Was kostet CRA-Compliance wirklich?
Von Redaktion codAIx | 29. Juni 2026
„Was kostet uns der CRA?" ist die häufigste Frage — und die mit den meisten unseriösen Antworten. Eine nackte Gesamtzahl wie „90–180 Personentage" klingt präzise, ist aber angreifbar, weil sie verschweigt, woraus sie sich zusammensetzt. Die ehrliche Antwort beginnt woanders: CRA-Compliance ist keine Aufgabe für eine einzelne Rolle. Sie verteilt sich über mehrere Funktionen — Entwicklung, Security, Produkt/Compliance, Recht —, die ein KMU oft gar nicht alle besetzt hat. Genau das macht den Aufwand hoch. Dieser Beitrag schlüsselt ihn pro Aufgabe und Rolle auf, nennt ein nachvollziehbares Referenzszenario und trennt sauber, was belegte Studienlage ist und was Erfahrungswert.
Eine bewusste Abgrenzung: Security by Design klammern wir aus
Bevor wir rechnen, eine Klarstellung: Dieser Beitrag beziffert nicht den Aufwand für Security by Design — also für die sichere Entwicklung des Produkts selbst nach den grundlegenden Anforderungen aus Anhang I Teil I CRA. Das ist kein Versäumnis, sondern Absicht. Wie sichere Entwicklung konkret aussieht und was sie kostet, hängt so stark von Architektur, Technologie-Stack, Codebasis und Reifegrad des einzelnen Produkts ab, dass jede pauschale Personentage-Angabe mehr verschleiern als erklären würde. Es gibt nicht die eine Art, sicher zu entwickeln — und damit auch nicht den einen Aufwand. Eine belastbare Zahl liesse sich hier nur produktspezifisch ermitteln, nicht seriös über alle Hersteller hinweg mitteln.
Dieser Artikel konzentriert sich deshalb auf die übertragbaren Compliance-Aufgaben — Klassifizierung, SBOM, Schwachstellen- und Meldeprozesse, technische Dokumentation und Konformitätsnachweis —, deren Aufwand sich sinnvoll in Bandbreiten fassen lässt. Die sichere Entwicklung verdient eine eigene, produktspezifische Betrachtung; sie pauschal in eine Tabelle zu pressen, wäre genau die Art unseriöser Vereinfachung, die wir hier vermeiden wollen.
Dem Thema widmen wir uns gesondert: Ab dem vierten Quartal 2026 sollen die in unserem Leistungsumfang enthaltenen Schulungsvideos Security by Design aufgreifen und dazu praktische Unterstützung bieten.
Warum „eine Zahl" in die Irre führt
Wer CRA-Compliance auf eine einzige Kennzahl verdichtet, unterschlägt das Eigentliche: Die Pflichten greifen an verschiedenen Stellen des Unternehmens und verlangen unterschiedliche Kompetenzen. Eine Software-Bill-of-Materials (SBOM) baut nicht dieselbe Person auf, die den Meldeprozess gegenüber der Behörde aufsetzt; die technische Dokumentation nach Anhang VII schreibt nicht, wer die rechtliche Haftungsfrage final bewertet. In einem Grosskonzern sind diese Rollen vorhanden und eingespielt. In einem KMU mit zehn oder dreissig Mitarbeitenden liegen sie häufig bei ein, zwei Personen — oder sind gar nicht besetzt und müssen extern zugekauft werden. Genau hier entsteht der reale Aufwand. Die eierlegende Wollmilchsau (hier in Form einer einzigen Kennzahl) gibt es nicht und genau deshalb ist in unseren Augen die ehrlichste Darstellung eine, die pro Verantwortlichkeit die zuständige Rolle ausweist und deren Kennzahlen aufschlüsselt.
Die Rollen, über die sich CRA-Compliance verteilt
Vier Funktionen tragen den Kern der CRA-Pflichten — bei höheren Risikoklassen kommen zwei weitere hinzu:
Entwicklung / Engineering verantwortet die technische Substanz: Aufbau und Pflege der SBOM, sichere Update-Mechanismen und das Beheben von Schwachstellen im Code (Anhang I CRA).
Security / AppSec verantwortet den laufenden Schutz: Schwachstellen-Monitoring, einen Prozess zur koordinierten Offenlegung (Coordinated Vulnerability Disclosure, CVD), Incident Response und die Meldungen an die Behörden nach Art. 14 CRA.
Produkt / Compliance verantwortet den regulatorischen Nachweis: Klassifizierung und Scoping des Produkts, die technische Dokumentation nach Anhang VII, die Konformitätsbewertung sowie CE-Kennzeichnung und EU-Konformitätserklärung (DoC).
Recht verantwortet die finale rechtliche Bewertung und die Haftungsfragen — eine Funktion, die KMU häufig extern einkaufen.
Bei Produkten höherer Risikoklassen (wichtige Produkte der Klasse II, kritische Produkte) treten hinzu: Qualitätsmanagement / Management für ein Qualitätsmanagementsystem nach dem einschlägigen Konformitätsbewertungsmodul und eine notifizierte Stelle als externe Prüfinstanz. Diese Konstellation treibt Aufwand und Kosten deutlich nach oben — sie betrifft aber nur eine Minderheit der Produkte (siehe unten). Welche Module wann greifen, haben wir in der CRA-Konformitätsbewertung dargestellt.
Methodik: Wie wir Aufwand seriös schätzen
Damit eine Aufwandsdarstellung belastbar ist, folgen wir fünf Prinzipien:
1. Pro Aufgabe statt pro Gesamtzahl. Jede Aufgabe wird einzeln ausgewiesen — mit der typischerweise zuständigen Rolle. Konkret und nachvollziehbar schlägt eine pauschale Summe.
2. Mit Referenzszenario. Ohne Bezugspunkt ist jede Zahl angreifbar. Wir rechnen durchgehend für ein definiertes Szenario (siehe nächster Abschnitt). Wer mehr Produkte, höhere Risikoklassen oder einen geringeren Reifegrad hat, muss nach oben skalieren.
3. Einmal- und laufenden Aufwand getrennt. Klassifizierung und Erst-Dokumentation sind einmalig; SBOM-Pflege, Schwachstellen-Monitoring und Meldebereitschaft sind dauerhaft. Beides in einen Topf zu werfen, verzerrt das Bild.
4. Bandbreiten statt Punktwerte, immer mit Caveat. Jede Zahl ist eine unverbindliche Orientierung, kein garantiertes Ergebnis. Der tatsächliche Aufwand hängt vom Einzelfall ab.
5. Quellen sauber getrennt. Unabhängige Studien belegen, dass der CRA-Aufwand erheblich ist — sie belegen nicht unsere konkreten Personentage. Unsere Tageswerte sind ausdrücklich eigene Projekterfahrung und als solche gekennzeichnet.
Das Referenzszenario
Alle nachfolgenden Werte beziehen sich auf: ein Produkt, mittlerer Reifegrad, KMU, Erstimplementierung, Standard-Selbstbewertung (Modul A nach Anhang VIII CRA — interne Kontrolle ohne notifizierte Stelle). Dieses Szenario ist nicht beliebig gewählt: Nach einer Schätzung der EU-Kommission aus dem Gesetzgebungsverfahren fallen rund 90 % der Produkte mit digitalen Elementen in die Standardkategorie, für die der Hersteller selbst bewertet, die EU-Konformitätserklärung ausstellt und die technische Dokumentation erstellt[2]. Das Referenzszenario bildet also den häufigsten Fall ab; höhere Risikoklassen mit notifizierter Stelle liegen darüber.
Einmal-Aufwand pro Aufgabe und Rolle
Die folgenden Bandbreiten sind eigene Projekterfahrung für das genannte Referenzszenario — eine illustrative Orientierung, kein garantiertes Ergebnis. Die Spalte „mit crAIready" beschreibt das Aufwandspotenzial, wenn wiederkehrende Arbeit plattformgestützt gebündelt wird; sie ist ebenfalls ein Erfahrungswert, keine Zusage.
Angaben in Personentagen (PT) — illustrative Erfahrungswerte für das Referenzszenario, keine garantierten Werte.
| Aufgabe | Typische Rolle | Selbst | Mit crAIready | |:---|:---|---:|---:| | Klassifizierung & Scoping | Produkt/Compliance (+ Recht) | 5–15 | < 1–2 | | SBOM aufbauen | Engineering | 10–25 | 1–3 | | Schwachstellen-/CVD-Prozess aufsetzen | Security | 15–35 | 2–5 | | Technische Dokumentation (Anhang VII) | Produkt/Compliance | 20–40 | 3–6 | | Konformitätsbewertung, DoC, CE | Compliance/QMS | 10–25 | 2–5 | | Meldeprozess (24 h / 72 h / 14 Tage) aufsetzen | Security/Recht | 10–20 | 2–4 | | Summe | | 70–160 | 11–25 |
In Summe ergibt das für die Erstimplementierung grob rund 70–160 Personentage in Eigenleistung gegenüber rund 11–25 Personentagen plattformgestützt — eine Grössenordnung, die zu den in der Praxis kursierenden Gesamtschätzungen passt, hier aber nachvollziehbar aus den Einzelaufgaben hergeleitet ist. Der Meldeprozess folgt den gestuften Fristen des Art. 14 CRA — 24 h / 72 h / 14 Tage (bei schwerwiegenden Sicherheitsvorfällen: Abschlussbericht 1 Monat; Art. 14 Abs. 2 lit. c bzw. Abs. 4 lit. c CRA) — Details dazu in Artikel 8 dieser Serie.
Laufender Aufwand
Mit dem Inverkehrbringen ist es nicht getan: Der CRA verlangt Pflege über den gesamten Unterstützungszeitraum (mindestens fünf Jahre, Art. 13 Abs. 8 CRA). SBOM-Aktualisierung, Schwachstellen-Monitoring, Bereitstellung sicherer Updates und Meldebereitschaft laufen dauerhaft weiter.
| Laufender Betrieb (pro Jahr) | Typische Rolle | Selbst | Mit crAIready | |:---|:---|---:|---:| | Monitoring, SBOM-Pflege, Update- & Meldebereitschaft | Security/Engineering | 20–40 / Jahr | 3–8 / Jahr |
Auch diese Werte sind eigene Projekterfahrung für das Referenzszenario und skalieren mit Produktanzahl und Risikoklasse.
Was die Studien belegen — und was nicht
Die Grössenordnung „erheblich" ist unabhängig belegt; die konkreten Personentage oben sind es nicht. Diese Trennung ist uns wichtig.
Die EU-Kommission beziffert in ihrer Folgenabschätzung die Compliance-Kosten für Hersteller EU-weit auf rund 29 Mrd. Euro — nach Einschätzung der Kommission gering im Vergleich zu den volkswirtschaftlichen Kosten von Cybervorfällen, die der CRA senken soll[2]. Das ist eine Makro-Zahl über den gesamten Binnenmarkt, kein Wert pro Unternehmen — sie belegt nur, dass der Gesamtaufwand substanziell ist.
Die Studie des Instituts der deutschen Wirtschaft (IW Köln) von Engels, Lang und Scheufen (November 2025) kommt für KMU zu einem klaren Befund: Die neuen Rechtsakte — AI Act, NIS-2 und CRA — sind mit „erheblichen Compliance-Kosten" verbunden, die Wettbewerbs- und Innovationsfähigkeit kleinerer Unternehmen kurzfristig belasten können; die grössten Hürden sind komplexe Anforderungen, Rechtsunsicherheit, Fachkräftemangel bei Security- und Compliance-Expertise sowie begrenzte Ressourcen. Eine vollständige CRA-Umsetzung veranschlagt die Studie je nach Reifegrad auf mindestens 12 bis 18 Monate[3]. Das deckt sich mit dem Kern unserer Darstellung: Der Aufwand ist weniger eine Frage einzelner Tage als der fehlenden Rollen, die ein KMU erst aufbauen oder zukaufen muss.
Beide Quellen stützen also die Aussage „CRA-Aufwand ist erheblich". Keine von ihnen belegt eine konkrete Personentage-Angabe — solche Werte stammen aus Projekterfahrung und sind hier ausdrücklich so gekennzeichnet.
Was den Aufwand nach oben oder unten treibt
Drei Faktoren bestimmen, wo ein Unternehmen innerhalb (oder oberhalb) der Bandbreiten landet:
Produktanzahl. Die Werte gelten für ein Produkt. Mehrere Produkte vervielfachen vor allem die Dokumentations- und Bewertungsarbeit — wobei wiederverwendbare Bausteine (gemeinsame Komponenten, Vorlagen) den Grenzaufwand senken.
Risikoklasse. Das Referenzszenario nutzt die Selbstbewertung (Modul A). Wichtige Produkte der Klasse II und kritische Produkte erfordern die Einbindung einer notifizierten Stelle und in der Regel ein Qualitätsmanagementsystem — das hebt Aufwand, Dauer und externe Kosten deutlich an.
Reifegrad. Wer bereits ein gelebtes Schwachstellenmanagement, eine gepflegte SBOM und dokumentierte Prozesse hat, startet weit oben auf der Lernkurve. Ein niedriger Ausgangsreifegrad ist der grösste einzelne Kostentreiber.
Öffentliche Unterstützung existiert: Das EU-Projekt SECURE etwa fördert KMU bei der CRA-Umsetzung[4] — ein Hinweis darauf, dass der Gesetzgeber den Aufwand für kleinere Unternehmen selbst als hoch einschätzt.
Der eigentliche Hebel: Arbeit bündeln, die sonst über vier Funktionen läuft
Der teure Teil der CRA-Compliance ist nicht eine einzelne schwierige Aufgabe — es ist die Koordination über vier bis sechs Rollen hinweg, die in vielen KMU nicht vollständig vorhanden sind. Genau hier setzt der Nutzen einer Plattform an: Wenn Klassifizierung, SBOM, Schwachstellen-Monitoring, technische Dokumentation, Konformitätsnachweis und Meldebereitschaft in einem System zusammenlaufen, sinkt nicht nur der Aufwand pro Aufgabe, sondern vor allem der Koordinationsaufwand zwischen den Funktionen — der in der Praxis oft den grössten Teil ausmacht. Insbesondere wenn Kompetenzen extern zugekauft werden müssen, kommt es zu einem unserer Erfahrung nach grossem Problem: Bei der Lösungserarbeitung mit Externen ist Fingerspitzengefühl gefragt, da häufig das tiefe Verständnis zwischen den Rollen bzw. den konkreten Vorgängen im Unternehmen fehlt. Das wiederum kann schnell zu mehr Aufwand und im schlimmsten Fall Missverständnissen und Fehlern führen. IT und Recht, meist abgeschottet in zwei Räumen oder sogar aus zwei verschiedenen Unternehmen, ohne Verständnis füreinander und das Wissen über die Insights, ganz unterschiedliche Sicht- und Herangehensweisen. Hier muss man gut aufpassen, das keine Lücken entstehen. Wir wissen davon und so sitzen bei uns als Legal Tech die Rollen Entwicklung, Recht, Produkt und Security ganz besonders eng zusammen. Um ein - auf allen Seiten abgestimmtes Produkt anbieten zu können.
crAIready bündelt, was sonst über vier Funktionen läuft
crAIready ist die AI-gestützte SaaS-Plattform, die CRA-Arbeit zusammenführt, die sonst über Engineering, Security, Produkt/Compliance und Recht verteilt ist:
- Klassifizierung & Scoping → CRA-Navigator (Modul 1): KI-gestützte Klassifizierung und Empfehlung des Konformitätsverfahrens — die verbindliche Einordnung bleibt beim Hersteller.
- SBOM & Schwachstellen-/CVD-Prozess → Module 2 und 3: automatische Stückliste, tägliches Monitoring und einbettbare CVD-Annahmestelle.
- Technische Dokumentation & Konformitätsnachweis → Modul 4: Anhang VII, EU-Konformitätserklärung als Entwurf und Behörden-Dossier — auditfest und versioniert.
- Meldeprozess → Modul 5: geführter 24-h-/72-h-/14-Tage-Workflow mit CSAF-konformem Export.
Der Einstieg ist unser kostenloser CRA Quick-Check: eine erste, belastbare Orientierung zu Umfang und Aufwand Ihrer CRA-Pflichten — ohne Beratungsabhängigkeit. Die genannten Aufwände sind unverbindliche Erfahrungswerte; die verbindliche Beurteilung Ihres Einzelfalls bleibt Ihnen vorbehalten.
Methodik dieser Recherche
Die rechtlichen Bezüge sind gegen die Verordnung (EU) 2024/2847 (Cyber Resilience Act) geprüft (Art. 13, Art. 14, Anhang VII, Anhang VIII). Die Makro-Kostenaussagen stammen aus der Folgenabschätzung der EU-Kommission und aus der Studie des IW Köln (Engels/Lang/Scheufen, November 2025); sie belegen die Grössenordnung „erheblich", nicht die in diesem Beitrag genannten Personentage. Die Aufwands-Bandbreiten in Personentagen sind eigene Projekterfahrung von codAIx für das definierte Referenzszenario, ausdrücklich unverbindlich und kein garantiertes Ergebnis.
Quellen
[1] Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 (Cyber Resilience Act) – EUR-Lex — insbesondere Art. 13 Abs. 8, Art. 14, Anhang VII (technische Dokumentation), Anhang VIII (Konformitätsbewertungsverfahren).
[2] Europäische Kommission — Cyber Resilience Act, Impact Assessment / Folgenabschätzung (2022) und Summary of the legislative text — Compliance-Kosten der Hersteller EU-weit rund 29 Mrd. Euro. Die Schätzung, dass rund 90 % der Produkte in die Standardkategorie mit Selbstbewertung fallen, stammt aus dem Gesetzgebungsverfahren: Europäische Kommission, Fragen und Antworten zum Cyber Resilience Act (QANDA/22/5375, September 2022) zum Vorschlag COM(2022) 454 final. Ergänzend: The Cyber Resilience Act – Summary of the legislative text.
[3] Engels, B. / Lang, T. / Scheufen, M. — KI-Verordnung, NIS-2-Richtlinie und Cyber Resilience Act: Auswirkungen auf KMU, Institut der deutschen Wirtschaft (IW Köln), November 2025 — erhebliche Compliance-Kosten für KMU; vollständige CRA-Umsetzung je nach Reifegrad mindestens 12–18 Monate.
Haftungsausschluss: Dieser Beitrag ist eine allgemeine Information zum Cyber Resilience Act und ersetzt keine individuelle Rechtsberatung. Die genannten Aufwände in Personentagen sind unverbindliche Erfahrungswerte für ein definiertes Referenzszenario und kein garantiertes Ergebnis; der tatsächliche Aufwand hängt vom Einzelfall ab (Produktanzahl, Risikoklasse, Reifegrad). Die zitierten Studien belegen die Grössenordnung des CRA-Aufwands, nicht die hier genannten Tageswerte. Stand: 29. Juni 2026. Herausgeberin: codAIx GmbH, Thayngen (Schweiz).
Im nächsten Artikel dieser Serie: Von der Anforderung zum Nachweis — wie harmonisierte Normen und die technische Richtlinie BSI TR-03183 die abstrakten CRA-Anforderungen in konkrete, auditierbare Prüfschritte übersetzen.
Veröffentlicht am: 29.06.2026 | Zuletzt geprüft am: 03.07.2026