NIS2-Bußgelder: Welche Strafen drohen Unternehmen bei Verstößen?

Das Wichtigste in Kürze

• Für bestimmte zentrale Verstöße drohen bis zu 10 Millionen beziehungsweise 7 Millionen Euro. Bei mehr als 500 Millionen Euro Gesamtumsatz kann der Rahmen stattdessen bis zu 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Gesamtumsatzes betragen.
• Nicht jeder NIS2-Verstoß fällt in den höchsten Bußgeldrahmen. § 65 BSIG ordnet einzelnen Tatbeständen unterschiedliche Höchstbeträge zu.
• Ein Cyberangriff allein ist kein Bußgeldtatbestand. Relevant sind etwa unzureichende Risikomanagementmaßnahmen, fehlende Dokumentation, verspätete Meldungen oder eine fehlerhafte Registrierung.
• Auch Fahrlässigkeit kann genügen. Ein belastbares System aus Risikomanagement, Meldewegen, Geschäftsleitungsbefassung und konsistenten Nachweisen reduziert das Risiko.

Wie hoch können NIS2-Bußgelder ausfallen?

Die maßgeblichen deutschen Bußgeldvorschriften stehen in § 65 BSIG. Die Höhe hängt nicht nur von der Einordnung als wichtige oder besonders wichtige Einrichtung ab. Entscheidend ist zunächst, welcher konkrete Tatbestand verletzt wurde.

Für bestimmte zentrale Verstöße gelten folgende Höchstbeträge:

• Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro.
• Wichtige Einrichtungen: bis zu 7 Millionen Euro.

Dieser Rahmen betrifft insbesondere Verstöße gegen die Pflicht zu geeigneten, verhältnismäßigen und wirksamen Risikomanagementmaßnahmen, die Dokumentation dieser Maßnahmen und die Meldung erheblicher Sicherheitsvorfälle. Erfasst sind außerdem bestimmte Verstöße gegen Anordnungs- und Unterrichtungspflichten.

Für andere Tatbestände sieht § 65 BSIG – je nach verletzter Vorschrift – Höchstbeträge von 5 Millionen Euro, 2 Millionen Euro, 1 Million Euro, 500.000 Euro oder 100.000 Euro vor. Diese Beträge bilden keine allgemeine Abstufung nach dem Motto „leichter bis schwerer Verstoß“. Jeder Höchstbetrag ist bestimmten gesetzlichen Tatbeständen zugeordnet.

Wann gilt der umsatzbezogene Bußgeldrahmen?

Bei großen Unternehmen können die festen Höchstbeträge durch einen umsatzbezogenen Rahmen ersetzt werden:

• Besonders wichtige Einrichtungen mit mehr als 500 Millionen Euro Gesamtumsatz: bis zu 2 Prozent des Gesamtumsatzes.
• Wichtige Einrichtungen mit mehr als 500 Millionen Euro Gesamtumsatz: bis zu 1,4 Prozent des Gesamtumsatzes.

Der Gesamtumsatz ist nach § 65 Absatz 8 BSIG die Summe aller Umsatzerlöse, die das Unternehmen, dem die betroffene Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung weltweit erzielt hat. Der Gesamtumsatz darf geschätzt werden.

Für Unternehmensgruppen ist deshalb nicht ohne Weiteres nur der Umsatz der unmittelbar betroffenen deutschen Gesellschaft maßgeblich. Welches Unternehmen im sanktionsrechtlichen Sinn zugrunde zu legen ist und welche Umsätze einzubeziehen sind, muss bei komplexen Konzernstrukturen sorgfältig geprüft werden.

Welche Verstöße können ein Bußgeld auslösen?

Ein Bußgeld setzt einen konkreten Tatbestand des § 65 BSIG voraus. Für NIS2-regulierte Unternehmen sind vor allem vier Risikobereiche relevant.

1. Unzureichende Risikomanagementmaßnahmen

Wichtige und besonders wichtige Einrichtungen müssen nach § 30 BSIG geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen. Bußgeldrelevant kann es werden, wenn solche Maßnahmen nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig umgesetzt werden.

Zu den gesetzlichen Pflichtfeldern gehören unter anderem Risikoanalyse, Vorfallsbewältigung, Backup und Krisenmanagement, Lieferkettensicherheit, Schwachstellenmanagement, Wirksamkeitskontrollen, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.

2. Fehlende oder unzureichende Dokumentation

Die Einhaltung der Risikomanagementpflichten muss dokumentiert werden. § 65 BSIG erfasst ausdrücklich Fälle, in denen diese Dokumentation nicht, nicht richtig oder nicht vollständig erfolgt.

Eine technisch vorhandene Maßnahme schützt deshalb nicht vor einem Dokumentationsverstoß. Umgekehrt genügt eine gute Dokumentation nicht, wenn die beschriebenen Maßnahmen tatsächlich fehlen oder unwirksam sind. Dokument und gelebte Praxis müssen zusammenpassen.

3. Fehler bei der Meldung erheblicher Sicherheitsvorfälle

Eine Meldung nach § 32 BSIG kann bußgeldrelevant sein, wenn sie nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erfolgt. Das gilt auch für eine erforderliche Abschlussmeldung.

Das gestufte Verfahren umfasst grundsätzlich:

1. eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung,
2. eine weitere Meldung unverzüglich, spätestens innerhalb von 72 Stunden,
3. auf Ersuchen des BSI eine Zwischenmeldung und
4. grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung.

Dauert der Vorfall zu diesem Zeitpunkt noch an, ist zunächst eine Fortschrittsmeldung vorgesehen. Einzelheiten erläutert unser Beitrag zur NIS2-Meldepflicht.

4. Fehler bei Registrierung, Angaben und behördlichen Anordnungen

Die Registrierungspflicht nach § 33 BSIG kann verletzt sein, wenn erforderliche Angaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt werden. Für diese Tatbestandsgruppe sieht § 65 BSIG grundsätzlich einen Höchstbetrag von bis zu 500.000 Euro vor.

Wichtige und besonders wichtige Einrichtungen müssen sich grundsätzlich spätestens drei Monate registrieren, nachdem sie erstmals oder erneut als solche gelten. Änderungen registrierter Angaben sind unverzüglich, spätestens binnen zwei Wochen nach Kenntnis, mitzuteilen.

Bußgeldrisiken können außerdem entstehen, wenn vollziehbare Anordnungen des BSI nicht befolgt oder gesetzliche Mitwirkungs- und Auskunftspflichten verletzt werden. Welcher Höchstbetrag gilt, hängt von der konkret verletzten Vorschrift ab.

Führt ein Cyberangriff automatisch zu einem Bußgeld?

Nein. Kein Unternehmen kann jeden Cyberangriff mit absoluter Sicherheit verhindern. Ein erfolgreicher Angriff ist deshalb für sich genommen noch kein Beweis für einen Verstoß gegen das BSI-Gesetz.

Ein Sicherheitsvorfall kann jedoch Anlass für eine genauere Prüfung geben. Dann wird relevant, ob das Unternehmen:

• seine Risiken nachvollziehbar bewertet hat,
• geeignete und verhältnismäßige Schutzmaßnahmen umgesetzt hat,
• bekannte Schwachstellen angemessen priorisiert und bearbeitet hat,
• den Vorfall rechtzeitig erkannt, bewertet und gemeldet hat,
• Notfall- und Wiederherstellungsprozesse vorbereitet hat und
• Entscheidungen, Maßnahmen und Wirksamkeitskontrollen belegen kann.

Welche Rolle spielen Vorsatz und Fahrlässigkeit?

Viele Tatbestände des § 65 BSIG können sowohl vorsätzlich als auch fahrlässig verwirklicht werden. Für ein Bußgeld ist daher nicht zwingend erforderlich, dass das Unternehmen seine Pflichten bewusst ignoriert.

Fahrlässigkeit kann beispielsweise in Betracht kommen, wenn eine erkennbare Betroffenheit ungeprüft bleibt, Zuständigkeiten nicht festgelegt werden oder Fristen wegen unzureichender Organisation versäumt werden.

Bei den zentralen Tatbeständen mit Höchstbeträgen von 10 beziehungsweise 7 Millionen Euro sowie beim umsatzbezogenen Rahmen schließt § 65 Absatz 9 BSIG die allgemeine Halbierung des Höchstbetrags für fahrlässiges Handeln nach § 17 Absatz 2 OWiG aus. Auch fahrlässige Verstöße können daher innerhalb des vollen gesetzlichen Rahmens geahndet werden.

Wie wird die konkrete Bußgeldhöhe bestimmt?

Die gesetzlichen Millionen- und Prozentbeträge markieren den verfügbaren Rahmen. Die konkrete Geldbuße ist im Einzelfall zu bestimmen.

Nach § 17 OWiG sind insbesondere die Bedeutung der Ordnungswidrigkeit und der Vorwurf maßgeblich. Auch die wirtschaftlichen Verhältnisse können berücksichtigt werden. Ein aus dem Verstoß gezogener wirtschaftlicher Vorteil soll grundsätzlich abgeschöpft werden.

Für die Bewertung können insbesondere folgende Umstände relevant sein:

• Art, Schwere und Dauer des Verstoßes,
• Auswirkungen auf Dienste, Nutzer und andere Betroffene,
• Grad des Verschuldens,
• frühere einschlägige Verstöße,
• Maßnahmen zur Vermeidung oder Begrenzung von Schäden,
• Geschwindigkeit und Qualität der Abhilfe sowie
• Zusammenarbeit mit der zuständigen Behörde.

Eine belastbare Dokumentation kann dabei nicht nur Pflichterfüllung belegen. Sie kann auch zeigen, wann ein Problem erkannt wurde, welche Gegenmaßnahmen eingeleitet wurden und wie das Unternehmen mit der Behörde zusammengearbeitet hat.

Welche Aufsichtsmaßnahmen drohen außer Bußgeldern?

Bußgelder sind nur ein Teil des Aufsichts- und Durchsetzungsinstrumentariums. Das BSI kann unter den gesetzlichen Voraussetzungen insbesondere Prüfungen und Audits veranlassen, Nachweise und Auskünfte verlangen, Mängelbeseitigungspläne fordern und konkrete Umsetzungsmaßnahmen anordnen.

Bei besonders wichtigen Einrichtungen bestehen nach § 61 BSIG weitergehende proaktive Aufsichtsbefugnisse. Bei wichtigen Einrichtungen setzt eine Überprüfung nach § 62 BSIG Tatsachen voraus, die einen Verstoß gegen bestimmte Pflichten vermuten lassen.

Für besonders wichtige Einrichtungen kommen als letztes Mittel außerdem die vorübergehende Aussetzung einer fachrechtlichen Genehmigung oder die vorübergehende Untersagung der Leitungstätigkeit gegenüber einer als unzuverlässig bewerteten Geschäftsleitung in Betracht. Dafür reicht nicht irgendein Verstoß: Die Einrichtung muss insbesondere einer Anordnung des BSI trotz Fristsetzung nicht nachgekommen sein.

Wie verhalten sich NIS2-Bußgelder zur DSGVO?

Ein Cybervorfall kann gleichzeitig Pflichten nach dem BSI-Gesetz und der DSGVO auslösen. Das ist insbesondere der Fall, wenn der Sicherheitsvorfall auch personenbezogene Daten betrifft.

Dann müssen Unternehmen getrennt prüfen:

• ob ein erheblicher Sicherheitsvorfall nach dem BSI-Gesetz zu melden ist,
• ob eine Datenschutzverletzung nach Art. 33 DSGVO meldepflichtig ist,
• ob betroffene Personen nach Art. 34 DSGVO zu benachrichtigen sind und
• welche Dokumentations- und Abhilfemaßnahmen beide Regelwerke verlangen.

§ 65 Absatz 11 BSIG enthält eine ausdrückliche Begrenzung: Hat eine Datenschutzaufsichtsbehörde bereits wegen desselben Verhaltens eine DSGVO-Geldbuße verhängt, darf für einen Verstoß nach dem BSI-Gesetz, der auf demselben Verhalten beruht, keine weitere Geldbuße verhängt werden.

Die materiellen Pflichten bleiben dennoch eigenständig. Unternehmen benötigen deshalb ein abgestimmtes Vorfallmanagement für Informationssicherheit, Datenschutz, Recht, Kommunikation und Geschäftsleitung.

Was gilt für Finanzunternehmen im Verhältnis zu DORA?

Für zahlreiche Finanzunternehmen ist die EU-Verordnung DORA das speziellere Regelwerk für IKT-Risikomanagement, Vorfallmeldungen und digitale operationelle Resilienz. Das bedeutet jedoch nicht, dass in einer Finanzgruppe jede Gesellschaft und jede Tätigkeit automatisch ausschließlich nach DORA zu beurteilen ist.

Gesondert zu prüfen sind insbesondere:

• der persönliche und sachliche DORA-Anwendungsbereich,
• der Vorrang sektorspezifischer DORA-Regelungen,
• eigenständige NIS2-Pflichten anderer Gruppengesellschaften und
• die Einordnung konzerninterner oder externer IT-Dienstleister.

Eine Bank kann für ihre eigene digitale operationelle Resilienz primär DORA unterliegen, während eine separate IT-Servicegesellschaft der Gruppe eigenständig als NIS2-Einrichtung zu prüfen ist.

Haftet die Geschäftsleitung persönlich?

Unternehmensbußgeld und persönliche Haftung der Geschäftsleitung sind zu unterscheiden. § 38 BSIG verpflichtet Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen, die erforderlichen Risikomanagementmaßnahmen umzusetzen und deren Umsetzung zu überwachen. Zusätzlich besteht eine regelmäßige Schulungspflicht.

§ 38 BSIG ist jedoch nicht als eigenständiger Bußgeldtatbestand in § 65 BSIG aufgeführt. Eine fehlende Schulung oder eine Verletzung der Leitungsverantwortung darf deshalb nicht pauschal mit einem unmittelbaren Bußgeld nach § 65 BSIG gleichgesetzt werden.

Pflichtverletzungen können dennoch aufsichtsrechtlich relevant werden und eine persönliche Innenhaftung gegenüber der eigenen Einrichtung auslösen. Einzelheiten behandelt unser Beitrag zur NIS2-Haftung von Geschäftsführern und Vorständen.

Wie können Unternehmen Bußgeldrisiken reduzieren?

Bußgeldprävention bedeutet nicht, möglichst viele Dokumente zu produzieren. Entscheidend ist ein funktionierendes und belegbares System aus rechtlicher Einordnung, Risikomanagement, Meldestrukturen, Leitungskontrolle und kontinuierlicher Verbesserung.

1. Betroffenheit und Kategorie dokumentieren: Prüfen Sie für jede relevante Gesellschaft, ob sie als wichtige oder besonders wichtige Einrichtung gilt.
2. Scope und Verantwortlichkeiten festlegen: Bestimmen Sie betroffene Dienste, Systeme, Standorte, Verantwortliche und Berichtslinien.
3. Registrierung absichern: Erfassen Sie Fristen, erforderliche Angaben, zuständige Kontaktstellen und Prozesse für spätere Änderungen.
4. Risikomanagementmaßnahmen bewerten: Gleichen Sie bestehende Kontrollen mit § 30 BSIG ab und priorisieren Sie wesentliche Lücken risikoorientiert.
5. Meldeprozess testen: Stellen Sie sicher, dass erhebliche Sicherheitsvorfälle innerhalb von 24 und 72 Stunden bewertet und gemeldet werden können.
6. Geschäftsleitung einbinden: Sorgen Sie für entscheidungsfähige Risikoberichte, dokumentierte Beschlüsse, Schulungen und regelmäßige Management-Reviews.
7. Nachweise konsistent halten: Dokumentierte Maßnahmen, tatsächliche Umsetzung, Tests und Statusberichte müssen miteinander übereinstimmen.
8. Abweichungen zügig bearbeiten: Dokumentieren Sie erkannte Lücken, Übergangsmaßnahmen, Verantwortliche, Termine und Restrisiken.

Der wichtigste Schutz ist ein Prozess, der schon vor einer Behördenanfrage oder einem Sicherheitsvorfall funktioniert und dessen Wirksamkeit nachvollziehbar belegt werden kann.

NIS2-Beratung für Unternehmen

NIS2-Betroffenheit und Bußgeldrisiken strukturiert prüfen

Wir prüfen Ihre Einordnung, wesentliche Pflichten und vorhandene Nachweise und zeigen, welche Maßnahmen zur Risikoreduzierung jetzt Priorität haben.

Unverbindliches Erstgespräch anfragen

Persönliche Ersteinschätzung · Praxisorientierte Handlungsempfehlungen · Klare nächste Schritte

Häufige Fragen zu NIS2-Bußgeldern

Wie hoch können NIS2-Bußgelder sein?

Für bestimmte zentrale Verstöße sieht § 65 BSIG bis zu 10 Millionen Euro bei besonders wichtigen Einrichtungen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen vor. Bei mehr als 500 Millionen Euro Gesamtumsatz kann der Rahmen bis zu 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Gesamtumsatzes betragen.

Gilt der höchste Bußgeldrahmen für jeden NIS2-Verstoß?

Nein. § 65 BSIG ordnet den einzelnen Tatbeständen unterschiedliche Höchstbeträge zu. Beispielsweise fällt eine fehlerhafte Registrierung grundsätzlich in einen anderen Rahmen als ein Verstoß gegen Risikomanagement- oder Meldepflichten.

Droht schon bei Fahrlässigkeit ein Bußgeld?

Ja. Viele Tatbestände können vorsätzlich oder fahrlässig begangen werden. Bei den zentralen Verstößen mit den höchsten Rahmen wird der Höchstbetrag nicht allein wegen fahrlässigen Handelns halbiert.

Führt jeder Cyberangriff zu einem Bußgeld?

Nein. Entscheidend ist, ob ein konkreter Bußgeldtatbestand verwirklicht wurde. Ein Angriff kann aber eine Prüfung auslösen, bei der Risikomanagement, Dokumentation und Meldeprozess genauer betrachtet werden.

Kann eine verspätete BSI-Registrierung sanktioniert werden?

Ja. Erforderliche Registrierungsangaben müssen vollständig, richtig und rechtzeitig übermittelt werden. Für Verstöße gegen die einschlägigen Registrierungspflichten sieht § 65 BSIG grundsätzlich bis zu 500.000 Euro vor.

Wann verjähren NIS2-Ordnungswidrigkeiten?

Für die Bußgeldtatbestände des § 65 BSIG gilt wegen der jeweils über 15.000 Euro liegenden Höchstbeträge grundsätzlich eine dreijährige Verfolgungsverjährung nach § 31 OWiG. Der Fristbeginn und mögliche Unterbrechungen sind im Einzelfall zu prüfen, insbesondere bei fortdauernden Pflichtverletzungen.

Verhindert eine ISO-27001-Zertifizierung ein Bußgeld?

Nein. Eine Zertifizierung kann ein strukturiertes Informationssicherheitsmanagement belegen, ersetzt aber nicht die Prüfung der konkreten NIS2-Pflichten. Maßgeblich sind die tatsächliche Angemessenheit und Wirksamkeit der Maßnahmen sowie ihre nachvollziehbare Dokumentation.

Was ist der wichtigste erste Schritt?

Am Anfang steht eine dokumentierte Betroffenheits- und Einordnungsprüfung. Danach sollten Registrierung, Risikomanagementmaßnahmen, Meldeprozess, Geschäftsleitungsbefassung und Nachweise priorisiert werden.

Hinweis