Kleinstunternehmen und KMU

Kleinstunternehmen, kleine Unternehmen und mittlere Unternehmen sind im Cyber Resilience Act (CRA) keine eigene Pflichtenklasse, sondern eine Größeneinstufung. Artikel 3 Nummer 19 definiert alle drei Klassen ausschließlich durch Verweis auf den Anhang der Empfehlung 2003/361/EG. Wer wissen will, ob er darunterfällt, sieht also nicht im CRA nach, sondern in einer zwanzig Jahre älteren Empfehlung.

Die Einstufung entscheidet nicht darüber, ob ein Produkt die Anforderungen erfüllen muss. An einigen wenigen Stellen entscheidet sie darüber, mit welchem Aufwand und zu welchen Kosten der Nachweis geführt wird.

Die Schwellenwerte

Artikel 2 des Anhangs der Empfehlung setzt drei Stufen an, jede aus einem Personalkriterium und einem finanziellen Kriterium:

• Kleinstunternehmen: weniger als 10 Beschäftigte, Jahresumsatz bzw. Jahresbilanz höchstens 2 Mio. EUR
• Kleines Unternehmen: weniger als 50 Beschäftigte, Jahresumsatz bzw. Jahresbilanz höchstens 10 Mio. EUR
• KMU insgesamt, mittlere Unternehmen eingeschlossen: weniger als 250 Beschäftigte und entweder höchstens 50 Mio. EUR Jahresumsatz oder höchstens 43 Mio. EUR Jahresbilanzsumme

Das Personalkriterium muss immer eingehalten sein, beim finanziellen Kriterium genügt eine der beiden Größen. Gezählt wird nicht nach Köpfen, sondern nach Artikel 5 des Anhangs in Jahresarbeitseinheiten: Teilzeit und Saisonarbeit gehen anteilig ein, Auszubildende und Personen in beruflicher Ausbildung bleiben außen vor, ebenso die Dauer von Mutterschafts- und Elternurlaub.

Maßgeblich ist der letzte Rechnungsabschluss. Ein Über- oder Unterschreiten wirkt sich nach Artikel 4 Absatz 2 des Anhangs erst aus, wenn es in zwei aufeinanderfolgenden Geschäftsjahren auftritt. Ein einzelnes starkes Jahr kostet den Status also noch nicht.

Konzernzugehörigkeit hebt die Einstufung auf

Die eigene Belegschaft allein ist nicht die ganze Rechnung. Nach Erwägungsgrund 5 des CRA sollen die Bestimmungen des Anhangs der Empfehlung in vollem Umfang angewandt werden, also auch dessen Artikel 6 über die Erstellung der Unternehmensdaten. Daten von Partnerunternehmen, also einer Beteiligung ab 25 %, werden anteilig hinzugerechnet, Daten verbundener Unternehmen zu 100 %.

Eine Tochtergesellschaft mit acht Beschäftigten ist damit kein Kleinstunternehmen, wenn die Gruppe dahinter die Schwellen reißt. Artikel 3 Absatz 4 des Anhangs geht noch weiter: Werden 25 % oder mehr des Kapitals oder der Stimmrechte von öffentlichen Stellen kontrolliert, gilt ein Unternehmen überhaupt nicht als KMU. Ausgenommen sind allein die in Artikel 3 Absatz 2 Unterabsatz 2 aufgezählten Investorengruppen.

Was tatsächlich leichter wird

Der CRA staffelt die Erleichterungen. Ein Teil steht nur Kleinst- und Kleinunternehmen offen, der andere allen drei Klassen.

Nur für Kleinst- und Kleinunternehmen:

• Die technische Dokumentation darf nach Artikel 33 Absatz 5 in einem vereinfachten Format vorgelegt werden. Notifizierte Stellen müssen dieses Formular für die Konformitätsbewertung akzeptieren.
• Keine Geldbuße für das Versäumen der 24-Stunden-Frist bei der Frühwarnung, Artikel 64 Absatz 10 Buchstabe a.
• Nationale Unterstützungsmaßnahmen nach Artikel 33 Absatz 1: Sensibilisierung und Schulung, ein eigener Kommunikationskanal, Unterstützung bei Prüf- und Konformitätsbewertungstätigkeiten.
• Erleichterter Zugang zu Reallaboren für Cyberresilienz nach Artikel 33 Absatz 2 und Hinweise auf Finanzhilfen aus Unionsprogrammen nach Artikel 33 Absatz 4.

Für alle drei Klassen:

• Die Gebühren für Konformitätsbewertungsverfahren werden nach Artikel 32 Absatz 6 proportional zu den besonderen Interessen und Bedürfnissen gesenkt.
• Das als Koordinator benannte CSIRT bietet nach Artikel 17 Absatz 6 Helpdesk-Unterstützung zu den Meldepflichten aus Artikel 14.
• Die Kommission veröffentlicht Leitlinien mit besonderem Schwerpunkt auf der Einhaltung durch KMU, Artikel 26 und Artikel 33 Absatz 3.
• Die Größe des Wirtschaftsakteurs ist bei der Bemessung einer Geldbuße zu berücksichtigen, Artikel 64 Absatz 5 Buchstabe c.

Was unverändert bleibt

Die grundlegenden Cybersicherheitsanforderungen aus Anhang I gelten für ein Zweipersonenunternehmen genauso wie für einen Konzern. Dasselbe gilt für die Herstellerpflichten aus Artikel 13 und die Meldepflichten aus Artikel 14. Auch ob ein Produkt als wichtig oder kritisch eingestuft wird, richtet sich nach dem Produkt und nie nach der Größe dessen, der es herstellt.

Bei Verstößen gegen Anhang I oder gegen die Artikel 13 und 14 sieht Artikel 64 Absatz 2 Geldbußen von bis zu 15 000 000 EUR oder 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Die Obergrenze selbst unterscheidet nicht nach Unternehmensgröße; diese wirkt sich erst bei der Bemessung im Einzelfall aus, Artikel 64 Absatz 5 Buchstabe c.

Das vereinfachte Formular ist ebenfalls kein inhaltlicher Rabatt. Es deckt alle in Anhang VII genannten Elemente der technischen Dokumentation ab und legt allein fest, wie sich diese knapp darstellen lassen. Wer sich dafür entscheidet, muss das Formular der Kommission verwenden: Ein Verstoß gegen Artikel 33 Absatz 5 ist nach Artikel 64 Absatz 3 mit bis zu 10 000 000 EUR oder 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bewehrt.

Was offen bleibt

Das vereinfachte Formular steht nicht im Verordnungstext. Artikel 33 Absatz 5 überlässt es einem Durchführungsrechtsakt, der im Prüfverfahren nach Artikel 62 Absatz 2 zu erlassen ist. Bis dieser Rechtsakt vorliegt, bleibt nur die vollständige Form nach Anhang VII.

Auch die nationalen Maßnahmen sind nicht garantiert. Artikel 33 Absatz 1 verpflichtet die Mitgliedstaaten nur „gegebenenfalls“, und Reallabore können eingerichtet werden. Ob es im eigenen Mitgliedstaat einen Kommunikationskanal oder ein Reallabor gibt, ist eine Frage der nationalen Umsetzung und nicht des Verordnungstextes.