Welche Bußgelder drohen bei CRA-Verstößen?

TL;DR

• Der CRA (Verordnung (EU) 2024/2847) sieht in Art. 64 Bußgelder bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.
• Zuständig für die Durchsetzung sind die nationalen Marktüberwachungsbehörden.
• Typische Auslöser für ein Verfahren sind fehlende Konformitätsbewertungen und unterlassene Meldungen bei aktiv ausgenutzten Schwachstellen.
• Die Meldepflichten nach Art. 14 CRA greifen bereits ab dem 11.09.2026, unabhängig vom Zeitpunkt der Marktverfügbarkeit des Produkts.
• Konkrete Bußgeldfälle oder Fallzahlen lassen sich derzeit nicht seriös belegen, da die Hauptpflichten erst ab dem 11.12.2027 gelten.

Wie hoch sind die Bußgelder nach Art. 64 CRA?

Der CRA sieht in Art. 64 einen Sanktionsrahmen von bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, wobei jeweils der höhere Betrag maßgeblich ist. Dieser Rahmen orientiert sich an der aus der DSGVO bekannten Systematik prozentualer Umsatzbußgelder und richtet sich in erster Linie an Hersteller, die als Hauptadressaten des CRA die weitreichendsten Pflichten tragen. Die konkrete Bußgeldhöhe im Einzelfall hängt von Art, Schwere und Dauer des Verstoßes ab und wird von der jeweils zuständigen Behörde festgelegt.

Wer ist für die Durchsetzung zuständig?

Die Durchsetzung des CRA obliegt den nationalen Marktüberwachungsbehörden der Mitgliedstaaten. Diese Behörden sind dafür zuständig, die Einhaltung der CRA-Anforderungen zu überwachen, Produkte zu prüfen und bei Verstößen Maßnahmen zu ergreifen, von Nachbesserungsaufforderungen über Vertriebsbeschränkungen bis zu Bußgeldern. Für Meldungen von Schwachstellen und Sicherheitsvorfällen ist zusätzlich das CSIRT am Sitz des Herstellers zuständig, das Meldungen über die CRA Single Reporting Platform entgegennimmt und an ENISA sowie andere CSIRTs weitergibt. Marktüberwachung und Meldewesen sind damit zwei unterschiedliche, aber miteinander verknüpfte Aufsichtsstränge.

Was führt typischerweise zu einem Verfahren?

Zwei Konstellationen stehen im Zentrum der CRA-Durchsetzung: das Fehlen einer erforderlichen Konformitätsbewertung und die unterlassene Meldung einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls.

Verstoßtyp	Relevante Pflicht	Greift ab
Fehlende oder unzureichende Konformitätsbewertung	Grundlegende Cybersicherheitsanforderungen, CE-Kennzeichnung, technische Dokumentation	11.12.2027
Fehlendes Schwachstellen-Handling über den Support-Zeitraum	Update- und Wartungspflichten	11.12.2027
Keine Meldung bei aktiv ausgenutzter Schwachstelle	Art. 14 CRA, Frühwarnung binnen 24h, vollständige Meldung binnen 72h	11.09.2026
Keine Meldung bei schwerwiegendem Sicherheitsvorfall	Art. 14 CRA	11.09.2026

Fehlt die Konformitätsbewertung für ein Produkt, das nach dem 11.12.2027 auf dem EU-Markt angeboten wird, liegt ein struktureller Verstoß gegen die Hauptpflichten des CRA vor. Wird eine aktiv ausgenutzte Schwachstelle nicht innerhalb der vorgesehenen Fristen gemeldet, betrifft dies die seit dem 11.09.2026 geltende Meldepflicht nach Art. 14 CRA, die unabhängig vom Zeitpunkt der Marktverfügbarkeit des betroffenen Produkts gilt.

Welche Rolle spielt die abgestufte Prüftiefe der Produktklassen?

Der CRA unterscheidet zwischen Standardprodukten mit Selbstbewertung, Produkten der wichtigen Klasse I und II nach Anhang III mit höherer Prüftiefe und kritischen Produkten nach Anhang IV, die einer EU-Zertifizierung durch eine notifizierte Stelle bedürfen. Je höher die Produktklasse, desto umfangreicher die Nachweispflichten und desto eher rückt ein Produkt in den Fokus der Marktüberwachung. Welche konkreten Produkte welcher Klasse zuzuordnen sind, ist im Einzelfall gegen Anhang III und Anhang IV zu prüfen, eine pauschale Zuordnung ohne Einzelfallprüfung ist nicht belastbar.

Gibt es bereits dokumentierte Bußgeldverfahren?

Da die Hauptpflichten des CRA erst ab dem 11.12.2027 vollständig gelten, liegen zum jetzigen Zeitpunkt keine belastbaren öffentlichen Angaben zu abgeschlossenen Bußgeldverfahren nach Art. 64 CRA vor. Auch zu den seit dem 11.09.2026 geltenden Meldepflichten lassen sich vor Erreichen dieses Stichtags keine Verfahrenszahlen benennen. Aussagen zu konkreten Fällen oder Fallzahlen wären zum jetzigen Zeitpunkt spekulativ und werden hier bewusst nicht getroffen.

Wie lässt sich das Sanktionsrisiko in der Praxis einordnen?

Der Sanktionsrahmen des CRA orientiert sich strukturell an anderen europäischen Regelwerken mit umsatzbezogenen Bußgeldern und signalisiert damit einen hohen Stellenwert der Marktüberwachung. Für Unternehmen bedeutet das: Die beiden zentralen Risikofelder, unvollständige Konformitätsbewertung und unterlassene Meldung, lassen sich durch eine strukturierte Vorbereitung deutlich reduzieren. Eine belastbare Betroffenheitsprüfung, ein funktionierender interner Meldeprozess und eine rechtzeitig begonnene Konformitätsbewertung sind die wesentlichen Stellschrauben, um beide Risikofelder zu adressieren.

Wie hoch kann ein Bußgeld nach Art. 64 CRA im Einzelfall ausfallen?

Der Rahmen reicht bis 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, wobei der höhere Betrag maßgeblich ist. Die konkrete Höhe im Einzelfall legt die zuständige Marktüberwachungsbehörde fest.

Löst allein das Fehlen einer Meldung automatisch ein Bußgeldverfahren aus?

Eine unterlassene Meldung nach Art. 14 CRA gehört zu den Konstellationen, die typischerweise zu einem Verfahren führen können. Ob und in welcher Höhe ein Bußgeld verhängt wird, entscheidet im Einzelfall die zuständige Marktüberwachungsbehörde.

Betreffen die Bußgelder auch Importeure und Händler, nicht nur Hersteller?

Der Sanktionsrahmen nach Art. 64 CRA richtet sich grundsätzlich an alle Wirtschaftsakteure, die Pflichten aus dem CRA treffen, also auch Importeure und Händler, allerdings mit abgestuften Pflichten je nach Rolle in der Lieferkette. Da Hersteller die weitreichendsten Pflichten tragen, etwa bei Konformitätsbewertung und Meldewesen, liegt bei ihnen auch das größte Verfahrensrisiko. Importeure und Händler haben demgegenüber vor allem Kontroll- und Weitergabepflichten, deren Verletzung ebenfalls sanktioniert werden kann.

Wie unterscheidet sich die Marktüberwachung von der Meldepflicht organisatorisch?

Die Marktüberwachungsbehörden agieren reaktiv und proaktiv zugleich: Sie können Produkte stichprobenartig prüfen, auf Beschwerden reagieren oder im Nachgang einer Meldung nach Art. 14 CRA tätig werden. Eine Meldung über die CRA Single Reporting Platform ist damit nicht nur eine eigenständige Pflicht, sondern kann auch der Auslöser für eine nachfolgende Prüfung durch die zuständige Marktüberwachungsbehörde sein. Für Unternehmen bedeutet dies, dass eine ordnungsgemäße, fristgerechte Meldung nicht nur die Meldepflicht selbst erfüllt, sondern auch dokumentiert, dass das Unternehmen seinen Pflichten grundsätzlich nachkommt, was im Rahmen eines späteren Verfahrens relevant sein kann.

Ausgangspunkt für die eigene Risikoeinordnung

Für eine erste Einschätzung, ob und in welchem Umfang ein Produkt unter den CRA fällt und damit dem hier beschriebenen Sanktionsrahmen unterliegt, eignet sich der CRA-Betroffenheitscheck als Ausgangspunkt. Einen vollständigen Überblick über den CRA, seine Fristen und Pflichten bietet der Grundlagenartikel Cyber Resilience Act im Überblick.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert: 11.08.2026)
• Europäische Kommission, CRA Reporting Obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert: 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert: 11.08.2026)
• ENISA, Cyber Resilience Act: https://www.enisa.europa.eu/topics/cyber-resilience-act (verifiziert: 11.08.2026)