8Handlungsempfehlungen

8.1 Geschäftsführung

Die Geschäftsführung entscheidet über die Größe der Flotte, auf die sich die Sicherheitskosten verteilen, und über das Backend, das Updates, Zertifikate und Meldungen abwickelt. Beides bestimmt die Kosten (F4, F5).

• Ein gemeinsames Geräte-Backend für alle Produktlinien zur Regel machen, mit einem Update-Dienst, einer PKI und einem Schwachstellenprozess. Nach unserem Kostenmodell sinkt der Sicherheitsaufschlag von rund 2,30 € je Gerät und Monat bei 1.000 Einheiten auf unter 0,30 € bei 100.000 (F5).
• Sicherheit nicht als einmaliges Projekt budgetieren, sondern als laufende Kosten von rund einem halben Euro je Gerät und Monat, und diese in Produktpreis und Serviceverträge einkalkulieren (F4). Den Data Act einmal für das ganze Unternehmen budgetieren, für eine Exportschnittstelle und einen Prozess zur Datenweitergabe.¹⁴³
• Die Verantwortung für Produktsicherheit einer Person übertragen und ihr die Befugnis geben, eine Meldung ohne weitere Freigabe abzugeben (F1).
• Den folgenden Zwölfmonatsplan ab Januar 2027 finanzieren und quartalsweise überprüfen. Die Fristen verschieben sich nicht, wenn die Normen sich verspäten (F1, F2).
• OTA-Dienst und Mobilfunktarif nach ihren Kosten über fünf Jahre auswählen, nicht nach dem Chippreis (F4). Von jedem Plattform- und OTA-Anbieter eine schriftliche Zusage für den Unterstützungszeitraum der eigenen Produkte und einen dokumentierten Exportweg verlangen.
• Entscheiden, ob Tracking als Service verkauft wird, und den Preis an Pauschalen je Asset ausrichten, nicht an den Stücklistenkosten des Tags.³⁵⁷ Werkzeugortung als Integration in die Baustellen-Gateways der Bauunternehmen planen, nicht als eigenes Gateway-Netz.^{207, 391}

8.2 Produkt und Entwicklung

Die Entwicklung trifft die Designentscheidungen, die sich nach der Auslieferung nicht mehr ändern lassen (F3, F4, F6).

• Secure Boot, einen Hardware-Vertrauensanker, eine eindeutige Geräteidentität und den Provisionierungsweg in der Fertigung für jedes Produkt, das 2027 auf den Markt kommt, vor dem Platinenlayout festlegen. Keines davon lässt sich per Firmware-Update nachrüsten, und in unserem Kostenmodell ist das Secure Element der kleinste Kostenposten (F4, F5).
• Gateways als Teil der Maschine auslegen, zusammen mit ihr verkaufen und dokumentieren und ihre Kernfunktion als Maschinenanbindung beschreiben, nicht als Netzschutz, damit sie in der Standardklasse des CRA bleiben¹⁴⁹ (F3).
• Schreibzugriffe des Gateways auf Sicherheitsfunktionen konstruktiv ausschließen und SPS-Firmware getrennt von den Paketen des Gateways signieren, damit Kunden Sicherheitskorrekturen einspielen können, ohne ihren Prozess neu zu qualifizieren.^{168, 171}
• Kein Firmware-Release ohne SBOM im Format der BSI TR-03183 und ohne Abgleich mit bekannten Schwachstellen freigeben⁵⁴ und jeden Treffer an ein benanntes Sicherheitsteam leiten, das binnen 24 Stunden an die ENISA melden kann (F1).
• Geräteidentitäten, Update-Schlüssel, Update-Dienst und Ortungsdienst hinter einer eigenen Schnittstelle betreiben, die den Verkauf eines Anbieters oder die Abkündigung eines Cloud-Dienstes übersteht.
• Den 2G-Fallback aus Tracker- und Gateway-Designs streichen und Batterien für den Nutzer entnehmbar machen oder die Ausnahme dokumentieren, bevor das Design eingefroren wird^{77, 169} (F6).

8.3 Compliance

Compliance verantwortet die Pflicht, die heute gilt, und die Einstufung, die alle späteren Kosten bestimmt (F1, F3).

• Den Meldeweg über die zentrale Meldeplattform der ENISA verantworten und in einer Übung testen, bevor ein echter Fall eintritt^{133, 171} (F1). Einen gemeinsamen Meldeprozess für CRA und NIS 2 einrichten, wenn das Unternehmen auch unter NIS 2 fällt. Er leitet Produktschwachstellen an die Meldeplattform und Vorfälle in den eigenen Systemen an die nationale Behörde.¹⁶⁶
• Die bereits ausgelieferten Geräte in die Meldepflicht einbeziehen, nicht nur die laufende Produktion (F1).
• Die CRA-Einstufung aller Produkte verantworten und an der Durchführungsverordnung der Kommission zu den Produktkategorien ausrichten¹⁴⁹ (F3).
• Die Konformität jetzt an den grundlegenden Anforderungen aus Anhang I bewerten, statt auf harmonisierte Normen zu warten, und die Nachweise je Anforderung ablegen (F3). Zertifizierte Funkmodule und Secure Elements sparen Arbeit, ersetzen aber nicht die Bewertung des ganzen Produkts.¹⁷¹
• Für wichtige Produkte frühzeitig Kontakt zu den Stellen aufnehmen, die eine CRA-Notifizierung angekündigt haben (F3).
• Für Schweizer Produkte den gesetzlichen Vertreter nach dem Data Act benennen und die CRA-Pflichten in jeden Vertrag mit einem EU-Einführer aufnehmen: Dokumentation, Kontaktangaben auf dem Produkt, Mitwirkung bei Schwachstellen.^{170, 171} Für Schweizer Maschinen zusätzlich einen Einführer oder Bevollmächtigten in der EU benennen und für Maschinen nach Anhang I eine notifizierte Stelle in der EU als Rückfalloption vorhalten, solange das Maschinenkapitel des Abkommens über die gegenseitige Anerkennung nicht an die neue Maschinenverordnung angepasst ist.^{343, 349}

8.4 Der Zwölfmonatsplan

Die Pflichten bestimmen die Reihenfolge des Plans. Die bereits geltende Meldepflicht kommt zuerst, die Konformitätsbewertung für Produkte, die nach dem 11. Dezember 2027 in Verkehr kommen, zuletzt¹⁷¹ (Tabelle 18). Der Plan beginnt im Januar 2027 und richtet sich an einen Hersteller mit einer bis fünf vernetzten Produktlinien und einer gemeinsamen Entwicklungsorganisation.

8.5 Förderung der CRA-Umsetzung

Es gibt weder in Deutschland noch in Österreich oder der Schweiz einen nationalen Zuschuss für die CRA-Umsetzung (Anhang E). Die beiden offenen Ausschreibungen, die den CRA ausdrücklich nennen, sind europäisch. SECURE fördert KMU mit bis zu 30.000 € bei einer Förderquote von 50 %,³⁵³ und ein Ausschreibungsthema im Programm Digitales Europa fördert die Umsetzung der EU-Rechtsakte zur Cybersicherheit.²⁸⁰

2026 ist das Angebot weiter geschrumpft. Das ZIM nimmt seit dem 7. Juli 2026 keine neuen Anträge mehr an,³⁸⁷ KMU.DIGITAL wird 2027 nicht fortgeführt,⁴¹⁴ und in Baden-Württemberg, Niedersachsen und Thüringen endeten die Digitalisierungszuschüsse der Länder.^{250, 282, 386} Die Nachfolger des KfW ERP-Digitalisierungs- und Innovationskredits zahlen einen Zuschuss von 3 oder 5 % erst ab Stufe 2.^{235, 237}

Nur wenige Programme haben noch eine Antragsfrist mit festem Datum. MID-Digitale Prozesse öffnete am 19. Oktober 2026.²⁹⁴ SECURE schließt am 11. Dezember 2026,³⁵³ die Ausschreibung 2026 des FFG-Basisprogramms am 31. Dezember 2026,³¹³ KIRAS am 26. Februar 2027³¹⁷ und der Digitalbonus.Bayern Ende 2027.²⁹ Die übrigen Programme sind geschlossen oder laufen ohne Frist. Ein Hersteller kann etwa den ERP-Förderzuschuss der KfW jederzeit zusammen mit dem Kredit über seine Hausbank beantragen,^{237, 238} und auch L-Bank, aws erp-Kredit, Innosuisse und die steuerliche Förderung kennen keine Frist.

Ein deutscher Hersteller finanziert die CRA-Umsetzung deshalb realistischerweise über einen KfW-Kredit der Stufe 2 oder 3 mit Zuschuss und über die Forschungszulage, deren Bemessungsgrundlage auf 12 Mio. € im Jahr gestiegen ist.^{35, 62} Ein österreichischer Hersteller nutzt das FFG-Basisprogramm und die Forschungsprämie, ein Schweizer ein Innosuisse-Projekt mit Forschungspartner.

8.6 Fünf Leitfragen

Fünf Fragen zeigen, ob ein Unternehmen bereit ist. Jede sollte sich mit Ja beantworten lassen.

1. Erreicht eine Frühwarnung zu einer ausgenutzten Schwachstelle heute innerhalb eines Tages die ENISA, auch für ein Produkt, das vor Jahren verkauft wurde?
2. Könnten Sie die CRA-Klasse jedes Gateways und jedes anderen Grenzfalls heute gegenüber einer Marktüberwachungsbehörde begründen?
3. Ist in jedem Produkt, das Sie 2027 auf den Markt bringen, die Sicherheit in Hardware verankert, vom Bootvorgang bis zur Geräteidentität?
4. Wickelt ein einziges Backend die Updates, Zertifikate und Schwachstellenmeldungen aller Ihrer Produktlinien ab?
5. Funktioniert jeder Tracker und jedes Gateway, das Sie 2027 verkaufen, auch nach der 2G-Abschaltung, und kann der Nutzer die Batterie wechseln, wo keine Ausnahme greift?

Ein Nein bei der ersten Frage bedeutet, dass eine geltende Pflicht nicht erfüllt ist. Ein Nein bei einer der übrigen Fragen bedeutet ein Kosten- oder Marktrisiko für die Produkte des Jahrgangs 2027.