Jeder Artikel über den Cyber Resilience Act, Verordnung (EU) 2024/2847, unsere eingeschlossen, sagt Herstellern, was sie bereithalten müssen. Es ist fair, dasselbe von der Maschinerie zu verlangen, auf die sich die Verordnung stützt: die Stellen, die zertifizieren, die Normen, die eine Konformitätsvermutung geben, die Behörden, die durchsetzen, die CSIRTs, die Meldungen entgegennehmen. Wir haben die Register der Kommission an dem Tag gelesen, an dem die erste Pflicht galt, und am Tag danach. Das stand darin.

Notifizierte Stellen: keine

Artikel 32 schickt wichtige und kritische Produkte zu einer notifizierten Stelle zur EU-Baumusterprüfung oder umfassenden Qualitätssicherung, sofern nicht eine harmonisierte Norm vollständig angewandt wird. Notifizierte Stellen werden von den notifizierenden Behörden der Mitgliedstaaten benannt und in der NANDO-Datenbank der Kommission geführt, heute Teil des Single Market Compliance Space.

Am 12. September 2026 lieferte die Liste der nach der Verordnung (EU) 2024/2847 notifizierten Stellen mit aktiver Notifizierung null Ergebnisse. Die Verordnung steht auf der Liste der Rechtsakte, für die eine Stelle notifiziert werden kann, und dreizehn Mitgliedstaaten haben eine notifizierende Behörde registriert, die eine notifizieren könnte. Keine hat es getan.

Für einen Hersteller eines Produkts der Klasse I, der Klasse II oder eines kritischen Produkts heißt das, dass es derzeit niemanden gibt, an den ein Antrag gerichtet werden könnte. Das eigene Ziel der Kommission, in ihren Leitlinien von 2026 bekräftigt, sind Kapazitäten notifizierter Stellen bis Dezember 2026; die Pflicht, eine genutzt zu haben, greift am 11. Dezember 2027.

Harmonisierte Normen: keine veröffentlicht

Artikel 27 gibt Produkten, die harmonisierte Normen anwenden, deren Fundstellen im Amtsblatt veröffentlicht sind, eine Konformitätsvermutung. Artikel 32 Absatz 2 macht diese Normen zur Bedingung dafür, dass ein Produkt der Klasse I sich selbst bewerten darf.

Stand September 2026 ist keine harmonisierte Norm zum CRA im Amtsblatt veröffentlicht. Die Änderung des Normungsauftrags durch die Kommission vom Juli 2026 verschob die zwei zentralen horizontalen Normen auf ein Ziel vom 31. Oktober 2026, die vertikalen Normen auf den 31. Dezember 2026 und die übrigen horizontalen auf Oktober 2027, etwa ein Jahr vor der vollständigen Geltung. Bis zur Veröffentlichung wird Anhang VII Nummer 5 durch die Beschreibung der gewählten Lösungen beantwortet, Anforderung für Anforderung, und ein Produkt der Klasse I hat keinen Weg zur Selbstbewertung.

Durchsetzungsbehörden: sieben von 27

Artikel 52 Absatz 2 verpflichtet jeden Mitgliedstaat, eine Marktüberwachungsbehörde zu benennen und bei der Kommission zu registrieren. Am 11. September 2026 hatten es sieben getan: Belgien, Zypern, Finnland, Frankreich, Deutschland, Lettland und die Slowakei. Dreizehn hatten eine notifizierende Behörde registriert. Zwölf hatten keines von beiden registriert. Das Register, Staat für Staat.

Koordinator-CSIRTs: am Tag zuvor gelistet

Artikel 14 schickt Meldungen an das nach Artikel 12(1) NIS2 als Koordinator benannte CSIRT. Die ENISA hat die Liste der benannten Koordinatoren am 10. September veröffentlicht, dem Tag vor Geltungsbeginn der Pflicht, und in zwei der 27 Staaten ist der Koordinator nicht das nationale CSIRT, das das CSIRTs-Netzwerk führt: in Tschechien ist es das NÚKIB, in Kroatien das NCSC-HR. Die Liste, Staat für Staat. Die zentrale Meldeplattform lässt den Meldenden den Koordinator aus einer Auswahlliste wählen, und die ENISA sagt, eine beim falschen eingereichte Meldung könne für ungültig erklärt werden.

Die Plattform: offen

Die ENISA hat die erste Betriebsfähigkeit der zentralen Meldeplattform am 11. September 2026 in Betrieb genommen, dem Tag, an dem Artikel 14 zu gelten begann. Sie läuft über EU Login mit Zwei-Faktor-Authentifizierung, das eingerichtet werden kann, bevor es gebraucht wird; die ENISA bittet Hersteller, sich auf der Plattform selbst erst zu registrieren, wenn sie eine Meldung einzureichen haben. Sie ist nur auf Englisch verfügbar und hat keine API. Das ist das eine Stück der Maschinerie, das am Tag bereit war, und wie sie funktioniert, Feld für Feld, ist ein eigener Artikel.

Was das für einen Hersteller bedeutet

Ein Standardprodukt ist nicht betroffen. Die Selbstbewertung nach Anhang VIII Modul A braucht weder eine notifizierte Stelle noch eine harmonisierte Norm; die 22 Anforderungen werden in eigener Verantwortung des Herstellers erfüllt und dokumentiert, und die zwölf Schritte lassen sich heute abschließen.

Ein Produkt der Klasse I hat noch keinen Weg, und das ist es wert, aufgeschrieben zu werden. Artikel 32 Absatz 2 verlangt entweder die vollständige Anwendung einer harmonisierten Norm oder eine notifizierte Stelle; beides existiert nicht. Der ehrliche Nachweis für ein solches Produkt im September 2026 ist eine gegen Anhang I aufgebaute Dokumentation mit beschriebenen Lösungen, ein Vermerk, dass Norm und Stelle erwartet werden, und eine monatliche Prüfung. Wenn die erste Stelle notifiziert wird, ist ihre Warteschlange die Engstelle, und das ist ein Grund, die Dokumentation fertig zu haben, bevor man sie einreichen kann.

Die Meldepflicht ist vollständig in Kraft. Keine der Lücken oben berührt Artikel 14. Die Plattform ist offen, die CSIRTs existieren, und die Uhren laufen.

Wir halten die Zahlen oben unter einer dreißigtägigen Wiedervorlage und aktualisieren diese Seite, wenn sie sich bewegen; das Datum oben ist das Datum, an dem sie gelesen wurden.

Quellen

  • Verordnung (EU) 2024/2847, Artikel 14, 27, 32 Absätze 1 bis 4, 36, 52 Absatz 2, 71 Absatz 2; Anhang VIII.
  • Der Single Market Compliance Space der Kommission: nach der Verordnung (EU) 2024/2847 notifizierte Stellen mit aktivem Status (null am 12. September 2026); Marktüberwachungsbehörden und notifizierende Behörden, gefiltert auf den CRA (7 und 13 am 11. September 2026).
  • Die Änderung des CRA-Normungsauftrags durch die Kommission vom Juli 2026 für den Zeitplan der harmonisierten Normen; das Amtsblatt für das Fehlen veröffentlichter Fundstellen.
  • ENISA, „The CRA Single Reporting Platform is launched“, Pressemitteilung vom 11. September 2026.

Das ist keine Rechtsberatung, und das sind an einem Datum abgelesene Zahlen; die Register sind öffentlich, also sind die aktuellen Zahlen einen Klick entfernt.