1Fristen und Geltungsbereich

1.1 Vernetzte Geräte in DACH

Ende 2025 waren in den deutschen Mobilfunknetzen 86,1 Mio. Machine-to-Machine-SIM-Profile (M2M) aktiv, 17 % mehr als ein Jahr zuvor.⁷⁸ Das entspricht rund vier Fünfteln der 106,4 Mio. übrigen aktiven SIM-Profile.⁷⁸ Österreich kam Ende 2025 auf 27,5 Mio. M2M-SIM-Karten, doppelt so viele wie die 13,8 Mio. übrigen genutzten SIM-Karten und mehr als dreimal so viele wie Ende 2021 (8,4 Mio.). Ein Teil davon steckt in Geräten im Ausland.^{337, 338} In der Schweiz stieg die Zahl der M2M-Abonnemente 2024 um 14,3 % auf 5,2 Mio., die der Mobilfunkabonnemente insgesamt nur um 2,5 %.⁴⁸

Diese Zahlen erfassen nur Geräte im Mobilfunknetz. Werkzeuge und Gebäudegeräte, die über BLE oder WLAN kommunizieren, kommen hinzu. Weltweit zählt Ericsson Ende 2025 22,3 Mrd. Verbindungen im Internet der Dinge (IoT), davon 4,5 Mrd. oder rund ein Fünftel über Mobilfunk.¹³⁴ Ericsson erwartet bis 2031 mehr als eine Verdopplung auf 47,1 Mrd.¹³⁴

1.2 Von der Meldepflicht zur vollen Geltung

Die Meldepflicht des Cyber Resilience Act (CRA) für Schwachstellen gilt seit dem 11. September 2026, die Maschinenverordnung ab dem 20. Januar 2027 und der vollständige CRA ab dem 11. Dezember 2027.^{167, 168, 171} Fünf Rechtsakte geben den Takt vor: der CRA,¹⁷¹ der Data Act,¹⁷⁰ die Maschinenverordnung,¹⁶⁸ die delegierte Verordnung zur Cybersicherheit unter der Funkanlagenrichtlinie (RED)¹⁴¹ und die Batterieverordnung mit dem Batteriepass.¹⁶⁹ Alle fünf sind Verordnungen. Sie gelten in Deutschland und Österreich unmittelbar, ohne nationale Umsetzung, und für Produkte aus der Schweiz, sobald diese in der EU in Verkehr gebracht werden. Drei der sechs Fristen sind bereits erreicht, und der volle CRA kommt als letzter (Abbildung 1). Ein Produkt muss alle fünf Rechtsakte zugleich erfüllen, wenn seine Entwicklung jetzt beginnt und es 2028 ausgeliefert wird.

Eine Berichtigung hat den Geltungsbeginn der Maschinenverordnung vom ursprünglich vorgesehenen 14. Januar verschoben.¹⁶⁷ Die delegierte RED-Verordnung gilt nach einer Änderung seit dem 1. August 2025, ein Jahr später als ursprünglich beschlossen.¹⁴⁵ Fünf der acht Stichtage sind verstrichen, der volle CRA kommt zuletzt (Tabelle 1).

11. September 2026, CRA-Meldepflichten. Artikel 14 gilt 15 Monate vor dem Rest der Verordnung.¹⁷¹ Für eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall sind binnen 24 Stunden eine Frühwarnung und binnen 72 Stunden eine Meldung fällig.¹⁷¹ Beide laufen über die einheitliche Meldeplattform der ENISA, die seit dem 11. September 2026 in Betrieb ist.^{133, 156} Der Abschlussbericht ist spätestens 14 Tage nach Verfügbarkeit einer Korrektur oder Abhilfemaßnahme fällig, bei einem schwerwiegenden Vorfall einen Monat nach der Meldung.¹⁷¹ Die Meldung geht an das als Koordinator benannte CSIRT des Mitgliedstaats der Hauptniederlassung, und die ENISA erhält sie zugleich.¹⁷¹ Betroffene Nutzer sind zu informieren, gegebenenfalls in einem strukturierten, maschinenlesbaren Format.¹⁷¹ Verwalter von Open-Source-Software melden erst ab dem 11. Dezember 2027.¹⁵⁶

Die Meldepflicht erfasst auch Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.¹⁷¹ Für ein 2023 verkauftes Werkzeug, das noch im Einsatz ist, gilt sie schon heute.

12. September 2025 und 12. September 2026, Data Act. Der Datenzugang ab Werk gilt nur für Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden.¹⁷⁰ Die Rechte des Nutzers, Daten zu erhalten und an Dritte weitergeben zu lassen, gelten dagegen seit dem 12. September 2025, ohne Stichtag für das Inverkehrbringen. Sie erfassen damit auch den Bestand.¹⁷⁰

11. Juni 2026, notifizierte Stellen unter dem CRA. Seit dem 11. Juni 2026 können die Mitgliedstaaten Konformitätsbewertungsstellen unter dem CRA notifizieren.¹⁷¹ Bisher ist unter dem CRA keine Stelle notifiziert.¹⁶¹ Deutschland hat das BSI als notifizierende Behörde gemeldet, Österreich noch keine.¹⁶¹

20. Januar 2027, Maschinenverordnung. An diesem Tag ersetzt die Maschinenverordnung die Maschinenrichtlinie 2006/42/EG.^{167, 168} Maschinen, die zuvor richtlinienkonform in Verkehr gebracht wurden, dürfen danach weiter bereitgestellt werden.¹⁶⁸ Die grundlegenden Anforderungen an den Schutz gegen Korrumpierung und an die Sicherheit und Zuverlässigkeit von Steuerungen sind für vernetzte Maschinen neu.¹⁶⁸

18. Februar 2027, Batterien. Batterien für leichte Verkehrsmittel (LV-Batterien), Industriebatterien über 2 kWh und Traktionsbatterien für Elektrofahrzeuge, die ab diesem Tag in Verkehr gebracht werden, brauchen einen Batteriepass mit Daten zur einzelnen Batterie, einschließlich Daten aus ihrer Nutzung.¹⁶⁹ Alle Batterien brauchen einen QR-Code, und Produkte mit Gerätebatterien müssen so gebaut sein, dass Endnutzer die Batterie entnehmen und ersetzen können.¹⁶⁹

1.3 Geltungsbereich und Ausnahmen

Keine der Ausnahmen nimmt ein typisches Werkzeug, eine Maschine, ein Gebäudegerät oder einen Tracker aus dem Anwendungsbereich. Der CRA klammert Medizinprodukte, Fahrzeuge, Luftfahrt, Schiffsausrüstung und Verteidigung aus.¹⁷¹ Die Unterschiede zwischen den Produkten stecken im Detail der einzelnen Rechtsakte.

CRA. Der CRA erfasst Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt.¹⁷¹ Abgesehen von der Meldepflicht fallen Bestandsprodukte nur dann unter den CRA, wenn sie nach Beginn seiner vollen Geltung wesentlich verändert werden.¹⁷¹ EU-Baumusterprüfbescheinigungen, die nach anderen Harmonisierungsrechtsvorschriften der Union für Cybersicherheitsanforderungen ausgestellt wurden, bleiben bis zum 11. Juni 2028 gültig.¹⁷¹

Delegierte RED-Verordnung. Jede internetfähige Funkanlage muss seit dem 1. August 2025 das Netz schützen.¹⁴¹ Sie muss auch personenbezogene Daten, Verkehrs- und Standortdaten schützen, wenn sie solche verarbeitet.¹⁴¹ Der Rechtsakt schließt die Kommunikation „über andere Geräte“ ein. Deshalb fällt auch ein Bluetooth-Werkzeug darunter, das die Cloud über eine Smartphone-App erreicht.¹⁴¹ Medizin- und IVD-Produkte sind von allen Anforderungen ausgenommen, Produkte unter dem Luftfahrt-, dem Fahrzeug-Typgenehmigungs- und dem Mautrecht nur vom Datenschutz und vom Betrugsschutz, nicht vom Netzschutz.¹⁴¹ Die delegierte Verordnung 2026/339 hebt den Rechtsakt mit Wirkung zum Beginn der vollen Geltung des CRA auf.¹⁵⁴ Von da an unterliegen Funkprodukte nur noch einem Cybersicherheitsregime, dem CRA, statt zweien.¹⁵⁴ Die Marktüberwachung prüft Funkanlagen, die bis zum 10. Dezember 2027 in Verkehr gebracht werden, weiterhin anhand der Anforderungen der delegierten Verordnung.¹⁵⁴

Data Act. Ein vernetztes Produkt ist ein Gegenstand, der „Daten über seine Nutzung oder Umgebung erlangt, generiert oder erhebt“, diese übermitteln kann und „dessen Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei als des Nutzers ist“.¹⁷⁰ Die Zugangspflichten des Kapitels II gelten nicht für Kleinst- und Kleinunternehmen ohne große Partner- oder verbundene Unternehmen. Für mittlere Unternehmen greifen sie erst ein Jahr, nachdem diese zum mittleren Unternehmen geworden sind, oder ein Jahr nach dem Inverkehrbringen eines Produkts.¹⁷⁰ Ein kleines Unternehmen beschäftigt weniger als 50 Personen, ein mittleres weniger als 250.¹³⁸ Hersteller ab 100 Beschäftigten gewinnen damit höchstens ein Jahr Aufschub je Produkt.¹⁷⁰ Der Digital-Omnibus-Vorschlag der Kommission vom 19. November 2025 würde den Data Act ändern. Zum Zeitpunkt der Veröffentlichung befindet er sich in erster Lesung und ist noch nicht angenommen.^{153, 174} Maßgeblich bleibt damit der geltende Text.

Maschinenverordnung. Akkuwerkzeuge und stationäre Maschinen fallen unter die Definition der Maschine: eine Gesamtheit mit einem anderen Antriebssystem als menschlicher oder tierischer Kraft und mindestens einem beweglichen Teil.¹⁶⁸ Eine Prüfung durch Dritte ist für sechs Kategorien Pflicht, darunter Sicherheitsbauteile und eingebettete Systeme mit selbstentwickelndem Verhalten, die maschinelles Lernen für Sicherheitsfunktionen nutzen.¹⁶⁸ Haushaltsgeräte für den häuslichen Gebrauch, Audio-, Video- und IT-Geräte, Büromaschinen und Niederspannungsschaltgeräte sind ausgenommen, soweit sie unter die Niederspannungsrichtlinie oder die RED fallen.¹⁶⁸

Batterieverordnung. Eine Gerätebatterie ist gekapselt, wiegt höchstens 5 kg und ist „nicht speziell für industrielle Zwecke ausgelegt“.¹⁶⁹ Jede Batterie über 5 kg, die keine Traktions-, LV- oder Starterbatterie ist, ist eine Industriebatterie.¹⁶⁹ Typische Werkzeugakkus und Trackerzellen sind daher Gerätebatterien und brauchen keinen Pass. Ein stationärer Heimspeicher ist dagegen eine Industriebatterie und braucht bei mehr als 2 kWh einen Pass.

1.4 Stand der harmonisierten Normen

Von den fünf Rechtsakten hat nur die RED harmonisierte Normen im Amtsblatt, für den CRA und die Maschinenverordnung ist noch keine veröffentlicht (Tabelle 2).^{136, 148, 151, 159} Der Normungsauftrag zum CRA verlangt 41 Normen, die ersten zum 30. August 2026.¹⁴⁷ Seit August 2026 sind 17 vertikale CRA-Normentwürfe des ETSI in der öffentlichen Umfrage.¹³⁶ Die Umfrage endet je nach Produktkategorie zwischen Mitte September und Mitte November 2026.¹³⁶

Produkte der Klasse I des CRA dürfen sich nur selbst bewerten, wenn sie harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Zertifizierungsschema vollständig anwenden.¹⁷¹ Ohne sie brauchen sie eine notifizierte Stelle, die es unter dem CRA noch nicht gibt. Diese Produkte trifft die Lücke am härtesten.

1.5 Betroffene Hersteller und Umsetzungsstand

Von den 4.410 Herstellern mit 100 bis 4.999 Beschäftigten in DACH stellen nach unserer Schätzung 1.750 bis 3.440 vernetzte Produkte her, mehr als vier Fünftel davon in Deutschland (Abbildung 2).^{37, 56, 175, 190, 367} Die Vorbereitung auf den CRA hinkt hinterher. Lediglich 3 % der befragten deutschen Industrieunternehmen halten sich für vollständig konform.³³⁰

Die Grundgesamtheit ist klein und konzentriert. In Deutschland stellen die 3.692 Unternehmen mit 100 und mehr Beschäftigten in Elektronik, Elektrotechnik, Maschinenbau und Medizintechnik (WZ 26, 27, 28 und 32.5) rund ein Drittel der 11.359 rechtlichen Einheiten dieser Zweige mit 20 und mehr Beschäftigten. Sie beschäftigen aber 1,77 Mio. der 2,11 Mio. tätigen Personen, also 84 %.³⁶⁷ Die Größenklasse 100-249 stellt die meisten Unternehmen, hat aber den kleinsten Anteil an Herstellern vernetzter Produkte. Dort ist unsere Schätzung am unsichersten, mit einer Spanne von 673 bis 1.692 deutschen Herstellern vernetzter Produkte (Kapitel A.3).^{37, 190, 367}

• Vernetzte Funktionen sind bei größeren Unternehmen Standard. Die große Mehrheit der 100 befragten deutschen Industrieunternehmen, die Produkte mit digitalen Elementen herstellen (94 %), bietet bereits updatefähige Produkte an.³³¹ Von 555 befragten Industrieunternehmen ab 100 Beschäftigten setzen 45 % IoT-Plattformen ein, weitere 33 % planen dies.³⁷
• Die Umsetzung hängt von der Unternehmensgröße ab. Die Hälfte der befragten Unternehmen setzt den CRA bereits aktiv um, unter denen mit 500 und mehr Beschäftigten 59 %, unter den kleineren 37 %. Ebenso viele haben keine eigene externe Meldestelle für Schwachstellen, obwohl die Meldepflicht bereits gilt.^{330, 331}
• Software-Stücklisten fehlen meist. Von 200 befragten deutschen Industrieunternehmen haben 18 % eine Software-Stückliste (SBOM) für alle betroffenen Produkte, 39 % haben ihre Software zumindest teilweise erfasst, und 24 % haben nichts unternommen.³⁰⁷ Nur 46 % kennen den CRA.³⁰⁷
• In der Breite der Wirtschaft ist der CRA kaum bekannt. Von 1.003 befragten deutschen Unternehmen mit 10 und mehr Beschäftigten wissen 29 %, was der CRA für sie bedeutet.³⁶ Mehr als ein Viertel (28 %) hat noch nie von ihm gehört.³⁶