HHStand 22.08.2026
Hamburg Digital Check
IFB Hamburg
50 %Zuschuss
bis 7.500 €
Antrag über das eAntragsportal der IFB
www.ifbhh.deREF · CRA · VO (EU) 2024/2847
24 Stunden sind kurz. Wir machen Sie meldebereit.
Ab dem 11.09.2026 melden Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden an ENISA und CSIRT. Wir prüfen Ihre Betroffenheit, rüsten die Meldekette und bereiten den Förderantrag vor. Den Antrag stellen Sie, über die Bewilligung entscheidet die Stelle.
Orientierung, kein Nachweis. Keine Rechtsberatung. Reines SaaS fällt in der Regel nicht unter den CRA, das sagen wir Ihnen im Check zuerst.
ZEITACHSE
Zwei Fristen, ein Fenster.
11.09.2026
Meldepflicht scharf: 24 h Frühwarnung, 72 h Meldung, über die zentrale ENISA-Plattform. Dafür braucht es ein EU-Login und einen geübten Prozess.
11.12.2027
Vollanwendung: der volle Pflichtenkatalog aus Anhang I, samt technischer Dokumentation und CE-Kennzeichnung.
bis 50 %
Zuschuss auf die Vorbereitung über Landes- und EU-Programme, in Hamburg bis 7.500 €, in NRW bis 15.000 €. Förderfähig, nicht garantiert: die Bewilligung gehört der Stelle.
WER BETROFFEN IST
Erst die ehrliche Frage: trifft Sie der CRA überhaupt?
Der CRA adressiert, wer Produkte mit digitalen Elementen in der EU in Verkehr bringt. Wir sortieren im ersten Schritt, nicht im letzten.
Hersteller: ja
Geräte mit Firmware, Maschinen mit Steuerung, Software zum Installieren, Apps, IoT, Konnektoren. Auch wer unter eigenem Namen verkauft oder ein Produkt wesentlich verändert, gilt als Hersteller. Importeure und Händler tragen Prüfpflichten.
Reines SaaS: in der Regel nein
Reine Cloud-Dienste fallen grundsätzlich nicht unter den CRA. Die Ausnahme ist Fernverarbeitung, ohne die Ihr Produkt seine Funktion nicht erfüllt. Wenn Sie reines SaaS sind, sparen Sie sich diese Seite und schauen auf C5 und NIS2. Wir sagen das so direkt.
Einkäufer und Betreiber: indirekt
Keine eigenen CRA-Pflichten, aber ab jetzt die richtigen Fragen an Lieferanten: SBOM, Supportzeitraum, Meldeprozess. Wer NIS2-pflichtig ist, braucht diese Antworten ohnehin für die Lieferkette.
METHODIK
Expert:innen führen die Prüfung. KI beschleunigt sie. Wir rüsten Sie für die Aufsicht.
Für die Standardkategorie bewerten Hersteller selbst. Wichtige Produkte der Klassen I und II und kritische Produkte brauchen die notifizierte Stelle beziehungsweise eine Zertifizierung, und dieser Akt gehört ihr, nicht uns. Unser Feld ist alles davor: Betroffenheit, Lücken, Meldekette, Dokumentation, Förderweg.
- SCHRITT · 01Einordnen
Betroffenheit, Rolle und Produktkategorie: Standard, wichtig Klasse I oder II, kritisch. Dazu der Förder-Match: welches Programm passt zu Sitz, Größe und Vorhaben. Kostenlos im Pflichten-Check.
- SCHRITT · 02Rüsten
Experten-Check mit SRP-Ready-Paket: Meldekette 24/72 definiert, Rollen benannt, EU-Login eingerichtet, Probelauf dokumentiert. Danach der Readiness-Scan gegen die 13 Produktpflichten aus Anhang I: SBOM, Update-Prozess, Schwachstellenoffenlegung, Supportzeitraum, technische Doku.
- SCHRITT · 03Fördern und übergeben
Wir bereiten den Förderantrag vor: Leistungsbeschreibung, förderfähige Positionen, Einreichungs-Checkliste. Sie reichen ein, die Stelle entscheidet. Nach Bewilligung schließen wir die Lücken; bei Klasse I/II und kritischen Produkten begleiten wir bis zur zuständigen Stelle.
Expert:innen führen die Prüfung, hochspezialisiertes KI-Tooling beschleunigt sie, wir rüsten Sie für Meldepflicht und Aufsicht. Kein Werkzeug allein schafft Readiness, und ein CRA-Zertifikat für die Standardkategorie existiert nicht.
DER KURZE LEITFADEN
Was der CRA tatsächlich verlangt.
Die Punkte, an denen die meisten Produktteams beim ersten Durchgang hängen bleiben.
Adressaten: Hersteller, Importeure, Händler
Der CRA verpflichtet, wer Produkte mit digitalen Elementen in der EU in Verkehr bringt. Betreiber und Anwender tragen keine eigenen CRA-Pflichten. Wer unter eigenem Namen verkauft oder ein Produkt wesentlich verändert, rückt selbst in die Herstellerrolle.
SaaS-Grenze: Fernverarbeitung entscheidet
Reine Cloud-Dienste sind grundsätzlich nicht erfasst. Erfasst ist Fernverarbeitung, die integraler Bestandteil eines Produkts ist, ohne die es seine Funktion nicht erfüllt. Diese Abgrenzung ist produktspezifisch und gehört in eine fachliche Einschätzung, nicht in eine Vermutung.
Meldepflichten: die 24-Stunden-Kette
Ab dem 11.09.2026 gilt: Frühwarnung binnen 24 Stunden bei aktiv ausgenutzten Schwachstellen und schweren Vorfällen, Meldung binnen 72 Stunden, Abschluss nach Bereitstellung der Korrektur beziehungsweise binnen eines Monats. Gemeldet wird über die zentrale ENISA-Plattform, dafür braucht es ein EU-Login-Konto und einen geübten Prozess.
Produktpflichten ab Dezember 2027
Anhang I verlangt unter anderem Security by Design, sichere Voreinstellungen, Schwachstellenmanagement über den Supportzeitraum, eine Software-Stückliste (SBOM), koordinierte Schwachstellenoffenlegung und technische Dokumentation. Für die Standardkategorie bewertet der Hersteller selbst; wichtige Produkte der Klassen I und II und kritische Produkte brauchen die notifizierte Stelle beziehungsweise Zertifizierung.
Der Förderweg: wer die Vorbereitung bezahlt
CRA-spezifisches Fördergeld gibt es nicht, aber Landes- und EU-Programme bezuschussen genau die Arbeit, die der CRA verlangt: Diagnose, Beratung, Umsetzung. Wir erbringen die förderfähige Leistung und bereiten Ihren Antrag vor, offen gesagt auch, weil wir dann der Dienstleister im Antrag sind. Eingereicht wird von Ihnen, bewilligt von der Stelle.
Kein Zertifikat, Vorsicht bei Aussagen
Für die Standardkategorie gibt es kein CRA-Zertifikat, niemand kann Ihnen heute 'CRA-zertifiziert' verkaufen. Ein Check-Ergebnis ist Orientierung, kein Nachweis. Und eine Förderzusage kann Ihnen außer der Bewilligungsstelle niemand machen.
DER FÖRDERWEG
Drei Töpfe, ein Prinzip: die Vorbereitung muss nicht voll aus Ihrer Tasche kommen.
Wir führen die Programme als gepflegte Daten, jede Zahl mit Quelle und Prüfdatum. Förderfähig heißt: die Leistung passt ins Programm. Gefördert heißt: die Stelle hat bewilligt. Dazwischen liegt Ihr Antrag, und den bereiten wir vor.
NWStand 02.09.2026
MID Digitale Sicherheit
NRW.BANK / Land NRW
50 %Zuschuss
bis 15.000 € (min. 4.000 €)
Registrierung zur Verlosung, einmal je zwei Jahre
www.nrwbank.deEUStand 02.09.2026
SECURE / Secure4SME
EU Digital Europe Programme
50 %Zuschuss
bis 30.000 €
Runde 1 geschlossen am 29.03.2026, weitere Runde angekündigt, Termin offen
www.secure4sme.euBEISPIELRECHNUNG
Experten-Check mit SRP-Ready-Paket, 2.490 €. Für ein Hamburger KMU sind davon bis zu 1.245 € über den Hamburg Digital Check bezuschussbar. Förderfähig, nicht garantiert: die Entscheidung trifft die IFB.
Keine klassische Fördermittelberatung: wir begleiten ausschließlich Programme, die unsere eigene Leistung finanzieren, und legen genau das offen. Den Antrag stellen Sie. Ohne Bewilligung gilt der reguläre Preis, ohne Nachteil.
Vom Check zur Ruhe: vier Stufen.
- 01Pflichten-Check
Kostenlos, sofort. Kauft Ihnen Klarheit: betroffen oder nicht, welche Kategorie naheliegt, welcher Fördertopf passt.
- 02Experten-Check + SRP-Ready
Kauft Ihnen Meldefähigkeit: Meldekette definiert und geprobt, bevor der Ernstfall sie testet. In Hamburg zu 50 % förderfähig.
- 03Readiness-Sprint + Remediation
Kauft Ihnen den Pflichtenkatalog: Scan gegen Anhang I, priorisierter Maßnahmenplan, Lücken schließen bis zur Übergabe.
- 04Care
Kauft Ihnen Ruhe: Schwachstellen-Zyklus, SBOM-Pflege, Fristen-Radar bis zur Vollanwendung am 11.12.2027 und darüber hinaus.
BEREIT?
Drei Minuten bis zur Einordnung.
Der Pflichten-Check prüft Betroffenheit und Rolle und zeigt, welche Pflichten und Programme zu Ihrem Haus passen. Kein Konto, kein Verkaufsgespräch.
Ein Check-Ergebnis ist Orientierung, kein Nachweis, und ersetzt weder Konformitätsbewertung noch Förderbescheid.