Cyber Resilience Act: Fristen und Meldungen zum CRA
Der CRA regelt die Cybersicherheit von Produkten mit digitalen Elementen, die in der EU verkauft werden. Jeder Eintrag nennt seine Quelle und sagt, ob es verbindliches Recht oder eine Leitlinie ist.
Bevorstehend
Zieldatum fuer eine ausreichende Zahl notifizierter Stellen in der Union
Artikel 35 Absatz 2 verlangt von den Mitgliedstaaten, sich zu bemuehen, bis zum 11. Dezember 2026 fuer genuegend notifizierte Stellen zu sorgen, um Engpaesse beim Markteintritt zu vermeiden. Die Formulierung lautet 'bemuehen sich', es ist also ein Ziel fuer die Mitgliedstaaten.
Gemeinsamer Abschlussbericht der Normungsorganisationen zum CRA Auftrag faellig
Artikel 4 Absatz 3 des Durchfuehrungsbeschlusses C(2025) 618 verlangt von CEN, CENELEC und ETSI, der Kommission bis zum 30. Oktober 2027 ihren gemeinsamen Abschlussbericht vorzulegen. Der Beschluss selbst laeuft am 30. November 2027 aus.
Die Hauptpflichten des Cyber Resilience Act beginnen zu gelten
Nach Artikel 71 Absatz 2 gilt die Verordnung ab dem 11. Dezember 2027. Nach Artikel 69 Absatz 2 fallen frueher in Verkehr gebrachte Produkte erst nach einer wesentlichen Veraenderung darunter, waehrend die Meldepflichten nach Artikel 14 sie schon erfassen. Die Kommission liest Artikel 71 Absatz 2 so, dass die Meldepflichten der Verwalter quelloffener Software nach Artikel 24 Absatz 3 an diesem Tag beginnen.
EU Baumusterpruefbescheinigungen nach anderem Harmonisierungsrecht bleiben hoechstens bis zu diesem Datum gueltig
Artikel 69 Absatz 1: EU Baumusterpruefbescheinigungen und Genehmigungsentscheidungen zu Cybersicherheitsanforderungen nach anderen Harmonisierungsvorschriften der Union bleiben bis zum 11. Juni 2028 gueltig, sofern sie nicht frueher ablaufen oder jene Vorschriften etwas anderes bestimmen.
Bericht der Kommission zur Wirksamkeit der zentralen Meldeplattform faellig
Artikel 70 Absatz 2: Bis zum 11. September 2028 berichtet die Kommission nach Anhoerung der ENISA und des CSIRTs Netzwerks dem Parlament und dem Rat ueber die Wirksamkeit der zentralen Meldeplattform und die Folgen einer verzoegerten Weitergabe von Meldungen.
Erster Evaluierungsbericht der Kommission zum Cyber Resilience Act faellig
Artikel 70 Absatz 1: Bis zum 11. Dezember 2030 und danach alle vier Jahre legt die Kommission dem Parlament und dem Rat einen Bericht ueber die Bewertung und Ueberpruefung der Verordnung vor. Die Berichte werden veroeffentlicht.
2026
ENISA aktualisiert die zentrale CRA Meldeplattform auf Version 1.2.1
Die ENISA gibt an, dass die Plattform am 20. Oktober 2026 auf Version 1.2.1 aktualisiert wurde, mit einem anderen Verfahren zur Einladung sekundaerer Assigned Representatives; das bisherige Verfahren bleibt noch kurze Zeit nutzbar.
Deutschland: Bundestag beschliesst das Gesetz zur Durchfuehrung des Cyber Resilience Act
Der Bundestag beschliesst das Gesetz zur Durchfuehrung der Verordnung (EU) 2024/2847 mit den Stimmen von CDU/CSU, SPD und Gruenen; es macht das BSI zur Marktueberwachungsbehoerde und notifizierenden Behoerde. Der Bundesrat muss sich noch damit befassen, das Gesetz ist daher noch nicht in Kraft.
Deutschland: Innenausschuss empfiehlt das CRA Gesetz mit neuem Inkrafttreten
Am 14. Oktober 2026 empfiehlt der Innenausschuss, den CRA Gesetzentwurf unveraendert anzunehmen, ausser beim Inkrafttreten: Regeln mit den verstrichenen Terminen 11. Juni und 11. September 2026 gelten am Tag nach der Verkuendung, der Rest ab dem 11. Dezember 2027. Es ist eine Ausschussempfehlung zu einem Entwurf, kein Gesetz.
Italien: Dekretentwurf zum CRA (Atto del Governo 447) geht ans Parlament und benennt die ACN als notifizierende Behoerde und Marktueberwachungsbehoerde
Der am 9. Oktober 2026 uebermittelte Entwurf benennt die Nationale Cybersicherheitsagentur (ACN) als notifizierende Behoerde (Artikel 4) und als Marktueberwachungsbehoerde (Artikel 9 Absatz 1); die Ausschuesse haben bis zum 18. November 2026 Zeit fuer ihre Stellungnahme. Es ist ein Entwurf und kein Gesetz.
Irland: Nationale Cybersicherheitsstrategie 2030 sieht ein Gesetz zur Benennung der CRA Behoerden bis zum vierten Quartal 2027 vor
Das Ministerium fuer Justiz, Inneres und Migration veroeffentlichte die Strategie am 7. Oktober 2026. Sie setzt das vierte Quartal 2027 als Ziel fuer ein Gesetz, das eine notifizierende Behoerde und eine Marktueberwachungsbehoerde fuer den Cyber Resilience Act bestimmt und Strafen regelt; es ist ein politisches Dokument, die Benennung steht also noch aus.
Daenemark: Gesetzentwurf zur Ergaenzung des Cyber Resilience Act geht in die oeffentliche Anhoerung
Das Ministerium fuer gesellschaftliche Sicherheit und Bereitschaft veroeffentlichte am 5. Oktober 2026 einen Gesetzentwurf, der die Agentur fuer gesellschaftliche Sicherheit (Styrelsen for Samfundssikkerhed) zur notifizierenden Behoerde und zur Marktueberwachungsbehoerde bestimmt; Stellungnahmen sind bis zum 2. November 2026 moeglich. Es ist ein Entwurf und kein Gesetz; er soll ab dem 1. Maerz 2027 gelten, die Abschnitte zu Marktueberwachung und Strafen ab dem 11. Dezember 2027.
Italien: Ministerrat nimmt den Entwurf des Dekrets zur Anpassung des nationalen Rechts an den CRA in vorlaeufiger Pruefung auf
Die Tagesordnung der Ministerratssitzung Nr. 191 fuehrt das Gesetzesdekret zur Anpassung des nationalen Rechts an die Verordnung (EU) 2024/2847 zur vorlaeufigen Pruefung auf. Eine vorlaeufige Pruefung ist keine endgueltige Annahme.
Kroatien: NCSC-HR kuendigt die zentrale EU Meldeplattform fuer CRA Meldungen an
NCSC-HR, von der ENISA als koordinierendes CSIRT Kroatiens gelistet, kuendigt an, dass die zentrale Meldeplattform in Betrieb ist und Hersteller dort aktiv ausgenutzte Schwachstellen und erhebliche Vorfaelle melden muessen. Die Mitteilung ist Behoerdenhinweis zu einer verbindlichen EU Pflicht; ein kroatischer Durchfuehrungsakt zum CRA wurde nicht gefunden.
Zypern: Kommunikationsbeauftragter nennt sein Amt als notifizierende Behoerde und Marktueberwachungsbehoerde fuer den CRA
In einem Beitrag vom 23. September 2026 erklaert der Kommunikationsbeauftragte, dass sein Amt ueber die Behoerde fuer digitale Sicherheit als notifizierende Behoerde handelt und kuenftig Marktueberwachungsbehoerde nach dem Cyber Resilience Act ist, und dass das nationale CSIRT die Meldungen der Hersteller entgegennimmt. Das ist eine Aussage der Behoerde, der Beitrag nennt den Rechtsakt der Benennung nicht.
Meldepflichten fuer aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfaelle beginnen zu gelten
Nach Artikel 71 Absatz 2 gilt Artikel 14 ab dem 11. September 2026: eine Fruehwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht (14 Tage nach Verfuegbarkeit einer Abhilfe bei Schwachstellen, ein Monat bei Sicherheitsvorfaellen). Nach Artikel 69 Absatz 3 erfasst er auch Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
ENISA nimmt die zentrale Meldeplattform fuer den CRA in Betrieb
Die ENISA gibt die erste Betriebsfaehigkeit der nach Artikel 16 vorgesehenen zentralen Meldeplattform bekannt, ueber die Hersteller ihre Meldungen nach Artikel 14 einreichen.
Deutschland: BSI nennt CERT-Bund als koordinierendes CSIRT fuer CRA Meldungen und veroeffentlicht Anleitungen
Am Tag des Beginns der Meldepflicht erklaert das BSI, dass Meldungen ueber die ENISA Plattform an das zustaendige koordinierende CSIRT (in Deutschland CERT-Bund) und an die ENISA gehen, und bietet Anleitungen Schritt fuer Schritt an.
Irland: NCSC veroeffentlicht nationale Leitlinien zu den Meldepflichten nach dem CRA
Die Leitlinien des Nationalen Cybersicherheitszentrums (NCSC) erklaeren Meldeschwellen, Fristen, Meldeverfahren und die bei einer Meldung erforderlichen Angaben. Sie sind unverbindliche Orientierungshilfe und wurden vom Ministerium fuer Justiz, Inneres und Migration angekuendigt.
Malta: Legal Notice 238 von 2026 benennt die Malta Digital Innovation Authority und das nationale CSIRT fuer den CRA
Die im Government Gazette Nr. 21,717 veroeffentlichten Cyber Resilience Regulations 2026 benennen die Malta Digital Innovation Authority als notifizierende Behoerde und Marktueberwachungsbehoerde und das nationale CSIRT als koordinierendes CSIRT. Die Regelungen 3 bis 7 und 9 bis 12, darunter die Benennung als Marktueberwachungsbehoerde, treten am 11. Dezember 2027 in Kraft.
Lettland: CERT.LV erklaert, dass es ueber die ENISA Plattform eingereichte CRA Meldungen bearbeitet
CERT.LV teilt mit, dass Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfaelle ab dem 11. September 2026 ueber die zentrale Meldeplattform der ENISA melden muessen und dass CERT.LV die eingereichten Meldungen in Lettland bearbeitet. Die Mitteilung ist Behoerdenhinweis zu einer verbindlichen EU Pflicht.
Niederlande: Zweite Kammer nimmt den Gesetzentwurf zur Durchfuehrung des CRA an
Die Tweede Kamer nimmt den Gesetzentwurf 36 875 am 10. September 2026 an. Die Ausschuesse der Eerste Kamer pruefen ihn derzeit, er ist daher noch kein Gesetz.
Slowenien: URSIV erklaert die CRA Meldepflichten, die ab dem 11. September 2026 gelten
URSIV, das Regierungsamt fuer Informationssicherheit, erklaert die Fruehwarnung innerhalb von 24 Stunden und die Meldung innerhalb von 72 Stunden fuer Hersteller und verweist auf die zentrale Meldeplattform der ENISA. Das Rechtsregister PISRS fuehrt eine von URSIV vorbereitete Regierungsverordnung zur Durchfuehrung der Verordnung noch als in Vorbereitung, die Seite ist also Leitfaden und es ist kein nationaler Durchfuehrungsakt als beschlossen aufgefuehrt.
Slowakei: Regierung beschliesst den Gesetzentwurf zur Cybersicherheit von Produkten mit digitalen Elementen
Mit Beschluss 356/2026 vom 26. August 2026 hat die Regierung den CRA Gesetzentwurf des Nationalen Sicherheitsamts beschlossen und dem Parlament zugeleitet. Der Entwurf benennt das NBU als Marktueberwachungsbehoerde und das Normungsamt UNMS als notifizierende Behoerde und soll ab dem 1. Januar 2027 gelten, die Hauptpflichten ab dem 11. Dezember 2027; es ist ein Entwurf und kein Gesetz.
Deutschland: BSI veroeffentlicht Technische Richtlinie TR-03183 Teil 1 in Version 1.0.0 als Einstiegshilfe zum CRA
Die Richtlinie zu allgemeinen Anforderungen hat keine verbindliche Wirkung. Sie richtet sich an Hersteller ohne ausgereifte Sicherheitsprozesse und wird durch eine erste Auswahl von Massnahmen im maschinenlesbaren Format OSCAL ergaenzt.
Kommission veroeffentlicht Leitlinien zur Anwendung des Cyber Resilience Act
Die Mitteilung C(2026) 5252 mit Anhang erlaeutert den Anwendungsbereich (auch Datenverarbeitung auf Distanz und quelloffene Software), wesentliche Veraenderungen, Supportzeitraeume und die Meldepflichten. Es sind unverbindliche Leitlinien der Kommission.
Tschechien: Gesetzentwurf zur Cybersicherheit von Produkten mit digitalen Elementen geht in die Ressortabstimmung
Am 3. Juli 2026 hat das Industrie und Handelsministerium seinen CRA Anpassungsentwurf in die Ressortabstimmung gegeben. Der Entwurf macht NUKIB zur notifizierenden Behoerde und zur Empfaengerin der Meldungen nach Art. 14 und 15 und belaesst die Marktueberwachung bei bestehenden Stellen wie der Tschechischen Handelsinspektion und dem Bergamt; es ist ein Entwurf und kein Gesetz und soll ab dem 11. Dezember 2027 gelten (zwei Paragrafen mit der Verkuendung).
Marktueberwachungsbehoerden halten die zweite AdCo Sitzung zum CRA in Berlin ab
Die nationalen Behoerden richten technische und rechtliche Arbeitsgruppen ein, besprechen die Ueberwachung der Meldepflichten und die Zusammenarbeit mit den CSIRTs und pruefen maschinenlesbare Formate zur Dokumentation der Anforderungen. Den Vorsitz fuehrt das BSI.
Deutschland: Bundesrat erhebt keine Einwaende gegen den Gesetzentwurf zur Durchfuehrung des CRA
In seiner 1066. Sitzung beschliesst der Bundesrat, gegen den Gesetzentwurf nach Artikel 76 Absatz 2 des Grundgesetzes keine Einwendungen zu erheben, wie die Bundestagsdrucksache 21/6512 vom 15. Juni 2026 festhaelt.
Vorschriften zur Notifizierung von Konformitaetsbewertungsstellen beginnen zu gelten
Nach Artikel 71 Absatz 2 gilt Kapitel IV (Artikel 35 bis 51) ab dem 11. Juni 2026. Ab dann koennen die Mitgliedstaaten die Stellen bewerten, notifizieren und ueberwachen, die Konformitaetsbewertungen durch Dritte durchfuehren.
Deutschland: Bundestag beraet den Gesetzentwurf zur Durchfuehrung des CRA in erster Lesung
Nach 20 Minuten Aussprache ueberweist der Bundestag den Gesetzentwurf 21/6134 an den Innenausschuss, der federfuehrend ist. Eine erste Lesung endet mit der Ueberweisung und nicht mit einer Abstimmung ueber das Gesetz.
ENISA veroeffentlicht Anforderungen an die fachliche Kompetenz notifizierter Stellen nach dem CRA
Version 1.0 beschreibt Kenntnisse, Faehigkeiten und Erfahrung, die vom Personal von Konformitaetsbewertungsstellen erwartet werden, die eine Notifizierung nach der Verordnung beantragen. Sie ist unverbindliche Orientierungshilfe.
Finnland: nationales Gesetz zur Ergaenzung des Cyber Resilience Act tritt in Kraft
Das Gesetz tritt am 1. Juni 2026 in Kraft und weist Marktueberwachung, Schwachstellenmeldungen und die Notifizierung von Konformitaetsbewertungsstellen dem Nationalen Cybersicherheitszentrum (NCSC-FI) bei Traficom zu. Es ist verbindliches nationales Recht, ueber das Traficom am 2. Juni 2026 berichtete.
Deutschland: Bundesregierung bringt den Gesetzentwurf zur Durchfuehrung des Cyber Resilience Act in den Bundestag ein
Die Bundestagsdrucksache 21/6134 benennt das BSI als Marktueberwachungsbehoerde und als notifizierende Behoerde, richtet eine Beschwerdestelle fuer Verbraucher und ein Bussgeldverfahren ein und aendert das BSI Gesetz, das Telekommunikationsgesetz und das Energiewirtschaftsgesetz. Es ist ein Entwurf und kein Gesetz.
Polen: Digitalisierungsministerium nennt CERT Polska (CSIRT NASK) als Koordinator fuer CRA Schwachstellenmeldungen
Eine Hinweisseite auf gov.pl vom 25. Mai 2026 nennt CERT Polska als CSIRT NASK in der Rolle des Koordinators fuer CRA Schwachstellenmeldungen, gestuetzt auf das polnische Gesetz ueber das nationale Cybersicherheitssystem (konsolidierter Text, Dz.U. 2026 poz. 20). Eine Marktueberwachungsbehoerde wird nicht genannt; die Seite ist unverbindliche Orientierung und kein polnisches CRA Durchfuehrungsgesetz.
Spanien: CNMC begutachtet den Entwurf des Koeniglichen Dekrets zur Benennung der CRA Behoerden
Am 13. Mai 2026 hat die Wettbewerbs und Marktbehoerde CNMC ihr Gutachten zum Entwurf des Koeniglichen Dekrets angenommen, das die notifizierende Behoerde und die Marktueberwachungsbehoerde nach der Verordnung (EU) 2024/2847 benennt. Der Entwurf nennt das Staatssekretariat fuer Telekommunikation und digitale Infrastruktur (SETID) als Marktueberwachungsbehoerde und das Nationale Kryptologische Zentrum (CCN) als notifizierende Behoerde. Es ist ein Entwurf und das Gutachten ist beratend, noch nichts davon ist geltendes Recht.
Delegierte Verordnung (EU) 2026/881 zur Verzoegerung der Weitergabe von CRA Meldungen veroeffentlicht
Die am 11. Dezember 2025 nach Artikel 14 Absatz 9 erlassene und am 20. April 2026 veroeffentlichte Verordnung regelt die Bedingungen fuer die Sicherheitsgruende, aus denen ein koordinierendes CSIRT die Weitergabe einer Meldung an andere CSIRTs verzoegern darf. Sie ist verbindlich und tritt am zwanzigsten Tag nach der Veroeffentlichung in Kraft (10. Mai 2026).
BSI uebernimmt den Vorsitz der Administrative Cooperation Group zum CRA
Bei der Sitzung der AdCo CRA in Athen am 19. Maerz 2026 geht der Vorsitz an das BSI, die stellvertretende Leitung liegt bei der Digital Security Authority Zyperns. Die AdCo ist das Kooperationsforum der nationalen Marktueberwachungsbehoerden.
Frankreich: Erlaeuterung des Ministeriums nennt ANSSI als notifizierende Behoerde und ANFR als Marktueberwachungsbehoerde fuer den CRA
Die Erlaeuterung der Direction generale des Entreprises nennt die ANSSI als notifizierende Behoerde und sagt, die Marktueberwachung werde von der ANFR mit technischer Unterstuetzung der ANSSI wahrgenommen. Den Rechtsakt, der sie benennt, nennt sie nicht.
Kommission veroeffentlicht Entwurf eines Leitfadens zum Cyber Resilience Act zur Stellungnahme
Der Entwurf behandelt die Datenverarbeitung auf Distanz, freie und quelloffene Software, Supportzeitraeume und das Verhaeltnis zu anderem EU Recht; die Mitteilung nennt den 31. Maerz 2026 als Ende der Rueckmeldefrist. Er ist ein Entwurf und unverbindlich.
2025
Ungarn: Gesetz CXXXV von 2025 macht die SZTFH zur notifizierenden und Marktueberwachungsbehoerde fuer den CRA
Das am 29. Dezember 2025 im Magyar Kozlony verkuendete Gesetz CXXXV von 2025 ist geltendes Recht, ergaenzt das ungarische Cybersicherheitsgesetz um ein CRA Kapitel und gibt der Aufsichtsbehoerde fuer regulierte Taetigkeiten (SZTFH) beide Rollen. Die Regeln zur notifizierenden Behoerde gelten ab dem 11. Juni 2026, die Regeln zur Marktueberwachung und zu Bussgeldern ab dem 11. Dezember 2027.
Niederlande: Regierung legt der Zweiten Kammer den Gesetzentwurf zur Durchfuehrung des Cyber Resilience Act vor
Die Uitvoeringswet verordening cyberweerbaarheid (Kamerstuk 36 875) wird am 18. Dezember 2025 bei der Tweede Kamer eingereicht. Es handelt sich um einen Gesetzentwurf, noch nicht um geltendes Recht.
Schweden: Untersuchung schlaegt ein Ergaenzungsgesetz zum Cyber Resilience Act vor
Die staatliche Untersuchung zur Cyberresilienz uebergab ihren Bericht (SOU 2025:115) am 9. Dezember 2025 der Regierung und schlaegt die Post und Telekommunikationsbehoerde (PTS) als Marktueberwachungsbehoerde, Swedac als notifizierende Behoerde und MSB als Empfaenger der Meldungen vor. Es ist ein Vorschlag, der am 26. Januar 2026 in die Anhoerung ging (Antworten bis 22. April 2026), kein Gesetzentwurf und kein Gesetz.
Kommission veroeffentlicht FAQ zur Umsetzung des Cyber Resilience Act
Die Kommission veroeffentlicht Antworten auf haeufig gestellte Fragen zur Anwendung der Verordnung. Die FAQ ist unverbindliche Orientierungshilfe; die Seite nennt eine letzte Aktualisierung am 4. September 2026.
Durchfuehrungsverordnung (EU) 2025/2392 zur technischen Beschreibung wichtiger und kritischer Produktkategorien veroeffentlicht
Die am 28. November 2025 nach Artikel 7 Absatz 4 erlassene und am 1. Dezember 2025 veroeffentlichte Verordnung legt die technische Beschreibung der Produktkategorien in den Anhaengen III und IV der Verordnung fest. Sie ist verbindlich und tritt am zwanzigsten Tag nach der Veroeffentlichung in Kraft (21. Dezember 2025).
Slowakei: Gesetz 318/2025 fuehrt Bussgelder fuer zugelassene Konformitaetsbewertungsstellen nach dem CRA ein
Das Gesetz Nr. 318/2025 Slg., am 21. Oktober 2025 beschlossen und am 21. November 2025 verkuendet, aendert das Konformitaetsbewertungsgesetz 56/2018. Ab dem 1. Januar 2026 kann das Normungsamt zugelassene Stellen mit den Betraegen nach Art. 64 Abs. 3 CRA bestrafen, wenn sie gegen Art. 39, 41, 47 und 49 verstossen; es ist geltendes Recht, benennt aber nicht die CRA Marktueberwachungsbehoerde.
Kommission schlaegt eine zentrale Meldestelle fuer Sicherheitsvorfaelle vor, die auf der CRA Meldeplattform aufbaut
Der Vorschlag zum Digital Omnibus (COM(2025) 837) wuerde die ENISA mit dem Betrieb einer zentralen Meldestelle fuer Meldungen nach mehreren EU Rechtsakten beauftragen, aufbauend auf ihren Erfahrungen mit der Single Reporting Platform des CRA. Nach Angaben der Kommission aendert er bestehende Meldepflichten nicht; der Vorschlag befindet sich noch im Gesetzgebungsverfahren.
Delegierte Verordnung (EU) 2025/1535 nimmt Fahrzeuge der L Klasse vom Cyber Resilience Act aus
Der am 29. Juli 2025 nach Artikel 2 Absatz 5 erlassene und am 29. Oktober 2025 veroeffentlichte delegierte Rechtsakt nimmt Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung (EU) Nr. 168/2013 aus, ausgenommen L1e Fahrzeuge, die zum Treten ausgelegt sind. Er ist verbindlich und tritt am zwanzigsten Tag nach der Veroeffentlichung in Kraft.
Deutschland: BSI gibt seine Benennung als notifizierende und marktueberwachende Behoerde fuer den CRA bekannt
Das BSI gibt bekannt, dass die Bundesregierung es gegenueber der Europaeischen Kommission als notifizierende Behoerde und als Marktueberwachungsbehoerde im Sinne der Verordnung benannt hat. Ein nationaler Durchfuehrungsgesetzentwurf folgte im Mai 2026.
CEN, CENELEC und ETSI nehmen den Normungsauftrag zum Cyber Resilience Act an
Die drei Normungsorganisationen nehmen den Auftrag M/606 an und sagen zu, harmonisierte Normen mindestens ein Jahr vor Geltung der Verordnung zu liefern. Nach Artikel 27 Absatz 1 begruendet die Einhaltung einer harmonisierten Norm die Konformitaetsvermutung erst, wenn ihre Fundstelle im Amtsblatt veroeffentlicht ist.
Kommission erlaesst den Normungsauftrag zum Cyber Resilience Act
Der Durchfuehrungsbeschluss C(2025) 618 (Auftrag M/606) beauftragt CEN, CENELEC und ETSI, europaeische Normen zur Unterstuetzung der Verordnung zu erarbeiten, nach Angaben der Kommission insgesamt 41. Er richtet sich an die Normungsorganisationen, begruendet keine Pflichten fuer Hersteller und laeuft am 30. November 2027 aus.
2024
Cyber Resilience Act tritt in Kraft
Nach Artikel 71 Absatz 1 tritt die Verordnung am zwanzigsten Tag nach der Veroeffentlichung in Kraft. Ihre Pflichten gelten spaeter in Stufen: Kapitel IV ab 11. Juni 2026, Artikel 14 ab 11. September 2026 und das Uebrige ab 11. Dezember 2027.
Cyber Resilience Act im Amtsblatt veroeffentlicht
Die Verordnung (EU) 2024/2847 vom 23. Oktober 2024 wird am 20. November 2024 im Amtsblatt veroeffentlicht. Sie ist in allen Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.
Rat nimmt den Cyber Resilience Act an
Der Rat nimmt die Verordnung nach dem Standpunkt des Parlaments in erster Lesung vom 12. Maerz 2024 an. Die Unterzeichnung am 23. Oktober 2024 und die Veroeffentlichung im Amtsblatt folgten.
Kommission ruft zur Bewerbung fuer die Expertengruppe zum Cyber Resilience Act auf
Die Kommission ruft Fachleute auf, sich fuer eine Expertengruppe mit bis zu 60 Mitgliedern zur Cybersicherheit von Produkten mit digitalen Elementen zu bewerben. Die Gruppe beraet die Kommission und unterstuetzt bei delegierten Rechtsakten und Leitfaeden.
Europaeisches Parlament nimmt den Cyber Resilience Act in erster Lesung an
Das Parlament nimmt seinen Standpunkt in erster Lesung an (T9-0130/2024), der die Einigung mit dem Rat abbildet. Die formelle Annahme durch den Rat folgte am 10. Oktober 2024.
2023
Parlament und Rat erzielen eine vorlaeufige Einigung zum Cyber Resilience Act
Die Verhandlungsfuehrer des Europaeischen Parlaments und des Rates einigen sich in der Nacht zum 30. November 2023 auf den Text, wie eine Erklaerung der Kommission vom 1. Dezember 2023 bestaetigt. Die Einigung musste noch von beiden Organen formell angenommen werden.
Ausschuss des Europaeischen Parlaments stimmt ueber seine Position zum Cyber Resilience Act ab
Der Ausschuss fuer Industrie, Forschung und Energie (ITRE) stimmt ueber seinen Bericht ab und beschliesst, Verhandlungen mit dem Rat aufzunehmen. Eine Ausschussabstimmung ist ein Verfahrensschritt und kein beschlossenes Gesetz.
Rat legt seine Verhandlungsposition zum Cyber Resilience Act fest
Die Mitgliedstaaten einigen sich im Rat auf eine gemeinsame Position zum Vorschlag. Sie ist ein Verhandlungsmandat fuer die Gespraeche mit dem Parlament und kein beschlossener Rechtsakt.
2022
Kommission schlaegt den Cyber Resilience Act vor
Die Kommission legt ihren Vorschlag (COM(2022) 454) fuer eine Verordnung ueber verbindliche Cybersicherheitsanforderungen an Produkte mit digitalen Elementen vor. Ein Vorschlag begruendet erst mit seiner Annahme Pflichten.
Quellen
30
Diese Seite wird regelmäßig aus den folgenden offiziellen und journalistischen Quellen aktualisiert.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
