Erfüllungsaufwand der Verwaltung

lfd. Nr.

Norm; Bezeichnung der Vorgabe

Ebene Fallzahl

Jährlicher

Aufwand pro Fall in Euro

Jährlicher Erfüllungsa ufwand in Tsd. Euro

Fallzahl

Einmaliger Aufwand pro

Fall in Euro

Einmaliger Erfüllungsaufwand in

Tsd. Euro

4.3.1§ 5 Absatz

3 Satz 2 Nummer 6

BSIG-E; Meldestelle für Schwachst ellen

Bund 4 078 240 4 078

4.3.2§ 65 Absatz 1

BSIG-E; Marktüber wachung durch BSI

Bund 7 273 280 7 273

4.3.3§ 65 Absatz 3

BSIG-E; Einrichtung einer Beschwerd estelle im BSI

Bund 355 200

4.3.4§ 66 Absatz 1 uns 4 BSIG-E; Notifizierun g von Stellen durch das BSI

Bund 4 852 480 4 852 2 500 000 2 500,00

4.3.5§ 66 Absatz 3

BSIG-E; Bewertung und Überprüfun g der Konformitä tsbewertun gsstelle durch BSI

Bund 1 136 640 1 137 lfd. Nr.

Norm; Bezeichnung der Vorgabe

Ebene Fallzahl

Jährlicher

Aufwand pro Fall in Euro

Jährlicher Erfüllungsa ufwand in Tsd. Euro

Fallzahl

Einmaliger Aufwand pro

Fall in Euro

Einmaliger Erfüllungsaufwand in

Tsd. Euro

4.3.6§ 67 Nummer 1

BSIG-E; Unterstütz ung der betroffenen Wirtschafts akteure

Bund 1 281 440 1 281

4.3.7§ 67 Nummer 2

BSIG-E;

Betrieb eines Reallabors für Cyberresili enz

Bund 1 355 200 1 355 7 500 000 7 500,00

4.3.8§ 68 Absatz 5

BSIG-E; Durchführu ng von Ordnungs widrigkeits verfahren

Bund 213 120

Summe (in Tsd. Euro)

20 546 10 000,00 davon Bund

20 546 10 000,00 davon Land (inklusive Kommune n)

0,00

0,00

Vorgabe 4.3.1: Entgegennahme und Bearbeitung von Meldungen über aktiv ausgenutzte Schwachstellen und schwerwiegenden Sicherheitsvorfällen; § 5 Absatz

3 Nummer 6 BSIG-E

Das BSI soll als CSIRT zukünftig gemäß § 5 Absatz 3 Satz 2 Nummer 6 BSIG-E die Meldungen von aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen nach den Vorgaben der Verordnung (EU) 2024/2847 entgegennehmen und bearbeiten. Es wird angenommen, dass das BSI im Durchschnitt 2 000 Meldungen entgegennehmen wird. Es wird angenommen, dass bei einem Bearbeitungsaufwand von ca. 45 Stunden je Meldung zur jährlichen Aufgabenerfüllung ca. 89 600 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Jährlich fallen Sachkosten in Höhe von 100 000 Euro für die Unterstützung zur Nutzung der einheitlichen Meldeplattform an. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich ein laufender Erfüllungsaufwand in Höhe von 4 078 000 Euro auf Ebene des Bundes.

Vorgabe 4.3.2: Marktüberwachung durch das BSI; § 65 Absatz 1 BSIG-E

Das BSI soll zukünftig gemäß § 65 Absatz 1 BSIG-E die Aufgabe der Marktüberwachung nach den Vorgaben der Verordnung (EU) 2024/2847 wahrnehmen. Es wird angenommen, dass zur jährlichen Aufgabenerfüllung ca. 51 200 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Zusätzlich fallen jährlich Sachkosten für externe Dienstleister in Höhe von ca. 5 000 000 Euro an. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich in Summe ein laufender Erfüllungsaufwand in Höhe von 7 273 000 Euro auf Ebene des Bundes.

Vorgabe 4.3.3: Einrichtung einer Beschwerdestelle im BSI; § 65 Absatz 3 BSIG-E

Das BSI soll zukünftig gemäß § 65 Absatz 3 BSIG-E eine Beschwerdestelle im Rahmen der Marktüberwachung nach den Vorgaben der Verordnung (EU) 2024/2847 einrichten. Es wird angenommen, dass zur jährlichen Aufgabenerfüllung ca. 8 000 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich ein laufender Erfüllungsaufwand in Höhe von 355 000 Euro auf Ebene des Bundes.

Vorgabe 4.3.4: Notifizierung von Konformitätsbewertungsstellen durch BSI; § 66 Absatz 1 und 4 BSIG-E

Das BSI soll zukünftig gemäß § 66 Absatz 1 und 4 BSIG-E die Aufgabe der Notifizierung von Konformitätsbewertungsstellen nach den Vorgaben der Verordnung (EU) 2024/2847 wahrnehmen. Es wird angenommen, dass zur jährlichen Aufgabenerfüllung ca. 19 200 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Zusätzlich fallen Sachkosten in Höhe von ca. 4 000 000 Euro an. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich in Summe ein laufender Erfüllungsaufwand in Höhe von 4 852 000 Euro und ein einmaliger Erfüllungsaufwand in Höhe von 2 500 000 Euro auf Ebene des Bundes.

Vorgabe 4.3.5: § 66 Absatz 3 BSIG-E; Bewertung und Überprüfung der Konformitätsbewertungsstelle durch BSI

Das BSI soll zukünftig gemäß § 66 Abs. 3 BSIG-E auch Konformitätsbewertungsstellen in Ausnahmefällen ohne Akkreditierung bewerten und überwachen. Es wird angenommen, dass zur jährlichen Aufgabenerfüllung ca. 25 600 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich in Summe ein laufender Erfüllungsaufwand in Höhe von 1 137 000 Euro auf Ebene des Bundes.

Vorgabe 4.3.6: Unterstützung der betroffenen Wirtschaftsakteure durch Durchführung spezifischer Sensibilisierungs- und Schulungsmaßnahmen; § 67 Satz 2 Nummer 1 BSIG-E

Das BSI soll zukünftig gemäß § 67 Satz 2 Nummer 1 BSIG-E insbesondere kleine und mittlere Unternehmen der betroffenen Wirtschaftsakteure bei der Erfüllung der Anforderungen der Verordnung (EU) 2024/2847 unterstützen. Es wird angenommen, dass zur jährlichen Aufgabenerfüllung ca. 17 600 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Weiter wird angenommen, dass zusätzlich jährliche Sachkosten von 500 000 Euro für externe Dienstleistungen anfallen. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich ein laufender Erfüllungsaufwand in Höhe von 1 281 000 Euro auf Ebene des Bundes.

Vorgabe 4.3.7: Betrieb eines Reallabors für Cyberresilienz; § 67 Satz 2 Nummer 2

BSIG-E

Das BSI soll zukünftig gemäß § 67 Satz 2 Nummer 2 BSIG-E ein Reallabor für Cyberresilienz zur Unterstützung betroffener Wirtschaftsakteure betreiben. Es wird angenommen, dass zur jährlichen Aufgabenerfüllung ca. 8 000 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Zusätzlich fallen jährlich Sachkosten für externe Dienstleister in Höhe von ca. 1 000 000 Euro an und einmalige Sachkosten in Höhe von 7 500 000 Euro. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich in Summe ein laufender Erfüllungsaufwand in Höhe von 1 355 200 Euro und ein einmaliger Erfüllungsaufwand in Höhe von 7 500 000 Euro auf Ebene des Bundes.

Vorgabe 4.3.8: Durchführung von Ordnungswidrigkeitsverfahren; § 68 Absatz 5

BSIG-E

Das BSI soll zukünftig gemäß § 70 Absatz 1 Nummer 2 BSIG-E Ordnungswidrigkeitsverfahren nach den Vorgaben der Verordnung (EU) 2024/2847 durchführen. Es wird angenommen, dass zur jährlichen Aufgabenerfüllung ca. 4 800 Stunden über die verschiedenen Laufbahngruppen notwendig sind. Unter der Berücksichtigung des durchschnittlichen Lohnsatzes für die Bundesverwaltung in Höhe von 44,40 Euro pro Stunde ergibt sich ein laufender Erfüllungsaufwand in Höhe von 213 000 Euro auf Ebene des Bundes.

5.Weitere Kosten

Dieses Gesetz dient der Durchführung der Verordnung (EU) 2024/2847. Durch das Durchführungsgesetz entstehen keine Kosten, die über die durch die Verordnung (EU) 2024/2847 entstehenden Kosten hinausgehen.

6.Weitere Gesetzesfolgen

Aus dem Gesetzesvorhaben ergeben sich keine über die Verordnung (EU) 2024/2847 hinausgehenden Gesetzesfolgen.

VIII.Befristung; Evaluierung

Eine Befristung ist nicht vorgesehen, da es sich um ein Gesetz zur Durchführung einer europäischen Verordnung handelt, die unbefristet gilt. Eine Evaluierung ist in der zu Grunde liegenden Verordnung (EU) 2024/2847 in Artikel 70 vorgesehen. Demnach legt die Kommission dem Europäischen Parlament und dem Rat bis zum 11. Dezember 2030 und danach alle vier Jahre einen Bericht über die Bewertung und Überprüfung der Verordnung (EU) 2024/2847 vor. Soweit sich daraus relevante Änderungen ergeben sollten, ist dieses Durchführungsgesetz entsprechend anzupassen.

B. Besonderer Teil

Zu Artikel 1 (Änderung des BSI-Gesetzes)

Zu Nummer 1

Es handelt sich um Aktualisierungen des Inhaltsverzeichnisses, die aufgrund des Änderungsgesetzes notwendig sind.

Zu Nummer 2

Zu Buchstabe a Die Änderung ist erforderlich aufgrund der Einfügung der neuen Nummern 30 und 31 in § 3 Absatz 1 Satz 2.

Zu Buchstabe b

Mit Buchstabe b werden die Aufgaben des Bundesamtes um die Marktüberwachung und um die Notifizierung im Rahmen der Verordnung (EU) 2024/2847 als neue Nummern 30 und 31 ergänzt.

Zu Nummer 3

Zu Buchstabe a Die Änderung ist erforderlich aufgrund der Einfügung der neuen Nummer 6 in § 5 Absatz 3 Satz 2.

Zu Buchstabe b

Die Änderung dient der Klarstellung, dass das Bundesamt als CSIRT, das gemäß Artikel 12 Absatz 1 der Richtlinie (EU) 2022/2555 als Koordinator bestimmt wurde, entsprechend Artikel 3 Nummer 51 der Verordnung (EU) 2024/2847 künftig zusätzlich die Aufgaben des CSIRT unter der Verordnung (EU) 2024/2847 übernimmt. Dazu zählt insbesondere die Entgegennahme und Bewertung von Meldungen aktiv ausgenutzter Schwachstellen und schwerwiegenden Sicherheitsvorfällen, welche die Hersteller gemäß Artikel 14 Absatz 1 und 2 der Verordnung (EU) 2024/2847 melden müssen.

Zu Nummer 4

Es handelt sich um eine redaktionelle Anpassung.

Zu Nummer 5

Mit der Nummer 4 wird der bisherige Teil 8 ersetzt. In Teil 8 werden die aus der Verordnung (EU) 2024/24 resultierenden Aufgaben der Marktüberwachung und Notifizierung dem Bundesamt zugewiesen und die Zusammenarbeit des Bundesamtes mit weiteren Behörden geregelt. Ferner werden konkrete Unterstützungsmaßnahmen für die betroffenen Wirtschaftsakteure, die durch das Bundesamt zu leisten sind, festgelegt.

Zu § 65 (Marktüberwachung)

§ 65 dient der Festlegung der nationalen Marktüberwachungsbehörde unter der Verordnung (EU) 2024/2847.

Zu Absatz 1

Das Bundesamt übernimmt nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 die Marktüberwachung unter der Verordnung (EU) 2024/2847.

Die Marktüberwachungsbehörde überwacht die Konformität der Produkte mit digitalen Elementen, die in den Anwendungsbereich der Verordnung (EU) 2024/2847 fallen. Dazu zählt insbesondere die Einhaltung der in Anhang I der Verordnung (EU) 2024/2847 aufgeführten grundlegenden Cybersicherheitsanforderungen.

Die Rolle der Marktüberwachungsbehörde ist sinnvollerweise dem Bundesamt zuzuweisen, denn als Cybersicherheitsbehörde des Bundes verfügt es über die notwendige Fachkompetenz, um die Einhaltung der Cybersicherheitsanforderungen aus der Verordnung (EU) 2024/2847 effektiv zu überwachen. Ferner ist das Bundesamt seit Jahren vertrauter Ansprechpartner für die Wirtschaft in Cybersicherheitsfragen, unter anderem auch wegen seiner etablierten Funktion als Marktaufsicht im Rahmen des IT-Sicherheitskennzeichens und der Aufsicht über erteilte Cybersicherheitszertifikate.

Bei Produkten mit digitalen Elementen, die in den Anwendungsbereich der Verordnung (EU) 2024/2847 fallen und gemäß Artikel 6 der Verordnung (EU) 2024/1689 als Hochrisiko- KI-Systeme eingestuft sind, sind die für die Zwecke der Verordnung (EU) 2024/1689 benannten Marktüberwachungsbehörden auch für die nach der Verordnung (EU) 2024/2847 erforderlichen Marktüberwachungstätigkeiten zuständig. Das ergibt sich aus Artikel 52 Absatz 14 der Verordnung (EU) 2024/2847. Fällt ein Produkt unter beide Verordnungen, ist daher die Bundesnetzagentur oder eine andere nach dem Gesetz zur Durch-führung der Verordnung (EU) 2024/1689 benannte Marktüberwachungsbehörde auch für die Marktüberwachung nach der Verordnung (EU) 2024/2847 zuständig.

Zur Durchführung der Marktüberwachung stehen dem Bundesamt die in Artikel 52 bis Artikel 60 der Verordnung (EU) 2024/2847 sowie die im Marktüberwachungsgesetz (vgl. § 1 Absatz 1 MüG i.V.m. Artikel 2 Absatz 1 der Verordnung (EU) 2019/2020 i.V.m. Anhang I Nummer 72 der Verordnung (EU) 2019/2020 und Artikel 52 Absatz 1 Verordnung (EU) 2024/2847) näher bestimmten Marktüberwachungsmaßnahmen zu.

Mit Blick auf das Verwaltungsverfahren und das -prozessrecht gelten die allgemeinen Regelungen des VwVfG und der VwGO. Insbesondere kann das Bundesamt im Einzelfall bei Vorliegen eines öffentlichen Interesses gemäß § 80 Absatz 2 Satz 1 Nummer 4 VwGO die sofortige Vollziehung anordnen.

Zu Absatz 2

Absatz 2 regelt die Zusammenarbeit mit anderen Behörden, die in sektorspezifischen Bereichen die Marktüberwachung durchführen. Da ein Produkt sowohl in den Anwendungsbereich der Verordnung (EU) 2024/2847 als auch in den Anwendungsbereich einer weiteren in Anhang I der Verordnung (EU) 2019/1020 genannten Harmonisierungsrechtsvorschriften fallen kann, ist es möglich, dass für ein Produkt mehrere Marktüberwachungsbehörden nebeneinander zuständig sind. Um die reibungslose und effektive Durchführung der jeweiligen Rechtsakte zu gewährleisten, bedarf es einer Regelung zur kooperativen und vertrauensvollen Zusammenarbeit zwischen den Behörden. Das Bundesamt arbeitet zudem kooperativ und vertrauensvoll mit weiteren relevanten Aufsichtsbehörden zusammen, u.a. solche, die für die Aufsicht nach sektorspezifischen Regelwerken zur Cybersicherheit in anderen Wirtschaftssektoren zuständig sind, zum Beispiel mit den nach der Verordnung (EU) 2022/2554 zuständigen Behörden.

Für die Zusammenarbeit mit den nach § 2 KI-MIG zuständigen Marktüberwachungsbehörden gilt Absatz 2 hingegen nicht, denn die Verordnung (EU) 2024/16891 ist in Anhang I der Verordnung (EU) 2019/1020 nicht genannt. Die Zusammenarbeit mit den nach § 2 KI-MIG zuständigen Marktüberwachungsbehörden und dem Bundesamt wird daher in § 10 Absatz 1 KI-MIG explizit geregelt.

Das Gesetz zur Durchführung der KI-Verordnung befindet sich noch im Parlament. Die Begründung muss ggfs. im laufenden Gesetzgebungsprozess angepasst werden.

Zu Absatz 3

Absatz 3 dient der Konkretisierung von Artikel 52 Absatz 11 Verordnung (EU) 2024/2847, wonach Marktüberwachungsbehörden Verbraucher gemäß Artikel 11 der Verordnung (EU) 2019/1020 darüber informieren sollen, wo Beschwerden einzureichen sind.

Zu § 66 (Notifizierung und Akkreditierung)

Zu Absatz 1

Absatz 1 weist die Rolle der notifizierenden Behörde gemäß Artikel 36 Absatz 1 der Verordnung (EU) 2024/2847 dem Bundesamt zu. Damit ist das Bundesamt dafür zuständig, Konformitätsbewertungsstellen gegenüber der Kommission und den anderen Mitgliedstaaten nach erfolgreicher Bewertung zu notifizieren.

Zu Absatz 2

Mit Absatz 2 wird von der in Artikel 36 Absatz 2 der Verordnung (EU) 2024/2847 eröffneten Option Gebrauch gemacht, die Bewertung und Überwachung der Konformitätsbewertungsstellen grundsätzlich der nationale Akkreditierungsstelle im Sinne der Verordnung (EG) Nr. 765/2008 zu übertragen.

Für die Akkreditierung gelten die Anforderungen der Verordnung (EG) Nr. 765/2008 und das Akkreditierungsstellengesetz.

Zu Absatz 3

Absatz 3 ermöglicht es dem Bundesamt, in Ausnahmefällen eine Konformitätsbewertungsstelle abweichend von Absatz 2 ohne Akkreditierungsurkunde notifizieren zu können. Dabei gelten für die Bewertung der Konformitätsbewertungsstelle die gleichen Anforderungen aus der Verordnung (EU) 2024/2847.

Voraussetzung ist, dass die Notifizierung im öffentlichen Interesse liegt. Die Notifizierung liegt insbesondere im öffentlichen Interesse, wenn aufgrund des Akkreditierungsverfahrens entgegen Artikel 35 Absatz 2 der Verordnung (EU) 2024/2847 keine ausreichende Zahl an notifizierten Stellen vorhanden ist. Dies kann zu einem Engpass bei dem Marktzugang von Produkten führen, die in den Anhängen 3 und 4 der Verordnung (EU) 2024/2847 als wichtige oder kritische Produkte kategorisiert werden. Für diese Produkte kann ausnahmsweise eine Konformitätsprüfung durch eine Konformitätsbewertungsstelle verpflichtend vorgesehen sein. Die besonderen Anforderungen an das Konformitätsbewertungsverfahren sind dadurch begründet, dass die wichtigen oder kritischen Produkte ausweislich Artikel 7 Absatz 2 der Verordnung (EU) 2024/2847 für ihre vernetzte Umgebung eine Schlüsselfunktion einnehmen. Sofern solche wichtigen oder kritischen Produkte nur begrenzt auf dem Markt verfügbar sind, kann daraus ein erhebliches Cybersicherheitsrisiko resultieren.

Führt das Bundesamt die Bewertung und Überwachung der Konformitätsbewertungsstelle selbst durch, so stehen ihm die hierfür notwendigen Befugnisse aus § 3 Absatz 1 des Akkreditierungsstellegesetzes zu.

Zu Absatz 4

Absatz 4 schafft die Rechtsgrundlage, damit das Bundesamt neben der Notifizierung als Realakt den Konformitätsbewertungsstellen eine entsprechende Befugnis unter Beachtung der Anforderungen aus Artikel 43 Absatz 5 der Verordnung (EU) 2024/2847 erteilen kann.

Zu Absatz 5

Absatz 5 ermöglicht es dem Bundesamt, den gebundenen Verwaltungsakt der Befugniserteilung mit Nebenbestimmungen zu erlassen.

Zu § 67 (Unterstützung der betroffenen Wirtschaftsakteure)

Die Verordnung (EU) 2024/2847 stellt als erster Rechtsakt flächendeckend Cybersicherheitsanforderungen an Produkte mit digitalen Elementen und stellt damit die betroffenen Wirtschaftsakteure vor neuen Herausforderungen. Um die Herausforderungen abzumildern und zeitgleich die Einhaltung der in der Verordnung (EU) 2024/2847 niedergelegten Anforderungen zu fördern, sieht die Verordnung (EU) 2024/2847 verschiedene Unterstützungsmaßnahmen für die betroffenen Wirtschaftsakteure, insbesondere kleine und mittlere Unternehmen, sowie für die Verwalter von quelloffener Software im Sinne des Artikel 3 Nummer 14 der Verordnung (EU) 2024/2847 vor. Die Durchführung der Unterstützungsmaßnahmen wird von dem Bundesamt übernommen. Dazu wird das Bundesamt die nach Artikel 33 Absatz 1 der Verordnung (EU) 2024/2847 vorgesehenen Sensibilisierungs- und Schulungsmaßnahmen durchführen. Zusätzlich wird das Bundesamt ein Reallabor für Cyberresilienz nach Artikel 33 Absatz 2 der Verordnung (EU) 2024/2847 einrichten und betreiben, in dem Hersteller in kontrollierter Prüfumgebung innovative Produkte vor Inverkehrbringen testen können, sofern dies im öffentlichen Interesse liegt.

Ein Anspruch auf eine Individualberatung besteht nicht.

Zu Nummer 6

Es handelt sich um eine Folgeänderung.

Zu Nummer 7

Es handelt sich um Folgeänderungen. Zudem wird der Absatz 10, der die für das Bußgeldverfahren zuständige Verwaltungsbehörde bestimmt, inhaltlich mit dem neuen § 70 zusammengefasst.

Zu Nummer 8

Zu § 69 (Vorschriften über das Bußgeld- und Strafverfahren zur Verordnung (EU)

2024/2847)Zu Absatz 1

Gemäß § 2 des Gesetzes über Ordnungswidrigkeiten (OWiG) gilt das OWiG für Ordnungswidrigkeiten nach Bundes- und Landesrecht. § 69 Absatz 1 Satz 1 dieses Gesetzes erklärt, dass das OWiG grundsätzlich auch auf Verstöße nach Artikel 64 Absatz 2 bis 4 der Verordnung (EU) 2024/2847, welcher unmittelbar anwendbares innerstaatliches Recht ist, entsprechend anwendbar ist. Gemäß Satz 2 finden § 17 OWiG, auch in Verbindung mit § 30 Absatz 3 OWiG, sowie § 30 Absatz 1 und 2 OWiG keine Anwendung, weil das in der Verordnung (EU) 2024/2847 geregelte europäische Sanktionenrecht insoweit abschließende und vorrangige Regelungen enthält.

Zu Absatz 2

Da die Verordnung (EU) 2024/2847 selbst nicht das Verfahren für die Verhängung der Geldbuße regelt, bestimmt § 69 Absatz 2 Satz 1, dass die Vorschriften des OWiG grundsätzlich entsprechend gelten, und stellt dabei ausdrücklich klar, dass dies auch für die über § 46 Absatz 1 OWiG sinngemäß anwendbaren Vorschriften der allgemeinen Gesetze über das Strafverfahren gilt. Absatz 2 Satz 2 bestimmt, dass die Staatsanwaltschaft im Zwischenverfahren das Verfahren nur mit Zustimmung des Bundesamtes als Marktüberwachungsbehörde einstellen kann, die den Bußgeldbescheid erlassen hat. Hierdurch wird der Bedeutung der Geldbußen in der Verordnung (EU) 2024/2847 Rechnung getragen.

Zu § 70 (Behörden)

Zu Absatz 1

§ 70 Absatz 1 führt den bisherigen § 65 Absatz 10 fort und ergänzt die Vorschrift um die zuständige Verwaltungsbehörde für Bußgeldverfahren unter der Verordnung (EU) 2024/2847.

Zu Absatz 2

Absatz 2 stellt mit Blick auf Artikel 64 Absatz 7 der Verordnung (EU) 2024/2847 klar, dass gegen öffentliche Stellen im Sinne von § 2 Absatz 1 und 2 des Bundesdatenschutzgesetzes keine Geldbußen verhängt werden.

Zu Nummer 9

Es handelt sich um eine Folgeänderung.

Zu Nummer 10

Es handelt sich um eine Folgeänderung.

Zu Artikel 2 (Änderung des Telekommunikationsgesetzes)

Zu § 167 (Katalog von Sicherheitsanforderungen)

Es handelt sich um redaktionelle Korrekturen, die aufgrund des NIS2-Umsetzungsgesetzes notwendig sind.

Zu Artikel 3 (Änderung des Energiewirtschaftsgesetzes)

Zu § 5c (IT-Sicherheit im Anlagen- und im Netzbetrieb, Festlegungskompetenz)

Es handelt sich um redaktionelle Korrekturen, die aufgrund des NIS2-Umsetzungsgesetzes notwendig sind.

Zu Artikel 4 (Inkrafttreten)

Die Artikel 2 und 3 treten am Tag nach der Verkündung in Kraft.

Für Artikel 1 sind die Fristen aus der Verordnung (EU) 2024/2847 für das Inkrafttreten maßgeblich. Die Vorschriften über die Notifizierung gelten gemäß Artikel 71 Absatz 2 Satz 2 der Verordnung (EU) 2024/2847 bereits ab dem 11. Juni 2026. Die Vorschriften über die Meldepflicht gemäß Artikel 14 gelten ab dem 11. September 2026. Im Übrigen gelten die Vorschriften aus der Verordnung (EU) 2024/2847 gemäß Artikel 71 Absatz 2 Satz 1 der Verordnung (EU) 2024/2847 ab dem 11. Dezember 2027.

Stellungnahme des Nationalen Normenkontrollrates (NKR) gem. § 6 Abs. 1 NKRG

Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/2847 über horizontale

Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung) - (NKR-Nr. 7952, BMI)

Der Nationale Normenkontrollrat hat den Regelungsentwurf vom 14. April 2026 mit folgendem

Ergebnis geprüft:

Zusammenfassung

Bürgerinnen und Bürger keine Auswirkungen

Wirtschaft keine Auswirkungen

Verwaltung

Bund

Jährlicher Erfüllungsaufwand (durch EU-Vorgaben):

rund 20,5 Mio. Euro

Einmaliger Erfüllungsaufwand (durch EU-Vorgaben):

rund 10 Mio. Euro

Länder keine Auswirkungen

„One in, one out”-Regel

Im Sinne der erweiterten „One in, one out“- Regel der Bundesregierung stellt der jährliche Erfüllungsaufwand in diesem Regelungsvorhaben ein „In“ von 20,5 Mio. Euro dar.

Der einmalige Erfüllungsaufwand stellt ein weiteres „In“ von 1 Mio. Euro dar (Berücksichtigung von 10 % des gesamten einmaligen Erfüllungsaufwands).

KMU-Betroffenheit

Insbesondere KMU sollen durch spezifische Sensibilisierungs- und Schulungsmaßnahmen unterstützt werden.

Erwägungen zu anderen Lösungsmöglichkeiten

Das Ressort hat u. a. geprüft, die bestehenden Marktüberwachungsbehörden mit der Durchführung der Aufgaben aus der Cybersicherheits-Verordnung zu betrauen, dies jedoch aus nachvollziehbaren Gründen verworfen.

Evaluierung

Die unmittelbar durch die EU-Verordnung geltenden Vorschriften werden durch die Europäische Kommission evaluiert. Diese legt dem Europäischen Parlament und dem Rat bis zum 11. Dezember 2030 und danach alle vier Jahre einen Bericht über die Bewertung und Überprüfung der Verordnung (EU) 2024/2847 vor.

Umsetzung von EU-Recht

Dem NKR liegen keine Anhaltspunkte dafür vor, dass mit dem Vorhaben über eine 1:1- Umsetzung von EU-Recht hinausgegangen wird.

Nutzen des Vorhabens

Das Ressort hat keinen Nutzen dargestellt.

Digitaltauglichkeit (Digitalcheck)

Das Ressort hat Möglichkeiten zum digitalen Vollzug der Neuregelung (Digitaltauglichkeit) geprüft und hierzu einen Digitalcheck mit nachvollziehbarem Ergebnis durchgeführt.

Regelungsfolgen

Die Darstellung der Regelungsfolgen ist nachvollziehbar und methodengerecht. Der Nationale Normenkontrollrat erhebt hiergegen im Rahmen seines gesetzlichen Auftrags keine Einwände. Er begrüßt die Bündelung der Marktüberwachung beim BSI und weist darauf hin, dass die Umsetzung von ausreichenden Personalkapazitäten für die Konformitätsbewertungsstellen abhängt.

Digitaltauglichkeit

Das Ressort hat Möglichkeiten zum digitalen Vollzug der Neuregelung (Digitaltauglichkeit) geprüft und hierzu einen Digitalcheck mit nachvollziehbarem Ergebnis vorgelegt.

Regelungsvorhaben

Das Regelungsvorhaben dient der Durchführung der Europäischen Cyberresilienz-Verordnung (CRA)1. Dazu wird insbesondere das Bundesamt für Sicherheit in der Informationstechnik (BSI)

als zuständige Marktüberwachungsbehörde sowie notifizierende Stelle benannt.

Die CRA enthält Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Dazu wird das sog. CE-Kennzeichen für das Inverkehrbringen von Produkten auf dem europäischen

Binnenmarkt erweitert. Zudem werden Hersteller verpflichtet, aktiv ausgenutzte Schwachstellen an das BSI zu melden.

Bewertung

III.1

Erfüllungsaufwand

Bürgerinnen und Bürger

Es entsteht kein Erfüllungsaufwand für Bürgerinnen und Bürger.

Wirtschaft

Der Wirtschaft entsteht durch das Regelungsvorhaben kein Erfüllungsaufwand.

Verwaltung

Der Bundesverwaltung entsteht jährlicher Erfüllungsaufwand von rund 20,5 Mio. Euro sowie einmaliger Erfüllungsaufwand in Höhe von rund 10 Mio. Euro.

Der gesamte Erfüllungsaufwand resultiert aus der Umsetzung von EU-Vorgaben.

• BSI als zentraler Ansprechpartner

Das Regelungsvorhaben benennt das BSI als zentrale Anlaufstelle für alle Fragen im Zusammenhang mit der EU-Cyberresilienz-Verordnung. Darunter fallen u. a. die Aufgaben als Meldestelle für Schwachstellen, die Marktüberwachung und Notifizierung, Unterstützung betroffener Wirtschaftsakteure sowie der Betrieb eines Reallabors.

Das Ressort schätzt methodengerecht und nachvollziehbar, dass dem BSI durch die Wahrnehmung dieser Aufgaben zusätzliche jährliche Personalkosten in Höhe von bis zu 14,5 Mio. Euro

(ca. 141 Stellen) und jährliche Sachkosten in Höhe von bis zu rund 6 Mio. Euro insbesondere für externe Dienstleister im Rahmen der Marktüberwachung entstehen.

1 Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung).

Des Weiteren veranschlagt das Ressort einmaligen Erfüllungsaufwand in Höhe von rund 10 Mio.

Euro, insbesondere für die Einrichtung des Reallabors für Cyberresilienz und die Notifizierung von Konformitätsbewertungsstellen.

III.2

„One in, one out”

Im Sinne der erweiterten „One in, one out“-Regel der Bundesregierung stellt der Erfüllungsaufwand in diesem Regelungsvorhaben ein „In“ von insgesamt 21,5 Mio. Euro dar.

Das Ressort hat keine Angaben zur Kompensation gemacht.

17. April 2026

Lutz Goebel Prof. Dr. Sabine Kuhlmann

Vorsitzender Berichterstatterin für das Bundesministerium des Innern