Cyber Resilience Act Bußgelder & Sanktionen: Was Verstöße kosten

 

Für die Geschäftsführung ist der Cyber Resilience Act zunächst eine Zahl: Bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes kann ein Verstoß kosten. Diese Obergrenze allein bewegt Budgets, doch sie erzählt nur die halbe Geschichte. Die neue Cyberresilienz-Verordnung verknüpft Bußgelder mit einer Reihe weiterer Konsequenzen, die einen Hersteller oder Importeur oft härter treffen als jede Geldstrafe: Ein Produkt darf schlicht nicht mehr verkauft werden.

Dieser Beitrag ordnet die Sanktionen sachlich ein. Er erklärt die Bußgeldstaffelung nach Artikel 64, benennt, wer die Strafen verhängt, und zeigt die nicht-monetären Folgen, die in der Risikobetrachtung häufig unterschätzt werden. Ein Rechenbeispiel stellt den möglichen Bußgeldrahmen den Kosten einer proaktiven Vorbereitung gegenüber. Wer die zeitliche Dimension einordnen will, findet die Details in der Übersicht der Fristen und Stichtage des Cyber Resilience Act.

 

Wie hoch sind die Bußgelder unter dem Cyber Resilience Act?

Der CRA ist eine EU-Verordnung und gilt damit unmittelbar in allen Mitgliedstaaten, ohne dass es einer nationalen Umsetzung bedarf. Die konkrete Höhe der Geldbußen legt Artikel 64 der Verordnung (EU) 2024/2847 fest. Er unterscheidet drei Stufen, abhängig davon, gegen welche Pflicht verstoßen wurde. Bei Unternehmen gilt jeweils der höhere der beiden genannten Werte, also entweder der feste Eurobetrag oder der prozentuale Anteil am weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres.

Art des Verstoßes	Maximales Bußgeld
Grundlegende Anforderungen Verstoß gegen die grundlegenden Cybersicherheitsanforderungen (Anhang I) sowie gegen die Pflichten der Hersteller aus Artikel 13 und 14 (u. a. Schwachstellenbehandlung und Meldepflichten)	bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes
Sonstige Pflichten Verstoß gegen andere Pflichten der Verordnung (u. a. bestimmte Pflichten von Importeuren, Händlern und notifizierten Stellen)	bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Falschauskünfte Erteilung falscher, unvollständiger oder irreführender Auskünfte gegenüber notifizierten Stellen und Marktüberwachungsbehörden	bis 5 Mio. € oder 1 % des weltweiten Jahresumsatzes

Die genaue Bußgeldhöhe im Einzelfall ist kein Automatismus. Artikel 64 verpflichtet die Behörden, alle relevanten Umstände zu würdigen, insbesondere Art, Schwere und Dauer des Verstoßes und seiner Folgen, etwaige frühere Verstöße desselben Wirtschaftsakteurs sowie dessen Größe und Marktanteil. Ausdrücklich genannt ist dabei die Rücksichtnahme auf Kleinstunternehmen sowie kleine und mittlere Unternehmen einschließlich Start-ups. Eine Sonderstellung nehmen Verwalter quelloffener Software (Open-Source-Software-Stewards) ein: Sie sind von den Geldbußen des Artikels 64 ausgenommen, auch wenn andere Pflichten für sie fortbestehen.

Wichtig für die Risikobewertung ist, dass ein Bußgeld nicht isoliert steht. Es kann zusätzlich zu anderen korrigierenden oder einschränkenden Maßnahmen verhängt werden, welche die Marktüberwachungsbehörden für denselben Verstoß anordnen. Genau diese begleitenden Maßnahmen sind es, die betriebswirtschaftlich oft schwerer wiegen.

 

Wer verhängt die Bußgelder?

Weil der CRA nur den Rahmen setzt und die konkreten Sanktionsregeln den Mitgliedstaaten überlässt, verhängen nationale Behörden die Bußgelder. Zuständig ist die jeweilige Marktüberwachungsbehörde, die auch die Konformität der Produkte am Markt kontrolliert. Anders als bei einer zentralen EU-Aufsicht gibt es also 27 nationale Vollzugsstränge, die sich untereinander abstimmen.

In Deutschland wird der nationale Rahmen über das CRA-Durchführungsgesetz geschaffen, das sich Mitte 2026 im Gesetzgebungsverfahren befindet (erste Lesung im Bundestag am 11.06.2026). Nach dem vorliegenden Entwurf soll das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zentrale Marktüberwachungs- und notifizierende Behörde werden. Eine Ausnahme ist vorgesehen für Produkte, die zugleich als Hochrisiko-KI-System unter die KI-Verordnung fallen; hier soll die für die KI-Aufsicht benannte Behörde zuständig sein, in Deutschland voraussichtlich die Bundesnetzagentur. Da das Gesetz noch nicht final verabschiedet ist, sollten Hersteller die Zuständigkeit vor einer konkreten Meldung oder Anfrage gegenprüfen. Am Grundsatz ändert das nichts: Der Vollzug erfolgt national, und die Behörden erhalten weitreichende Prüf- und Anordnungsbefugnisse.

 

Was oft mehr schmerzt: die Folgen jenseits des Bußgeldes

Ein Bußgeld ist eine einmalige, wenn auch schmerzhafte Belastung. Die folgenden Konsequenzen greifen tiefer in das Geschäftsmodell ein, weil sie die Marktfähigkeit des Produkts selbst betreffen. Für die Geschäftsführung sind sie deshalb der eigentliche Kern der CRA-Risikobetrachtung.

Marktrücknahme und Verkaufsverbot

Stellt die Marktüberwachungsbehörde ein nicht konformes Produkt mit digitalen Elementen fest, kann sie den Wirtschaftsakteur verpflichten, die Nichtkonformität zu beheben. Bleibt das aus oder besteht ein erhebliches Cybersicherheitsrisiko, reichen die Befugnisse bis zur Anordnung, das Produkt vom Markt zu nehmen oder zurückzurufen und die Bereitstellung auf dem Markt einzuschränken oder zu untersagen. Ein solcher Rückruf trifft nicht nur den Umsatz mit dem betroffenen Produkt, sondern verursacht Logistik-, Nachbesserungs- und Kommunikationskosten und bindet Ressourcen über Monate.

Die CE-Kennzeichnung als Voraussetzung für den Marktzugang

Mit dem CRA wird Cybersicherheit erstmals zu einer grundlegenden Produkteigenschaft und damit zur Bedingung für die CE-Kennzeichnung. Ein Produkt mit digitalen Elementen darf nur dann auf dem EU-Markt bereitgestellt werden, wenn es die Anforderungen erfüllt und die Konformitätsbewertung bestanden hat; erst danach darf die CE-Kennzeichnung angebracht werden (Artikel 30). Fehlt sie oder wurde sie zu Unrecht angebracht, ist das Produkt nicht verkehrsfähig. Der Marktzugang zum gesamten Europäischen Wirtschaftsraum hängt damit unmittelbar an der CRA-Konformität, nicht erst an der Frage eines möglichen Bußgeldes.

Reputations- und Lieferkettenfolgen

Der wirtschaftlich unterschätzte Hebel liegt in der Lieferkette. Wer Komponenten oder Software an andere Hersteller liefert, wird zunehmend erleben, dass seine B2B-Kunden die CRA-Konformität vertraglich einfordern, denn deren eigene Konformität hängt an den zugelieferten Bausteinen. Ein Hersteller, der die Anforderungen nicht nachweisen kann, verliert damit nicht nur Endkunden, sondern fällt als Zulieferer aus. Eine öffentlich gewordene Marktrücknahme oder ein gemeldeter, schlecht behandelter Sicherheitsvorfall wirkt zudem als Reputationsschaden weit über den unmittelbaren Fall hinaus.

Zivilrechtliche Haftungsrisiken

Parallel zum CRA hat die EU die Produkthaftung modernisiert. Die neue Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853, in Kraft seit dem 08.12.2024, umzusetzen bis zum 09.12.2026) definiert Software ausdrücklich als Produkt, unabhängig davon, ob sie auf einem Gerät gespeichert, aus der Cloud bezogen oder als Software-as-a-Service betrieben wird. Verfehlt ein Produkt den einschlägigen Sicherheitsstandard, wie ihn etwa der CRA vorgibt, kann das die Annahme eines Produktfehlers stützen. Ausdrücklich erfasst wird auch das Fehlen sicherheitsrelevanter Updates. Neben dem verwaltungsrechtlichen Bußgeld kann also ein zivilrechtliches Haftungsrisiko treten, das bis zum Ersatz von Schäden an Daten reicht.

 

Rechenbeispiel: Was 2,5 Prozent für einen Mittelständler bedeuten

Ein Zahlenbeispiel macht die Dimension greifbar. Angenommen, ein mittelständischer Hersteller vernetzter Geräte erzielt 50 Millionen Euro Jahresumsatz. 2,5 Prozent davon sind 1,25 Millionen Euro. Weil Artikel 64 aber den höheren der beiden Werte ansetzt, ist für dieses Unternehmen nicht der Prozentwert, sondern die feste Obergrenze von 15 Millionen Euro der maßgebliche Rahmen. Der prozentuale Deckel greift erst bei sehr großen Konzernen mit einem Jahresumsatz oberhalb von rund 600 Millionen Euro, ab denen 2,5 Prozent die 15 Millionen übersteigen.

Das ist die für viele Geschäftsführer kontraintuitive Pointe: Gerade der Mittelstand haftet nicht nur mit einem kleinen Prozentsatz, sondern potenziell mit einem festen Betrag, der ein Vielfaches des Jahresgewinns ausmachen kann. Selbst wenn die Behörde die Verhältnismäßigkeit wahrt und deutlich unter dem Höchstmaß bleibt, kann ein Bußgeld im einstelligen Millionenbereich die Jahresrendite eines margenschwachen Betriebs übersteigen. Hinzu kommen die oben genannten nicht-monetären Folgen.

Dem steht der Aufwand einer geordneten Vorbereitung gegenüber. Der Aufbau von Security-by-Design-Prozessen, einer Software-Stückliste (SBOM), einer nachweisbaren Schwachstellenbehandlung und der Konformitätsdokumentation bewegt sich für einen Mittelständler typischerweise im niedrigen sechsstelligen Bereich, verteilt über die Vorlaufzeit bis zur vollen Anwendung, und schafft zugleich einen Marktvorteil. Der Vergleich fällt eindeutig aus: Proaktive Compliance ist regelmäßig um eine Größenordnung günstiger als das Risiko, das sie abwendet. Eine strukturierte Herangehensweise beschreibt der Leitfaden dazu, wie sich die CRA-Anforderungen jetzt umsetzen lassen.

 

 

Was bedeutet das für KMU?

Der CRA nimmt kleine und mittlere Unternehmen nicht aus der Pflicht, mildert aber an mehreren Stellen ab. Bei der Bußgeldbemessung ist die Unternehmensgröße ausdrücklich zu berücksichtigen, und die Verordnung sieht für bestimmte Nachweise vereinfachte Formate vor. Das ist Verhältnismäßigkeit, keine Ausnahme: Die grundlegenden Anforderungen an sichere Produkte, die Konformitätsbewertung und die Meldepflichten gelten auch für den kleinen Hersteller.

Für KMU liegt der entscheidende Vorteil im frühen Start. Wer die Prozesse bis zur vollen Anwendung schrittweise aufbaut, verteilt den Aufwand und vermeidet den teuren Endspurt kurz vor dem Stichtag. Die Sanktionslogik ähnelt darin der Regulierung im NIS-2-Umfeld; wer den Beitrag Bußgelder und Haftung unter NIS 2 kennt, erkennt das Muster: gestaffelte Bußgelder, persönliche Verantwortung der Leitungsebene und ein starker Anreiz, Nachweise vorab zu strukturieren statt reaktiv zu erklären.

 

Fazit: Das Bußgeld ist nur die sichtbare Spitze

Die Bußgelder des Cyber Resilience Act sind mit bis zu 15 Millionen Euro oder 2,5 Prozent des Weltumsatzes bewusst abschreckend gestaltet, und für den Mittelstand ist es die feste Obergrenze, die den Rahmen setzt. Doch die eigentliche Steuerungswirkung entfaltet der CRA über die Konsequenzen jenseits des Bußgeldes: Marktrücknahme, Verkaufsverbot, der Verlust der CE-Kennzeichnung als Eintrittskarte in den EU-Markt und die zivilrechtliche Haftung. Zusammengenommen entscheiden sie darüber, ob ein Produkt überhaupt verkäuflich bleibt.

Für die Geschäftsführung folgt daraus eine klare Priorisierung. Das Sanktionsrisiko ist real, aber beherrschbar, sofern die Konformität frühzeitig und nachweisbar aufgebaut wird. Die Kosten dafür sind planbar und liegen deutlich unter dem Schaden, den ein Verstoß auslösen kann. Bis zur vollen Anwendung am 11.12.2027 bleibt Zeit, diese Nachweise zu strukturieren; genutzt sein will sie jetzt.

 

Häufige Fragen (FAQ)

Wie hoch ist das maximale Bußgeld unter dem Cyber Resilience Act?

Bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen (Anhang I) sowie gegen die Herstellerpflichten aus Artikel 13 und 14 drohen Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. Für sonstige Pflichtverletzungen liegt die Grenze bei 10 Millionen Euro oder 2 Prozent, für Falschauskünfte bei 5 Millionen Euro oder 1 Prozent.

Wer verhängt die Bußgelder in Deutschland?

Der CRA überlässt die Sanktionsregeln den Mitgliedstaaten; zuständig sind die nationalen Marktüberwachungsbehörden. In Deutschland soll nach dem CRA-Durchführungsgesetz, das sich 2026 im Gesetzgebungsverfahren befindet, das BSI zentrale Marktüberwachungsbehörde werden. Für Produkte, die zugleich Hochrisiko-KI-Systeme sind, ist voraussichtlich die Bundesnetzagentur zuständig.

Ab wann können Bußgelder verhängt werden?

Der CRA gilt seit dem 10.12.2024, doch die Pflichten greifen gestaffelt. Die Melde- und Berichtspflichten gelten ab dem 11.09.2026, die volle Anwendung mit den durchsetzbaren Produktanforderungen und den zugehörigen Sanktionen ab dem 11.12.2027. Bis dahin sollten Hersteller die Konformität aufgebaut haben.

Sind kleine und mittlere Unternehmen von den Bußgeldern ausgenommen?

Nein. KMU müssen die Anforderungen des CRA erfüllen. Die Verordnung sieht jedoch Erleichterungen vor: Bei der Bußgeldbemessung ist die Unternehmensgröße zu berücksichtigen, und für bestimmte Nachweise gelten vereinfachte Formate. Verhältnismäßigkeit bedeutet also Abmilderung, nicht Befreiung.

Was ist schlimmer als das Bußgeld selbst?

Häufig die begleitenden Maßnahmen. Marktüberwachungsbehörden können anordnen, ein nicht konformes Produkt vom Markt zu nehmen oder zurückzurufen. Ohne CE-Kennzeichnung ist ein Produkt nicht verkehrsfähig, und B2B-Kunden verlangen in der Lieferkette den Konformitätsnachweis. Diese Folgen können ein Produkt vollständig vom Markt drängen, unabhängig von der Höhe einer Geldstrafe.