1. Členské státy stanoví pravidla pro ukládání sankcí za porušení tohoto nařízení a přijmou veškerá opatření nezbytná k zajištění jejich uplatňování. Tyto sankce musejí být účinné, přiměřené a odrazující. Členské státy bez prodlení uvědomí o takových pravidlech a opatřeních Komisi a neprodleně ji informují o veškerých pozdějších změnách těchto pravidel nebo opatření.
2. Za nedodržení základních požadavků na kybernetickou bezpečnost stanovených v příloze I a povinností stanovených v článcích 13 a 14 se uloží správní pokuty až do výše 15 000 000 EUR, nebo dopustí-li se porušení podnik, až do výše 2,5 % jeho celkového ročního obratu celosvětově za předchozí finanční rok podle toho, která hodnota je vyšší.
3. Za nedodržení povinností stanovených v článcích 18 až 23, článku 28, čl. 30 odst. 1 až 4, čl. 31 odst. 1 až 4, čl. 32 odst. 1, 2 a 3, čl. 33 odst. 5 a v článcích 39, 41, 47, 49 a 53 se uloží správní pokuty až do výše 10 000 000 EUR, nebo dopustí-li se porušení podnik, až do výše 2 % jeho celkového ročního obratu celosvětově za předchozí finanční rok podle toho, která hodnota je vyšší.
4. Za poskytnutí nesprávných, neúplných nebo zavádějících informací oznámeným subjektům a orgánům dozoru nad trhem v reakci na žádost se uloží správní pokuty až do výše 5 000 000 EUR, nebo dopustí-li se porušení podnik, až do výše 1 % jeho celkového ročního obratu celosvětově za předchozí finanční rok podle toho, která hodnota je vyšší.
5. Při rozhodování o výši správní pokuty se v jednotlivých případech zohlední všechny relevantní okolnosti konkrétní situace a náležitě se přihlédne k následujícím okolnostem:
a) k povaze, závažnosti a době trvání porušení a jeho následkům,
b) k tomu, zda již byly stejnému hospodářskému subjektu za podobné porušení uloženy správní pokuty stejnými nebo jinými orgány dozoru nad trhem,
c) k velikosti hospodářského subjektu, který se porušení dopustil, zejména s ohledem na mikropodniky a malé a střední podniky, včetně začínajících podniků, a k jeho podílu na trhu.
6. Orgány dozoru nad trhem, které ukládají správní pokuty, informují o uložení pokut orgány dozoru nad trhem jiných členských států prostřednictvím informačního a komunikačního systému podle článku 34 nařízení (EU) 2019/1020.
7. Každý členský stát stanovuje pravidla týkající se toho, zda a do jaké míry je možno ukládat správní pokuty orgánům veřejné moci a veřejným subjektům usazeným v daném členském státě.
8. V závislosti na právním systému členských států lze pravidla pro správní pokuty uplatňovat tak, aby pokuty byly ukládány příslušnými vnitrostátními soudy nebo jinými orgány v souladu s pravomocemi stanovenými na vnitrostátní úrovni v těchto členských státech. Uplatňování těchto pravidel v uvedených členských státech má rovnocenný účinek.
9. Správní pokuty mohou být uloženy v závislosti na okolnostech každého jednotlivého případu spolu s jakýmikoli dalšími nápravnými nebo omezujícími opatřeními, které uplatní orgány dozoru nad trhem v souvislosti se stejným porušením.
10. Odchylně od odstavců 2 až 9 se správní pokuty uvedené v těchto odstavcích nevztahují na:
a) výrobce, kteří jsou považováni za mikropodniky nebo malé podniky, pokud jde o jakékoli nedodržení lhůty uvedené v čl. 14 odst. 2 písm. a) nebo čl. 14 odst. 4 písm. a),
b) jakékoli porušení tohoto nařízení správci softwaru s otevřeným zdrojovým kódem.