Der Cyber Resilience Act, die Verordnung (EU) 2024/2847, sieht Geldbußen von bis zu 15 000 000 EUR oder 2,5 % des weltweiten Jahresumsatzes vor. Diese Zahl wird oft zitiert, und sie ist die Spitze von drei Stufen, keine einzelne Zahl. In welche Stufe ein Verstoß fällt, steht in Artikel 64, und für ein Unternehmen, das ein Produkt auf den EU-Markt bringt, ist der Unterschied zwischen den Stufen der größte Teil der Antwort.

Zwei Daten zählen vor allem anderen: Artikel 14 gilt ab dem 11. September 2026 und der Rest der Verordnung ab dem 11. Dezember 2027. Kapitel IV, die Regelung für notifizierte Stellen, gilt seit dem 11. Juni 2026. Festgelegt ist das in Artikel 71(2).

Die drei Stufen

Bis zu 15 000 000 EUR oder 2,5 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Artikel 64(2). Das umfasst die Nichteinhaltung der grundlegenden Cybersicherheitsanforderungen in Anhang I und der Pflichten aus den Artikeln 13 und 14. Anhang I sind die Sicherheitsanforderungen selbst und die Anforderungen an die Behandlung von Schwachstellen; Artikel 13 sind die Pflichten des Herstellers; Artikel 14 ist die Meldepflicht, die am 11. September 2026 beginnt.

Bis zu 10 000 000 EUR oder 2 %. Artikel 64(3). Eine Liste bestimmter Artikel: 18 bis 23, 28, 30(1) bis (4), 31(1) bis (4), 32(1), (2) und (3), 33(5) sowie 39, 41, 47, 49 und 53. Die Artikel 18 bis 23 sind die, die alle in der Kette betreffen, die nicht der Hersteller sind: Bevollmächtigte (18), Einführer (19), Händler (20), die Fälle, in denen die Pflichten eines Herstellers auf einen Einführer oder Händler übergehen (21 und 22), und die Identifizierung der Wirtschaftsakteure (23). Das ist die Stufe, in der ein Unternehmen sitzt, das das Produkt eines anderen weiterverkauft.

Bis zu 5 000 000 EUR oder 1 %. Artikel 64(4). Falsche, unvollständige oder irreführende Angaben gegenüber einer notifizierten Stelle oder einer Marktüberwachungsbehörde auf deren Anfrage.

Das „je nachdem, welcher Betrag höher ist" greift erst ab einer gewissen Größe. 2,5 % des Umsatzes übersteigen 15 Millionen EUR ab etwa 600 Millionen EUR Umsatz, für alles Kleinere ist also die Obergrenze in Geld die maßgebliche, und sie ist eine Obergrenze und kein Tarif.

Wer Sie tatsächlich bestraft

Nicht die Kommission. Artikel 52(2) verlangt von jedem Mitgliedstaat, eine oder mehrere Marktüberwachungsbehörden zu benennen, und lässt ihm die Wahl, eine bestehende Behörde zu nutzen oder eine neue zu schaffen. Die Durchsetzung ist national, nach der Verordnung (EU) 2019/1020, der allgemeinen Marktüberwachungsverordnung.

Eine Folge davon sollte man kennen. Artikel 64(6) verpflichtet eine Behörde, die eine Geldbuße verhängt, die Marktüberwachungsbehörden aller anderen Mitgliedstaaten darüber zu unterrichten, über das Informationssystem nach Artikel 34 der Verordnung (EU) 2019/1020. Eine Strafe in einem Land ist für die anderen sichtbar.

Wo die Verordnung kleine Hersteller nennt

Dreimal, und beide Stellen sollte man kennen, weil sie in entgegengesetzte Richtungen wirken.

Artikel 64(5)(c) macht die Größe zu einem Faktor der Geldbuße. Bei der Festsetzung der Höhe ist die Größe des Wirtschaftsakteurs, insbesondere im Hinblick auf Kleinstunternehmen sowie kleine und mittlere Unternehmen einschließlich Start-ups, und sein Marktanteil gebührend zu berücksichtigen. Das steht im verfügenden Teil, nicht in einem Erwägungsgrund. Es nimmt niemanden aus, und die Stufen oben gelten weiterhin, aber die Behörde, die den Betrag festsetzt, muss berücksichtigen, was Sie sind.

Artikel 33(5) erlaubt Ihnen weniger Papier. Kleinstunternehmen und kleine Unternehmen dürfen alle Bestandteile der technischen Dokumentation nach Anhang VII in einem vereinfachten Format vorlegen. Die Kommission legt dieses Format per Durchführungsrechtsakt fest, und notifizierte Stellen müssen es akzeptieren. Die Pflicht liegt dort bei der notifizierten Stelle, nicht bei Ihnen.

Artikel 64 Absatz 10 Buchstabe a nimmt die 24-Stunden-Frist für die Kleinsten aus der Bußgeldtabelle. Abweichend von den Bußgeldstufen gelten die Bußgelder nicht für Hersteller, die Kleinstunternehmen oder kleine Unternehmen sind, bei einer Versäumung der Frist für die Frühwarnung nach Artikel 14 Absatz 2 Buchstabe a oder Absatz 4 Buchstabe a. Die Pflicht besteht weiter, und die übrigen Abhilfemaßnahmen bleiben; wofür ein kleiner Hersteller nicht mit Bußgeld belegt werden kann, ist die Verspätung der ersten 24-Stunden-Nachricht. Die 72-Stunden-Meldung und der Abschlussbericht fallen nicht unter die Ausnahme. (Derselbe Absatz, Buchstabe b, nimmt Verwalter quelloffener Software ganz von den Bußgeldern aus.)

Artikel 33 verpflichtet die Mitgliedstaaten außerdem, Sensibilisierungs- und Schulungsmaßnahmen für kleine Hersteller durchzuführen, einen eigenen Kanal für deren Fragen einzurichten und Prüfung und Konformitätsbewertung zu unterstützen. Ob Ihr Mitgliedstaat davon schon etwas getan hat, ist eine berechtigte Frage an ihn.

Was all das nicht ändert

Die Meldeuhr. Artikel 14 verlangt eine Frühwarnung innerhalb von 24 Stunden, nachdem Sie von einer aktiv ausgenutzten Schwachstelle Kenntnis erlangt haben, und er liegt in der obersten Bußgeldstufe. Die Uhr läuft ab Kenntnis, und das ist etwas über Ihre Organisation und nicht über die Schwachstelle, die Aufzeichnung darüber, wann Sie Kenntnis erlangt haben, ist also die Aufzeichnung, die zählt. Wir haben die Fristen ausgeschrieben, mit den zwei Empfängern und den drei Fristen.

Die Meldung geht an ein als Koordinator benanntes CSIRT des Mitgliedstaats Ihrer Hauptniederlassung und an die ENISA. Wir veröffentlichen das nationale CSIRT jedes der 27 Mitgliedstaaten, gelesen aus der Mitglieder-API des CSIRTs-Netzwerks selbst, mit dem Vorbehalt, dass die Koordinator-Benennungen nach Artikel 12 der NIS2 noch nicht veröffentlicht sind: In den meisten Staaten wird der Koordinator das nationale Team sein, aber die Tabelle sagt, wer das nationale CSIRT ist, nicht, wer der Koordinator ist.

Die praktische Lesart

Für einen kleinen Hersteller ist das Risiko, das das Verhalten prägen sollte, nicht die Schlagzeile von 15 Millionen EUR. Es ist, dass die oberste Stufe Anhang I und Artikel 14 gemeinsam umfasst, dieselbe Stufe, die eine fehlende Sicherheitsanforderung bestraft, also auch eine versäumte Meldung bestraft, und nur eines von beidem lässt sich an einem Nachmittag beheben. Die Registrierung für die Meldeplattform kostet zehn Minuten und hängt von niemandem sonst ab. Die technische Dokumentation nicht, und deshalb ist der Dezember 2027 das Datum, auf das man hin plant, und der September 2026 das, für das man bereit sein muss.