CRA Response Center Demo anfragen

Aktuelles

Bußgelder nach dem CRA greifen erst ab dem 11. Dezember 2027

Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen melden. Manche Beiträge schreiben, dass seitdem auch Bußgelder drohen. Der Text der Verordnung sagt etwas anderes: Artikel 64 gilt erst ab dem 11. Dezember 2027. Eine Einordnung, was in der Zwischenzeit gilt.

Seit dem 11. September 2026 gilt die Meldepflicht nach Artikel 14 der Verordnung (EU) 2024/2847. Zum Start erschienen zahlreiche Beiträge von Kanzleien und Verbänden, und sie widersprechen sich in einem Punkt: Ob Verstöße gegen die Meldepflicht schon jetzt mit Bußgeldern belegt werden können. Die Antwort steht in Artikel 71 Absatz 2 der Verordnung. Danach gilt Kapitel IV über die notifizierten Stellen seit dem 11. Juni 2026, Artikel 14 seit dem 11. September 2026, und alles Übrige ab dem 11. Dezember 2027. Artikel 64, der die Geldbußen regelt, gehört zu "allem Übrigen". Der Bußgeldrahmen gilt damit erst ab dem 11. Dezember 2027. Zwischen beiden Terminen liegen rund 15 Monate, in denen die Meldepflicht ohne Bußgeldbewehrung läuft.

So lesen es auch Bitkom in einem Beitrag vom 11. September 2026, die Kanzlei ITMR Legal am 6. August 2026 und die Wiener Kanzlei E+H am 10. September 2026. Anders die Kanzlei Goodwin, die am 11. September 2026 von Bußgeldern "ab sofort" schreibt, und Crowell & Moring, die am selben Tag Sanktionen für Verstöße gegen Artikel 14 für anwendbar halten. Wir folgen dem Verordnungstext. Hinzu kommt für Deutschland: Die Behörde, die Bußgelder verhängen soll, ist noch nicht bestimmt, weil das CRA-Durchführungsgesetz nicht verkündet ist. Der Entwurf (BT-Drs. 21/6134) sieht das BSI als Bußgeldbehörde vor.

Was es für Hersteller bedeutet

Die Entlastung ist kleiner, als sie klingt. Vier Punkte sind wichtig:

  • Die Fristen gelten. Die Verordnung verpflichtet Hersteller seit dem 11. September 2026, aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden nach Kenntnis zu melden, mit Schwachstellenmeldung nach 72 Stunden und Abschlussbericht (Artikel 14 Absatz 2). Dass ein Verstoß derzeit nicht mit einer Geldbuße belegt werden kann, ändert an der Pflicht nichts. Die Meldungen gehen an das koordinierende CSIRT und die ENISA, in Deutschland an CERT-Bund beim BSI.
  • Der Rahmen bleibt hoch. Ab dem 11. Dezember 2027 sieht Artikel 64 Absatz 2 für Verstöße gegen die Pflichten der Hersteller Geldbußen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor. Für Kleinst- und Kleinunternehmen nimmt Artikel 64 Absatz 10 das Versäumen der 24-Stunden-Frist von Bußgeldern aus; die übrigen Pflichten bleiben.
  • Der Nachweis zählt jetzt schon. Wer heute meldet, hinterlässt beim CSIRT und bei der ENISA einen Datensatz mit Zeitstempeln. Wer nicht meldet, hinterlässt eine Lücke. Ob Marktüberwachungsbehörden Versäumnisse aus der Zeit vor Dezember 2027 später aufgreifen, lässt die Verordnung offen. Ein lückenloses Protokoll über Kenntnis, Bewertung und Meldung ist in beiden Fällen die bessere Ausgangslage.
  • Kunden und Vertragspartner warten nicht. Die Pflicht, betroffene Nutzer nach Artikel 14 Absatz 8 zu informieren, gilt ebenfalls seit September 2026.

Wie die Marktüberwachung aufgebaut ist und wer in Deutschland zuständig sein wird, steht im Leitfaden Bußgelder und Marktüberwachung nach dem CRA; die Termine der Verordnung im Überblick zeigt der Zeitplan des Cyber Resilience Act.

Für die Bereitschaft heißt das: Die 15 Monate ohne Bußgeldrahmen sind die Zeit, in der sich Rufkette, Meldeadresse und Protokoll im Betrieb einspielen können, ohne dass ein Fehler ein Bußgeld nach sich zieht. CRA Response Center hält die Bereitschaft von Anfang an so, als würde der Bußgeldrahmen schon gelten, weil die Fristen es tun.

Was offen bleibt

Die abweichenden Lesarten einzelner Kanzleien sind nicht gerichtlich geklärt. Offen ist, wann das deutsche Durchführungsgesetz verkündet wird und ob der Bundestag am Bußgeldteil des Entwurfs etwas ändert. Offen ist auch, wie Marktüberwachungsbehörden mit Versäumnissen aus der Zeit vor Dezember 2027 umgehen. Bekannte Durchsetzungs- oder Bußgeldfälle gibt es bis zum 7. Oktober 2026 nicht, auch keine veröffentlichten Meldungen aus dem ENISA-Portal.

Quellen

Die Meldepflicht läuft. Wer nimmt bei Ihnen nachts ab?

CRA Response Center nimmt Schwachstellen-Meldungen an, prüft sie, weckt Ihre Rufkette und führt die Fristen-Uhren. Ab 190 Euro im Monat, Einrichtung zum Festpreis.

Demo anfragen