[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:de:die-eigene-cra-maschinerie-der-eu-am-tag-des-pflichtbeginns":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"de","die-eigene-cra-maschinerie-der-eu-am-tag-des-pflichtbeginns","Die eigene CRA-Maschinerie der EU am Tag, an dem die Pflicht begann: 0 notifizierte Stellen, 0 harmonisierte Normen, 7 von 27 Durchsetzungsbehörden","Der Cyber Resilience Act verlangt von Herstellern, bereit zu sein. Hier steht, wie bereit die Institutionen, auf die er sich stützt, am 11. und 12. September 2026 waren, abgelesen von den Registern der Kommission selbst: keine nach dem CRA notifizierte Konformitätsbewertungsstelle, keine im Amtsblatt veröffentlichte harmonisierte Norm, sieben Mitgliedstaaten mit registrierter Marktüberwachungsbehörde, dreizehn mit notifizierender Behörde, und die Liste der Koordinator-CSIRTs am Tag zuvor veröffentlicht, wobei zwei Staaten eine andere Stelle als ihr nationales CSIRT benennen. Was das für einen Hersteller mit einem Produkt der Klasse I bedeutet, und was festzuhalten ist.","2026-09-11","\nJeder Artikel über den Cyber Resilience Act, Verordnung (EU) 2024\u002F2847, unsere eingeschlossen, sagt Herstellern, was sie bereithalten müssen. Es ist fair, dasselbe von der Maschinerie zu verlangen, auf die sich die Verordnung stützt: die Stellen, die zertifizieren, die Normen, die eine Konformitätsvermutung geben, die Behörden, die durchsetzen, die CSIRTs, die Meldungen entgegennehmen. Wir haben die Register der Kommission an dem Tag gelesen, an dem die erste Pflicht galt, und am Tag danach. Das stand darin.\n\n## Notifizierte Stellen: keine\n\nArtikel 32 schickt wichtige und kritische Produkte zu einer notifizierten Stelle zur EU-Baumusterprüfung oder umfassenden Qualitätssicherung, sofern nicht eine harmonisierte Norm vollständig angewandt wird. Notifizierte Stellen werden von den notifizierenden Behörden der Mitgliedstaaten benannt und in der NANDO-Datenbank der Kommission geführt, heute Teil des Single Market Compliance Space.\n\nAm 12. September 2026 lieferte die Liste der nach der Verordnung (EU) 2024\u002F2847 notifizierten Stellen mit aktiver Notifizierung **null Ergebnisse**. Die Verordnung steht auf der Liste der Rechtsakte, für die eine Stelle notifiziert werden kann, und dreizehn Mitgliedstaaten haben eine notifizierende Behörde registriert, die eine notifizieren könnte. Keine hat es getan.\n\nFür einen Hersteller eines [Produkts der Klasse I, der Klasse II oder eines kritischen Produkts](\u002Farticles\u002Fis-your-product-important-or-critical-under-the-cyber-resilience-act) heißt das, dass es derzeit niemanden gibt, an den ein Antrag gerichtet werden könnte. Das eigene Ziel der Kommission, in ihren Leitlinien von 2026 bekräftigt, sind Kapazitäten notifizierter Stellen bis Dezember 2026; die Pflicht, eine genutzt zu haben, greift am 11. Dezember 2027.\n\n## Harmonisierte Normen: keine veröffentlicht\n\nArtikel 27 gibt Produkten, die harmonisierte Normen anwenden, deren Fundstellen im Amtsblatt veröffentlicht sind, eine Konformitätsvermutung. Artikel 32 Absatz 2 macht diese Normen zur Bedingung dafür, dass ein Produkt der Klasse I sich selbst bewerten darf.\n\nStand September 2026 ist keine harmonisierte Norm zum CRA im Amtsblatt veröffentlicht. Die Änderung des Normungsauftrags durch die Kommission vom Juli 2026 verschob die zwei zentralen horizontalen Normen auf ein Ziel vom 31. Oktober 2026, die vertikalen Normen auf den 31. Dezember 2026 und die übrigen horizontalen auf Oktober 2027, etwa ein Jahr vor der vollständigen Geltung. Bis zur Veröffentlichung wird [Anhang VII Nummer 5](\u002Farticles\u002Fwhat-goes-in-the-cra-technical-file-annex-vii-point-by-point) durch die Beschreibung der gewählten Lösungen beantwortet, Anforderung für Anforderung, und ein Produkt der Klasse I hat keinen Weg zur Selbstbewertung.\n\n## Durchsetzungsbehörden: sieben von 27\n\nArtikel 52 Absatz 2 verpflichtet jeden Mitgliedstaat, eine Marktüberwachungsbehörde zu benennen und bei der Kommission zu registrieren. Am 11. September 2026 hatten es sieben getan: Belgien, Zypern, Finnland, Frankreich, Deutschland, Lettland und die Slowakei. Dreizehn hatten eine notifizierende Behörde registriert. Zwölf hatten keines von beiden registriert. [Das Register, Staat für Staat](\u002Farticles\u002Fwho-enforces-the-cyber-resilience-act-in-your-member-state).\n\n## Koordinator-CSIRTs: am Tag zuvor gelistet\n\nArtikel 14 schickt Meldungen an das nach Artikel 12(1) NIS2 als Koordinator benannte CSIRT. Die ENISA hat die Liste der benannten Koordinatoren am 10. September veröffentlicht, dem Tag vor Geltungsbeginn der Pflicht, und in zwei der 27 Staaten ist der Koordinator nicht das nationale CSIRT, das das CSIRTs-Netzwerk führt: in Tschechien ist es das NÚKIB, in Kroatien das NCSC-HR. [Die Liste, Staat für Staat](\u002Farticles\u002Fwhich-csirt-do-you-report-to-under-cra-article-14). Die zentrale Meldeplattform lässt den Meldenden den Koordinator aus einer Auswahlliste wählen, und die ENISA sagt, eine beim falschen eingereichte Meldung könne für ungültig erklärt werden.\n\n## Die Plattform: offen\n\nDie ENISA hat die erste Betriebsfähigkeit der zentralen Meldeplattform am 11. September 2026 in Betrieb genommen, dem Tag, an dem Artikel 14 zu gelten begann. Sie läuft über EU Login mit Zwei-Faktor-Authentifizierung, das eingerichtet werden kann, bevor es gebraucht wird; die ENISA bittet Hersteller, sich auf der Plattform selbst erst zu registrieren, wenn sie eine Meldung einzureichen haben. Sie ist nur auf Englisch verfügbar und hat keine API. Das ist das eine Stück der Maschinerie, das am Tag bereit war, und [wie sie funktioniert, Feld für Feld, ist ein eigener Artikel](\u002Farticles\u002Fhow-to-file-a-cra-notification-on-enisa-s-single-reporting-platform).\n\n## Was das für einen Hersteller bedeutet\n\n**Ein Standardprodukt ist nicht betroffen.** Die Selbstbewertung nach Anhang VIII Modul A braucht weder eine notifizierte Stelle noch eine harmonisierte Norm; die [22 Anforderungen](\u002Farticles\u002Fcra-annex-i-the-22-essential-requirements-as-a-checklist) werden in eigener Verantwortung des Herstellers erfüllt und dokumentiert, und die [zwölf Schritte](\u002Farticles\u002Fthe-cyber-resilience-act-for-a-small-software-manufacturer-in-twelve-steps) lassen sich heute abschließen.\n\n**Ein Produkt der Klasse I hat noch keinen Weg, und das ist es wert, aufgeschrieben zu werden.** Artikel 32 Absatz 2 verlangt entweder die vollständige Anwendung einer harmonisierten Norm oder eine notifizierte Stelle; beides existiert nicht. Der ehrliche Nachweis für ein solches Produkt im September 2026 ist eine gegen Anhang I aufgebaute Dokumentation mit beschriebenen Lösungen, ein Vermerk, dass Norm und Stelle erwartet werden, und eine monatliche Prüfung. Wenn die erste Stelle notifiziert wird, ist ihre Warteschlange die Engstelle, und das ist ein Grund, die Dokumentation fertig zu haben, bevor man sie einreichen kann.\n\n**Die Meldepflicht ist vollständig in Kraft.** Keine der Lücken oben berührt Artikel 14. Die Plattform ist offen, die CSIRTs existieren, und die Uhren laufen.\n\nWir halten die Zahlen oben unter einer dreißigtägigen Wiedervorlage und aktualisieren diese Seite, wenn sie sich bewegen; das Datum oben ist das Datum, an dem sie gelesen wurden.\n\n## Quellen\n\n- Verordnung (EU) 2024\u002F2847, Artikel 14, 27, 32 Absätze 1 bis 4, 36, 52 Absatz 2, 71 Absatz 2; Anhang VIII.\n- Der Single Market Compliance Space der Kommission: nach der Verordnung (EU) 2024\u002F2847 notifizierte Stellen mit aktivem Status (null am 12. September 2026); Marktüberwachungsbehörden und notifizierende Behörden, gefiltert auf den CRA (7 und 13 am 11. September 2026).\n- Die Änderung des CRA-Normungsauftrags durch die Kommission vom Juli 2026 für den Zeitplan der harmonisierten Normen; das Amtsblatt für das Fehlen veröffentlichter Fundstellen.\n- ENISA, „The CRA Single Reporting Platform is launched“, Pressemitteilung vom 11. September 2026.\n\nDas ist keine Rechtsberatung, und das sind an einem Datum abgelesene Zahlen; die Register sind öffentlich, also sind die aktuellen Zahlen einen Klick entfernt.\n",1789383976170]