Bußgelder nach dem Cyber Resilience Act

Der Cyber Resilience Act (CRA), offiziell Cyberresilienz-Verordnung, sieht Bußgelder in drei Stufen vor. Die höchste liegt bei 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. Sie gilt für Verstöße gegen die Cybersicherheitsanforderungen aus Anhang I und gegen die Herstellerpflichten aus Artikel 13 und 14.

Das sind Obergrenzen. Die tatsächliche Höhe legt die zuständige Behörde im Einzelfall fest, und dabei zählt unter anderem die Größe Ihres Unternehmens. Die Regeln stehen in Artikel 64 der Verordnung (EU) 2024/2847.

Die drei Stufen

Verstoß	Obergrenze	Wo im CRA
Grundlegende Cybersicherheitsanforderungen (Anhang I), Herstellerpflichten (Artikel 13), Meldepflichten (Artikel 14)	15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes	Artikel 64 Absatz 2
Andere Pflichten, zum Beispiel Konformitätserklärung (Artikel 28), CE-Kennzeichnung (Artikel 30 Absätze 1 bis 4), technische Dokumentation (Artikel 31 Absätze 1 bis 4), Konformitätsbewertung (Artikel 32 Absätze 1 bis 3), Pflichten von Importeuren und Händlern	10 Mio. € oder 2 %	Artikel 64 Absatz 3
Falsche, unvollständige oder irreführende Angaben gegenüber benannten Stellen oder Marktüberwachungsbehörden auf deren Anfrage	5 Mio. € oder 1 %	Artikel 64 Absatz 4

Maßgeblich ist der weltweite Jahresumsatz des vorangegangenen Geschäftsjahres.

Die Rechenregel: der höhere Betrag zählt

„Je nachdem, welcher Betrag höher ist“ bedeutet für kleine Unternehmen: Die Obergrenze ist fast immer der feste Betrag.

Ein Rechenbeispiel. Ein Hersteller mit 4 Mio. € Jahresumsatz verstößt gegen Artikel 13. 2,5 % seines Umsatzes wären 100.000 €. Der feste Betrag von 15 Mio. € ist höher, also liegt die Obergrenze bei 15 Mio. €. Erst ab 600 Mio. € Umsatz wird der Prozentsatz zur höheren Zahl.

Das heißt nicht, dass ein kleines Unternehmen 15 Mio. € zahlen muss. Es heißt nur, dass das Gesetz die Grenze nicht am Umsatz kleiner Firmen ausrichtet. Wie hoch es wirklich wird, entscheidet die Behörde nach den Kriterien unten.

Was die Höhe bestimmt

Artikel 64 Absatz 5 nennt, was die Behörde berücksichtigen muss:

• Art, Schwere und Dauer des Verstoßes und seiner Folgen;
• ob dasselbe Unternehmen für einen ähnlichen Verstoß schon Bußgelder bekommen hat, auch von Behörden anderer Mitgliedstaaten;
• die Größe des Unternehmens, ausdrücklich mit Blick auf Kleinst-, kleine und mittlere Unternehmen einschließlich Start-ups, und seinen Marktanteil.

Ein Bußgeld kann außerdem zu anderen Maßnahmen hinzukommen (Artikel 64 Absatz 9). Für einen Hersteller kann eine Anordnung, ein Produkt vom Markt zu nehmen oder zurückzurufen, teurer werden als das Bußgeld selbst.

Zwei Ausnahmen

Artikel 64 Absatz 10 nimmt zwei Gruppen aus:

Kleinst- und Kleinunternehmen bei der 24-Stunden-Frist. Wer als Kleinst- oder Kleinunternehmen die Frühwarnung nach Artikel 14 Absatz 2 Buchstabe a oder Absatz 4 Buchstabe a zu spät abschickt, bekommt dafür kein Bußgeld. Die Frühwarnung bleibt trotzdem Pflicht, und für die 72-Stunden-Meldung, den Abschlussbericht und alle anderen Pflichten gilt die Ausnahme nicht.

Verwalter quelloffener Software. Gemeint sind Organisationen, die die Entwicklung bestimmter Open-Source-Produkte dauerhaft unterstützen, ohne selbst Hersteller zu sein (Open-Source-Stewards). Sie bekommen keine Bußgelder nach dieser Verordnung. Für einen Gerätehersteller, der Open-Source-Bibliotheken einbaut, gilt das nicht. Sie bleiben Hersteller.

Wer die Regeln festlegt

Die Obergrenzen kommen aus der EU-Verordnung. Die Regeln für das Verfahren, also wer Bußgelder verhängt und wie, legen die Mitgliedstaaten fest (Artikel 64 Absatz 1). Sie müssen wirksam, verhältnismäßig und abschreckend sein. Je nach Rechtssystem eines Landes kann auch ein Gericht das Bußgeld verhängen (Artikel 64 Absatz 8).

Für Deutschland hängt das an der nationalen Durchführung des CRA. Welche Behörde zuständig ist, sollten Sie aus offiziellen Quellen prüfen, etwa beim BSI.

Ab wann Bußgelder drohen

Die Meldepflicht aus Artikel 14 gilt seit dem 11. September 2026, auch für Produkte, die schon vorher auf dem Markt waren. Die übrigen Pflichten gelten ab dem 11. Dezember 2027. Zeitliche Details im Ratgeber zu den Fristen.

Das eigentliche Risiko

Für die meisten kleinen Hersteller ist das Bußgeld nicht der größte Posten. Teurer sind ein Verkaufsstopp, ein Rückruf oder ein Großkunde, der ohne saubere Unterlagen nicht mehr bestellt. Das beste Mittel gegen alle drei ist dasselbe: Sie wissen, was in Ihrem Produkt steckt, und können es belegen.

Was Proofsheet hier erstellt

Proofsheet ist eine Web-App. Sie zeigt automatisch, welche bekannten Schwachstellen in den Bauteilen Ihrer Firmware oder App stecken, und markiert die, die auf der CISA-Liste aktiv ausgenutzter Schwachstellen stehen. Die App ordnet die Funde den 22 Punkten aus Anhang I zu, jeweils belegt, teilweise oder offen. Den Punkt „keine bekannten ausnutzbaren Schwachstellen“ markiert sie nie höher als teilweise, denn sie sieht nur die Bauteile, die sie in der Datei erkennt.

Ob und in welcher Höhe ein Bußgeld droht, kann der Bericht nicht sagen. Er zeigt aber, welche Bauteile das höchste Risiko tragen. Proofsheet liefert technische Nachweise, kein rechtliches Zertifikat. Ein Bericht mit Ihren drei größten Risiken ist kostenlos: Kostenlosen Bericht erstellen. Weiter lesen: Meldepflicht und CRA für KMU.