Welche Bußgelder drohen bei CRA-Verstößen?

TL;DR

• Der CRA (Verordnung (EU) 2024/2847) sieht in Art. 64 Bußgelder bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.
• Zuständig für die Durchsetzung sind die nationalen Marktüberwachungsbehörden.
• Zentrale Risikofelder sind fehlende Konformitätsbewertungen und unterlassene Meldungen aktiv ausgenutzter Schwachstellen oder schwerwiegender Sicherheitsvorfälle.
• Die Meldepflichten nach Art. 14 CRA gelten seit dem 11.09.2026, auch für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden (Art. 69 Abs. 3).
• Konkrete Bußgeldfälle oder Fallzahlen lassen sich derzeit nicht seriös belegen, da die Hauptpflichten erst ab dem 11.12.2027 gelten.

Wie hoch sind die Bußgelder nach Art. 64 CRA?

Der CRA sieht in Art. 64 einen Sanktionsrahmen von bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, wobei jeweils der höhere Betrag maßgeblich ist. Diese Stufe betrifft vor allem Hersteller, die als Hauptadressaten des CRA die weitreichendsten Pflichten tragen. Die konkrete Bußgeldhöhe im Einzelfall hängt von Art, Schwere und Dauer des Verstoßes ab und wird von der jeweils zuständigen Behörde festgelegt.

Wer ist für die Durchsetzung zuständig?

Die Durchsetzung des CRA obliegt den nationalen Marktüberwachungsbehörden der Mitgliedstaaten. Diese Behörden sind dafür zuständig, die Einhaltung der CRA-Anforderungen zu überwachen, Produkte zu prüfen und bei Verstößen Maßnahmen zu ergreifen, von Nachbesserungsaufforderungen über Vertriebsbeschränkungen bis zu Bußgeldern. Meldungen von Schwachstellen und Sicherheitsvorfällen gehen über die von ENISA betriebene zentrale Meldeplattform gleichzeitig an das als Koordinator benannte CSIRT des Mitgliedstaats der Hauptniederlassung des Herstellers und an ENISA (Art. 14 Abs. 1, 3 und 7, Art. 16). Das CSIRT leitet die Meldung an die CSIRTs der Mitgliedstaaten weiter, in denen das Produkt bereitgestellt wurde (Art. 16 Abs. 2). Marktüberwachung und Meldewesen sind damit zwei unterschiedliche, aber miteinander verknüpfte Aufsichtsstränge.

Was führt typischerweise zu einem Verfahren?

Zwei Risikofelder ergeben sich unmittelbar aus den Pflichten der Verordnung: das Fehlen einer erforderlichen Konformitätsbewertung und die unterlassene Meldung einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls.

Verstoßtyp	Relevante Pflicht	Greift ab
Fehlende oder unzureichende Konformitätsbewertung	Grundlegende Cybersicherheitsanforderungen, CE-Kennzeichnung, technische Dokumentation	11.12.2027
Fehlendes Schwachstellen-Handling über den Support-Zeitraum	Update- und Wartungspflichten	11.12.2027
Keine Meldung bei aktiv ausgenutzter Schwachstelle	Art. 14 Abs. 2 CRA: Frühwarnung binnen 24 h, Schwachstellenmeldung binnen 72 h, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme	11.09.2026
Keine Meldung bei schwerwiegendem Sicherheitsvorfall	Art. 14 Abs. 4 CRA: Frühwarnung binnen 24 h, Vorfallsmeldung binnen 72 h, Abschlussbericht binnen eines Monats	11.09.2026

Fehlt die Konformitätsbewertung für ein Produkt, das nach dem 11.12.2027 auf dem EU-Markt angeboten wird, liegt ein struktureller Verstoß gegen die Hauptpflichten des CRA vor. Wird eine aktiv ausgenutzte Schwachstelle nicht innerhalb der vorgesehenen Fristen gemeldet, betrifft dies die seit dem 11.09.2026 geltende Meldepflicht nach Art. 14 CRA, die nach Art. 69 Abs. 3 auch für Produkte gilt, die vor dem 11.12.2027 in Verkehr gebracht wurden.

Welche Rolle spielt die abgestufte Prüftiefe der Produktklassen?

Der CRA unterscheidet zwischen Standardprodukten mit Selbstbewertung, wichtigen Produkten der Klasse I nach Anhang III (Selbstbewertung nur bei vollständiger Anwendung harmonisierter Normen, gemeinsamer Spezifikationen oder eines Zertifizierungsschemas, sonst Drittprüfung, Art. 32 Abs. 2), wichtigen Produkten der Klasse II mit verpflichtender Drittprüfung (Art. 32 Abs. 3) und kritischen Produkten nach Anhang IV, für die ein europäisches Cybersicherheitszertifikat vorgeschrieben werden kann (Art. 8) und sonst eine Drittprüfung wie bei Klasse II gilt. Je höher die Produktklasse, desto umfangreicher die Nachweispflichten und desto eher rückt ein Produkt in den Fokus der Marktüberwachung. Welche konkreten Produkte welcher Klasse zuzuordnen sind, ist im Einzelfall gegen Anhang III und Anhang IV zu prüfen, eine pauschale Zuordnung ohne Einzelfallprüfung ist nicht belastbar.

Gibt es bereits dokumentierte Bußgeldverfahren?

Da die Hauptpflichten des CRA erst ab dem 11.12.2027 vollständig gelten, liegen zum jetzigen Zeitpunkt keine belastbaren öffentlichen Angaben zu abgeschlossenen Bußgeldverfahren nach Art. 64 CRA vor. Auch zu den erst seit dem 11.09.2026 geltenden Meldepflichten liegen noch keine veröffentlichten Verfahrenszahlen vor. Aussagen zu konkreten Fällen oder Fallzahlen wären zum jetzigen Zeitpunkt spekulativ und werden hier bewusst nicht getroffen.

Wie lässt sich das Sanktionsrisiko in der Praxis einordnen?

Der Sanktionsrahmen des CRA orientiert sich strukturell an anderen europäischen Regelwerken mit umsatzbezogenen Bußgeldern und signalisiert damit einen hohen Stellenwert der Marktüberwachung. Für Unternehmen bedeutet das: Die beiden zentralen Risikofelder, unvollständige Konformitätsbewertung und unterlassene Meldung, lassen sich durch eine strukturierte Vorbereitung deutlich reduzieren. Eine belastbare Betroffenheitsprüfung, ein funktionierender interner Meldeprozess und eine rechtzeitig begonnene Konformitätsbewertung sind die wesentlichen Stellschrauben, um beide Risikofelder zu adressieren.

Wie hoch kann ein Bußgeld nach Art. 64 CRA im Einzelfall ausfallen?

Art. 64 CRA staffelt: bis 15 Mio. Euro oder 2,5 % (Anhang I, Art. 13, 14), bis 10 Mio. Euro oder 2 % (u. a. Importeure, Händler), bis 5 Mio. Euro oder 1 % bei falschen oder irreführenden Angaben gegenüber Behörden und notifizierten Stellen; jeweils ist der höhere Betrag maßgeblich. Kleinst- und Kleinunternehmen werden für das Versäumen der 24-Stunden-Frühwarnung nicht mit Geldbuße belegt, Open-Source-Software-Stewards gar nicht (Art. 64 Abs. 10). Die konkrete Höhe im Einzelfall legt die zuständige Marktüberwachungsbehörde fest.

Löst allein das Fehlen einer Meldung automatisch ein Bußgeldverfahren aus?

Eine unterlassene Meldung nach Art. 14 CRA ist nach Art. 64 Abs. 2 bußgeldbewehrt; einen Automatismus sieht die Verordnung nicht vor. Für Kleinst- und Kleinunternehmen ist die versäumte 24-Stunden-Frühwarnung von Geldbußen ausgenommen (Art. 64 Abs. 10). Ob und in welcher Höhe ein Bußgeld verhängt wird, entscheidet im Einzelfall die zuständige Marktüberwachungsbehörde.

Betreffen die Bußgelder auch Importeure und Händler, nicht nur Hersteller?

Ja, aber mit einem niedrigeren Rahmen: Für Verstöße gegen die in Art. 64 Abs. 3 CRA genannten Pflichten, darunter die Pflichten von Importeuren und Händlern (Art. 19, 20), gelten bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Die Stufe von 15 Mio. Euro oder 2,5 % betrifft die grundlegenden Anforderungen und die Herstellerpflichten nach Art. 13 und 14 (Art. 64 Abs. 2). Da Hersteller die weitreichendsten Pflichten tragen, etwa bei Konformitätsbewertung und Meldewesen, liegt bei ihnen auch das größte Verfahrensrisiko. Importeure und Händler haben demgegenüber vor allem Kontroll- und Weitergabepflichten, deren Verletzung ebenfalls sanktioniert werden kann.

Wie unterscheidet sich die Marktüberwachung von der Meldepflicht organisatorisch?

Die Marktüberwachungsbehörden agieren reaktiv und proaktiv zugleich: Sie können Produkte stichprobenartig prüfen, auf Beschwerden reagieren oder im Nachgang einer Meldung nach Art. 14 CRA tätig werden. Eine Meldung über die CRA Single Reporting Platform ist damit nicht nur eine eigenständige Pflicht, sondern kann auch der Auslöser für eine nachfolgende Prüfung durch die zuständige Marktüberwachungsbehörde sein. Für Unternehmen bedeutet dies, dass eine ordnungsgemäße, fristgerechte Meldung nicht nur die Meldepflicht selbst erfüllt, sondern auch dokumentiert, dass das Unternehmen seinen Pflichten grundsätzlich nachkommt, was im Rahmen eines späteren Verfahrens relevant sein kann.

Ausgangspunkt für die eigene Risikoeinordnung

Für eine erste Einschätzung, ob und in welchem Umfang ein Produkt unter den CRA fällt und damit dem hier beschriebenen Sanktionsrahmen unterliegt, eignet sich der CRA-Betroffenheitscheck als Ausgangspunkt. Einen vollständigen Überblick über den CRA, seine Fristen und Pflichten bietet der Grundlagenartikel Cyber Resilience Act im Überblick.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert: 11.08.2026)
• Europäische Kommission, CRA Reporting Obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert: 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert: 11.08.2026)
• EU-Kommission, Cyberresilienzgesetz: https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act (verifiziert: 18.09.2026)