Deutschland ist für die meisten Hersteller der zentrale EU-Absatzmarkt — und damit der wichtigste Testfall für die eigene CRA-Umsetzung. Anders als in kleineren Mitgliedstaaten ist die Aufsichtsarchitektur in Deutschland bereits jetzt eng verzahnt: BSI, BNetzA und die Zoll-Marktüberwachung greifen ineinander.
Zuständige Meldebehörde: BSI / CERT-Bund
Nach Art. 14 CRA müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die künftige Single Reporting Platform (SRP) parallel an ENISA und die zuständige nationale CSIRT-Behörde übermittelt werden. In Deutschland ist das CERT-Bund im Bundesamt für Sicherheit in der Informationstechnik (BSI). Kontakt: certbund@bsi.bund.de, Postanschrift Godesberger Allee 87, 53175 Bonn, Vulnerability Coordination unter https://www.bsi.bund.de/cvd.
Marktüberwachung
Die Marktüberwachung nach Art. 52 ff. CRA wird voraussichtlich beim BSI und der Bundesnetzagentur (BNetzA) angesiedelt. Für Funkprodukte (RED-Zusammenspiel) bleibt die BNetzA federführend. Erwartbar ist eine Bündelung, ähnlich zur bereits bestehenden Struktur bei der Funkanlagen-Richtlinie und dem Verordnungswerk 2019/1020 zur Marktüberwachung.
Notified Bodies mit Sitz in Deutschland
Für Class-II- und kritische Produkte ist eine benannte Stelle erforderlich. In Deutschland positionieren sich TÜV Rheinland, TÜV SÜD, DEKRA und Bureau Veritas Deutschland aktiv für die CRA-Notifizierung — die konkrete Benennung erfolgt aber erst nach nationaler Rechtsanpassung und ENISA-Registrierung. Wer eine Notified Body 2027 braucht, sollte Preisstruktur, Kapazität und Sprache (Bericht auf Deutsch oder Englisch?) bereits jetzt sondieren.
Sprachanforderungen
Nutzerinformationen, Anleitungen und die Konformitätserklärung müssen nach Art. 13(1) CRA in einer für Nutzer im jeweiligen Mitgliedstaat leicht verständlichen Sprache vorliegen. In Deutschland heißt das in der Praxis: Deutsch. Die technische Dokumentation nach Anhang VII kann in Englisch geführt werden — Behörden dürfen aber eine Übersetzung auf Verlangen anfordern.
Praktischer Fahrplan für deutsche Hersteller
- Registrieren Sie einen Kontakt bei CERT-Bund und testen Sie den Meldeweg vor September 2026 — nicht am Vorfall selbst.
- Legen Sie eine deutsche Sicherheitshinweis-Vorlage (Coordinated Vulnerability Disclosure) bereit. Musterformulare bietet das BSI unter TR-03144.
- Prüfen Sie in Ihrer BOM, ob Komponenten aus Anhang III/IV integriert sind — das entscheidet über die Notified-Body-Pflicht.
- Definieren Sie den 24-Stunden-Meldeweg bis auf Rufbereitschaft — inkl. Zeitzonen, Vertreter und Übersetzungsprozess.
Die Bußgeldpraxis in Deutschland ist erfahrungsgemäß hart. Wer Meldepflichten missachtet, riskiert nach § 60 CRA-Umsetzungsgesetz-Entwurf empfindliche Sanktionen — bis zu 15 Millionen Euro oder 2,5 % des Jahresumsatzes. Ein sauber dokumentiertes CVD-Programm ist die erste Verteidigungslinie.