Mit der Verabschiedung des deutschen Durchführungsgesetzes zum Cyber Resilience Act (CRA-Durchführungsgesetz) durch den Deutschen Bundestag (BSI-Pressemitteilung vom 16.10.2026) und dem bereits seit dem 11. September 2026 scharfgeschalteten europäischen Schwachstellen-Meldeverfahren ist für Softwarehersteller, SaaS-/On-Premises-Anbieter, Maschinen- und Anlagenbauer (OT/IIoT) sowie Hardware-Zulieferer eine neue Ära der bußgeld- und vertriebsrelevanten Produkthaftung angebrochen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) übernimmt in Deutschland offiziell die Rolle der zentralen nationalen Marktüberwachungsbehörde – flankiert durch den europäischen Vorsitz in der Administrative Cooperation Group (AdCo CRA). Gleichzeitig greift auf Kundenseite die NIS-2-Lieferkettensorgfaltspflicht nach § 30 Abs. 2 Nr. 4 BSIG: Über 29.500 regulierte „besonders wichtige" und „wichtige" Einrichtungen in Deutschland dürfen digitale Produkte, Steuerungssysteme und Enterprise-Software nur noch beschaffen, wenn der Lieferant belastbare technische Nachweise für Schwachstellenmanagement, Software-Stücklisten (SBOM nach BSI TR-03183-2), sichere Update-Prozesse (BSI TR-03185) und quantensichere Kryptographie (BSI TR-02102-1) vorlegt.

Dieser Leitfaden zeigt Geschäftsführern, CISOs, Head of Engineering und Product-Security-Verantwortlichen, wie das CRA-Durchführungsgesetz und § 30 BSIG ineinandergreifen, warum die gesetzliche 5-Jahres-Supportfrist des CRA direkt in das BSI-Krypto-Ablaufdatum 2031 hineinläuft und wie Sie Ihre Release-Pipelines und Audit-Dokumentation in 48 Stunden prüfungssicher aufstellen.

1. Was das verabschiedete CRA-Durchführungsgesetz konkret regelt: Befugnisse des BSI & Sanktionen

Während die europäische Verordnung (EU) 2024/2847 (Cyber Resilience Act) die materiellen Sicherheitsanforderungen für alle „Produkte mit digitalen Elementen" unionsweit vorgibt, schafft das im Oktober 2026 vom Bundestag beschlossene CRA-Durchführungsgesetz den vollständigen nationalen Vollzugs-, Prüf- und Bußgeldrahmen in Deutschland:

  1. BSI als zentrale Marktüberwachungs- und Durchsetzungsbehörde: Das BSI erhält weitreichende hoheitliche Prüfbefugnisse für Software- und Hardwareprodukte auf dem deutschen Markt. Bei begründetem Verdacht auf Nichtkonformität kann das BSI technische Dokumentationen, SBOM-Artefakte, Quellcode-/Binäranalysen sowie Kryptographie- und Risikobewertungen anfordern, eigene Penetrationstests durchführen und unangekündigte Stichprobenkontrollen anordnen.
  2. Vertriebsverbote, Produktrückrufe und Entzug der CE-Kennzeichnung: Erfüllt ein digitales Produkt (vom B2B-ERP-Modul über Container-Appliances bis zur vernetzten Industriesteuerung) die grundlegenden Cybersicherheitsanforderungen aus CRA Anhang I nicht und behebt der Hersteller den Mangel nicht fristgerecht, kann das BSI die Bereitstellung auf dem Markt untersagen oder den sofortigen Rückruf anordnen.
  3. Drastischer Bußgeldrahmen bis 15 Mio. € bzw. 2,5 % des Jahresumsatzes: Verstöße gegen wesentliche Herstellerpflichten (Art. 13 & Art. 14 CRA) sind mit Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bewehrt. Für Importeure, Händler und Verletzungen formeller Dokumentationspflichten gelten Bußgelder bis zu 10 Mio. € bzw. 5 Mio. €.
  4. Scharfgeschaltete 24h-/72h-Meldepflicht seit dem 11. September 2026 (Art. 14 CRA): Unabhängig von den gestaffelten Übergangsfristen für das CE-Konformitätsbewertungsverfahren gilt bereits seit dem 11.09.2026 für sämtliche Hersteller die strikte Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit:
    • Frühwarnung innerhalb von 24 Stunden über die gemeinsame Meldeplattform der ENISA und an das BSI als zuständiges CSIRT,
    • Qualifizierte Schwachstellenmeldung innerhalb von 72 Stunden (inkl. technischer Tragweite, betroffener Versionen und vorläufiger Gegenmaßnahmen),
    • Abschlussbericht spätestens 14 Tage nach Verfügbarkeit eines korrigierenden Sicherheitsupdates.

2. Der doppelte B2B-Zangengriff: Wie § 30 Abs. 2 Nr. 4 BSIG (NIS-2 Lieferkette) den CRA sofort im Einkauf erzwingt

Viele Software- und Komponentenhersteller unterliegen dem gefährlichen Irrtum, sie hätten für die vollständige Umsetzung von CRA Anhang I noch bis Ende 2027 Zeit. In der deutschen B2B-Praxis greift die Pflicht jedoch schon heute unmittelbar über das Vertragsrecht der Lieferkette:

Gemäß § 30 Abs. 2 Nr. 4 BSIG (Sicherheit der Lieferkette) müssen alle unter NIS-2 fallenden Unternehmen (Energie, Gesundheit, Finanzwesen, Transport, digitale Infrastruktur, verarbeitendes Gewerbe, Maschinenbau, Chemie, Lebensmittel u. v. m.) die Cybersicherheitsrisiken ihrer unmittelbaren Zulieferer und Dienstleister systematisch bewerten. Gleichzeitig haften deren Geschäftsleiter nach § 38 BSIG persönlich mit ihrem Privatvermögen für Versäumnisse im Risikomanagement.

Die Folge im B2B-Einkauf 2026:

  • Einkaufsabteilungen und CISOs regulierter Kunden verankern in Lieferanten-Fragebögen (Vendor Risk Assessments), EVB-IT-Verträgen und Qualitätssicherungsvereinbarungen (QSV) verbindliche Klauseln zur CRA-Readiness und BSI-TR-Konformität.
  • Wer als Software-Vendor, Managed-Appliance-Anbieter oder Embedded-Hersteller bei Ausschreibungen keine maschinenlesbare SBOM nach BSI TR-03183-2, keinen dokumentierten Patch-Prozess nach BSI TR-03185 und kein Krypto-Inventar (CBOM) nach BSI TR-02102-1 vorlegen kann, fällt im Lieferanten-Scoring durch und verliert Enterprise-Abschlüsse an auditfeste Wettbewerber.

3. Die unterschätzte 2031-Falle im CRA: 5 Jahre Pflicht-Support treffen auf das Ende von RSA-2048 & klassischem ECDH

Ein kritisches architektonisches Detail verbindet den Cyber Resilience Act direkt mit der BSI-Frist zur Post-Quanten-Kryptographie (TR-02102-1) sowie der im Oktober 2026 veröffentlichten gemeinsamen PQC-Leitlinie von BMI, BMDS und BSI:

  1. Mindestens 5 Jahre Supportzeitraum (Art. 13 Abs. 8 CRA): Hersteller müssen für jedes auf dem Markt bereitgestellte Produkt einen verbindlichen Supportzeitraum festlegen, der der erwarteten Nutzungsdauer entspricht – mindestens jedoch fünf Jahre (sofern das Produkt nicht ausdrücklich kürzer genutzt wird). Bei Industriesteuerungen, Netzwerk-Appliances, Medizingeräten und Enterprise-Plattformen liegen die vertraglichen Laufzeiten oft bei 7 bis 15 Jahren.
  2. Stand der Technik in der Kryptographie (CRA Anhang I Teil I Nr. 2 Buchst. f): Produkte müssen die Vertraulichkeit und Integrität gespeicherter und übertragener Daten durch „Verschlüsselung oder sonstige technische Mechanismen nach dem neuesten Stand der Technik" schützen – einschließlich sicherer Update-Signierung (Anhang I Teil II Nr. 7).
  3. Die mathematische Kollision (2026 + 5 Jahre = 2031): Jedes Software-Release, jedes IoT-Gateway und jede Server-Appliance, die Ende 2026 oder 2027 mit einem regulären 5-Jahres-CRA-Supportzeitraum ausgeliefert wird, befindet sich im Jahr 2031/2032 noch mitten in der gesetzlichen Gewährleistungs- und Sicherheitsupdate-Pflicht des Herstellers! Genau zum 31.12.2031 streicht das BSI in TR-02102-1 jedoch klassische asymmetrische Schlüsselaustauschverfahren (RSA-2048, klassisches Diffie-Hellman, klassisches ECDH P-256 / X25519 ohne hybride PQC-Komponente) für schützenswerte Anwendungen aus dem „Stand der Technik".

Konsequenz für Produktarchitekten und CTOs:

Wer 2026/2027 Produkte mit fest verdrahteten klassischen TLS-/SSH-/Firmware-Kryptobibliotheken ohne Krypto-Agilität und ohne CBOM-Transparenz ausliefert, riskiert während des laufenden CRA-Supportzeitraums einen erzwungenen Architektur-Umbau oder kostspieligen Hardware-Austausch im Feld!

4. Technische Compliance-Matrix: CRA-Durchführungsgesetz & § 30 BSIG auf BSI-Richtlinien gemappt

Um gegenüber dem BSI (Marktüberwachung), benannten Konformitätsbewertungsstellen und NIS-2-Enterprise-Kunden (§ 30 BSIG) mit einem einzigen konsistenten Artefakt-Set zu bestehen, sollten Hersteller ihre technische Dokumentation exakt an den folgenden BSI Technischen Richtlinien ausrichten:

Gesetzliche Anforderung (CRA & BSIG) Konkrete Pflicht für Hersteller & Lieferanten Korrespondierender BSI-Standard Geforderter Audit- & Lieferketten-Nachweis (Artefakt)
CRA Anhang I Teil II Nr. 1 & § 30 Abs. 2 Nr. 4 BSIG Lückenlose Erfassung aller Eigen- und Drittkomponenten (Open Source & kommerzielle Libraries) BSI TR-03183-2 (Software Bill of Materials – SBOM) Automatisierte CycloneDX JSON/XML SBOM pro Release-Build inkl. Hash-Prüfsummen, Lizenz- & Dependency-Graph
CRA Art. 14 & § 32 BSIG Kontinuierliches Monitoring bekannter Schwachstellen, VEX-Bewertung & 24h/72h ENISA/BSI-Meldung BSI TR-03183-3 / CSAF & VEX Automatisierter CVE-Abgleich gegen die aktuelle SBOM, dokumentierter 24h-Eskalationsplan & Kunden-Security-Advisories
CRA Anhang I Teil II Nr. 2, 7 & 8 Unverzügliche, kostenfreie Bereitstellung von Sicherheitsupdates getrennt von Funktions-Upgrades BSI TR-03185 (Sichere Software-Lebenszyklusprozesse) 3-Klassen-Patch-Matrix (Klasse A / B / C), kryptographisch signierte Update-Pakete & revisionssicheres Release-Gate-Protokoll
CRA Anhang I Teil I Nr. 2 (e, f) & § 30 Abs. 2 Nr. 8 BSIG Schutz vertraulicher Daten & authentifizierter Updates nach dem Stand der Technik über mind. 5 Jahre BSI TR-02102-1 bis -4 & PQC-Leitlinie 2026 Maschinenlesbares Krypto-Inventar (CBOM), Abschaltung veralteter Cipher (ssh-rsa, TLS 1.0/1.1) & Hybrid-PQC-Pfad (X25519MLKEM768)
CRA Art. 13, Art. 28, Art. 31 & § 38 BSIG Technische Dokumentation für die EU-Konformitätserklärung (CE) & persönliche Geschäftsleiter-Aufsicht CRA Anhang VII & § 38 BSIG Vollständiges technisches Prüf-Dossier (10 Jahre Aufbewahrungspflicht nach CRA) & Geschäftsführungs-Freigabebeschluss

5. Besonderer Fokus für „Wichtige Produkte" (CRA Anhang III Klasse I & II): Wann Eigenbewertung nicht mehr ausreicht

Das CRA-Durchführungsgesetz verschärft insbesondere die Kontrolle sogenannter „wichtiger Produkte mit digitalen Elementen" (Anhang III) und „kritischer Produkte" (Anhang IV):

  • Anhang III Klasse I umfasst unter anderem Identity-Management-Systeme (IAM/SSO), privilegierte Zugriffsverwaltung (PAM), Browser, Passwort-Manager, VPN-Lösungen, Netzwerk-Management-Systeme, SIEM-Plattformen, Boot-Manager und Router/Modems.
  • Anhang III Klasse II betrifft Hypervisoren, Container-Laufzeitumgebungen, Firewalls, Intrusion-Detection-/Prevention-Systeme (IDS/IPS) sowie manipulationssichere Mikroprozessoren und industrielle Automatisierungs- & Steuerungskomponenten für KRITIS.
  • Anhang IV (Kritische Produkte) umfasst Hardware-Sicherheitsmodule (HSM), Smartcards und Smart-Meter-Gateways (für die eine europäische Cybersicherheitszertifizierung z. B. nach EUCC vorgesehen ist).

Für Produkte der Klasse I darf der Hersteller eine Selbstbewertung nur dann vornehmen, wenn er harmonisierte Normen vollständig anwendet; andernfalls – und bei Klasse II zwingend – muss eine notifizierte Konformitätsbewertungsstelle (Drittprüfung) eingeschaltet werden. Ein bereits nach BSI TR-03185 strukturierter Entwicklungs- und Patch-Prozess (mit klarer Abgrenzung reiner Sicherheits-Hotfixes der Klasse A gegenüber architekturverändernden Releases der Klasse C) verhindert dabei, dass jeder kritische 24-Stunden-CVE-Patch eine monatelange Nachprüfung des Gesamtsystems auslöst!

6. Praxis-Fahrplan: In 4 Schritten zur kombinierten CRA- & NIS-2-Lieferketten-Readiness

Schritt 1: Automatisiertes Krypto- & Protokoll-Inventar (CBOM) in CI/CD und auf Zielsystemen erzeugen

Bevor Sie ein technisches Dossier nach CRA Anhang VII erstellen oder einen NIS-2-Lieferantenfragebogen beantworten, benötigen Sie Transparenz über alle in Ihrem Produkt oder Ihrer SaaS-Infrastruktur verwendeten TLS-, SSH- und X.509-Verfahren. Nutzen Sie dazu unseren quelloffenen Zero-Dependency Python CLI-Scanner (bsi_pqc_check.py):

# 1. Direkt auf Linux-Appliances, Build-Containern oder Produktions-Nodes ausführen (erzeugt HTML-Report + CBOM-CSV): pipx run git+https://github.com/KenanErorr404/bsi-tr02102-pqc-audit-cli.git --generate-cbom-csv # 2. Als automatisiertes Gate in Ihrer Release-Pipeline (JSON-Evidenz für das CRA-Anhang-VII-Dossier): curl -sSL https://raw.githubusercontent.com/KenanErorr404/bsi-tr02102-pqc-audit-cli/main/bsi_pqc_check.py | python3 - --json-out cra_cbom_audit.json

Der Scanner identifiziert veraltete Algorithmen (RSA < 3072, SHA-1, fehlendes ML-KEM-768 in OpenSSH 9.9+ / OpenSSL 3.5+) vollautomatisch und exportiert eine auditfähige CSV-Stückliste für Ihre technische Dokumentation.

Schritt 2: Interaktives Bußgeld-, Lieferketten- & PQC-Risiko online berechnen (60 Sekunden)

Prüfen Sie kostenfrei im Browser, wie hoch Ihr aktueller Compliance-Gap-Score für NIS-2 (§ 30 / § 38 BSIG) und die BSI-Kryptovorgaben 2031 ausfällt:

👉 Jetzt interaktiven BSI PQC & NIS-2 Risiko- und Bußgeld-Rechner öffnen (pqc-nis2-rechner.html)

Schritt 3: Kostenlose €0+ CSV-Audit-Leseprobe & Schnellstart-Matrix sichern

Laden Sie unsere kostenlose Starter Edition (€0+ Pay What You Want) herunter, um die Struktur unserer Prüfungsmatrizen für BSI TR-02102-1 (CBOM) und BSI TR-03185 (Secure SDLC & SBOM) sofort im eigenen Team zu testen – inklusive 20 % Upgrade-Gutschein (BSI2026PRO) auf die vollständigen Excel-Enterprise-Pakete:

👉 📥 Kostenlose CSV-Audit-Leseprobe & Schnellstart-Matrix herunterladen (€0+)

Schritt 4: Schlüsselfertige .xlsx Enterprise-Workbooks, CycloneDX-Pipelines & Server-Configs ausrollen

Sparen Sie sich teure Einzelberatungen bei der Erstellung Ihrer CRA-Anhang-VII-Dokumentation und Ihrer § 30 BSIG Lieferketten-Nachweise mit unseren beiden sofort einsatzbereiten Enterprise-Paketen:

📦 Kostenlose Tools, CSV-Leseprobe & Enterprise .xlsx Audit-Suites (-20 % mit BSI2026PRO)

Original veröffentlicht im DE-Compliance-Kompass.