Der Cyber Resilience Act (CRA) ist seit dem 10. Dezember 2024 in Kraft - und er zwingt Hersteller, Importeure und Händler vernetzter Produkte zu erheblichen Investitionen. Was viele Entscheider dabei übersehen: Ein Teil dieser Ausgaben lässt sich steuerlich deutlich günstiger gestalten, als auf den ersten Blick erkennbar ist. Wer Recht und Steuer von Anfang an zusammendenkt, verwandelt eine Compliance-Pflicht in einen kalkulierbaren Business Case.
Was der CRA konkret kostet - und warum jetzt gehandelt werden muss
Der CRA (Verordnung (EU) 2024/2847) trifft Unternehmen in zwei Wellen. Ab dem 11. September 2026 greifen Melde- und Reporting-Pflichten: Aktiv ausgenutzte Schwachstellen müssen innerhalb von 24 Stunden gemeldet, schwerwiegende Vorfälle binnen 72 Stunden gemeldet und innerhalb von 14 Tagen mit einem Abschlussbericht versehen werden. Die Hauptpflichten - Secure-by-Design, Schwachstellenmanagement über den gesamten Produktlebenszyklus, Software Bill of Materials (SBOM) und CE-Konformitätsbewertung - gelten ab dem 11. Dezember 2027.
Das Risiko bei Untätigkeit ist erheblich: Bußgelder können bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes betragen - [1]. Hinzu kommt der Marktzugang: Ab Dezember 2027 dürfen betroffene Produkte in der EU nur noch mit nachgewiesener CRA-Konformität bereitgestellt werden - [2]. Wer zu spät handelt, riskiert nicht nur Sanktionen, sondern den Verlust des EU-Marktzugangs.
Die Investitionen, die der CRA auslöst, sind substanziell. Branchenexperten rechnen für Standardprodukte mit Selbstbewertung mit [3] - hauptsächlich für Dokumentation, Risikoanalyse und SBOM-Erstellung. Für Produkte der Kategorien I und II, die eine externe Prüfung erfordern, [3]. Hinzu kommen laufende Kosten für das Schwachstellenmanagement.
Einen ausführlichen Überblick über alle CRA-Pflichten, Fristen und betroffenen Produktkategorien finden Sie in unserem CRA-Pillar-Post. Die steuerliche Einordnung dieser Investitionen hängt stets vom Einzelfall ab – die folgenden Ausführungen ersetzen keine individuelle Beratung.
Typische CRA-Investitionen und ihre steuerliche Einordnung
Die CRA-Compliance erfordert Ausgaben in vier Hauptkategorien. Wie diese steuerlich behandelt werden können, unterscheidet sich je nach Art der Investition - und genau hier liegt der Mehrwert einer integrierten Rechts- und Steuerberatung.
Security-Software und IT-Hardware
Vulnerability-Scanner, SBOM-Automatisierungstools, Monitoring-Plattformen und die dazugehörige Hardware sind typische CRA-Investitionen. Für diese Kategorie besteht seit 2021 eine besonders attraktive Regelung: Das BMF-Schreiben vom 26. Februar 2021 hat die betriebsgewöhnliche Nutzungsdauer für Computerhardware und Betriebs- und Anwendersoftware auf ein Jahr reduziert - [4]. Das bedeutet: Entsprechende Anschaffungen können im Jahr der Investition vollständig steuerlich geltend gemacht werden - unabhängig vom Anschaffungspreis. Die Regelung gilt unbefristet und wurde durch ein weiteres BMF-Schreiben 2022 bestätigt, sodass auch Anschaffungen in 2025 und 2026 davon profitieren - [5].
Ob eine konkrete Cybersecurity-Software unter diese Regelung fällt, ist im Einzelfall zu prüfen. Nicht jede Sicherheitslösung ist automatisch "Anwendungssoftware zur Dateneingabe und -verarbeitung" im Sinne des BMF-Schreibens - hier lohnt die genaue Analyse.
Externe Audits, Gap-Analysen und Konformitätsbewertungen
CRA-Audits, Penetrationstests und externe Konformitätsbewertungen durch benannte Stellen sind Dienstleistungskosten. Sie sind in der Regel als Betriebsausgaben sofort abzugsfähig - vorausgesetzt, sie stehen in einem klaren betrieblichen Zusammenhang. Auch hier gilt: Die konkrete steuerliche Einordnung (Betriebsausgabe vs. aktivierungspflichtige Herstellungskosten) hängt vom Einzelfall ab und sollte frühzeitig geklärt werden.
SBOM-Aufbau und Prozessimplementierung
Die SBOM - die [1], die alle Softwarekomponenten eines Produkts dokumentiert - muss laut CRA in maschinenlesbarem Format vorliegen und zehn Jahre nach Inverkehrbringen des Produkts aufbewahrt werden - [6]. Der Aufbau dieser Prozesse und Systeme kann je nach Ausgestaltung als sofort abzugsfähige Betriebsausgabe oder als aktivierungspflichtiges immaterielles Wirtschaftsgut zu behandeln sein. Diese Abgrenzung ist steuerlich bedeutsam und sollte nicht dem Zufall überlassen werden.
Externe Rechts- und Compliance-Beratung
Kosten für rechtliche Begleitung der CRA-Umsetzung - von der Vertragsgestaltung mit Lieferanten bis zur Dokumentation der Konformitätsbewertung - sind grundsätzlich als Betriebsausgaben abzugsfähig. Auch hier kommt es auf die genaue Zuordnung an.
Das Zeitfenster 2025-2027: Besonders attraktive Abschreibungsbedingungen
Wer CRA-Investitionen in bewegliche Wirtschaftsgüter des Anlagevermögens jetzt plant, profitiert von einer günstigen steuerlichen Konstellation. Für Anschaffungen nach dem 30. Juni 2025 und vor dem 1. Januar 2028 gilt eine erhöhte degressive Abschreibung: Das Dreifache der linearen AfA, maximal 30 %, ist als degressive Abschreibung zulässig - [7].
Für kleinere und mittlere Unternehmen mit einem Vorjahresgewinn von maximal 200.000 Euro kommt die Sonderabschreibung nach § 7g Abs. 5 EStG hinzu: Bis zu 40 % der Anschaffungs- oder Herstellungskosten können innerhalb der ersten fünf Jahre nach Anschaffung zusätzlich zur regulären Abschreibung geltend gemacht werden - [8]. In der Kombination beider Instrumente können bei Anschaffungen in 2026 und 2027 [9] erreicht werden - vorausgesetzt, die jeweiligen Voraussetzungen sind erfüllt.
Wichtig für die Planung: Die Sonderabschreibung nach § 7g EStG setzt voraus, dass der Betrieb im Vorjahr einen Gewinn von maximal 200.000 Euro erzielt hat und das Wirtschaftsgut fast ausschließlich betrieblich genutzt wird. Ob konkrete CRA-Investitionen als begünstigte bewegliche Wirtschaftsgüter qualifizieren, ist im Einzelfall zu prüfen. Immaterielle Wirtschaftsgüter (z. B. selbst entwickelte Software) sind von der Sonderabschreibung grundsätzlich ausgeschlossen.
Compliance als Business Case: Der integrierte Blick lohnt sich
Die entscheidende Frage für CFOs lautet nicht nur "Was kostet uns der CRA?", sondern "Wie gestalten wir diese Investitionen so, dass sie steuerlich und rechtlich optimal strukturiert sind?" Beide Fragen lassen sich nur gemeinsam beantworten.
Ein Beispiel: Ein mittelständischer Maschinenbauer investiert 150.000 Euro in Security-Software, SBOM-Tools und externe Audits. Ohne steuerliche Planung werden diese Kosten möglicherweise über mehrere Jahre verteilt oder falsch eingeordnet. Mit der richtigen Strukturierung - Sofortabschreibung für qualifizierte Software, korrekte Einordnung der Dienstleistungskosten, ggf. Sonderabschreibung für bewegliche Wirtschaftsgüter - kann die steuerliche Entlastung erheblich früher wirksam werden. Das schont die Liquidität genau dann, wenn die Compliance-Investitionen anfallen.
Hinzu kommt die rechtliche Dimension: Welche Verträge mit Lieferanten und Dienstleistern sind notwendig? Wie wird die Haftung entlang der Lieferkette geregelt? Wie dokumentiert man die Konformitätsbewertung so, dass sie einer BSI-Prüfung standhält? Diese Fragen berühren Recht und Steuer gleichermaßen - und sollten nicht in zwei getrennten Mandaten bearbeitet werden.
Sprechen Sie mit unseren Rechtsanwälten und Steuerberatern über Ihre CRA-Compliance-Strategie – im kombinierten Mandat, ohne Reibungsverluste.
CRA-Investitionen steueroptimiert planenWas jetzt zu tun ist
Die Meldepflichten des CRA greifen bereits ab September 2026 - das ist weniger Zeit, als es scheint. Wer jetzt mit der Planung beginnt, hat noch die Möglichkeit, Investitionen steuerlich optimal im Zeitfenster 2025-2027 zu platzieren. Wer wartet, handelt unter Zeitdruck und verliert Gestaltungsspielraum.
Konkret empfehlen wir folgende Schritte:
Zunächst sollte eine rechtliche Bestandsaufnahme klären, welche Produkte und Prozesse vom CRA betroffen sind und welche Pflichten in welchem Zeitraum umzusetzen sind. Parallel dazu sollte die steuerliche Einordnung der geplanten Investitionen erfolgen: Was ist sofort abzugsfähig, was muss aktiviert werden, welche Abschreibungsinstrumente kommen in Betracht? Schließlich sollten Verträge mit Lieferanten, Dienstleistern und Zertifizierungsstellen so gestaltet werden, dass sie sowohl CRA-konform als auch steuerlich sauber dokumentiert sind.
Dieser integrierte Ansatz - Recht trifft Steuer - ist der Kern dessen, was Vectocon für Mandanten in der CRA-Umsetzung leistet. Nicht zwei getrennte Beratungen, sondern ein abgestimmtes Mandat, das beide Dimensionen von Anfang an zusammendenkt.
Jetzt Erstgespräch vereinbaren und CRA-Compliance sowie steuerliche Optimierung gemeinsam planen.
Kombiniertes Recht-Steuer-Mandat anfragenSind alle CRA-Investitionen sofort steuerlich abzugsfähig?
Nein – die steuerliche Behandlung hängt von der Art der Investition ab. Externe Dienstleistungskosten (Audits, Beratung) sind in der Regel sofort als Betriebsausgaben abzugsfähig. Bei Software und Hardware kommt die digitale AfA (Sofortabschreibung im Anschaffungsjahr) in Betracht, sofern die Voraussetzungen des BMF-Schreibens vom 26.2.2021 erfüllt sind. Selbst entwickelte Software oder aktivierungspflichtige Prozesskosten unterliegen anderen Regeln. Eine individuelle Prüfung ist unerlässlich.
Gilt die Sonderabschreibung nach § 7g EStG auch für Cybersecurity-Investitionen?
Grundsätzlich ja – sofern es sich um bewegliche, abnutzbare Wirtschaftsgüter des Anlagevermögens handelt, der Betrieb im Vorjahr einen Gewinn von maximal 200.000 Euro erzielt hat und das Wirtschaftsgut fast ausschließlich betrieblich genutzt wird. Immaterielle Wirtschaftsgüter wie selbst entwickelte Software sind ausgeschlossen. Ob konkrete CRA-Investitionen qualifizieren, muss im Einzelfall geprüft werden.
Wann sollten wir mit der CRA-Planung beginnen?
Sofort. Die Meldepflichten greifen ab September 2026, die Hauptpflichten ab Dezember 2027. Wer jetzt plant, kann Investitionen noch im steuerlich attraktiven Zeitfenster 2025–2027 platzieren und profitiert von der erhöhten degressiven Abschreibung sowie ggf. der Sonderabschreibung nach § 7g EStG.
Was ist eine SBOM und warum ist sie steuerlich relevant?
Eine SBOM (Software Bill of Materials) ist die vollständige Liste aller Softwarekomponenten eines Produkts – vergleichbar mit einer Zutatenliste. Der CRA schreibt sie als Teil der technischen Dokumentation vor. Steuerlich relevant ist, ob die Kosten für den SBOM-Aufbau als sofort abzugsfähige Betriebsausgabe oder als aktivierungspflichtiges Wirtschaftsgut zu behandeln sind – eine Abgrenzung, die im Einzelfall erhebliche steuerliche Auswirkungen haben kann.
Bietet Vectocon Rechts- und Steuerberatung zum CRA aus einer Hand?
Ja. Vectocon ist eine integrierte Boutique-Kanzlei, in der Rechtsanwälte und Steuerberater eng zusammenarbeiten. Für CRA-Mandate bedeutet das: rechtliche Bestandsaufnahme, Vertragsgestaltung und Konformitätsdokumentation werden gemeinsam mit der steuerlichen Einordnung der Investitionen geplant – ohne Reibungsverluste zwischen zwei getrennten Beratern.
