CRA przewiduje trzy progi administracyjnych kar pieniężnych: do 15 mln EUR lub 2,5% światowego obrotu za naruszenie zasadniczych wymagań i obowiązków producenta, do 10 mln EUR lub 2% za naruszenie innych obowiązków oraz do 5 mln EUR lub 1% za wprowadzanie organów w błąd. To górne granice. Poza karą organ nadzoru rynku może nakazać działania naprawcze, ograniczyć sprzedaż albo wycofać produkt z obrotu.
- Kwoty z art. 64 to maksima. Stosuje się wyższą z dwóch wartości: kwotę albo procent łącznego rocznego światowego obrotu z poprzedniego roku obrotowego.
- Przepisy o karach ustanawia każde państwo członkowskie. Kary mają być skuteczne, proporcjonalne i odstraszające.
- Przy wymiarze kary bierze się pod uwagę m.in. wagę i czas trwania naruszenia oraz wielkość firmy.
- Mikro- i małe przedsiębiorstwa nie podlegają karze tylko za niedotrzymanie 24-godzinnego terminu wczesnego ostrzeżenia.
- Niezależnie od kary organ może zażądać usunięcia niezgodności, ograniczyć lub zakazać udostępniania produktu, wycofać go albo odzyskać.
Jakie kary przewiduje CRA?
Art. 64 przewiduje trzy progi administracyjnych kar pieniężnych: do 15 mln EUR lub 2,5% obrotu, do 10 mln EUR lub 2% obrotu oraz do 5 mln EUR lub 1% obrotu. Procent liczy się od łącznego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego. Stosuje się tę z dwóch wartości, która jest wyższa.
| Próg | Za co | Kogo najczęściej dotyczy |
|---|---|---|
| Do 15 mln EUR lub 2,5% | Niezgodność z zasadniczymi wymaganiami z załącznika I oraz z obowiązkami z art. 13 i 14 (art. 64 ust. 2) | Producentów, a także importerów i dystrybutorów uważanych za producenta |
| Do 10 mln EUR lub 2% | Naruszenie obowiązków z art. 18–23, art. 28, art. 30 ust. 1–4, art. 31 ust. 1–4, art. 32 ust. 1–3, art. 33 ust. 5, przepisów o jednostkach notyfikowanych (art. 39, 41, 47 i 49) oraz obowiązku udostępnienia organom nadzoru rynku danych i dokumentacji (art. 53) (art. 64 ust. 3) | Upoważnionych przedstawicieli, importerów, dystrybutorów, producentów (deklaracja, CE, dokumentacja, procedura oceny), jednostek notyfikowanych |
| Do 5 mln EUR lub 1% | Przekazanie jednostkom notyfikowanym lub organom nadzoru rynku informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd w odpowiedzi na ich wniosek (art. 64 ust. 4) | Każdego podmiotu gospodarczego |
Za co grozi najwyższa kara?
Najwyższy próg dotyczy istoty CRA: produktu, który nie spełnia zasadniczych wymagań cyberbezpieczeństwa, oraz niewykonania obowiązków producenta z art. 13 i 14. Mieszczą się tu m.in. brak oceny ryzyka, brak obsługi podatności w okresie wsparcia, brak dokumentacji technicznej i oceny zgodności oraz niezgłoszenie aktywnie wykorzystywanej podatności lub poważnego incydentu.
Progi częściowo się nakładają. Sporządzenie dokumentacji technicznej i przeprowadzenie oceny zgodności wynikają zarówno z art. 13 ust. 12, jak i z art. 31–32, które art. 64 ust. 3 przypisuje do drugiego progu. Kwalifikację konkretnego naruszenia rozstrzyga organ.
Co obejmują te obowiązki, opisują artykuły CRA dla producentów IoT i elektroniki i Zgłaszanie podatności i incydentów CRA.
Od czego zależy wysokość kary?
Organ ustala karę w każdym przypadku osobno i uwzględnia wszystkie istotne okoliczności. Art. 64 ust. 5 wymienia trzy: charakter, wagę i czas trwania naruszenia oraz jego konsekwencje, wcześniejsze kary nałożone na ten sam podmiot za podobne naruszenie oraz wielkość podmiotu i jego udział w rynku, zwłaszcza gdy chodzi o mikro-, małe i średnie przedsiębiorstwa.
Kary mają być skuteczne, proporcjonalne i odstraszające. Szczegółowe zasady, w tym to, który organ je nakłada i czy można je nakładać na podmioty publiczne, określa prawo krajowe.
Kto jest zwolniony z kar?
Art. 64 ust. 10 przewiduje dwa wyjątki. Producenci będący mikroprzedsiębiorstwami lub małymi przedsiębiorstwami nie podlegają karze za niedotrzymanie 24-godzinnego terminu wczesnego ostrzeżenia. Opiekunowie oprogramowania otwartego nie podlegają administracyjnym karom pieniężnym za żadne naruszenie rozporządzenia. Innych zwolnień ze względu na wielkość firmy nie ma.
Co może zrobić organ nadzoru rynku poza nałożeniem kary?
Jeżeli organ oceni produkt, który może stwarzać istotne ryzyko w cyberprzestrzeni, i stwierdzi, że jest niezgodny z CRA, zobowiązuje firmę do działań naprawczych, wycofania produktu z obrotu lub odzyskania go w wyznaczonym terminie (art. 54). Działania muszą objąć wszystkie egzemplarze udostępnione w Unii. Jeśli firma ich nie podejmie, organ wprowadza środki tymczasowe: zakazuje lub ogranicza udostępnianie produktu na rynku krajowym, wycofuje go z obrotu lub odzyskuje (art. 54 ust. 5).
Osobną kategorią jest formalna niezgodność (art. 58). Organ żąda jej usunięcia, gdy stwierdzi:
- brak oznakowania CE albo oznakowanie umieszczone niezgodnie z przepisami,
- brak deklaracji zgodności UE albo deklarację sporządzoną nieprawidłowo,
- brak numeru jednostki notyfikowanej, gdy jest wymagany,
- niedostępną albo niekompletną dokumentację techniczną.
Jeżeli taka niezgodność się utrzymuje, państwo członkowskie ogranicza lub zakazuje udostępniania produktu albo zapewnia jego wycofanie lub odzyskanie. Kary można nakładać oprócz tych środków (art. 64 ust. 9).
Co kosztuje więcej niż kara?
Dla większości producentów dotkliwsze od kary są skutki handlowe. Od 11 grudnia 2027 r. produkt bez oceny zgodności i oznakowania CE w zakresie CRA nie może trafić do obrotu, a działania naprawcze muszą objąć produkty udostępnione w całej Unii. Do tego dochodzą koszty akcji naprawczej, utracone dostawy i pytania klientów o zgodność.
Organ nadzoru rynku prosi producenta kamer o dokumentację techniczną jednego modelu. Producent ma deklarację zgodności UE, ale nie ma oceny ryzyka ani SBOM. Niekompletna dokumentacja to formalna niezgodność (art. 58), a organ wyznacza termin na jej usunięcie. Sam brak oceny ryzyka i SBOM jest jednak także naruszeniem obowiązków producenta z art. 13 i załącznika I, zagrożonym karą z najwyższego progu. Jeśli producent go nie dotrzyma, sprzedaż modelu może zostać ograniczona. Gdyby w odpowiedzi przesłał dokumenty nieprawdziwe, naraziłby się dodatkowo na karę z trzeciego progu.
CRA odsyła też do przepisów o powództwach przedstawicielskich (art. 65): naruszenia szkodzące zbiorowym interesom konsumentów mogą być przedmiotem takich powództw na podstawie dyrektywy (UE) 2020/1828.
Co powinien zrobić producent?
Producent ogranicza ryzyko kary tak samo, jak ryzyko wstrzymania sprzedaży: ustala, które obowiązki go dotyczą, usuwa braki według priorytetów i dba o to, żeby móc wykazać zgodność dokumentami. Na pytania organu odpowiada rzetelnie i w terminie, bo informacje wprowadzające w błąd są osobnym naruszeniem.
- Uruchom zgłaszanie z art. 14. To obowiązek, który już działa i mieści się w najwyższym progu kar.
- Zrób analizę luk wobec załącznika I i art. 13, zaczynając od produktów, które będą w sprzedaży po 11 grudnia 2027 r.
- Skompletuj dokumentację techniczną. Jej brak lub niekompletność to formalna niezgodność.
- Sprawdź deklarację zgodności UE i oznakowanie CE pod kątem CRA.
- Wyznacz osobę do kontaktu z organami i ustal, kto zatwierdza przekazywane informacje.
- Zapisuj decyzje i uzasadnienia. Udokumentowana staranność ma znaczenie przy ocenie naruszenia.
Ile kosztuje przygotowanie, opisujemy w artykule Ile kosztuje przygotowanie firmy do CRA?. Terminy znajdziesz w artykule CRA 2026–2027: najważniejsze terminy i obowiązki producentów.