Kosten der CRA-Konformität: realistisch budgetieren
Kosten der CRA-Konformität: realistisch budgetieren
Für die Einhaltung der EU-Cyberresilienzverordnung (CRA) gibt es keinen einheitlichen Preis und keine allgemeine Pflichtgebühr für eine Zertifizierung jedes Produkts. Kalkulieren Sie produktspezifische Arbeit, Konformitätsbewertung und Sicherheitsbetreuung nach dem Inverkehrbringen getrennt. Die CE-Kennzeichnung ist kein käufliches CRA-Zertifikat.
Gibt es eine amtliche CRA-Gebühr?
Die Verordnung (EU) 2024/2847 legt keinen EU-weiten Einheitstarif für die interne Herstellerbewertung oder CE-Kennzeichnung fest. Beim internen Kontrollverfahren ist eine kostenpflichtige notifizierte Stelle nicht automatisch erforderlich. Bei erforderlicher Drittprüfung sind konkrete Angebote einzuholen; Tests und Beratung sind gesonderte Leistungen. Eine verlässliche allgemeine Euro-Pauschale ist nicht belegbar.
Die Meldepflichten aus Artikel 14 gelten seit dem 11. September 2026, auch für bereits auf dem EU-Markt bereitgestellte Produkte. Die meisten anderen Pflichten gelten ab dem 11. Dezember 2027. Ein Budget für 2026 muss die Meldeprozesse bereits berücksichtigen.
Erst die Produktkategorie klären: Sie bestimmt den Prüfweg
Prüfen Sie nach Artikel 32 die Kernfunktion anhand der Anhänge III und IV und der amtlichen technischen Beschreibungen. Die Übersicht dient der Budgetplanung, ersetzt aber keine verbindliche Einstufung.
| Produktkategorie | Möglicher Bewertungsweg | Kostenfolge |
|---|---|---|
| Standardprodukte | In der Regel ist die interne Fertigungskontrolle des Herstellers (Modul A) möglich. | Risikoanalyse, technische Nachweise und Dokumentation; externe Tests sind nicht automatisch Pflicht. |
| Wichtige Produkte der Klasse I | Interne Kontrolle nur bei Anwendung einschlägiger harmonisierter Normen, gemeinsamer Spezifikationen oder eines geeigneten EU-Systems zur Cybersicherheitszertifizierung; sonst notifizierte Stelle. Sonderregel für Open-Source-Software prüfen. | Bis zur Klärung zwei Budgets vorsehen: belegte Selbstbewertung und externe Prüfung. |
| Wichtige Produkte der Klasse II / kritische Produkte | notifizierte Stelle oder, soweit rechtlich zulässig und anwendbar, geeignetes EU-System zur Cybersicherheitszertifizierung. Ausnahme für bestimmte wichtige Open-Source-Produkte prüfen. | Prüfumfang, Modul, Varianten und Wiederholungsprüfungen konkret anbieten lassen; Selbsterklärung kann unzureichend sein. |
Kostenpositionen für ein belastbares Budget
Trennen Sie einmaligen Entwicklungsaufwand von laufenden Lebenszykluskosten; erfassen Sie Verantwortliche, Mengen und Nachweise.
| Kostenblock | Kostentreiber | Angebotsnachweis |
|---|---|---|
| Einstufung und Lückenanalyse | Zweckbestimmung, Sicherheitsfunktionen, Komponenten, vorhandene Kontrollen. | Schriftlicher Geltungsbereich, Bewertungsweg, Annahmen. |
| Nachbesserung und technische Unterlagen | Sicheres Design, Risiken, Schwachstellenprozesse, Lieferanten, Benutzerhinweise. | Arbeitspakete, Personentage, Abnahmekriterien. |
| Prüfung und Nachprüfung | Schnittstellen, Bedrohungen, Testumgebung, Muster, Software- und Firmwarestände. | Prüfplan, Musterzahl, Fehlerbehebung und Nachprüfpreis. |
| Externe Konformitätsbewertung | Nur falls erforderlich oder gewählt; Module B+C und H haben unterschiedliche Umfänge. | CRA-Notifizierung und Zuständigkeitsbereich, Ergebnisse, Überwachung, Änderungskosten. |
| Produktion und Versionssteuerung | Standorte, Auftragsentwickler, Varianten, Freigabeprozesse. | Begründete Standort- oder Prozessaudits; kein allgemeines Pflicht-Werksaudit. |
| Cybersicherheit nach dem Inverkehrbringen und EU-Akteure | Unterstützungszeitraum, Überwachung, Sicherheitsaktualisierungen, Meldungen und tatsächlich benötigte Leistungen eines Bevollmächtigten oder Importeurs. | Jährlicher Aufwand, Zuständigkeit und Vertragsrolle. |
Drei Budgetszenarien statt Preisversprechen
- Ein Standardsoftwareprodukt mit reifen Sicherheitsprozessen — Geringere externe Prüfkosten sind möglich; Schwerpunkt sind Nachbesserung, Nachweise sowie Update- und Meldeprozesse.
- Klasse I bei unklarem Normenstand — Zwei Wege kalkulieren: zulässige Selbstbewertung oder notifizierte Stelle bei fehlenden Voraussetzungen. Normenanwendbarkeit zuerst klären.
- Familie vernetzter Geräte der Klasse II mit häufigen Firmware-Updates — Externe Bewertung oder geeignetes verfügbares System, repräsentative Muster sowie Änderung und Nachprüfung budgetieren; gemeinsame Nachweise begründen.
Angaben für ein belastbares Angebot
Ohne diese Angaben ist jede Zahl lediglich eine unverbindliche Annahme.
- Hersteller, Marke, EU-Vertrieb, gegebenenfalls Importeur/Vertreter und Aufgabenverteilung.
- Produktbeschreibung, Zweckbestimmung, Kernfunktionen, Vernetzung, Einsatzumgebung und Märkte.
- Begründete CRA-Klasse; Normen, gemeinsame Spezifikationen oder Zertifizierungssystem mit geprüfter Anwendbarkeit.
- Versionen, Varianten, Lieferanten, Software-Stückliste (SBOM) und externe bzw. entfernte Abhängigkeiten.
- Vorliegende Risikoanalyse, Prüfberichte, Reaktion auf Sicherheitsvorfälle, Schwachstellenmanagement, Sicherheitsaktualisierungen und technische Unterlagen.
- Unterstützungszeitraum, Versions- und Veröffentlichungsplan, voraussichtliche wesentliche Änderungen, Prüfmuster und verfügbares internes Personal.
Ausgaben planen und Doppelarbeit vermeiden
- Produktumfang festlegen und offene Fragen zur CRA-Einstufung dokumentieren; Zertifizierung nicht blind einkaufen.
- Zulässigen Bewertungsweg und aktuelle Normen/Systeme prüfen; Befugnis der notifizierten Stelle für den Umfang verifizieren.
- Belastbare vorhandene Sicherheitsnachweise wiederverwenden; nur belegte Lücken beauftragen.
- Prüfreife, Versionen, Muster, Wiederholungsprüfungen, Änderungen und Ausschlüsse schriftlich regeln.
- Laufende Mittel für Überwachung, Patches, Support und Meldungen gemäß Artikel 14 getrennt reservieren.
Angebote und laufende Kosten vergleichen
Verlangen Sie getrennte Positionen für feste Leistungen, Optionen, eigene Arbeitszeit, erforderliche Reisen oder Werksprüfungen, Nachtests, gegebenenfalls Überwachung, Steuern und Support. „CRA-Zertifikat für X Euro“ ohne Klasse und Prüfumfang ist kein belastbares Angebot.
Für die konkrete Umsetzung siehe Dienstleistungen zur CRA-Umsetzung, für Einstufung und Strategie Beratung zur CRA-Klassifizierung und für Kosten anderer CE-Regelwerke Kosten der CE-Kennzeichnung. Diese Fragen sind voneinander zu unterscheiden.
Amtliche Quellen
- Verordnung (EU) 2024/2847: Artikel 32 und 71, Anhänge
- EU-Kommission: CRA-Überblick und Konformitätsbewertung
- EU-Kommission: Meldepflichten
Häufige Fragen zu CRA-Kosten
Kostet die CE-Kennzeichnung oder CRA-Erklärung eine feste EU-Gebühr?
Die CRA sieht dafür keine allgemeine Gebühr vor. Eigene Arbeit kostet dennoch; eine notifizierte Stelle berechnet gegebenenfalls ihre Bewertung.
Muss ein Klasse-I-Produkt immer extern im Labor geprüft werden?
Nein. Prüfen Sie, ob interne Kontrolle rechtlich möglich ist und welche Nachweise erforderlich sind. Freiwillige externe Tests können sinnvoll sein.
Deckt eine Prüfung die gesamte Produktfamilie ab?
Nur soweit Verfahren, gemeinsame Merkmale, Unterschiede und akzeptierter Prüfumfang es tragen. Varianten, Firmwareänderungen und mögliche Nachprüfungen gesondert kalkulieren.
Braucht jeder Hersteller außerhalb der EU einen bezahlten Bevollmächtigten?
Nicht automatisch. Ein Bevollmächtigter kann mit schriftlichem Mandat bestellt werden; die Pflichten des Importeurs und anderer EU-Akteure sind separat zu prüfen.
Warum schon vor Dezember 2027 Meldekosten budgetieren?
Artikel 14 gilt seit 11. September 2026. Die meisten übrigen Produktpflichten gelten ab 11. Dezember 2027.