Bundestag verabschiedet Durchführungsgesetz zur EU-Cyberresilienz-Verordnung

Der Bundestag hat am Donnerstag, 15. Oktober 2026, in zweiter und dritter Lesung den Gesetzentwurf der Bundesregierung zur Durchführung der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen in der vom Innenausschuss geänderten Fassung (Bundestags-Drucksache 21/8622) verabschiedet.

Mit dem Artikelgesetz werden das BSI-Gesetz, das Telekommunikationsgesetz und das Energiewirtschaftsgesetz geändert. Ziel ist es, die administrativen Strukturen und Zuständigkeiten für die Anwendung der EU-Verordnung in Deutschland zu schaffen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wird dabei als zentrale nationale Marktüberwachungsbehörde benannt. Es kontrolliert künftig die Einhaltung der Cybersicherheitsvorgaben, die im Rahmen der CE-Kennzeichnung auch für Produkte mit digitalen Elementen verbindlich sind.

Zugleich übernimmt das BSI die Funktion der notifizierenden Behörde und ist damit für die Akkreditierung und Überwachung der Konformitätsbewertungsstellen zuständig. Nach der europäischen Cyberresilienz-Verordnung müssen Produkte mit digitalen Elementen festgelegte Mindestanforderungen an die Cybersicherheit erfüllen, wenn sie im europäischen Binnenmarkt in Verkehr gebracht werden.

Der Innenausschuss hatte am Mittwoch, 14. Oktober 2026, auf Antrag der Koalitionsfraktionen CDU/CSU und SPD Änderungen am Regierungsentwurf vorgenommen, die den Zeitpunkt des Inkrafttretens bestimmter Regelungen betreffen. In der ebenfalls beschlossenen Entschließung wird die Bundesregierung u.a. aufgefordert, auf EU-Ebene sowie im Rahmen anstehender Gesetzesvorhaben sich dafür einzusetzen, die Abhängigkeit kritischer Infrastrukturen von nicht vertrauenswürdigen Herstellern zu reduzieren und kritische Lieferketten zu verstärkt zu diversifizieren.