Am 11. September 2026 — in zwölf Tagen — greift die Meldepflicht des EU Cyber Resilience Act. Wer vernetzte Hardware oder Software in der EU in Verkehr bringt, muss aktiv ausgenutzte Schwachstellen dann binnen 24 Stunden melden. Der Bußgeldrahmen reicht bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Und laut Branchenanalysen haben rund 30 Prozent der deutschen KMU überhaupt konkrete Vorbereitungen begonnen. Anders gesagt: Zwei von drei betroffenen Mittelständlern laufen mit offenen Augen in eine Frist, die sie nicht einhalten können. Die CRA-Meldepflicht ist damit einer der klarsten terminierten Schmerzpunkte, die der DACH-Mittelstand dieses Jahr zu bieten hat — und für KMU-Dienstleister ein Zeitfenster, das sich in wenigen Monaten wieder schließt.
Was am 11. September 2026 konkret gilt
Der Cyber Resilience Act ist keine Empfehlung, sondern eine Verordnung mit gestaffelten Stichtagen. Der erste scharfe Termin ist die Meldepflicht. Alles Weitere — CE-Kennzeichnung, technische Dokumentation, volle Herstellerpflichten — folgt am 11. Dezember 2027.
24 Stunden, 72 Stunden, ein Monat
Die Fristenlogik ist dreistufig. Binnen 24 Stunden nach Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls geht eine Frühwarnung an ENISA und die zuständige nationale Stelle, in Deutschland das BSI. Binnen 72 Stunden folgt der eigentliche Vorfallsbericht mit Einschätzung von Schwere und Auswirkung. Der Abschlussbericht kommt später. Die Fristen und der Stichtag sind unverhandelbar — und 24 Stunden sind ungefähr die Zeit, die ein 60-Personen-Betrieb braucht, um herauszufinden, wer überhaupt zuständig ist.
Wer als Hersteller gilt
Deutlich mehr Firmen als gedacht. Betroffen sind „Produkte mit digitalen Elementen": der Maschinenbauer mit eigener Steuerungssoftware, der Gerätehersteller mit Companion-App, der Sensorik-Anbieter, die Gebäudetechnik mit Cloud-Anbindung, aber auch das reine Softwarehaus. Viele dieser Betriebe halten sich nicht für ein IT-Unternehmen und haben den CRA deshalb nie auf dem Radar gehabt. Die Herstellerpflichten im Detail beschreibt die IHK nüchtern — es lohnt sich, die Liste einmal gegen den eigenen Kundenstamm zu halten.
Warum die CRA-Meldepflicht für KMU eine Marktlücke öffnet
Regulierung erzeugt regelmäßig Beratungsnachfrage. Interessant wird sie erst, wenn drei Dinge zusammenkommen: ein hartes Datum, ein spürbares Bußgeld und ein Angebotsmarkt, der die Mitte nicht bedient. Genau das liegt hier vor.
Die Lücke zwischen Big Four und gar nichts
Ein Mittelständler mit 80 Mitarbeitern hat heute zwei Optionen. Erstens: eine große Kanzlei oder ein Big-4-Berater mit Tagessätzen von 1.500 bis 2.500 Euro und einem Projektzuschnitt, der für 200.000-Euro-Budgets gedacht ist. Zweitens: nichts tun und hoffen. Dazwischen ist Leerraum — und Leerraum zwischen „zu teuer" und „gar nichts" ist die Standardform einer echten Marktlücke. Dass die EU-Kommission Ende Juli 2026 eigene KMU-Leitlinien nachgeschoben hat, ist das beste Indiz: Brüssel sieht den Umsetzungsstau selbst.
Der Termindruck erledigt deine Akquise
Der übliche Engpass einer neuen Dienstleistung ist nicht die Leistung, sondern die Dringlichkeit beim Kunden. „Sollte man mal machen" verliert gegen jedes operative Tagesgeschäft. Ein Datum in zwölf Tagen verliert nicht. Wer jetzt anruft, muss keine Nachfrage erzeugen, sondern nur eine bereits vorhandene Sorge adressieren — der seltene Fall, in dem Kaltakquise funktioniert.
Die Zielgruppe: wer wirklich zahlt
Nicht jeder Betroffene ist ein guter Kunde. Die zahlungsbereite Schnittmenge ist enger, als die Betroffenheitsliste vermuten lässt.
Hersteller mit 20 bis 250 Mitarbeitern
Groß genug, um ein Compliance-Budget zu haben, klein genug, um kein internes Product Security Incident Response Team zu betreiben. Diese Firmen haben typischerweise keinen definierten Meldeweg, keine benannte Rolle für den Ernstfall und keine Kontaktstelle für Schwachstellenmeldungen — obwohl der CRA eine solche verlangt.
Betriebe mit Großkunden im Rücken
Der stärkste Kaufauslöser ist selten die Behörde, sondern der Einkauf des größten Kunden. Sobald ein Konzern den CRA-Nachweis in den Lieferantenfragebogen aufnimmt, wird aus einer abstrakten Pflicht ein konkretes Umsatzrisiko. Wer diese Firmen zuerst anspricht, verkauft an Leute, die den Bedarf schon selbst formuliert haben.
Das Angebot: CRA-Meldebereitschaft als Festpreis-Paket
Der entscheidende Unterschied zur klassischen Beratung ist die Produktisierung. Kein Tagessatz, kein offenes Projekt — ein definiertes Ergebnis zu einem genannten Preis.
Was im Paket steckt
Scoping-Workshop, um zu klären, welche Produkte überhaupt unter den CRA fallen. Definition des Meldeprozesses mit 24- und 72-Stunden-Ablaufplan. Benannte Rollen und Eskalationskette, inklusive Vertretungsregelung für Urlaub und Wochenende. Vorbereitete Melde-Templates für ENISA und BSI, damit im Ernstfall niemand ein leeres Formular anstarrt. Einrichtung der Kontaktstelle für Schwachstellenmeldungen. Und zum Abschluss eine Tabletop-Übung mit dem Team — ein simulierter Vorfall, durchgespielt in zwei Stunden. Die Übung ist der Teil, den Kunden hinterher weitererzählen.
Preisrahmen
4.900 bis 9.900 Euro für das Paket, gestaffelt nach Anzahl der Produktlinien. Das liegt unterhalb der Schmerzgrenze, ab der ein Geschäftsführer eine Ausschreibung startet, und deutlich oberhalb dessen, was ein sinnvoll kalkulierter Tagessatz für drei bis fünf Tage Arbeit ergibt. Wer unsicher ist, ob der Preis trägt, verkauft das Paket zuerst zweimal und baut es danach — die Reihenfolge, die auch beim Validieren einer Geschäftsidee die einzig belastbare ist.
Der Retainer ist das eigentliche Geschäft
Das Paket bringt Cash und Referenzen. Der Wert steckt im Anschluss: 299 bis 799 Euro pro Monat für Aktualisierung bei Rechtsänderungen, jährliche Wiederholung der Übung und Bereitschaft im Ernstfall. Der Kunde zahlt das gern, weil er bei einem echten Vorfall nicht um 23 Uhr allein vor dem ENISA-Formular sitzen will. Und die Verordnung läuft bis Dezember 2027 weiter aus — es gibt also einen sachlichen Grund, warum der Vertrag nicht nach vier Monaten endet. Aus zwanzig Retainern entsteht ein planbares Grundeinkommen, das die typische Achterbahn eines Ein-Personen-Dienstleisters glättet.
Wie du in zwei Wochen die ersten Gespräche bekommst
Kanäle, die jetzt funktionieren
IHK-Veranstaltungen zum CRA sind derzeit voll und die Teilnehmerlisten sind exakt deine Zielgruppe. Branchenverbände im Maschinenbau und in der Elektronikfertigung suchen aktuell Referenten und zahlen dafür nichts — aber du sprichst vor achtzig Leuten mit Handlungsdruck. LinkedIn funktioniert für dieses Thema ungewöhnlich gut, wenn du statt Allgemeinplätzen konkret schreibst, was am 12. September passiert, wenn ein Kunde eine ausgenutzte Lücke meldet. Wer Compliance-Dienstleistungen grundsätzlich als Modell prüfen will, findet die Muster im Beitrag zur Dienstleistungs-Geschäftsidee.
Das Erstgespräch
Drei Fragen entscheiden. Verkauft ihr Produkte mit Software oder Netzwerkanbindung? Wer bei euch würde eine ausgenutzte Schwachstelle als Erster erfahren? Und was passiert dann in den nächsten 24 Stunden? Die dritte Frage beantwortet fast niemand — und genau diese Pause ist dein Verkaufsargument. Du musst nichts behaupten, du musst nur fragen.
Was du können musst — und was nicht
Du brauchst kein Pentesting-Zertifikat und keine Zulassung. Was du brauchst: Verständnis der Verordnungstexte, Erfahrung mit Prozessdokumentation und genug Security-Grundwissen, um einen Vorfall einzuordnen. Realistisches Profil: jemand aus IT-Sicherheit, Qualitätsmanagement, ISO-27001-Auditierung oder technischer Compliance. Wer aus keinem dieser Felder kommt, sollte sich für den Einstieg einen Fachpartner suchen und die Prozess- und Vertriebsseite übernehmen. Wichtig ist die Abgrenzung: Du berätst zur Meldebereitschaft, du übernimmst keine Rechtsberatung im engeren Sinn — diese Grenze gehört sauber in den Vertrag.
Risiken und Grenzen der Nische
Drei ehrliche Einschränkungen. Erstens: Das Zeitfenster ist eng. Der akute Termindruck wirkt bis etwa Ende 2026, danach verkauft sich das Paket wieder wie normale Compliance-Beratung — der Retainer muss bis dahin stehen. Zweitens: Ab 2027 werden größere Anbieter und Prüfhäuser dasselbe standardisiert anbieten. Dein Vorsprung ist die Kundenbeziehung, nicht das Wissen. Drittens: Wer beim Kunden reingeht, bekommt Einblick in Sicherheitslücken — Vertraulichkeit, Haftungsbegrenzung und eine passende Berufshaftpflicht sind kein Formalkram, sondern Voraussetzung. Wer solche Faktoren systematisch abklopfen will, findet die Kriterien in der Anleitung, wie man eine profitable Nische findet.
Warum sich der Blick auf Compliance-Nischen generell lohnt
Der CRA ist kein Einzelfall, sondern ein Muster. Das gleiche Schema — hartes Datum, unvorbereiteter Mittelstand, keine bezahlbare Zwischenlösung — hat 2026 schon mehrfach funktioniert, etwa beim Barrierefreiheits-Audit für Onlineshops. Wer das Muster einmal erkannt hat, kann es auf den nächsten Stichtag anwenden: NIS2, die Maschinenverordnung, der AI Act für Hochrisiko-KI ab August 2027. Die Arbeit ist jedes Mal dieselbe — Verordnung lesen, Betroffene identifizieren, das Paket schnüren, bevor es jemand anders tut. Der Unterschied zwischen einer Idee und einem Geschäft ist bei dieser Nische lediglich, ob du in den nächsten zwölf Tagen zum Telefon greifst.