Werden wir angehört, bevor eine Maßnahme gegen uns ergeht?

In aller Regel ja. Für die Korrekturmaßnahmen der Marktüberwachung verweist Artikel 54 auf Artikel 18 der Verordnung (EU) 2019/1020: Jede Maßnahme muss ihre Grundlage genau angeben, dem Wirtschaftsakteur sind die verfügbaren Rechtsmittel und deren Fristen mitzuteilen, und vorher ist ihm Gelegenheit zur Äußerung innerhalb einer Frist von mindestens zehn Arbeitstagen zu geben. Nur wenn die Dringlichkeit entgegensteht, darf die Anhörung entfallen, ist dann aber möglichst rasch nachzuholen und die Maßnahme umgehend zu überprüfen. Für die Geldbuße selbst richtet sich das Verfahren nach nationalem Recht.

Zählt für die Umsatzgrenze der Konzern oder unsere Gesellschaft?

Für die Bußgeldobergrenze nennt Artikel 64 den gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres, ohne den Begriff des Unternehmens weiter zu bestimmen. Anders bei der Einstufung als Kleinst-, kleines oder mittleres Unternehmen: Dafür soll nach Erwägungsgrund 5 der Anhang der Empfehlung 2003/361/EG in vollem Umfang angewandt werden, einschließlich der Regeln über Partnerunternehmen und verbundene Unternehmen. Eine kleine Tochter in einer großen Gruppe ist danach in aller Regel kein Kleinunternehmen. Wer sich auf die Ausnahmen und Erleichterungen für Kleinstunternehmen und KMU stützen will, sollte diese Berechnung dokumentiert vorliegen haben.

Haftet die Geschäftsführung persönlich?

Der CRA beantwortet das nicht. Artikel 64 richtet sich an die Mitgliedstaaten, und die Prozentgrenzen greifen ausdrücklich nur bei Unternehmen. Erwägungsgrund 121 setzt allerdings voraus, dass Geldbußen auch gegen Personen verhängt werden können, die kein Unternehmen sind; dann sollen das allgemeine Einkommensniveau im Mitgliedstaat und die wirtschaftliche Lage der Person berücksichtigt werden. Ob und wie natürliche Personen einstehen, ergibt sich damit erst aus dem nationalen Recht, das die Vorschriften nach Artikel 64 Absatz 1 erlässt.

Cyber Resilience Act

Sanktionen und Geldbußen

Praxisbegriff

Sanktionen und Geldbußen bilden die Durchsetzungsseite des Cyber Resilience Acts (CRA). Artikel 64 setzt die Obergrenzen, überlässt die Ausgestaltung aber den Mitgliedstaaten. Sie erlassen die Vorschriften über Sanktionen, treffen die für deren Umsetzung erforderlichen Maßnahmen und teilen beides der Kommission unverzüglich mit. Die Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.

Welche Stufe greift, hängt nicht von der Schwere im Einzelfall ab, sondern davon, gegen welche Vorschrift verstoßen wurde. Diese Zuordnung steht unmittelbar in Artikel 64 Absätze 2 bis 4.

Die drei Bußgeldstufen

Bis 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist: Nichteinhaltung der grundlegenden Cybersicherheitsanforderungen aus Anhang I sowie Verstöße gegen die Herstellerpflichten aus Artikel 13 und die Meldepflichten aus Artikel 14.
Bis 10 Millionen Euro oder 2 %: Verstöße gegen die Artikel 18–23 (Bevollmächtigte, Einführer, Händler, Identifizierung der Wirtschaftsakteure), Artikel 28 (EU-Konformitätserklärung), Artikel 30 Absätze 1–4 (CE-Kennzeichnung), Artikel 31 Absätze 1–4 (technische Dokumentation), Artikel 32 Absätze 1–3 (Konformitätsbewertungsverfahren), Artikel 33 Absatz 5 (vereinfachte Dokumentation für Kleinst- und Kleinunternehmen), die Artikel 39, 41, 47 und 49 (Pflichten notifizierter Stellen) und Artikel 53 (Zugang zu Daten und Dokumentation).
Bis 5 Millionen Euro oder 1 %: falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen und Marktüberwachungsbehörden auf deren Auskunftsverlangen hin.

Die Prozentgrenze gilt nur für Unternehmen, und Bezugsgröße ist der gesamte weltweite Jahresumsatz des vorangegangenen Geschäftsjahres. Weder der Umsatz mit dem betroffenen Produkt noch der Umsatz in der Union sind maßgeblich.

Verstöße, die in keinem der drei Absätze auftauchen, sind damit nicht folgenlos. Absatz 1 verpflichtet die Mitgliedstaaten, für Verstöße gegen die Verordnung überhaupt Sanktionen vorzusehen; der CRA nennt dafür nur keine eigene Obergrenze.

Wonach die Höhe bemessen wird

Artikel 64 Absatz 5 verlangt, in jedem Einzelfall alle relevanten Umstände zu würdigen, und hebt drei ausdrücklich hervor:

Art, Schwere und Dauer des Verstoßes und dessen Folgen,
ob bereits dieselben oder andere Marktüberwachungsbehörden demselben Wirtschaftsakteur für einen ähnlichen Verstoß Geldbußen auferlegt haben,
die Größe des Wirtschaftsakteurs, insbesondere mit Blick auf Kleinstunternehmen und KMU einschließlich Start-ups, und sein Marktanteil.

Das zweite Kriterium wirkt in beide Richtungen. Nach Erwägungsgrund 120 kann eine frühere Geldbuße erschwerend wirken, wenn der Verstoß in einem weiteren Mitgliedstaat andauert, oder mildernd, damit die Summe aller Geldbußen verhältnismäßig bleibt. Damit das überhaupt funktioniert, teilen Marktüberwachungsbehörden, die eine Geldbuße verhängen, dies den Marktüberwachungsbehörden der anderen Mitgliedstaaten über das Informations- und Kommunikationssystem nach Artikel 34 der Verordnung (EU) 2019/1020 mit.

Wer die Geldbuße festsetzt, entscheidet das nationale Recht. Absatz 6 geht von verhängenden Marktüberwachungsbehörden aus; nach Absatz 8 können die Geldbußen je nach Rechtssystem auch von zuständigen nationalen Gerichten oder von anderen Stellen verhängt werden, solange die Anwendung eine gleichwertige Wirkung hat. Ob auch Behörden und öffentliche Stellen belangt werden können, legt jeder Mitgliedstaat für sich fest.

Die Geldbuße ist selten die erste Maßnahme

Wirtschaftlich wiegt für die meisten Hersteller nicht die Obergrenze am schwersten, sondern der Verlust des Marktzugangs. Geldbußen können nach Absatz 9 zusätzlich zu Korrektur- oder einschränkenden Maßnahmen verhängt werden, die eine Marktüberwachungsbehörde für denselben Verstoß anordnet.

Den üblichen Ablauf beschreibt Artikel 54. Hat eine Behörde hinreichenden Grund zu der Annahme, dass ein Produkt ein erhebliches Cybersicherheitsrisiko birgt, bewertet sie dessen Konformität und fordert bei Nichtkonformität Korrekturmaßnahmen innerhalb einer dem Risiko angemessenen Frist. Bleiben sie aus, folgen vorläufige Maßnahmen: Untersagung oder Einschränkung der Bereitstellung, Rücknahme vom Markt oder Rückruf. Erhebt binnen drei Monaten weder ein Mitgliedstaat noch die Kommission Einwände, gilt die Maßnahme als gerechtfertigt.

Artikel 58 setzt deutlich früher an. Fehlende oder falsch angebrachte CE-Kennzeichnung, eine nicht oder nicht ordnungsgemäß ausgestellte EU-Konformitätserklärung, eine fehlende Kennnummer der gegebenenfalls beteiligten notifizierten Stelle oder eine nicht verfügbare oder unvollständige technische Dokumentation genügen als formale Nichtkonformität, und besteht sie weiter, ergreift der betreffende Mitgliedstaat alle geeigneten Maßnahmen, um die Bereitstellung einzuschränken oder zu untersagen oder um dafür zu sorgen, dass das Produkt zurückgerufen oder vom Markt genommen wird. Nach Artikel 57 fordert die Behörde sogar bei einem konformen Produkt geeignete Maßnahmen, wenn dieses ein erhebliches Cybersicherheitsrisiko und zugleich ein Risiko für die Gesundheit oder Sicherheit von Personen, für die Erfüllung von Grundrechtspflichten, für Dienste wesentlicher Einrichtungen oder für andere öffentliche Interessen birgt.

Auskunft, Zugang und Vertraulichkeit

Artikel 53 gibt den Marktüberwachungsbehörden auf begründeten Antrag Zugang zu den Daten, die zur Bewertung von Konzeption, Entwicklung, Herstellung und Schwachstellenbehandlung nötig sind, einschließlich einschlägiger interner Unterlagen, soweit das für die Bewertung der Konformität mit den grundlegenden Cybersicherheitsanforderungen aus Anhang I erforderlich ist. Den Gegenpol bildet Artikel 63. Alle an der Anwendung der Verordnung Beteiligten wahren die Vertraulichkeit und schützen dabei ausdrücklich Rechte des geistigen Eigentums, vertrauliche Geschäftsinformationen und Geschäftsgeheimnisse einschließlich Quellcode. Zurückhalten bleibt trotzdem der teurere Weg, denn falsche, unvollständige oder irreführende Angaben auf ein Auskunftsverlangen bilden eine eigene Bußgeldstufe.

Zwei Ausnahmen

Artikel 64 Absatz 10 nimmt zwei Fälle von den Geldbußen aus:

Hersteller, die Kleinst- oder Kleinunternehmen sind, für die Nichteinhaltung der Frist aus Artikel 14 Absatz 2 Buchstabe a oder Artikel 14 Absatz 4 Buchstabe a. Das ist jeweils die 24-Stunden-Frist für die Frühwarnung. Die 72-Stunden-Meldung und der Abschlussbericht bleiben bußgeldbewehrt, und mittlere Unternehmen sind von der Ausnahme nicht erfasst.
Verwalter quelloffener Software bei jedem Verstoß gegen die Verordnung. Der Marktüberwachung unterliegen sie weiterhin: Nach Artikel 52 Absatz 3 fordert die Behörde geeignete Korrekturmaßnahmen ein, wenn die Pflichten aus Artikel 24 nicht erfüllt sind.

Erwägungsgrund 120 geht noch einen Schritt weiter und hält die Mitgliedstaaten an, gegen diese beiden Gruppen auch keine anderen finanziellen Sanktionen zu verhängen. Eine Unschärfe bleibt im Wortlaut: Absatz 10 nimmt von den Absätzen 3 bis 9 aus, während Verstöße gegen Artikel 14 in Absatz 2 geregelt sind. Die Absicht des Gesetzgebers ist im Erwägungsgrund allerdings eindeutig beschrieben.

Verbandsklagen

Neben der behördlichen Durchsetzung steht der zivilrechtliche Weg. Nach Artikel 65 findet die Richtlinie (EU) 2020/1828 auf Verbandsklagen gegen Verstöße von Wirtschaftsakteuren Anwendung, die die Kollektivinteressen der Verbraucher beeinträchtigen oder zu beeinträchtigen drohen. Nach Erwägungsgrund 124 soll die Richtlinie ab dem 11. Dezember 2027 auf solche Verbandsklagen anwendbar sein, und der Erlass nationaler Umsetzungsmaßnahmen ist dafür keine Voraussetzung.

Ab wann

Die Verordnung gilt ab dem 11. Dezember 2027, vorgezogen sind nur Artikel 14 (ab dem 11. September 2026) und Kapitel IV mit den Artikeln 35–51 (ab dem 11. Juni 2026). Artikel 64 gehört nicht dazu, die Meldepflichten gelten also mehr als ein Jahr früher als die Bußgeldvorschriften, mit denen sie durchgesetzt werden. Einen eigenen Stichtag für den Erlass der nationalen Sanktionsvorschriften nennt der CRA nicht; Artikel 64 Absatz 1 verlangt nur, sie der Kommission unverzüglich mitzuteilen.

Fragen aus der Praxis

: In aller Regel ja. Für die Korrekturmaßnahmen der Marktüberwachung verweist Artikel 54 auf Artikel 18 der Verordnung (EU) 2019/1020: Jede Maßnahme muss ihre Grundlage genau angeben, dem Wirtschaftsakteur sind die verfügbaren Rechtsmittel und deren Fristen mitzuteilen, und vorher ist ihm Gelegenheit zur Äußerung innerhalb einer Frist von mindestens zehn Arbeitstagen zu geben. Nur wenn die Dringlichkeit entgegensteht, darf die Anhörung entfallen, ist dann aber möglichst rasch nachzuholen und die Maßnahme umgehend zu überprüfen. Für die Geldbuße selbst richtet sich das Verfahren nach nationalem Recht.
: Für die Bußgeldobergrenze nennt Artikel 64 den gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres, ohne den Begriff des Unternehmens weiter zu bestimmen. Anders bei der Einstufung als Kleinst-, kleines oder mittleres Unternehmen: Dafür soll nach Erwägungsgrund 5 der Anhang der Empfehlung 2003/361/EG in vollem Umfang angewandt werden, einschließlich der Regeln über Partnerunternehmen und verbundene Unternehmen. Eine kleine Tochter in einer großen Gruppe ist danach in aller Regel kein Kleinunternehmen. Wer sich auf die Ausnahmen und Erleichterungen für Kleinstunternehmen und KMU stützen will, sollte diese Berechnung dokumentiert vorliegen haben.
: Der CRA beantwortet das nicht. Artikel 64 richtet sich an die Mitgliedstaaten, und die Prozentgrenzen greifen ausdrücklich nur bei Unternehmen. Erwägungsgrund 121 setzt allerdings voraus, dass Geldbußen auch gegen Personen verhängt werden können, die kein Unternehmen sind; dann sollen das allgemeine Einkommensniveau im Mitgliedstaat und die wirtschaftliche Lage der Person berücksichtigt werden. Ob und wie natürliche Personen einstehen, ergibt sich damit erst aus dem nationalen Recht, das die Vorschriften nach Artikel 64 Absatz 1 erlässt.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.