CRA Budget: Warum die Planung jetzt in die Budgetrunde gehört
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) gilt ab dem 11. Dezember 2027 vollständig. Die Budgets, die diesen Termin abdecken, finanzieren also genau den Zeitraum, in dem die CRA-Pflichten scharf werden. Wer den Aufwand nicht in der regulären Budgetrunde in seinem CRA Budget verankert, geht ohne Spielraum in diesen Zeitraum und muss später nachsteuern, wenn die Budgets längst vergeben sind.
Inhalt
Was bestimmt das CRA Budget?
Das CRA Budget richtet sich nach drei Aufwandsblöcken: dem Aufbau sicherer Entwicklungs- und Schwachstellenprozesse, den technischen Sicherheitsmaßnahmen am Produkt und der Dokumentation samt Konformitätsbewertung. Der größte Anteil entfällt selten auf einmalige Maßnahmen, sondern auf laufende Pflichten über den gesamten Unterstützungszeitraum eines Produkts.
Was treibt den CRA-Aufwand wirklich?
Der CRA-Aufwand verteilt sich auf drei Ebenen, die in der Praxis unterschiedlich stark zu Buche schlagen.
Die erste Ebene ist der Prozessaufbau. Der CRA verlangt einen sicheren Produktentwicklungsprozess und ein funktionierendes Schwachstellenmanagement. Dazu gehören eine Vulnerability-Disclosure-Policy, ein Incident-Response-Prozess und die Fähigkeit, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle fristgerecht zu melden. Für viele Hersteller im Maschinen- und Anlagenbau ist das ein Aufbau auf der grünen Wiese. Als prozessuale Referenz dient hier regelmäßig die IEC 62443-4-1 als Prozessnorm für sichere Produktentwicklung, die einen Großteil dieser Anforderungen strukturiert abbildet.
Die zweite Ebene sind die technischen Maßnahmen am Produkt. Threat Modeling, Security-by-Design, sichere Update-Mechanismen, Authentifizierung, Verschlüsselung und gehärtete Schnittstellen ergeben sich aus den grundlegenden Anforderungen in Anhang I, Teil I. Dieser Block ist besonders aufwandsrelevant, wenn bestehende Produktplattformen nachträglich abgesichert werden müssen, statt Security von Beginn an mitzudenken.
Die dritte Ebene ist die Dokumentation und Konformitätsbewertung. Technische Dokumentation nach Anhang VII, Risikobewertung, EU-Konformitätserklärung und, je nach Produktklasse, die Einbindung einer benannten Stelle gehören dazu. Welcher Weg gilt, hängt von der Einstufung ab: Standardprodukte können die interne Kontrolle (Modul A) nutzen, wichtige Produkte nach Anhang III möglicherweise harmonisierte Normen oder eine benannte Stelle. Die genaue Klassifizierung wichtiger und kritischer Produkte unter dem CRA entscheidet damit unmittelbar über die Höhe dieses Aufwandsblocks.
Warum unterschätzen Hersteller den CRA-Aufwand?
Der häufigste blinde Fleck: Der CRA wird als reines Dokumentations- und CE-Thema gelesen, also als etwas, das sich am Ende der Entwicklung erledigen lässt. Tatsächlich greift die Verordnung tief in Prozesse und Produktarchitektur ein.
Nehmen Sie eine vernetzte Maschinensteuerung mit Fernwartungszugang. Auf den ersten Blick ist das ein etabliertes Produkt mit bestehender CE-Kennzeichnung. Unter dem CRA kommen jedoch Anforderungen hinzu, die das Produkt selbst betreffen: ein abgesicherter Fernzugriff, ein nachweisbarer Prozess für Sicherheitsupdates über den gesamten Unterstützungszeitraum und eine technische Dokumentation, die die Sicherheitsarchitektur belegt. Was nach einer überschaubaren Ergänzung aussieht, berührt Entwicklung, Test, Produktmanagement, Service und Recht gleichzeitig.
Drei weitere Gründe für die Unterschätzung treten regelmäßig auf. Erstens skaliert der Aufwand mit der Portfolio-Breite: Jedes Produkt mit digitalen Elementen fällt grundsätzlich in den Anwendungsbereich, und Produktvarianten vervielfachen die Arbeit. Welche Produkte überhaupt betroffen sind, klärt eine saubere Anwendbarkeitsprüfung und Scoping zum CRA zu Beginn. Zweitens ist der Aufwand kein einmaliger, sondern ein laufender: Das Schwachstellenmanagement begleitet das Produkt über Jahre. Drittens reicht der CRA in die Lieferkette hinein, etwa über Software-Stücklisten (SBOM) und Nachweise von Zulieferern.
Was macht eine späte CRA-Budgetierung teuer?
Wer den CRA-Aufwand nicht in die reguläre Budgetrunde aufnimmt, landet später beim Change Request mitten im laufenden Geschäftsjahr. Solche Nachforderungen sind schwerer durchzusetzen, konkurrieren mit bereits zugesagten Vorhaben und entstehen oft unter Zeitdruck, also zu schlechteren Konditionen.
Hinzu kommt ein Kapazitätsproblem. Je näher der Dezember 2027 rückt, desto stärker konkurrieren Hersteller um dieselben Ressourcen: interne Entwicklerkapazität, externe Spezialisten und die Prüfkapazitäten benannter Stellen für wichtige und kritische Produkte. Eine späte Budgetierung trifft also auf einen engeren Markt.
Der teuerste Posten ist am Ende das Marktzugangsrisiko. Produkte, die die CRA-Anforderungen nicht erfüllen, dürfen nach dem Stichtag nicht mehr in Verkehr gebracht werden. Eine verzögerte Umsetzung verschiebt damit nicht nur Kosten, sondern gefährdet im Zweifel die Verkaufsfähigkeit ganzer Produktlinien. Verschärft wird die Lage durch parallele Regulierung: Die neue Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027 und bindet in vielen Häusern dieselben Teams.
Warum gehört der CRA in die reguläre Budgetrunde?
Die Pflichten des CRA greifen gestaffelt. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten bereits seit dem 11. September 2026. Die vollständigen Produktanforderungen folgen am 11. Dezember 2027. Wer die Mittel nicht in der Budgetrunde einplant, die diesen Termin abdeckt, hat im Pflichtjahr selbst keinen Hebel mehr.
Gerade Hersteller, die das Thema bislang aufgeschoben haben und erst im Pflichtjahr ernsthaft angehen wollen, müssen den Aufwand in der Budgetrunde davor verankern. Eine frühe CRA-Budgetplanung schafft drei Vorteile: Sie verteilt den Aufwand über mehrere Geschäftsjahre statt ihn in ein einziges zu pressen, sie verschafft Verhandlungsspielraum bei externen Partnern und Prüfstellen, und sie verhindert den Krisenmodus kurz vor dem Stichtag. Ein grob, aber bewusst geplantes Budget lässt sich später verfeinern. Ein vergessenes Budget muss als Nachforderung gegen Widerstand durchgesetzt werden.
Fazit
Der reale CRA-Aufwand entsteht nicht aus der CE-Kennzeichnung, sondern aus Prozessen, technischen Maßnahmen am Produkt und laufenden Pflichten über den Unterstützungszeitraum. Diese Treiber werden in der Praxis regelmäßig unterschätzt, weil sie quer durch das Unternehmen wirken und nicht einmalig anfallen. Die reguläre Budgetrunde ist der richtige Zeitpunkt, um eine realistische Größenordnung zu verankern, bevor knappe Ressourcen und feste Fristen den Spielraum verengen.
Eine belastbare Budgetzahl entsteht nicht aus dem Bauchgefühl, sondern aus einer produktbezogenen Roadmap, die Aufwandstreiber, Reihenfolge und Zeitpunkte sichtbar macht. Genau diese Roadmap erarbeiten wir mit Herstellern in einem strukturierten Workshop, in dem ein CRA-Aufwandskalkulator die geschätzten Aufwände in eine Größenordnung übersetzt, die sich in der Budgetrunde vertreten lässt.
CRA-Budget realistisch planen
Wenn Sie eine belastbare Grundlage für Ihre Budgetrunde suchen, lässt sich das anhand Ihrer Produkt-Roadmap gezielt in einem ersten Gespräch einordnen. Sprechen Sie uns gerne an.
