„Das BSI prüft erst ab Dezember 2027. Bis dahin haben wir Ruhe." Seit klar ist, dass das BSI in Deutschland die zuständige Behörde für den Cyber Resilience Act (EU CRA) wird, liegt dieser Gedanke nahe. Für die meisten Pflichten stimmt das Datum auch. Wer Router, Modems oder Switches herstellt, sollte dem Satz trotzdem nicht trauen, denn ausgerechnet bei diesen Produkten wird die Zeit bis 2027 am knappsten.
Kurz gesagt: Router, Modems und Switches sind wichtige Produkte Klasse I nach Anhang III EU CRA. Solange keine harmonisierte Norm im Amtsblatt zitiert ist, führt der sichere Weg zur CE-Kennzeichnung über eine benannte Stelle. Deren Prüfung muss abgeschlossen sein, bevor ab dem 11. Dezember 2027 das erste Gerät ausgeliefert wird. Die Meldepflicht gilt seit dem 11. September 2026.
Am 20. November 2026 berät der Bundesrat im zweiten Durchgang über das deutsche Durchführungsgesetz (Drucksache 621/26, TOP 7). Dieser Beitrag gibt den Stand vom 13. November 2026 wieder.
Was regelt das deutsche Durchführungsgesetz zum EU CRA?
Die Pflichten der Hersteller stehen im EU CRA selbst, denn die EU-Verordnung gilt unmittelbar. Ein deutsches Durchführungsgesetz regelt nur die Durchsetzung. Festgelegt wird, welche Behörde zuständig ist, wer Prüfstellen notifiziert und wie Verstöße geahndet werden, in Deutschland über Änderungen am BSI-Gesetz. Nach der Fassung, die der Bundestag am 15. Oktober 2026 beschlossen hat, starten die Rollen des BSI zu unterschiedlichen Zeitpunkten:
| Ab wann | Was gilt | Grundlage |
|---|---|---|
| Seit 11. September 2026 | Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, auch für Geräte im Feld. Die Meldung geht über die Single Reporting Platform gleichzeitig an die ENISA und, bei Hauptniederlassung in Deutschland, an das BSI als CSIRT-Koordinator. | Art. 14 Abs. 1, Art. 69 Abs. 3 und Art. 71 Abs. 2 EU CRA; BSI-Gesetz |
| Ab dem Tag nach der Verkündung | Das BSI wird notifizierende Behörde und meldet Prüfstellen für den EU CRA bei der EU-Kommission an. | Art. 4 Abs. 1 Durchführungsgesetz (BT-Drs. 21/8622) |
| Ab 11. Dezember 2027 | Das BSI wird Marktüberwachungsbehörde und erhält die Bußgeldbefugnisse. Zugleich gelten die grundlegenden Cybersicherheitsanforderungen aus Anhang I, die Konformitätsbewertung und die CE-Kennzeichnung. | Art. 71 Abs. 2 EU CRA; Art. 4 Durchführungsgesetz |
Den Überblick über alle Fristen gibt die EU-CRA-Roadmap 2026/2027. Wie die Meldung im Detail läuft, steht im Beitrag zur 24-Stunden-Frist ab Kenntnis.
Warum stimmt „Ruhe bis 2027" für Router nicht?
Für Router gibt es zwei Gründe gegen die Ruhe: Der Bundestag will, dass das BSI dort zuerst prüft, und die Konformitätsbewertung braucht in der Regel eine benannte Stelle, die es für den EU CRA noch kaum gibt.
Zusammen mit dem Gesetz hat der Bundestag am 15. Oktober 2026 eine Entschließung angenommen (Drucksache 21/8622). Darin fordert er die Bundesregierung auf, im Rahmen der Marktüberwachung durch das BSI die Prüfung von Routern vorrangig durchzuführen. Begründet wird das mit systemkritischen Komponenten nicht vertrauenswürdiger Hersteller in jedem Haushalt, genannt werden Router und Wechselrichter. Rechtlich bindend ist eine Entschließung nicht. Ich halte es trotzdem für sehr wahrscheinlich, dass das BSI ab Dezember 2027 genau dort anfängt.
Welche Konformitätsbewertung brauchen Router, Modems und Switches?
Router, Modems und Switches brauchen nach Art. 32 Abs. 2 EU CRA eine benannte Stelle, solange der Hersteller keine harmonisierte Norm, gemeinsame Spezifikation oder passende Zertifizierung vollständig anwendet. „Router, Modems für die Internetanbindung und Switches" stehen als wichtige Produkte Klasse I in Anhang III Nr. 12 EU CRA. Die Selbstbewertung durch interne Kontrolle (Modul A) ist nur zulässig, wenn eine dieser Grundlagen vollständig angewandt wird, bei Zertifizierungsschemata mindestens mit der Vertrauenswürdigkeitsstufe „mittel". Andernfalls braucht der Hersteller eine benannte Stelle (in der deutschen Fassung der Verordnung: notifizierte Stelle). Zur Wahl stehen dann die EU-Baumusterprüfung mit anschließender interner Fertigungskontrolle (Module B und C) oder eine umfassende Qualitätssicherung (Modul H).
Für den EU CRA ist bis heute keine harmonisierte Norm im Amtsblatt zitiert, gemeinsame Spezifikationen gibt es nicht. Ob bis Dezember 2027 eine passende Norm für Router, Modems und Switches zitiert wird, ist offen. Wer heute plant, sollte die benannte Stelle deshalb als Normalfall annehmen und die Selbstbewertung als Option behandeln.
Wie viele benannte Stellen gibt es für den EU CRA?
Nach meiner Recherche gibt es EU-weit bisher kaum benannte Stellen für den EU CRA (Stand 13. November 2026). Die Regeln für notifizierende Behörden und benannte Stellen (Kapitel IV, Art. 35 bis 51 EU CRA) gelten zwar seit dem 11. Juni 2026. Deutsche Prüfstellen kann das BSI aber erst nach der Verkündung des Durchführungsgesetzes notifizieren. Welche Stellen notifiziert sind, zeigt die EU-Kommission in ihrer Datenbank NANDO.
Hersteller können jede in der EU notifizierte Stelle mit passendem Geltungsbereich beauftragen. Allerdings werden alle Hersteller wichtiger Produkte gleichzeitig anfragen, und jede Stelle muss erst akkreditiert und notifiziert sein, bevor sie prüfen darf.
Hat ein Funkrouter bereits eine EU-Baumusterprüfbescheinigung nach der Funkanlagenrichtlinie und der Delegierten Verordnung (EU) 2022/30, lohnt ein Blick auf Art. 69 Abs. 1 EU CRA: Solche Bescheinigungen bleiben bis zum 11. Juni 2028 gültig, sofern sie nicht vorher ablaufen. Die Vorschrift regelt allerdings nur die Gültigkeit. Wie weit die Bescheinigung als Nachweis für Anhang I EU CRA trägt, ist umstritten. Klären Sie mit Ihrer Prüfstelle, was davon sie übernimmt.
Mythos vs. Fakt
Mythos: Bis das BSI 2027 prüft, haben Router-Hersteller beim EU CRA Zeit.
Fakt: Für Router entscheidet die Konformitätsbewertung über die Lieferfähigkeit ab Dezember 2027, nicht der Start der Marktüberwachung. Solange keine harmonisierte Norm zitiert ist, führt der sichere Weg über eine benannte Stelle, und die Kapazitäten sind knapp. Für Geräte im Feld gilt die Meldepflicht schon seit dem 11. September 2026.
Was passiert, wenn die Prüfung im Dezember 2027 nicht fertig ist?
Ohne abgeschlossene Konformitätsbewertung darf ein Router-Hersteller ab dem 11. Dezember 2027 keine neuen Geräte mehr in Verkehr bringen. In Verkehr bringen heißt erstmalige Bereitstellung auf dem EU-Markt, und das gilt je Gerät, nicht je Modell. Jeder Router, der ab diesem Tag erstmals ausgeliefert wird, muss konform sein, auch wenn er schon 2026 produziert wurde. Mehr dazu steht im Beitrag zum Grandfathering-Mythos.
Nehmen wir einen Mittelständler mit 120 Mitarbeitenden, der LTE-Router baut, mit denen Maschinenbauer ihre Anlagen für die Fernwartung ans Internet anbinden. Er plant die technische Dokumentation für den Sommer 2027, die Prüfung für den Herbst und die CE-Kennzeichnung nach EU CRA für Dezember. Hängt die Prüfung im Herbst in der Warteschlange, steht im Dezember die Auslieferung. In derselben Schlange stehen Hersteller von Betriebssystemen, Smart-Home-Produkten mit Sicherheitsfunktionen und Mikrocontrollern mit sicherheitsrelevanten Funktionen.
Parallel gilt für jeden LTE-Router, der schon bei Kunden läuft, die Meldepflicht. Wird eine Schwachstelle in der Firmware aktiv ausgenutzt, ist die Frühwarnung binnen 24 Stunden nach Kenntnis fällig, unabhängig davon, wann das BSI mit Stichproben beginnt. Die deutschen Bußgeldvorschriften greifen erst ab dem 11. Dezember 2027, andere Mitgliedstaaten haben eigene Regeln. Die Sanktionslogik beschreibt der Beitrag zu Bußgeldern und Sanktionen im EU CRA.
Was sollten Hersteller von Netzwerkprodukten jetzt tun?
1. Klären Sie die Einstufung Ihrer Produkte. Entscheidend ist nach Art. 7 Abs. 1 EU CRA die Kernfunktion. Ein eigenständiger Router fällt unter Anhang III Nr. 12. Eine Werkzeugmaschine mit eingebautem Mobilfunkmodem wird dadurch nicht zum wichtigen Produkt, denn die Integration allein stuft das Gesamtprodukt nicht hoch. Bei Gateways kommt es darauf an, ob Routing die Kernfunktion ist. Wie Sie das abgrenzen, zeigen der Beitrag zur Produktklassifizierung nach Kernfunktionalität und die Übersicht zum EU CRA für Telekommunikation und Netzwerktechnik. Halten Sie das Ergebnis schriftlich fest.
2. Planen Sie die benannte Stelle als Normalfall. Rechnen Sie rückwärts vom 11. Dezember 2027: Prüfzeit, Nachbesserungen, Zertifikat, Produktionsumstellung. Sprechen Sie jetzt Prüfstellen an, die eine Notifizierung für den EU CRA anstreben, auch im Ausland. Warten Sie damit nicht, bis die Dokumentation fertig ist. Den Ablauf beschreibt der Leitfaden zu Konformitätsbewertung und CE-Kennzeichnung. Kommt rechtzeitig eine zitierte Norm, können Sie immer noch auf die Selbstbewertung umschwenken.
3. Testen Sie den Meldeweg für die Geräte im Feld. Wer meldet am Wochenende, wer entscheidet, ab wann ein Verdacht eine Meldung wird, und ist der Zugang zur Single Reporting Platform eingerichtet? Ein Probelauf mit einem fiktiven Fall zeigt, wo es hakt. Hintergrund liefert der Leitfaden zum Schwachstellenmanagement nach dem EU CRA.
Was bedeutet das für Ihre EU-CRA-Roadmap?
Ein deutsches Durchführungsgesetz verschiebt keine Frist des EU CRA: Seit dem 11. September 2026 gelten die Meldepflichten, ab dem 11. Dezember 2027 gilt der EU CRA vollständig. Für Hersteller wichtiger Produkte rückt der eigentliche Stichtag trotzdem nach vorn, denn die Prüfung durch die benannte Stelle muss vor der ersten Auslieferung ab dem 11. Dezember 2027 abgeschlossen sein. Aus meiner Sicht sollten technische Dokumentation und Schwachstellenprozess deshalb Anfang 2027 prüfreif sein.
Welche Ihrer Produkte unter Anhang III fallen und wo Dokumentation und Meldeprozess stehen, zeigt das kostenlose EU-CRA-Assessment.
Häufig gestellte Fragen
Prüft das BSI ab der Verkündung des Gesetzes schon Produkte? Nein. Marktüberwachungsbehörde wird das BSI nach dem vom Bundestag beschlossenen Durchführungsgesetz erst am 11. Dezember 2027, ab dem Tag nach der Verkündung ist es notifizierende Behörde. Meldungen nach Art. 14 EU CRA erhält das BSI als CSIRT-Koordinator seit dem 11. September 2026.
Gilt die Meldepflicht auch für Router, die vor 2027 verkauft wurden? Ja. Nach Art. 69 Abs. 3 EU CRA gilt die Meldepflicht aus Art. 14 auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Die übrigen Anforderungen greifen für diese Geräte nur nach einer wesentlichen Änderung (Art. 69 Abs. 2).
Brauchen Router zwingend eine benannte Stelle? Nicht zwingend. Mit einer im Amtsblatt zitierten harmonisierten Norm, gemeinsamen Spezifikationen oder einem passenden europäischen Zertifizierungsschema, vollständig angewandt, ist die Selbstbewertung nach Modul A möglich (Art. 32 Abs. 2 EU CRA). Ohne diese Grundlagen bleibt nur die benannte Stelle.
Was bedeutet die Entschließung des Bundestags zu Routern rechtlich? Die Entschließung vom 15. Oktober 2026 (Drucksache 21/8622) ist ein politischer Auftrag an die Bundesregierung, keine Rechtspflicht für Hersteller. Wie das BSI den Vorrang für Router ab Dezember 2027 umsetzt, ist offen. Als Signal sollten Router-Hersteller sie ernst nehmen.
Gilt das auch für Industrie-Switches? Anhang III Nr. 12 EU CRA nennt Switches allgemein, also auch Industrie-Switches. Die Durchführungsverordnung (EU) 2025/2392 beschreibt Switches nach meiner Lesart als Geräte mit Management-Ebene. Ein Managed Switch ist damit ein wichtiges Produkt Klasse I, ein Unmanaged Switch läge in der Standardklasse. Die Begründung gehört in die technische Dokumentation.
Jeden Freitag räume ich hier mit einem CRA-Mythos auf.