Bußgeld
Der Cyber Resilience Act bringt einen eigenen Bußgeldrahmen mit drei Stufen. Verstöße gegen die Meldepflicht fallen in die höchste. Der Rahmen gilt aber nicht seit dem Start der Meldepflicht, sondern erst ab dem 11. Dezember 2027; in Deutschland fehlt bis zur Verkündung des Durchführungsgesetzes zudem die Behörde.
Bußgeld ist die Geldsanktion, die Artikel 64 des Cyber Resilience Act für Verstöße vorsieht: in der höchsten Stufe bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Definition in der Verordnung
Artikel 64 der Verordnung (EU) 2024/2847 staffelt in drei Stufen. Absatz 2: Verstöße gegen die grundlegenden Anforderungen in Anhang I oder gegen Artikel 13 und 14, also auch gegen die Meldepflicht, bis 15 Millionen Euro oder 2,5 Prozent des gesamten weltweiten Jahresumsatzes des Vorjahres. Absatz 3: Verstöße gegen weitere Pflichten, etwa der Importeure und Händler, bis 10 Millionen Euro oder 2 Prozent. Absatz 4: falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen und Marktüberwachungsbehörden bis 5 Millionen Euro oder 1 Prozent. Absatz 5 nennt Zumessungskriterien wie Art, Schwere, Dauer und Unternehmensgröße. Absatz 10 nimmt Kleinst- und Kleinunternehmen für das Versäumen der 24-Stunden-Frist der Frühwarnung aus und Verwalter quelloffener Software ganz. Nach Artikel 71 Absatz 2 gilt Artikel 64 erst ab dem 11. Dezember 2027; nur Artikel 14 gilt seit dem 11. September 2026.
Was das für Hersteller bedeutet
Die Meldepflicht gilt damit rund 15 Monate ohne Bußgeldbewehrung. Das ist kein Freibrief: Die Fristen gelten, Versäumnisse sind dokumentiert, und die Marktüberwachung kann Nachweise verlangen, sobald sie zuständig ist. Mittlere Unternehmen haben keine Ausnahme, und auch für Kleinst- und Kleinunternehmen bleiben 72-Stunden-Meldung und Abschlussbericht bußgeldbewehrt. In Deutschland soll das BSI Bußgeldbehörde werden (§ 70 BSIG-E); der Gesetzentwurf ist am 7. Oktober 2026 nicht verkündet. Bußgelder kommen nach Artikel 64 Absatz 9 zu Korrekturmaßnahmen, Rücknahme und Rückruf hinzu. Bußgeldfälle nach dem CRA sind bislang keine bekannt.