Durchsetzung
Geldbußen: die drei Rahmen des Artikels 64
Veröffentlicht am , aktualisiert am . Geprüft anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.
Sanktionen nach der Cyberresilienz-Verordnung sind keine einzelne Zahl. Artikel 64 der Verordnung (EU) 2024/2847 (CELEX 32024R2847) legt drei Obergrenzen für Geldbußen fest. Welche Obergrenze in Betracht kommt, folgt aus der verletzten Pflicht. Sie folgt nicht aus der Größe des Unternehmens, und sie ist kein Tarif, der auf ein bestimmtes Produkt angewandt wird.
Dieser Beitrag stellt die drei Rahmen sachlich dar. Er sagt nicht voraus, welche Geldbuße gegen wen verhängt würde.
Drei Obergrenzen, nicht eine Zahl
Die meisten Zusammenfassungen nennen einen einzigen großen Betrag in Euro und hören dort auf. Die Verordnung kennt drei Rahmen. Jeder davon ist ein Höchstwert: ein fester Betrag in Euro oder ein Anteil am gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Die Rahmen beschreiben den Aufbau des Rechtsakts. Sie sind keine Vorhersage über ein einzelnes Unternehmen.
Art. 64 Abs. 2: der höchste Rahmen
Die höchste Obergrenze knüpft an die grundlegenden Cybersicherheitsanforderungen und an die Artikel 13 und 14 an.
„Bei Nichteinhaltung der in Anhang I festgelegten grundlegenden Cybersicherheitsanforderungen oder Verstößen gegen die in den Artikeln 13 und 14 festgelegten Pflichten werden Geldbußen von bis zu 15 000 000 EUR oder — im Falle von Unternehmen — von bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.“
Artikel 13 regelt die Pflichten der Hersteller, darunter die Behandlung von Schwachstellen und den Unterstützungszeitraum. Artikel 14 regelt die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Verstöße gegen diese Pflichten und gegen die grundlegenden Cybersicherheitsanforderungen liegen in diesem Rahmen.
Art. 64 Abs. 3: die übrigen Pflichten der Wirtschaftsakteure
Die mittlere Obergrenze knüpft an die übrigen Pflichten der Wirtschaftsakteure an.
„Bei Verstößen gegen die in den Artikeln 18 bis 23, Artikel 28, Artikel 30 Absätze 1 bis 4, Artikel 31 Absätze 1 bis 4, Artikel 32 Absätze 1, 2 und 3, Artikel 33 Absatz 5 und Artikeln 39, 41, 47, 49 und 53 festgelegten Pflichten werden Geldbußen von bis zu 10 000 000 EUR oder — im Falle von Unternehmen — von bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.“
„Die übrigen Pflichten der Wirtschaftsakteure“ ist unsere Kurzform, nicht der Wortlaut der Verordnung: Artikel 64 Abs. 3 zählt die erfassten Vorschriften einzeln auf, darunter die Pflichten der Einführer und der Händler nach den Artikeln 19 und 20, die EU-Konformitätserklärung nach Artikel 28 und die Konformitätsbewertungsverfahren nach Artikel 32. Das ist eine eigene Spalte neben den grundlegenden Anforderungen und neben den Artikeln 13 und 14. Welche konkrete Pflicht hier liegt, folgt weiterhin aus der verletzten Pflicht, gelesen im Licht der Rolle, die sie trägt.
Art. 64 Abs. 4: falsche, unvollständige oder irreführende Angaben
Den dritten Rahmen lassen die meisten Zusammenfassungen aus.
„Werden gegenüber notifizierten Stellen und Marktüberwachungsbehörden auf deren Auskunftsverlangen hin falsche, unvollständige oder irreführende Angaben gemacht, so werden Geldbußen von bis zu 5 000 000 EUR oder — im Falle von Unternehmen — von bis zu 1 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.“
Diese Obergrenze betrifft die Richtigkeit der Angaben gegenüber diesen Stellen, nicht die Gestaltung des Produkts als solche. Sie bleibt ein Höchstwert, es bleibt bei „je nachdem, welcher Betrag höher ist“, und maßgeblich bleibt das in dem Absatz beschriebene Verhalten.
Die drei Rahmen nebeneinander
| Absatz | Woran er anknüpft | Obergrenze |
|---|---|---|
| Art. 64 Abs. 2 | Grundlegende Cybersicherheitsanforderungen; Artikel 13 und 14 | 15 000 000 EUR oder 2,5 %, je nachdem, welcher Betrag höher ist |
| Art. 64 Abs. 3 | Die übrigen Pflichten der Wirtschaftsakteure | 10 000 000 EUR oder 2 %, je nachdem, welcher Betrag höher ist |
| Art. 64 Abs. 4 | Falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen und Marktüberwachungsbehörden | 5 000 000 EUR oder 1 %, je nachdem, welcher Betrag höher ist |
Jeder Anteil bezieht sich auf den gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres, im Falle von Unternehmen. Jeder Vergleich lautet „je nachdem, welcher Betrag höher ist“. Wer eine der beiden Wendungen weglässt, gibt den Rechtsakt falsch wieder.
Eine Obergrenze besteht erst, wenn die Pflicht besteht
Die Meldepflichten der Hersteller nach Artikel 14 gelten ab dem 11. September 2026. Die volle Geltung der Verordnung, einschließlich technischer Dokumentation, Software-Stückliste, Unterstützungszeitraum, Konformitätsbewertung und CE-Kennzeichnung, beginnt am 11. Dezember 2027. Eine Obergrenze für eine Pflicht, die noch nicht gilt, kommt für diese Pflicht auch noch nicht in Betracht.
Wir behaupten nicht, dass gegen eine Leserin, einen Leser, ein Produkt oder ein Unternehmen bereits eine Geldbuße verhängt worden wäre. Nach dem Stand der für diesen Beitrag geprüften Quellen liegt uns kein belegter Fall der Durchsetzung vor, den wir anführen könnten.
Was Cybiq sagt und was nicht
Wir benennen, welche Pflichten an eine Rolle knüpfen und wo jede davon geschrieben steht. Wir sagen Ihnen nicht, welche Geldbuße gegen Sie verhängt würde. Das kann niemand allein aus einer öffentlichen Prüfliste heraus.
Orientierung, keine Rechtsberatung. Prüfen Sie jede Angabe am amtlichen Wortlaut, bevor Sie sich darauf stützen.