In vielen Unternehmen laufen jetzt die Budgetrunden für das Geschäftsjahr 2027. Das ist kein beliebiges Jahr: Der Cyber Resilience Act (Verordnung (EU) 2024/2847) gilt ab dem 11. Dezember 2027 vollständig. Die Runde, die gerade läuft, verteilt also die Mittel für genau das Jahr, in dem die CRA-Pflichten scharf werden. Wer den Aufwand jetzt nicht in seinem CRA Budget verankert, geht ohne Spielraum in sein Pflichtjahr und muss später nachsteuern, wenn die Budgets längst vergeben sind.
Das CRA Budget richtet sich nach drei Aufwandsblöcken: dem Aufbau sicherer Entwicklungs- und Schwachstellenprozesse, den technischen Sicherheitsmaßnahmen am Produkt und der Dokumentation samt Konformitätsbewertung. Der größte Anteil entfällt selten auf einmalige Maßnahmen, sondern auf laufende Pflichten über den gesamten Unterstützungszeitraum eines Produkts.
Was treibt den CRA-Aufwand wirklich?
Der CRA-Aufwand verteilt sich auf drei Ebenen, die in der Praxis unterschiedlich stark zu Buche schlagen.
Die erste Ebene ist der Prozessaufbau. Der CRA verlangt einen sicheren Produktentwicklungsprozess und ein funktionierendes Schwachstellenmanagement. Dazu gehören eine Vulnerability-Disclosure-Policy, ein Incident-Response-Prozess und die Fähigkeit, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle fristgerecht zu melden. Für viele Hersteller im Maschinen- und Anlagenbau ist das ein Aufbau auf der grünen Wiese. Als prozessuale Referenz dient hier regelmäßig die IEC 62443-4-1 als Prozessnorm für sichere Produktentwicklung, die einen Großteil dieser Anforderungen strukturiert abbildet.
Die zweite Ebene sind die technischen Maßnahmen am Produkt. Threat Modeling, Security-by-Design, sichere Update-Mechanismen, Authentifizierung, Verschlüsselung und gehärtete Schnittstellen ergeben sich aus den grundlegenden Anforderungen in Anhang I, Teil I. Dieser Block ist besonders aufwandsrelevant, wenn bestehende Produktplattformen nachträglich abgesichert werden müssen, statt Security von Beginn an mitzudenken.
Die dritte Ebene ist die Dokumentation und Konformitätsbewertung. Technische Dokumentation nach Anhang VII, Risikobewertung, EU-Konformitätserklärung und, je nach Produktklasse, die Einbindung einer benannten Stelle gehören dazu. Welcher Weg gilt, hängt von der Einstufung ab: Standardprodukte über die interne Kontrolle, wichtige Produkte nach Anhang III möglicherweise über harmonisierte Normen oder eine benannte Stelle. Die genaue Klassifizierung wichtiger und kritischer Produkte unter dem CRA entscheidet damit unmittelbar über die Höhe dieses Aufwandsblocks.
Warum unterschätzen Hersteller den CRA-Aufwand?
Der häufigste blinde Fleck: Der CRA wird als reines Dokumentations- und CE-Thema gelesen, also als etwas, das sich am Ende der Entwicklung erledigen lässt. Tatsächlich greift die Verordnung tief in Prozesse und Produktarchitektur ein.
Nehmen Sie eine vernetzte Maschinensteuerung mit Fernwartungszugang. Auf den ersten Blick ist das ein etabliertes Produkt mit bestehender CE-Kennzeichnung. Unter dem CRA kommen jedoch Anforderungen hinzu, die das Produkt selbst betreffen: ein abgesicherter Fernzugriff, ein nachweisbarer Prozess für Sicherheitsupdates über den gesamten Unterstützungszeitraum und eine technische Dokumentation, die die Sicherheitsarchitektur belegt. Was nach einer überschaubaren Ergänzung aussieht, berührt Entwicklung, Test, Produktmanagement, Service und Recht gleichzeitig.
Drei weitere Gründe für die Unterschätzung treten regelmäßig auf. Erstens skaliert der Aufwand mit der Portfolio-Breite: Jedes Produkt mit digitalen Elementen fällt grundsätzlich in den Anwendungsbereich, und Produktvarianten vervielfachen die Arbeit. Welche Produkte überhaupt betroffen sind, klärt eine saubere Anwendbarkeitsprüfung und Scoping zum CRA zu Beginn. Zweitens ist der Aufwand kein einmaliger, sondern ein laufender: Das Schwachstellenmanagement begleitet das Produkt über Jahre. Drittens reicht der CRA in die Lieferkette hinein, etwa über Software-Stücklisten (SBOM) und Nachweise von Zulieferern.
Was macht eine späte CRA-Budgetierung teuer?
Wer den CRA-Aufwand nicht in die reguläre Budgetrunde aufnimmt, landet später beim Change Request mitten im laufenden Geschäftsjahr. Solche Nachforderungen sind schwerer durchzusetzen, konkurrieren mit bereits zugesagten Vorhaben und entstehen oft unter Zeitdruck, also zu schlechteren Konditionen.
Hinzu kommt ein Kapazitätsproblem. Je näher das Jahr 2027 rückt, desto stärker konkurrieren Hersteller um dieselben Ressourcen: interne Entwicklerkapazität, externe Spezialisten und die Prüfkapazitäten benannter Stellen für wichtige und kritische Produkte. Eine späte Budgetierung trifft also auf einen engeren Markt.
Der teuerste Posten ist am Ende das Marktzugangsrisiko. Produkte, die die CRA-Anforderungen nicht erfüllen, dürfen nach dem Stichtag nicht mehr in Verkehr gebracht werden. Eine verzögerte Umsetzung verschiebt damit nicht nur Kosten, sondern gefährdet im Zweifel die Verkaufsfähigkeit ganzer Produktlinien. Verschärft wird die Lage durch parallele Regulierung: Die neue Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027 und bindet in vielen Häusern dieselben Teams.
Warum gehört der CRA in die Budgetrunde für 2027?
Die Pflichten des CRA greifen gestaffelt. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten bereits ab dem 11. September 2026, also in wenigen Monaten. Die vollständigen Produktanforderungen folgen am 11. Dezember 2027, also im Geschäftsjahr, das gerade budgetiert wird. Wer die Mittel jetzt nicht einplant, hat im Pflichtjahr selbst keinen Hebel mehr.
Gerade Hersteller, die das Thema bislang aufgeschoben haben und erst im Pflichtjahr ernsthaft angehen wollen, müssen den Aufwand jetzt in der laufenden Runde für 2027 verankern. Eine frühe CRA-Budgetplanung schafft drei Vorteile: Sie verteilt den Aufwand über mehrere Geschäftsjahre statt ihn in ein einziges zu pressen, sie verschafft Verhandlungsspielraum bei externen Partnern und Prüfstellen, und sie verhindert den Krisenmodus kurz vor dem Stichtag. Ein grob, aber bewusst geplantes Budget lässt sich später verfeinern. Ein vergessenes Budget muss als Nachforderung gegen Widerstand durchgesetzt werden.
Fazit
Der reale CRA-Aufwand entsteht nicht aus der CE-Kennzeichnung, sondern aus Prozessen, technischen Maßnahmen am Produkt und laufenden Pflichten über den Unterstützungszeitraum. Diese Treiber werden in der Praxis regelmäßig unterschätzt, weil sie quer durch das Unternehmen wirken und nicht einmalig anfallen. Die diesjährige Budgetrunde ist der richtige Zeitpunkt, um eine realistische Größenordnung zu verankern, bevor knappe Ressourcen und feste Fristen den Spielraum verengen.
Eine belastbare Budgetzahl entsteht nicht aus dem Bauchgefühl, sondern aus einer produktbezogenen Roadmap, die Aufwandstreiber, Reihenfolge und Zeitpunkte sichtbar macht. Genau diese Roadmap erarbeiten wir mit Herstellern in einem strukturierten Workshop, in dem ein CRA-Aufwandskalkulator die geschätzten Aufwände in eine Größenordnung übersetzt, die sich in der Budgetrunde vertreten lässt.
Kommentar hinzufügen