Zum Nachschlagen und Zitieren
Alle CRA-Zahlen auf einer Seite
Stichtage, Fristen, Bußgelder
Alle belastbaren Zahlen des Cyber Resilience Act auf einer Seite, jede mit Fundstelle. Gedacht für den Moment, in dem jemand in einer Besprechung nach der genauen Frist oder dem Bußgeldrahmen fragt.
Zeitachse
Die drei Stichtage: 2024, 2026 und 2027
| Datum | Was gilt | Für wen |
|---|---|---|
| Inkrafttreten der Verordnung (EU) 2024/2847 | Beginn der Übergangsfristen, noch keine Pflichten | |
| Artikel 14: Meldepflichten | Alle Hersteller von Produkten mit digitalen Elementen, auch für Altprodukte | |
| Der übrige Teil: CE, Konformität, technische Doku, SBOM, Updates | Produkte, die ab diesem Tag in Verkehr gebracht oder wesentlich verändert werden |
Bis zur vollen Anwendbarkeit sind es noch 420 Tage.
Artikel 14
Die vier Meldefristen im Vergleich beider Stränge
| Stufe | Strang A, Schwachstelle | Strang B, Vorfall |
|---|---|---|
| Frühwarnung | 24 h ab Kenntnis | 24 h ab Kenntnis |
| Meldung | 72 h ab Kenntnis | 72 h ab Kenntnis |
| Abschlussbericht | 14 Tage ab Abhilfe | 1 Monat ab Meldung |
| Zwischenbericht | auf Anforderung, ohne feste Frist | auf Anforderung, ohne feste Frist |
Beide Vorderfristen laufen ab Kenntnis, nicht nacheinander. Wer die Frühwarnung nach 20 Stunden absetzt, hat für die zweite Stufe noch 52 Stunden.
GrundlageArt. 14 Abs. 2 Buchst. a CRAArt. 14 Abs. 2 Buchst. b CRAArt. 14 Abs. 2 Buchst. c CRAArt. 14 Abs. 4 Buchst. c CRAArt. 14 Abs. 6 CRA
Artikel 64
Wie hoch sind die Bußgelder?
Bis 15 Millionen Euro
| Verstoß | Rahmen |
|---|---|
| Verstoß gegen die Meldepflichten des Artikels 14 | bis 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes |
| Verstoß gegen sonstige Pflichten der Verordnung | abgestuft niedriger |
| Falsche, unvollständige oder irreführende Angaben gegenüber Behörden | abgestuft niedriger |
Zwei Einschränkungen gehören dazu. Erstens werden Kleinst- und Kleinunternehmen für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt; von der Meldepflicht selbst befreit sie das nicht. Zweitens ist das Bußgeld selten die teuerste Folge: Unterrichtet der Hersteller seine Nutzer nicht rechtzeitig, dürfen die CSIRTs das übernehmen.
GrundlageArt. 64 CRAArt. 14 Abs. 8 CRA
Ab Dezember 2027
Die vier Produktklassen und ihr Mengenverhältnis
| Klasse | Anteil | Verfahren |
|---|---|---|
| Standardprodukte | rund 90 % | Selbstbewertung bei Anwendung der harmonisierten Normen |
| Wichtige Produkte, Klasse I | Rest | Selbstbewertung nur bei vollständiger Normanwendung, sonst notifizierte Stelle |
| Wichtige Produkte, Klasse II | Rest | Notifizierte Stelle |
| Kritische Produkte | Rest | Strengstes Verfahren, gegebenenfalls europäisches Zertifizierungsschema |
GrundlageArt. 71 CRA
Ehrlich gesagt
Welche Zahlen wir bewusst nicht angeben
Zahlen zu bereits erfolgten Meldungen, zu verhängten Bußgeldern oder zum Anteil vorbereiteter Unternehmen führen wir nicht. Die Meldepflicht ist frisch anwendbar, die Meldeplattform veröffentlicht keine Statistik, und geschätzte Zahlen zu einem Rechtsgebiet, in dem es um Fristen und Bußgelder geht, wären genau die Art von Angabe, die zitiert und dann falsch weiterverwendet wird.
Sobald es belastbare Zahlen gibt, stehen sie hier mit Quelle und Erhebungszeitpunkt, und der Rechtsstand meldet es.
Nachgefragt
Häufige Fragen zu Fristen und Bußgeldern
- Wie hoch ist das Bußgeld bei Verstoß gegen die CRA-Meldepflicht?
- Bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für andere Verstöße gegen die Verordnung gelten abgestufte, niedrigere Rahmen. Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt.
- Welche Fristen gelten für die Meldung nach dem CRA?
- Frühwarnung binnen 24 Stunden ab Kenntnis, Meldung binnen 72 Stunden ab Kenntnis, Abschlussbericht bei aktiv ausgenutzten Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme und bei schwerwiegenden Sicherheitsvorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.
- Ab wann gilt was beim Cyber Resilience Act?
- Die Verordnung (EU) 2024/2847 ist am 11. Dezember 2024 in Kraft getreten. Die Meldepflichten des Artikels 14 gelten ab dem 11. September 2026. Der übrige Teil mit CE-Kennzeichnung, Konformitätsbewertung, technischer Dokumentation, Stückliste und Update-Pflicht gilt ab dem 11. Dezember 2027.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 14 und Art. 64 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 14 Abs. 1 CRA
"Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA."
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 2 Buchst. a CRA
"unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 2 Buchst. c CRA
"spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, einen Abschlussbericht"
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 64 CRA
Sanktionsrahmen. Verstöße gegen die Meldepflichten können mit Geldbußen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Was ein Verstoß kostet
bis 15.000.000 EUR
oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Dieser Rahmen gilt für Verstöße gegen die Meldepflichten des Artikels 14. Für andere Verstöße gegen die Verordnung sieht Artikel 64 abgestufte, niedrigere Rahmen vor. Die Mitgliedstaaten legen die Sanktionen national fest.
- Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt. Von der Meldepflicht selbst befreit sie das nicht.
- Die praktisch schärfere Folge steht in Artikel 14 Abs. 8: Unterrichtet der Hersteller seine Nutzer nicht rechtzeitig, dürfen die CSIRTs das selbst tun. Was das bedeutet
Grundlage: Art. 64 CRA
Zahlen helfen erst, wenn sie auf Ihren Fall angewandt sind
24 Stunden ab Kenntnis ist eine Zahl. Der Dienstag, 14:32 Uhr, an dem Ihre Frühwarnung fällig ist, ist eine Handlungsanweisung. Der Fristenrechner macht aus dem einen das andere.
Eine Eingabe, Ergebnis sofort, dazu eine Kalenderdatei mit Erinnerung. Rechnet im Browser.