CRA-Durchführungsgesetz & NIS-2 Lieferkettensicherheit (§ 30 BSIG) 2026: BSI-Marktüberwachung, SBOM-Pflicht (TR-03183-2) & PQC-Kryptographie (TR-02102)

Mit der Verabschiedung des deutschen Durchführungsgesetzes zum Cyber Resilience Act (CRA-Durchführungsgesetz) durch den Deutschen Bundestag (BSI-Pressemitteilung vom 16.10.2026) und dem bereits seit dem 11. September 2026 scharfgeschalteten europäischen Schwachstellen-Meldeverfahren ist für Softwarehersteller, SaaS-/On-Premises-Anbieter, Maschinen- und Anlagenbauer (OT/IIoT) sowie Hardware-Zulieferer eine neue Ära der bußgeld- und vertriebsrelevanten Produkthaftung angebrochen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) übernimmt in Deutschland offiziell die Rolle der zentralen nationalen Marktüberwachungsbehörde – flankiert durch den europäischen Vorsitz in der Administrative Cooperation Group (AdCo CRA). Gleichzeitig greift auf Kundenseite die NIS-2-Lieferkettensorgfaltspflicht nach § 30 Abs. 2 Nr. 4 BSIG: Über 29.500 regulierte „besonders wichtige" und „wichtige" Einrichtungen in Deutschland dürfen digitale Produkte, Steuerungssysteme und Enterprise-Software nur noch beschaffen, wenn der Lieferant belastbare technische Nachweise für Schwachstellenmanagement, Software-Stücklisten (SBOM nach BSI TR-03183-2), sichere Update-Prozesse (BSI TR-03185) und quantensichere Kryptographie (BSI TR-02102-1) vorlegt.

Dieser Leitfaden zeigt Geschäftsführern, CISOs, Head of Engineering und Product-Security-Verantwortlichen, wie das CRA-Durchführungsgesetz und § 30 BSIG ineinandergreifen, warum die gesetzliche 5-Jahres-Supportfrist des CRA direkt in das BSI-Krypto-Ablaufdatum 2031 hineinläuft und wie Sie Ihre Release-Pipelines und Audit-Dokumentation in 48 Stunden prüfungssicher aufstellen.

1. Was das verabschiedete CRA-Durchführungsgesetz konkret regelt: Befugnisse des BSI & Sanktionen

Während die europäische Verordnung (EU) 2024/2847 (Cyber Resilience Act) die materiellen Sicherheitsanforderungen für alle „Produkte mit digitalen Elementen" unionsweit vorgibt, schafft das im Oktober 2026 vom Bundestag beschlossene CRA-Durchführungsgesetz den vollständigen nationalen Vollzugs-, Prüf- und Bußgeldrahmen in Deutschland:

1. BSI als zentrale Marktüberwachungs- und Durchsetzungsbehörde:
   Das BSI erhält weitreichende hoheitliche Prüfbefugnisse für Software- und Hardwareprodukte auf dem deutschen Markt. Bei begründetem Verdacht auf Nichtkonformität kann das BSI technische Dokumentationen, SBOM-Artefakte, Quellcode-/Binäranalysen sowie Kryptographie- und Risikobewertungen anfordern, eigene Penetrationstests durchführen und unangekündigte Stichprobenkontrollen anordnen.
2. Vertriebsverbote, Produktrückrufe und Entzug der CE-Kennzeichnung:
   Erfüllt ein digitales Produkt (vom B2B-ERP-Modul über Container-Appliances bis zur vernetzten Industriesteuerung) die grundlegenden Cybersicherheitsanforderungen aus CRA Anhang I nicht und behebt der Hersteller den Mangel nicht fristgerecht, kann das BSI die Bereitstellung auf dem Markt untersagen oder den sofortigen Rückruf anordnen.
3. Drastischer Bußgeldrahmen bis 15 Mio. € bzw. 2,5 % des Jahresumsatzes:
   Verstöße gegen wesentliche Herstellerpflichten (Art. 13 & Art. 14 CRA) sind mit Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bewehrt. Für Importeure, Händler und Verletzungen formeller Dokumentationspflichten gelten Bußgelder bis zu 10 Mio. € bzw. 5 Mio. €.
4. Scharfgeschaltete 24h-/72h-Meldepflicht seit dem 11. September 2026 (Art. 14 CRA):
   Unabhängig von den gestaffelten Übergangsfristen für das CE-Konformitätsbewertungsverfahren gilt bereits seit dem 11.09.2026 für sämtliche Hersteller die strikte Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit:
5. Frühwarnung innerhalb von 24 Stunden über die gemeinsame Meldeplattform der ENISA und an das BSI als zuständiges CSIRT,
6. Qualifizierte Schwachstellenmeldung innerhalb von 72 Stunden (inkl. technischer Tragweite, betroffener Versionen und vorläufiger Gegenmaßnahmen),
7. Abschlussbericht spätestens 14 Tage nach Verfügbarkeit eines korrigierenden Sicherheitsupdates.

2. Der doppelte B2B-Zangengriff: Wie § 30 Abs. 2 Nr. 4 BSIG (NIS-2 Lieferkette) den CRA sofort im Einkauf erzwingt

Viele Software- und Komponentenhersteller unterliegen dem gefährlichen Irrtum, sie hätten für die vollständige Umsetzung von CRA Anhang I noch bis Ende 2027 Zeit. In der deutschen B2B-Praxis greift die Pflicht jedoch schon heute unmittelbar über das Vertragsrecht der Lieferkette:

Gemäß § 30 Abs. 2 Nr. 4 BSIG (Sicherheit der Lieferkette) müssen alle unter NIS-2 fallenden Unternehmen (Energie, Gesundheit, Finanzwesen, Transport, digitale Infrastruktur, verarbeitendes Gewerbe, Maschinenbau, Chemie, Lebensmittel u. v. m.) die Cybersicherheitsrisiken ihrer unmittelbaren Zulieferer und Dienstleister systematisch bewerten. Gleichzeitig haften deren Geschäftsleiter nach § 38 BSIG persönlich mit ihrem Privatvermögen für Versäumnisse im Risikomanagement.

Die Folge im B2B-Einkauf 2026: * Einkaufsabteilungen und CISOs regulierter Kunden verankern in Lieferanten-Fragebögen (Vendor Risk Assessments), EVB-IT-Verträgen und Qualitätssicherungsvereinbarungen (QSV) verbindliche Klauseln zur CRA-Readiness und BSI-TR-Konformität. * Wer als Software-Vendor, Managed-Appliance-Anbieter oder Embedded-Hersteller bei Ausschreibungen keine maschinenlesbare SBOM nach BSI TR-03183-2, keinen dokumentierten Patch-Prozess nach BSI TR-03185 und kein Krypto-Inventar (CBOM) nach BSI TR-02102-1 vorlegen kann, fällt im Lieferanten-Scoring durch und verliert Enterprise-Abschlüsse an auditfeste Wettbewerber.

3. Die unterschätzte 2031-Falle im CRA: 5 Jahre Pflicht-Support treffen auf das Ende von RSA-2048 & klassischem ECDH

Ein kritisches architektonisches Detail verbindet den Cyber Resilience Act direkt mit der BSI-Frist zur Post-Quanten-Kryptographie (TR-02102-1) sowie der im Oktober 2026 veröffentlichten gemeinsamen PQC-Leitlinie von BMI, BMDS und BSI:

1. Mindestens 5 Jahre Supportzeitraum (Art. 13 Abs. 8 CRA):
   Hersteller müssen für jedes auf dem Markt bereitgestellte Produkt einen verbindlichen Supportzeitraum festlegen, der der erwarteten Nutzungsdauer entspricht – mindestens jedoch fünf Jahre (sofern das Produkt nicht ausdrücklich kürzer genutzt wird). Bei Industriesteuerungen, Netzwerk-Appliances, Medizingeräten und Enterprise-Plattformen liegen die vertraglichen Laufzeiten oft bei 7 bis 15 Jahren.
2. Stand der Technik in der Kryptographie (CRA Anhang I Teil I Nr. 2 Buchst. f):
   Produkte müssen die Vertraulichkeit und Integrität gespeicherter und übertragener Daten durch „Verschlüsselung oder sonstige technische Mechanismen nach dem neuesten Stand der Technik" schützen – einschließlich sicherer Update-Signierung (Anhang I Teil II Nr. 7).
3. Die mathematische Kollision (2026 + 5 Jahre = 2031):
   Jedes Software-Release, jedes IoT-Gateway und jede Server-Appliance, die Ende 2026 oder 2027 mit einem regulären 5-Jahres-CRA-Supportzeitraum ausgeliefert wird, befindet sich im Jahr 2031/2032 noch mitten in der gesetzlichen Gewährleistungs- und Sicherheitsupdate-Pflicht des Herstellers!
   Genau zum 31.12.2031 streicht das BSI in TR-02102-1 jedoch klassische asymmetrische Schlüsselaustauschverfahren (RSA-2048, klassisches Diffie-Hellman, klassisches ECDH P-256 / X25519 ohne hybride PQC-Komponente) für schützenswerte Anwendungen aus dem „Stand der Technik".

Konsequenz für Produktarchitekten und CTOs:
Wer 2026/2027 Produkte mit fest verdrahteten klassischen TLS-/SSH-/Firmware-Kryptobibliotheken ohne Krypto-Agilität und ohne CBOM-Transparenz ausliefert, riskiert während des laufenden CRA-Supportzeitraums einen erzwungenen Architektur-Umbau oder kostspieligen Hardware-Austausch im Feld!

4. Technische Compliance-Matrix: CRA-Durchführungsgesetz & § 30 BSIG auf BSI-Richtlinien gemappt

Um gegenüber dem BSI (Marktüberwachung), benannten Konformitätsbewertungsstellen und NIS-2-Enterprise-Kunden (§ 30 BSIG) mit einem einzigen konsistenten Artefakt-Set zu bestehen, sollten Hersteller ihre technische Dokumentation exakt an den folgenden BSI Technischen Richtlinien ausrichten:

5. Besonderer Fokus für „Wichtige Produkte" (CRA Anhang III Klasse I & II): Wann Eigenbewertung nicht mehr ausreicht

Das CRA-Durchführungsgesetz verschärft insbesondere die Kontrolle sogenannter „wichtiger Produkte mit digitalen Elementen" (Anhang III) und „kritischer Produkte" (Anhang IV):

• Anhang III Klasse I umfasst unter anderem Identity-Management-Systeme (IAM/SSO), privilegierte Zugriffsverwaltung (PAM), Browser, Passwort-Manager, VPN-Lösungen, Netzwerk-Management-Systeme, SIEM-Plattformen, Boot-Manager und Router/Modems.
• Anhang III Klasse II betrifft Hypervisoren, Container-Laufzeitumgebungen, Firewalls, Intrusion-Detection-/Prevention-Systeme (IDS/IPS) sowie manipulationssichere Mikroprozessoren und industrielle Automatisierungs- & Steuerungskomponenten für KRITIS.
• Anhang IV (Kritische Produkte) umfasst Hardware-Sicherheitsmodule (HSM), Smartcards und Smart-Meter-Gateways (für die eine europäische Cybersicherheitszertifizierung z. B. nach EUCC vorgesehen ist).

Für Produkte der Klasse I darf der Hersteller eine Selbstbewertung nur dann vornehmen, wenn er harmonisierte Normen vollständig anwendet; andernfalls – und bei Klasse II zwingend – muss eine notifizierte Konformitätsbewertungsstelle (Drittprüfung) eingeschaltet werden. Ein bereits nach BSI TR-03185 strukturierter Entwicklungs- und Patch-Prozess (mit klarer Abgrenzung reiner Sicherheits-Hotfixes der Klasse A gegenüber architekturverändernden Releases der Klasse C) verhindert dabei, dass jeder kritische 24-Stunden-CVE-Patch eine monatelange Nachprüfung des Gesamtsystems auslöst!

6. Praxis-Fahrplan: In 4 Schritten zur kombinierten CRA- & NIS-2-Lieferketten-Readiness

Schritt 1: Automatisiertes Krypto- & Protokoll-Inventar (CBOM) in CI/CD und auf Zielsystemen erzeugen

Bevor Sie ein technisches Dossier nach CRA Anhang VII erstellen oder einen NIS-2-Lieferantenfragebogen beantworten, benötigen Sie Transparenz über alle in Ihrem Produkt oder Ihrer SaaS-Infrastruktur verwendeten TLS-, SSH- und X.509-Verfahren. Nutzen Sie dazu unseren quelloffenen Zero-Dependency Python CLI-Scanner (bsi_pqc_check.py):

# 1. Direkt auf Linux-Appliances, Build-Containern oder Produktions-Nodes ausführen (erzeugt HTML-Report + CBOM-CSV):
pipx run git+https://github.com/KenanErorr404/bsi-tr02102-pqc-audit-cli.git --generate-cbom-csv

# 2. Als automatisiertes Gate in Ihrer Release-Pipeline (JSON-Evidenz für das CRA-Anhang-VII-Dossier):
curl -sSL https://raw.githubusercontent.com/KenanErorr404/bsi-tr02102-pqc-audit-cli/main/bsi_pqc_check.py | python3 - --json-out cra_cbom_audit.json

Der Scanner identifiziert veraltete Algorithmen (RSA < 3072, SHA-1, fehlendes ML-KEM-768 in OpenSSH 9.9+ / OpenSSL 3.5+) vollautomatisch und exportiert eine auditfähige CSV-Stückliste für Ihre technische Dokumentation.

Schritt 2: Interaktives Bußgeld-, Lieferketten- & PQC-Risiko online berechnen (60 Sekunden)

Prüfen Sie kostenfrei im Browser, wie hoch Ihr aktueller Compliance-Gap-Score für NIS-2 (§ 30 / § 38 BSIG) und die BSI-Kryptovorgaben 2031 ausfällt:
👉 Jetzt interaktiven BSI PQC & NIS-2 Risiko- und Bußgeld-Rechner öffnen (pqc-nis2-rechner.html)

Schritt 3: Kostenlose €0+ CSV-Audit-Leseprobe & Schnellstart-Matrix sichern

Laden Sie unsere kostenlose Starter Edition (€0+ Pay What You Want) herunter, um die Struktur unserer Prüfungsmatrizen für BSI TR-02102-1 (CBOM) und BSI TR-03185 (Secure SDLC & SBOM) sofort im eigenen Team zu testen – inklusive 20 % Upgrade-Gutschein (BSI2026PRO) auf die vollständigen Excel-Enterprise-Pakete:
👉 📥 Kostenlose CSV-Audit-Leseprobe & Schnellstart-Matrix herunterladen (€0+)

Schritt 4: Schlüsselfertige .xlsx Enterprise-Workbooks, CycloneDX-Pipelines & Server-Configs ausrollen

Sparen Sie sich teure Einzelberatungen bei der Erstellung Ihrer CRA-Anhang-VII-Dokumentation und Ihrer § 30 BSIG Lieferketten-Nachweise mit unseren beiden sofort einsatzbereiten Enterprise-Paketen: