NIS2-Bußgelder:
Wie hoch das Risiko wirklich ist
Über NIS2-Bußgelder wird viel geredet, oft ungenau. Hier sind die tatsächlichen Größenordnungen aus dem BSIG, wofür sie drohen und wie Sie das Risiko zuverlässig senken.
Bußgelder eignen sich gut für Schlagzeilen, taugen aber schlecht als alleiniger Antrieb. Trotzdem lohnt der nüchterne Blick auf die Zahlen, denn er hilft Ihnen, Aufwand und Risiko richtig einzuordnen.
Die Höchstgrenzen im Überblick
Das BSIG unterscheidet zwei Kategorien betroffener Unternehmen, mit unterschiedlichen Bußgeldrahmen:
- Besonders wichtige Einrichtungen: bis zu 10 Mio. Euro oder 2 % des gesamten weltweiten Jahresumsatzes (§ 65 Abs. 5 und 6 BSIG).
- Wichtige Einrichtungen: bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes (§ 65 Abs. 5 und 7 BSIG).
Maßgeblich ist jeweils der höhere Betrag. Bei umsatzstarken Unternehmen kann der Prozentwert die festen Eurobeträge also deutlich übersteigen.
Wofür Bußgelder drohen
Es geht nicht nur um den Cybervorfall selbst. Bußgeldbewehrt sind insbesondere:
- fehlende oder unzureichende Risikomanagementmaßnahmen nach § 30,
- Verstöße gegen die Meldepflicht nach § 32 (ausdrücklich in § 65 Abs. 2 Nr. 4),
- eine versäumte oder verspätete Registrierung beim BSI,
- fehlende Mitwirkung gegenüber der Aufsichtsbehörde.
Mit anderen Worten: Schon Versäumnisse in der Organisation und im Prozess können sanktioniert werden, unabhängig davon, ob es zu einem Schaden kommt.
Die zweite Ebene: persönliche Haftung
Das Bußgeld trifft die Einrichtung. Daneben steht die persönliche Haftung der Geschäftsleitung nach § 38 Abs. 2 BSIG. Beide Ebenen können zusammenfallen. Mehr dazu in unserem Beitrag zur Geschäftsführerhaftung bei NIS2.
So senken Sie das Risiko zuverlässig
Bußgelder bemessen sich auch danach, ob ein Unternehmen seine Pflichten ernst genommen hat. Wer ein gelebtes Managementsystem, dokumentierte Maßnahmen und eine funktionierende Meldekette vorweist, steht selbst im Ernstfall deutlich besser da. Aus Risikovermeidung wird so ganz nebenbei ein Nachweis, der auch Kunden überzeugt.
Das Wichtigste in Kürze
- Bis 10 Mio. Euro / 2 % (besonders wichtig) bzw. 7 Mio. Euro / 1,4 % (wichtig), jeweils der höhere Wert.
- Sanktioniert werden auch Organisations- und Meldeversäumnisse, nicht nur Schäden.
- Zusätzlich haftet die Geschäftsleitung persönlich (§ 38 Abs. 2).
- Gelebte, dokumentierte Maßnahmen senken Risiko und Bußgeldhöhe.
Häufige Fragen
Wie hoch sind die Bußgelder bei NIS2?
Für besonders wichtige Einrichtungen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (§ 65 Abs. 5 und 6 BSIG), für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 % (Abs. 5 und 7). Maßgeblich ist der höhere Betrag.
Wofür drohen NIS2-Bußgelder konkret?
Unter anderem für fehlende oder unzureichende Risikomanagementmaßnahmen (§ 30), für Verstöße gegen die Meldepflicht (§ 32, § 65 Abs. 2 Nr. 4) und für eine versäumte Registrierung beim BSI.
Haftet die Geschäftsführung zusätzlich persönlich?
Ja. Neben dem Bußgeld gegen die Einrichtung greift die persönliche Haftung der Geschäftsleitung nach § 38 Abs. 2 BSIG. Beides kann zusammenfallen.
Wo Sie konkret stehen, zeigt der NIS2-Betroffenheits-Check. Wie wir Sie pragmatisch absichern, lesen Sie unter NIS2-Compliance.
Dieser Beitrag dient der Orientierung und ist keine Rechtsberatung.