Inneres

Umsetzung der EU-Cyberresilienz-Verordnung erörtert

Der Bundestag hat am Donnerstag, 11. Juni 2026, erstmals über den Gesetzentwurf der Bundesregierung „zur Durchführung der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen“ (Cyberresilienz-Verordnung, 21/6134(Dokument, öffnet ein neues Fenster), 21/6512(Dokument, öffnet ein neues Fenster))) debattiert. Im Anschluss an die 20-minütige Aussprache wurde der Gesetzentwurf zur weiteren Beratung an die Ausschüsse überwiesen. Federführend ist der Innenausschuss. 

Gesetzentwurf der Bundesregierung 

Der Entwurf dient laut Bundesregierung der Durchführung der Verordnung (EU) 2024 / 2847. Mit dem Artikel 1 werde die Rechtsgrundlage geschaffen, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Marktüberwachungsbehörde und als notifizierende Behörde unter der Verordnung (EU) 2024/2847 tätig werden kann.

Am 10. Dezember 2024 sei die Cyberresilienz-Verordnung in Kraft getreten, heißt es im Entwurf. Sie stelle erstmals horizontal verpflichtende Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen auf und erweitert das bekannte CE-Kennzeichen um den Aspekt der Cybersicherheit.

„Die Regelungen der Cyberresilienz-Verordnung gelten grundsätzlich unmittelbar und werden ab dem 11. Juni 2026 zeitlich gestaffelt wirksam, bis die Regelungen ab dem 11. Dezember 2027 vollends wirken“, schreibt die Regierung. Zum Zweck der Durchführung müsse jeder Mitgliedstaat mindestens eine Marktüberwachungsbehörde und eine notifizierende Behörde einrichten. Im Übrigen sollten die Mitgliedstaaten Unterstützungsmaßnahmen für die betroffenen Wirtschaftsakteure ergreifen, insbesondere für kleine und mittlere Unternehmen. Der Bundesrat hat mitgeteilt, dass er keine Einwände gegen die Verordnung hat (21/6512(Dokument, öffnet ein neues Fenster)). (hau/17.06.2026)

Inneres

Bundestag stimmt Gesetzentwurf zur Cybersicherheit zu

Der Bundestag hat am Donnerstag, 15. Oktober 2026, nach 20-minütiger Aussprache den Gesetzentwurf der Bundesregierung zur Durchführung der Verordnung (EU) 2024 / 2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung, 21/6134(Dokument, öffnet ein neues Fenster), 21/6512(Dokument, öffnet ein neues Fenster)) in der vom Innenausschuss geänderten Fassung (21/8622(Dokument, öffnet ein neues Fenster)) angenommen. Dafür stimmten CDU/CSU, SPD und Bündnis 90/Die Grünen, dagegen die AfD-Fraktion, während die Linksfraktion sich enthielt. Der Haushaltsausschuss hatte einen Bericht nach Paragraf 96 der Geschäftsordnung des Bundestages (21/8623(Dokument, öffnet ein neues Fenster)) zur Finanzierbarkeit vorgelegt. Der Bundestag nahm mit den Stimmen von Union und SPD zudem eine Entschließung zu dem Gesetzentwurf an. Dagegen stimmte die AfD, während die Grünen und die Linksfraktion sich enthielten.

Gesetzentwurf der Bundesregierung

Nach der „Cyberresilienz-Verordnung“ müssen Produkte mit digitalen Elementen festgelegten Mindestanforderungen an die Cybersicherheit genügen, wenn sie auf dem europäischen Binnenmarkt in Verkehr gebracht werden. Der Gesetzentwurf enthält unter anderem Vorschriften für das Bußgeldverfahren. Die horizontalen Cybersicherheitsanforderungen sollen unter anderem die Rechtsgrundlage schaffen, damit das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Marktüberwachungsbehörde und als notifizierende Behörde unter der Verordnung tätig werden kann. Mit dem Artikelgesetz werden das BSI-Gesetz, das Telekommunikationsgesetz und das Energiewirtschaftsgesetz geändert. Der Bundesrat hatte in seiner Stellungnahme (21/6512(Dokument, öffnet ein neues Fenster)) keine Einwände gegen den Gesetzentwurf erhoben. 

Der Innenausschuss nahm am Mittwoch, 14. Oktober, auf Antrag der Koalitionsfraktionen CDU/CSU und SPD Änderungen am Regierungsentwurf vor, die sich auf den Zeitpunkt des Inkrafttretens bestimmter Regelungen beziehen. 

Entschließung verabschiedet

In der beschlossenen Entschließung wird die Bundesregierung aufgefordert, im Rahmen der Marktüberwachung nach der Cyberresilienz-Verordnung durch das BSI als Marktüberwachungsbehörde Router vorrangig zu prüfen und den Rechtsrahmen auszuschöpfen. Auf EU-Ebene sowie im Rahmen anstehender Gesetzesvorhaben soll sich die Regierung dafür einsetzen, die Abhängigkeit kritischer Infrastrukturen von nicht vertrauenswürdigen Herstellern zu reduzieren und kritische Lieferketten zu verstärkt zu diversifizieren. 

Bei den Verhandlungen zum Cybersecurity Act 2 der EU soll sich die Regierung für eine stärkere Regulierung von netz- beziehungsweise systemkritischen Komponenten nicht vertrauenswürdiger Anbieter auf dem EU-Binnenmarkt sowie für einen gemeinsamen risikobasierten Ansatz zur Sicherheit kritischer Informations- und Kommunikationstechnologie-Lieferketten einsetzen. Ebenso soll die digitale Souveränität gestärkt werden. 

Bei Beschaffungsaufträgen kritischer digitaler Komponenten sollen neben technischen Sicherheitsanforderungen insbesondere Herstellerabhängigkeiten, Lieferketten, Update- und Wartungsmöglichkeiten sowie die Substituierbarkeit von Komponenten berücksichtigt werden. Durch den Abbau von Abhängigkeiten in der kritischen Infrastruktur seien auch deutsche und europäische Hersteller zu stärken, zum Beispiel bei Heimroutern und Energieanlagen. (bal/sto/15.10.2026)