CRA Cyber Resilience Act Market Surveillance

Die CRA-Marktueberwachung ist das EU-weite Enforcement-System des Cyber Resilience Act. Jeder EU-Mitgliedstaat benennt eine nationale Marktaufsichtsbehoerde, die Produkte mit digitalen Elementen auf CRA-Konformitaet pruefen darf. In Deutschland uebernimmt das BSI diese Rolle. Die Behoerden koennen Produkte inspizieren, Nachweise anfordern und bei Verstoessen Korrekturmassnahmen anordnen.

Verstoesse gegen die wesentlichen Cybersicherheitsanforderungen koennen mit Bussgeldern von bis zu

15 Millionen Euro oder 2,

5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem welcher Betrag hoeher ist. Bei weniger schwerwiegenden Verstoessen liegt die Obergrenze bei

10 Millionen Euro oder

2 % des Umsatzes. Zusaetzlich koennen Behoerden Produkte vom Markt nehmen oder Rueckrufe anordnen.

Die CRA-Marktueberwachung erfolgt stufenweise: Ab Juni

2026 muessen die Mitgliedstaaten ihre Notifizierungsbehoerden benannt haben. Ab September

2026 gelten die Meldepflichten fuer ausgenutzte Schwachstellen und schwerwiegende Vorfaelle. Die vollstaendigen Marktueberwachungsvorschriften greifen ab Dezember

2027 fuer alle betroffenen Produkte.

Wenn eine Marktaufsichtsbehoerde feststellt, dass ein Produkt die CRA-Anforderungen nicht erfuellt und ein Cybersicherheitsrisiko darstellt, kann sie den Hersteller auffordern, das Produkt in Konformitaet zu bringen, die Bereitstellung einzuschraenken oder zu untersagen, oder einen Rueckruf anzuordnen. Der Hersteller muss dann alle betroffenen Nutzer informieren und Korrekturmassnahmen umsetzen.

Die CRA-Marktueberwachung ist der EU-weite Rahmen, der die Befugnisse und Verfahren aller nationalen Behoerden regelt. Das BSI ist die deutsche Umsetzung als benannte Marktaufsichtsbehoerde. Waehrend der EU-Rahmen die Sanktionsobergrenzen, Meldepflichten und Korrekturmassnahmen definiert, legt das BSI die konkreten Pruefverfahren und Kontaktpunkte fuer Deutschland fest.

Ab dem 11. September

2026 muessen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfaelle an die ENISA und die zustaendige nationale Behoerde melden. Dies gilt auch fuer Produkte, die bereits vor Dezember

2027 auf dem EU-Markt sind. Die Meldung muss innerhalb von

24 Stunden nach Kenntnis eines Vorfalls erfolgen.

ADVISORI fuehrt ein Assessment Ihrer aktuellen CRA-Readiness durch, identifiziert Compliance-Luecken und baut Monitoring-Systeme auf. Wir entwickeln Incident-Response-Prozesse fuer Meldepflichten, bereiten Dokumentation fuer Pruefungsszenarien vor und etablieren kontinuierliche Ueberwachungsmechanismen. So sind Sie auf konkrete Behoerdenanfragen und Marktkontrollen vorbereitet.