Das Bundesamt für Sicherheit in der Informationstechnik (BSI) soll für die Aufsicht über vernetzte Produkte bis 2029 um 141 Stellen wachsen. Der Bundestag hat das Durchführungsgesetz zur EU-Cyberresilienz-Verordnung am 15. Oktober beschlossen, seit 30. Oktober liegt das Gesetz als Drucksache 621/26 beim Bundesrat.[1] Zwei Stichtage aus dem Entwurf, der 11. Juni und der 11. September 2026, sind nach der Begründung des Innenausschusses durch Zeitablauf gegenstandslos geworden.[2]
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Für die Bundesverwaltung veranschlagt die Regierung 20,5 Millionen Euro Erfüllungsaufwand im Jahr, für die Wirtschaft null Euro.[3]
Das Wichtigste in Kürze
- Das BSI wird Marktüberwachungsbehörde, Meldestelle für ausgenutzte Schwachstellen und notifizierende Behörde, die Prüfstellen anerkennt und der EU meldet.
- Die zusätzlichen Stellen wachsen von 95 im Jahr 2026 auf 141 im Jahr 2029, die Personalkosten von 9,5 auf 14,6 Millionen Euro.
- Einmalig kommen 10 Millionen Euro hinzu, davon 7,5 Millionen für ein Reallabor.
Warum rechnet der Entwurf für Firmen mit null Euro?
Die Pflichten der Hersteller stehen in der EU-Verordnung 2024/2847 selbst, die unmittelbar gilt. Das Durchführungsgesetz benennt nur die zuständigen Behörden, deshalb weist die Regierung für Bürger und Wirtschaft keinen Erfüllungsaufwand aus. Der Normenkontrollrat nennt die Darstellung methodengerecht.[3]
Was die Verordnung Hersteller kostet, taucht in der deutschen Rechnung also nicht auf. Seit 11. September müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden als Frühwarnung und binnen 72 Stunden ausführlich melden, über eine Plattform der EU-Agentur ENISA. Laut Security-Insider zeigt die Plattform in der ersten Fassung als Frist einen Termin 48 Stunden nach der Frühwarnung an, nicht 72 Stunden nach Kenntnis.[4] Ab 11. Dezember 2027 gelten Sicherheitsanforderungen und CE-Kennzeichnung für vernetzte Geräte und Programme.
Wofür braucht das BSI 141 Stellen?
Den größten Posten bildet die Marktüberwachung mit 7,3 Millionen Euro im Jahr, davon 5 Millionen für externe Dienstleister. Für die Meldestelle setzt die Regierung 2.000 Meldungen mit je 45 Arbeitsstunden an, zusammen 4,1 Millionen Euro, rechnerisch gut 2.000 Euro je Meldung. Für Schulungen kleiner und mittlerer Unternehmen sind 1,3 Millionen Euro im Jahr vorgesehen.[3]
Der Bundesverband IT-Sicherheit TeleTrusT hält diesen Betrag für zu knapp und verweist laut Security-Insider auf rund 5 Millionen Euro, die das NIS-2-Umsetzungsgesetz allein für Schulungen in der Bundesverwaltung ansetzt.[4]
Die Meldepflicht läuft seit September, das deutsche Gesetz dazu steht noch aus. Hersteller richten sich nach der EU-Frist, nicht nach Berlin.
Michael Dobler, Herausgeber Dr. Web
Was spricht für die Bündelung beim BSI?
Die Verordnung legt erstmals verbindliche Mindestanforderungen an die Cybersicherheit vernetzter Produkte fest. Die Regierung prüfte, die bestehenden Marktüberwachungsbehörden zu beauftragen, verwarf diesen Weg aber. Der Normenkontrollrat begrüßt die Bündelung beim BSI, die Umsetzung hänge aber an genügend Personal in den Prüfstellen.[3] Das Verfahren zur Notifizierung solcher Stellen ist nach Angaben des BSI trotz fehlenden Gesetzes am 11. Juni gestartet, gestützt auf eine Verwaltungsvereinbarung mit der Deutschen Akkreditierungsstelle.[4]
Im Innenausschuss lehnte die AfD das Gesetz ab und hält 141 Fachkräfte für schwer zu gewinnen. Die Linke enthielt sich und befürchtet Rollenkonflikte, weil das BSI Meldestelle, Aufsicht und Notifizierung in einer Hand hält. Die Grünen stimmten zu, kritisieren aber, dass gegen öffentliche Stellen keine Bußgelder möglich sind.[2]
Wie geht das Verfahren weiter?
Die Frist für den zweiten Durchgang im Bundesrat endet am 20. November.[1] Meldestelle und Notifizierung treten am Tag nach der Verkündung in Kraft, die übrigen Regeln am 11. Dezember 2027. In einer Entschließung fordert der Bundestag zudem, bei der Marktüberwachung Router vorrangig zu prüfen.[2] In der Bürokratiebilanz nach der Regel „One in, one out“, nach der jede neue Belastung an anderer Stelle ausgeglichen werden muss, zählt der Normenkontrollrat 21,5 Millionen Euro neue Belastung. Einen Ausgleich hat das Ressort nicht angegeben.[3]
Quellen
4 Quellen anzeigenQuellen ausblenden
- BundesratDrucksache 621/26, Gesetzesbeschluss des Deutschen Bundestages: Gesetz zur Durchführung der Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung)
- Deutscher BundestagDrucksache 21/8622, Beschlussempfehlung und Bericht des Innenausschusses
- Deutscher BundestagDrucksache 21/6134, Gesetzentwurf der Bundesregierung mit Stellungnahme des Normenkontrollrats
- Security-InsiderDie Meldepflicht läuft, das Gesetz ist beschlossen
Mehr Newshunger?
- Sabotageschutz: Neue Sicherheitsüberprüfungen kosten Firmen 62.540 Euro im Jahr
- EUDI-Wallet-Gesetz: Ohne Lichtbildabruf fehlen 154 Millionen Euro der geplanten Entlastung
- GmbH-Anteile per Video: Bundestag erweitert Online-Beurkundung ohne Kostenschätzung
- Zuckersteuer: Der Bund veranschlagt 16,9 Millionen Euro im Jahr für den Vollzug
- Cybersecurity Grundlagen: Was KMU 2026 können müssen
