Die Frage, die unter jeder anderen Frage zum Cyber Resilience Act liegt, ist nicht, wie man die Vorgaben erfüllt. Es ist, wer prüft. Artikel 64 setzt Bußgelder von bis zu 15 Millionen EUR oder 2,5 % des Umsatzes fest, und die Zahl wird überall zitiert, aber die Verordnung gibt der Kommission keinen einzelnen Durchsetzungsarm. Artikel 52 Absatz 2 verpflichtet jeden Mitgliedstaat, eine oder mehrere Marktüberwachungsbehörden zu benennen, und diese Behörden sind es, die nach den allgemeinen Marktüberwachungsregeln der Verordnung (EU) 2019/1020 Ihre technische Dokumentation anfordern, Ihr Produkt prüfen, einen Rückruf anordnen oder das Bußgeld verhängen.
„Wer setzt den CRA durch“ hat also 27 Antworten, und der ehrliche Stand dieser Antworten an dem Tag, an dem die erste Pflicht galt, ist das Thema dieses Artikels.
Wo die Antworten veröffentlicht sind
Benennungen werden bei der Kommission registriert und im Single Market Compliance Space veröffentlicht, derselben Datenbank, die Marktüberwachungsbehörden für jede andere Produktvorschrift führt, von Spielzeug bis zu Druckgeräten. Sie lässt sich nach Verordnung filtern. Die Seite der Kommission zum CRA für die Mitgliedstaaten verweist darauf und auf nichts sonst, also ist sie das Register.
Es gibt zwei Register, weil die Verordnung zwei Rollen schafft:
- Marktüberwachungsbehörde, Artikel 52: die durchsetzende Stelle. Prüft Produkte auf dem Markt, bearbeitet Beschwerden, verhängt Sanktionen.
- Notifizierende Behörde, Artikel 36: die Stelle, die die Konformitätsbewertungsstellen (die notifizierten Stellen) bewertet und überwacht, die wichtige und kritische Produkte brauchen werden. Keine durchsetzende Stelle, aber die erste institutionelle Festlegung eines Staates auf die Verordnung.
Wir haben beide am 11. September 2026 gelesen, dem Tag, an dem Artikel 14 zu gelten begann. Das stand darin.
Das Register, Staat für Staat
| Mitgliedstaat | Marktüberwachungsbehörde (Artikel 52) | Notifizierende Behörde (Artikel 36) |
|---|---|---|
| Österreich | nicht registriert | nicht registriert |
| Belgien | Belgian Institute for Postal services and Telecommunications | CCB – Centre for Cybersecurity Belgium |
| Bulgarien | nicht registriert | nicht registriert |
| Kroatien | nicht registriert | Information Systems Security Bureau |
| Zypern | Office of the Commissioner of Communications - Digital Security Authority (DSA) | Digital Security Authority - National Cybersecurity Certification Authority |
| Tschechien | nicht registriert | nicht registriert |
| Dänemark | nicht registriert | nicht registriert |
| Estland | nicht registriert | Consumer Protection and Technical Regulatory Authority |
| Finnland | Finnish Transport and Communications Agency (Traficom) | nicht registriert |
| Frankreich | Agence Nationale des Fréquences | Agence nationale de la sécurité des systèmes d’information |
| Deutschland | Bundesamt für Sicherheit in der Informationstechnik (BSI) | Bundesamt für Sicherheit in der Informationstechnik - Referat S 14 – Befugniserteilung und Aufsicht über Konformitätsbewertungsstellen |
| Griechenland | nicht registriert | nicht registriert |
| Ungarn | nicht registriert | Supervisory Authority for Regulatory Affairs |
| Irland | nicht registriert | nicht registriert |
| Italien | nicht registriert | nicht registriert |
| Lettland | Consumer Rights Protection Centre (Patērētāju tiesību aizsardzības centrs) | nicht registriert |
| Litauen | nicht registriert | Ministry of National Defence of the Republic of Lithuania |
| Luxemburg | nicht registriert | nicht registriert |
| Malta | nicht registriert | Malta Digital Innovation Authority |
| Niederlande | nicht registriert | Ministry of Economic Affairs – Dutch Authority for Digital Infrastructure |
| Polen | nicht registriert | Ministry of Digital Affairs - Cybersecurity Department |
| Portugal | nicht registriert | nicht registriert |
| Rumänien | nicht registriert | nicht registriert |
| Slowakei | National Security Authority | Slovak Office of Standards, Metrology and Testing |
| Slowenien | nicht registriert | nicht registriert |
| Spanien | nicht registriert | nicht registriert |
| Schweden | nicht registriert | SWEDAC - Swedish Board for Accreditation and Conformity Assessment |
Die Namen stehen wörtlich so im Register, in der Sprache und Form, die jeder Staat gewählt hat. „Nicht registriert“ heißt, dass die Datenbank zum genannten Datum unter dem CRA-Filter keine Behörde für diesen Staat zurückgab; es heißt nicht, dass der Staat keinen Plan hat, nur dass er ihn der Kommission nicht mitgeteilt hat.
Was die Tabelle sagt
Sieben von 27 haben eine durchsetzende Behörde registriert. Belgien, Zypern, Finnland, Frankreich, Deutschland, Lettland und die Slowakei. Zwanzig nicht.
Dreizehn haben eine notifizierende Behörde registriert. Vierzehn nicht. Die beiden Listen überschneiden sich, sind aber nicht gleich: Estland, Kroatien, Ungarn, Litauen, Malta, die Niederlande, Polen und Schweden haben benannt, wer die Konformitätsbewertungsstellen beaufsichtigt, aber nicht, wer durchsetzt; Finnland und Lettland haben es umgekehrt gemacht.
Zwölf Staaten haben keines von beiden registriert. Österreich, Bulgarien, Tschechien, Dänemark, Griechenland, Irland, Italien, Luxemburg, Portugal, Rumänien, Slowenien und Spanien. Ein Hersteller mit Hauptniederlassung in einem dieser Staaten hat, seit die Meldepflicht gilt, keine registrierte Behörde für die Verordnung, der er jetzt unterliegt.
Die Staaten, die sich bewegt haben, haben verschiedene Arten von Stellen gewählt. Deutschland gab die Aufgabe seinem Bundesamt für Sicherheit in der Informationstechnik, das auch das nationale CSIRT betreibt und die notifizierende Rolle hat. Frankreich hat geteilt: die Frequenzagentur für die Marktüberwachung, die nationale Behörde für Informationssicherheit für die Notifizierung. Belgien und Finnland nahmen ihre Telekommunikationsregulierer. Lettland nahm sein Verbraucherschutzzentrum. Zypern und die Slowakei nahmen ihre Behörden für nationale Sicherheit oder digitale Sicherheit. Es gibt kein einheitliches Modell, und ein Unternehmen mit Produkten in mehreren Märkten wird es mit Behörden ganz unterschiedlicher Kultur zu tun haben.
Was das bedeutet, wenn Sie klein sind
Die Angst in jeder Community-FAQ zum CRA ist die Durchsetzungsfrage: Wenn ich einen Fehler mache, bekomme ich Ärger, und von wem. Das Register erlaubt es, etwas Konkretes zu sagen statt etwas Beruhigendes.
Die Durchsetzung ist national und in den meisten Staaten noch nicht besetzt. Die vollständige Geltung beginnt am 11. Dezember 2027, und die Marktüberwachung der Anforderungen aus Anhang I kann nicht beginnen, bevor die Anforderungen gelten. Die Meldepflicht aus Artikel 14 ist jetzt in Kraft, aber in einem Staat ohne registrierte Behörde ist heute niemand in der Position, auf eine versäumte Meldung zu reagieren. Das ist eine Beschreibung der Gegenwart, keine Vorhersage: Die Kommission erwartet, dass die Benennungen bis Dezember 2027 nachgeholt werden, und die zwanzig Lücken werden sich schließen.
Das Register ist der Ort, an dem ein Bußgeld in einem Staat in den anderen sichtbar wird. Artikel 64 Absatz 6 verpflichtet eine Behörde, die ein Bußgeld verhängt, die Marktüberwachungsbehörden jedes anderen Mitgliedstaats über das Informationssystem nach Artikel 34 der Verordnung (EU) 2019/1020 zu unterrichten. Sobald das Register voll ist, ist das der Kanal.
Die Größe ist von Gesetzes wegen ein Faktor für die Höhe. Artikel 64 Absatz 5 Buchstabe c verlangt von einer Behörde, die ein Bußgeld festsetzt, die Größe des Wirtschaftsakteurs gebührend zu berücksichtigen, „insbesondere im Hinblick auf Kleinstunternehmen sowie kleine und mittlere Unternehmen, einschließlich Start-ups“. Das steht im verfügenden Teil, und es bindet jede Behörde in der Tabelle oben und jede, die noch hinzukommt. Wir haben die Stufen und die Vorschriften für kleine Hersteller vollständig aufgeschrieben.
Ihr CSIRT ist nicht Ihre Durchsetzungsbehörde. Die Meldung nach Artikel 14 geht an das als Koordinator benannte CSIRT und an die ENISA; das CSIRT ist da, um eine Reaktion zu koordinieren, nicht um Sie zu überwachen. Marktüberwachungsbehörden sind ein anderer Kreis von Stellen, und in den meisten Staaten bislang eine andere Behörde. Das CSIRT für jeden Staat steht hier.
Was Sie damit tun
An den Pflichten ändert sich nichts. Was sich ändert, ist, was Sie in Ihre eigene Akte schreiben können: mit welcher Behörde Sie es zu tun hätten, wenn Ihr Staat eine benannt hat, und das Datum Ihrer Prüfung, wenn nicht. Eine Feststellung des Anwendungsbereichs und ein Vorfallsverfahren, die die Behörde benennen oder festhalten, dass noch keine registriert ist, sind besser zu verteidigen als solche, die die Frage offenlassen.
Wir werden das Register erneut lesen und die Tabelle aktualisieren. Das Datum am Anfang dieses Artikels ist das Datum, an dem die Tabelle gelesen wurde, und das Register selbst ist öffentlich und filterbar, sodass Sie es an der Quelle prüfen können, statt unsere Lesart zu übernehmen.
Quellen
- Verordnung (EU) 2024/2847, Artikel 36, 52, 64 und 71 Absatz 2.
- Verordnung (EU) 2019/1020 über Marktüberwachung und die Konformität von Produkten, Artikel 34.
- Der Single Market Compliance Space der Kommission, Marktüberwachungsbehörden gefiltert auf Verordnung 2024/2847 (Rechtsakt-ID 9021) und notifizierende Behörden gefiltert auf dieselbe (Rechtsakt-ID 167953), beide gelesen am 11. September 2026.
- Die Seite der Kommission „Cyber Resilience Act, Member States“, aktualisiert am 31. Juli 2026, die auf die beiden Register verweist.
Das ist keine Rechtsberatung. Das Register ist öffentlich und filterbar; wenn Ihr Staat hier als nicht registriert erscheint und Sie es besser wissen, gehört die Korrektur ins Register, und wir nehmen sie beim nächsten Lesen auf.