Der Cyber Resilience Act setzt einen Sanktionsrahmen, der sich am Niveau anderer EU-Digitalregulierung orientiert. Wer die Grundanforderungen oder die Vulnerability-Handling-Pflichten verletzt, zahlt bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Die Zeiten, in denen sich Non-Compliance einfach auszahlen ließ, sind vorbei.
Wer überwacht
Jeder Mitgliedstaat benennt eine oder mehrere Marktüberwachungsbehörden (Art. 52 CRA). Diese Behörden erhalten die Informationen aus der ENISA Single Reporting Platform und aus eigenen Prüfungen und können Herstellern die volle Palette an Maßnahmen auferlegen: Vorlage von Unterlagen, Muster-Prüfungen, verpflichtende Korrekturmaßnahmen, Rückrufe und Marktzugangs-Beschränkungen. Die Zusammenarbeit zwischen den nationalen Behörden erfolgt über die Kommission und ENISA.
Die drei Sanktionsstufen (Art. 64)
- Bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes (whichever is higher) — für Verstöße gegen die Grundanforderungen (Anhang I Part I) und die Vulnerability-Handling-Pflichten (Anhang I Part II).
- Bis zu 10 Mio. € oder 2 % Jahresumsatz — für Verstöße gegen die übrigen CRA-Pflichten (z. B. technische Dokumentation, DoC, CE-Kennzeichnung, Meldepflichten Art. 14).
- Bis zu 5 Mio. € oder 1 % Jahresumsatz — für die Übermittlung unrichtiger, unvollständiger oder irreführender Informationen an Behörden.
Wie die Höhe bemessen wird
Die Mitgliedstaaten legen die konkrete Höhe im Einzelfall fest — der CRA nennt aber verbindliche Bemessungskriterien: Art, Schwere und Dauer des Verstoßes; Anzahl betroffener Nutzer / Produkte; wirtschaftlicher Vorteil aus dem Verstoß; Kooperation mit der Behörde; Wiederholung; Größe und Ressourcen des Unternehmens (proportionale Wirkung, kein SME-Diskont per se — aber Ressourcen zählen).
Was Behörden am ehesten sanktionieren werden
- Systematisches Ignorieren der 24-h / 72-h Meldefristen — die SRP erfasst die Awareness-Zeit, ein Timing-Mismatch fällt sofort auf.
- Fehlende technische Dokumentation — Marktüberwachung kann sie jederzeit anfordern, 10 Jahre Aufbewahrungspflicht.
- CE-Kennzeichnung ohne durchlaufenes Konformitätsverfahren — de facto Warenzeichenfälschung mit Strafrechtsdimension.
- Verkauf über den Support-Zeitraum hinaus ohne klare Kommunikation an Kunden.
- Substantial Modifications ohne erneute Konformitätsbewertung.
Was jetzt greift
- Meldeprozesse (Art. 14) so aufsetzen, dass die 24-h-Frist immer eingehalten wird — inkl. dokumentierter Awareness-Timestamps.
- Technische Dokumentation und DoC ab dem ersten Produkt sauber führen — nicht kurz vor Marktzugang zusammenbasteln.
- Change-Control-Prozess einführen, der jede Änderung auf substantial modification prüft.
- Interne Cybersecurity-Verantwortlichkeit auf Executive-Ebene benennen — die Geschäftsführung unterschreibt die DoC.
NexTech.Law hilft bei allen drei Ebenen: Präventiv (Reifegrad-Assessment und Reporting-Playbook im Toolkit), operativ (DoC-Generator, SBOM-Baukasten, Klassifizierungs-Picker) und ad hoc (Krisenreaktion bei Vorfällen und Behördenanfragen).