Förderlogik IT-Sicherheit

Gefördert wird das Zögern

Förderlogik IT-Sicherheit: Vorhabenbeginn-Regel, CRA-Meldepflicht, Betriebskonsequenz

Erschienen am Freitag, 25. September 20264:37 Min.Folge 62

Freitag, 25. September 2026

0:004:37

Direkt hier abspielen oder in Ihrer Podcast-App hören: Spotify, Apple Podcasts, RTL+.

Warum diese Folge

Wer seine IT schon abgesichert hat, bekommt keine Förderung mehr. Wer es noch nicht getan hat, kann Geld beantragen. Das ist keine Polemik, sondern die Förderlogik, wie sie in den Richtlinien steht. Gleichzeitig gelten seit dem 11. September 2026 die ersten Meldepflichten des Cyber Resilience Act. Beides zusammen ergibt ein Bild, das die Folge zu Ende erzählt.

Akt 1: Was die Zuschüsse wirklich bedeuten

Nordrhein-Westfalen fördert IT-Sicherheitsmaßnahmen über das Programm MID-Digitale Sicherheit (NRW.Bank) mit bis zu 15.000 Euro Zuschuss, einheitlich 50 Prozent der förderfähigen Investitionskosten. Bayern bietet über den Digitalbonus Standard bis zu 7.500 Euro (50 Prozent); der Digitalbonus Plus mit bis zu 30.000 Euro setzt besonderen Innovationsgehalt voraus. Baden-Württemberg: Die Zuschussvariante der Digitalisierungsprämie Plus ist zum 30. Juni 2025 ausgelaufen. Seit dem 1. Juli 2025 gibt es ausschließlich die Digitalisierungsfinanzierung der L-Bank als Darlehen.

Die tragende Bedingung in allen Programmen: Weder mit dem Vorhaben begonnen noch Vereinbarungen mit Partnern rechtskräftig abgeschlossen sein darf vor Erhalt des Zuwendungsbescheids. Schon der Vertragsabschluss gilt als Beginn. Ausnahme Bayern: Nach Eingang der Antragseingangsbestätigung per E-Mail darf auf eigenes Risiko begonnen werden, ohne den Bescheid abzuwarten.

Akt 2: Der Mechanismus hinter der Regel

Seit dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act (Artikel 14, Verordnung EU 2024/2847). Betroffen sind Hersteller, Importeure und Händler von Produkten mit digitalen Elementen: Softwarehäuser, Maschinenbauer, Hersteller von Steuerungen, Sensoren, Ladegeräten und Importeure vernetzter Geräte. Meldung über die CRA Single Reporting Platform der ENISA: Frühwarnung binnen 24 Stunden, ausführlicher Bericht binnen 72 Stunden. Die vollständigen CRA-Anforderungen gelten erst ab 11. Dezember 2027.

Für die Unternehmen, die der CRA trifft, gab es im Frühjahr 2026 den EU-Fördertopf SECURE (erste Runde, Januar bis März 2026): 5 Millionen Euro gesamt, höchstens 30.000 Euro je Unternehmen. Das reicht rechnerisch für rund 170 Betriebe. Die Pflicht trifft jeden, der ein vernetztes Produkt verkauft. Die genauen Zahlen zu Programmbudget und Antragsrunden finden sich in den Shownotes.

Akt 3: Die Betriebskonsequenz

Eine einzige Prüffrage entscheidet: Passt die Antragsfrist vor den Bedarf? Wenn ja: zuerst beantragen, dann beauftragen. Wenn nein: beauftragen, Zuschuss vergessen. Ein Sicherheitsloch, das auf einen Bescheid wartet, ist teurer als jede Förderquote.

Strukturelle Folge der Vorhabenbeginn-Regel: Wer den Mechanismus verstanden hat, richtet seine Sicherheitsvorhaben nach Förderfenstern aus, nicht nach dem tatsächlichen Bedarf. Das ist das eigentliche Risiko dieser Förderlogik.

Für die Fachabteilung

NRW: NRW.Bank, MID-Digitale Sicherheit (Richtlinie vom 10. Dezember 2025, gültig ab Januar 2026). Antragstellung über das Kundenportal der NRW.Bank, zweistufiges Losverfahren. Mindestfördersumme 4.000 Euro (entspricht förderfähigen Kosten von mindestens 8.000 Euro).

Bayern: Digitalbonus Bayern, Antragstellung. Ausschließlich über ELSTER-Unternehmenskonto des Antragstellers. Monatliches Kontingent, Start am ersten Werktag des Monats um 10 Uhr. Eingangsbestätigung erlaubt förderunschädlichen Beginn auf eigenes Risiko. Standard bis 7.500 Euro, Plus bis 30.000 Euro (besonderer Innovationsgehalt erforderlich).

Baden-Württemberg: L-Bank, Digitalisierungsfinanzierung (Darlehen ab 10.000 Euro, Laufzeit 5 bis 10 Jahre, mit Tilgungszuschuss). Antrag über die Hausbank. Programm befristet bis 30. Juni 2027.

CRA Single Reporting Platform (ENISA): enisa.europa.eu. Fristen: 24 Stunden Frühwarnung, 72 Stunden detaillierter Bericht, Abschlussbericht 14 Tage nach Bereitstellung einer Abhilfemaßnahme oder spätestens einen Monat nach der 72-Stunden-Meldung bei schwerwiegenden Sicherheitsvorfällen.

SECURE-Programm (EU, erste Runde geschlossen März 2026): secure4sme.eu. Zweite Runde zum Stand September 2026 noch nicht angekündigt. Gesamtbudget des Projekts rund 22 Millionen Euro über alle Runden.

Beratungsförderung des Bundes: In der Regel 50 Prozent der förderfähigen Beratungskosten, höchstens 1.750 Euro je Beratung; in den neuen Ländern bis zu 80 Prozent und 2.800 Euro. Informationen beim BAFA (Bundesamt für Wirtschaft und Ausfuhrkontrolle).

TranskriptDen gesprochenen Text der Folge lesen

Der gesprochene Text der Folge im Wortlaut. Die Sprecherstimme ist synthetisch, Themenauswahl, redaktionelle Kontrolle und inhaltliche Verantwortung liegen bei der Redaktion des Wirtschaftsforum.

Zwei Betriebe, gleiche Branche, gleiche Größe. Der eine hat vor zwei Jahren seine IT abgesichert. Der andere hat es gelassen.

Nur einer von beiden bekommt dafür Geld vom Staat. Es ist nicht der… den Sie meinen.

Guten Morgen. Heute ist Freitag, der fünfundzwanzigste September, und das ist der Morning Brief von Wirtschaftsforum. Was der Tag für Ihr Unternehmen bedeutet.

Für IT-Sicherheit gibt es Zuschüsse. In Nordrhein-Westfalen bis zu fünfzehntausend Euro, und zwar die Hälfte der förderfähigen Kosten.

In Bayern sind es höchstens siebentausendfünfhundert. In Baden-Württemberg ist der Zuschuss im vergangenen Jahr ausgelaufen, dort gibt es jetzt einen Kredit.

Die Bedrohung ist überall dieselbe… der Zuschuss hängt an der Postleitzahl.

Und dann kommt die Bedingung, die alles entscheidet. Vor dem Bescheid darf das Vorhaben nicht begonnen sein. Auch keine Vereinbarung mit einem Partner darf rechtskräftig geschlossen sein.

Schon die Unterschrift unter den Vertrag gilt als Beginn.

Wer also gehandelt hat, als es nötig war, ist raus… weil er gehandelt hat.

Das ist keine Spitzfindigkeit im Kleingedruckten. Das ist die Regel.

Bei einer Maschine ergibt sie sogar Sinn. Mit dem Kauf lässt sich warten, bis der Bescheid da ist. Bei einem offenen Einfallstor ist das Warten die Gefahr selbst.

Gleichzeitig gelten seit dem elften September die Meldepflichten des europäischen Cyber Resilience Act.

Erste Warnung binnen vierundzwanzig Stunden, ausführlicher Bericht binnen zweiundsiebzig. Und das trifft nicht nur Softwarehäuser, sondern den Maschinenbauer, den Hersteller von Steuerungen, von Sensoren, den Importeur vernetzter Geräte.

Der Staat verlangt also etwas von allen… und bezahlt dafür nur die, die es bisher nicht getan haben.

Man kann das in einem Satz sagen. Gefördert wird nicht die Sicherheit… gefördert wird das Zögern.

Wie ernst es der Staat mit dem Fördern meint, lässt sich ausrechnen. Für die Unternehmen, die der Cyber Resilience Act trifft, gab es im Frühjahr einen europäischen Topf.

Fünf Millionen Euro insgesamt. Höchstens dreißigtausend je Unternehmen.

Das reicht für ungefähr einhundertsiebzig Betriebe. Die Pflicht trifft jeden, der ein vernetztes Produkt verkauft.

Das ist keine Förderung mehr. Das ist eine Verlosung mit Antragsformular.

Und der Antrag ist selbst schon Arbeit. Jemand schreibt ihn, jemand sucht die Nachweise zusammen, jemand berichtet später, was aus dem Geld geworden ist.

Diese Stunden sind nicht gefördert, sondern der Eigenanteil, den keine Richtlinie ausweist.

Es gibt übrigens auch dafür eine Förderung. Der Bund bezahlt einen Teil der Beratungskosten. Eine Förderung für die Beratung über die Förderung.

Das Schlimmste an dieser Regel ist aber nicht, wen sie ausschließt. Es ist, was sie den anderen beibringt.

Ein Unternehmen, das den Mechanismus einmal verstanden hat, legt seine Sicherheitsvorhaben künftig auf Förderfenster. Es schließt eine Lücke nicht, wenn sie auffällt, sondern wenn ein Topf offen ist.

Die Regel schließt also nicht nur die Umsichtigen aus, sie erzieht die Übrigen zum Abwarten. Und beim Brandschutz käme niemand auf die Idee, das für Förderpolitik zu halten.

Für die Praxis folgt daraus eine einzige Frage, und sie ist unbequem kurz. Passt die Antragsfrist vor unseren Bedarf?

Wenn ja, zuerst beantragen, dann beauftragen. Wenn nein, beauftragen und den Zuschuss vergessen.

Ein Sicherheitsloch, das auf einen Bescheid wartet, ist teurer als jede Förderquote.

Eine Ausnahme lohnt den Blick ins Kleingedruckte. In Bayern darf nach der Eingangsbestätigung auf eigenes Risiko begonnen werden, also bevor der Bescheid da ist. Wer dort sitzt, gewinnt damit Wochen.

Fördern heißt, jemanden stärker machen. Fordern heißt, etwas von ihm verlangen.

Im Moment wird das Zögern gefördert und die Umsicht bestraft. Und wer sich danach richtet, tut am Ende genau das, wovor die Pflicht ihn schützen sollte… nämlich nichts.

Das war Ihr Morning Brief. Ein gutes Wochenende, und am Montag früh sind wir wieder da.

Gefördert wird das Zögern

Warum diese Folge

Akt 1: Was die Zuschüsse wirklich bedeuten

Akt 2: Der Mechanismus hinter der Regel

Akt 3: Die Betriebskonsequenz

Jeden Morgen um sechs.