NIS2-Bußgelder: Wie hoch sind sie wirklich?

Die in den Medien kursierenden Zahlen zu NIS2-Bußgeldern sind oft ungenau zitiert. Hier die tatsächliche Systematik, wie sie sich aus § 30 BSIG und der zugrunde liegenden Richtlinie ergibt.

Zwei unterschiedliche Bußgeldrahmen

Die Höhe des maximal möglichen Bußgelds hängt davon ab, ob ein Unternehmen als „besonders wichtige" oder „wichtige" Einrichtung eingestuft ist:

• Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes — es gilt jeweils der höhere Betrag.
• Wichtige Einrichtungen: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.

Das bedeutet: Für größere Unternehmen mit hohem Umsatz kann das prozentuale Bußgeld schnell deutlich über den absoluten Beträgen liegen.

Wofür wird tatsächlich ein Bußgeld verhängt?

Bußgelder drohen nicht automatisch bei jeder kleinen Unregelmäßigkeit, sondern insbesondere bei:

• fehlender oder unzureichender Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG,
• unterlassener oder verspäteter Meldung erheblicher Sicherheitsvorfälle,
• fehlender Registrierung beim BSI, obwohl eine Pflicht dazu besteht.

Persönliche Haftung der Geschäftsleitung

Ein oft übersehener Punkt: Nach § 38 BSIG kann die Geschäftsleitung bei einer Pflichtverletzung auch persönlich haftbar gemacht werden — die Verantwortung lässt sich nicht vollständig an die IT-Abteilung delegieren. Das macht eine dokumentierte, nachvollziehbare Umsetzung der Pflichten auch aus Eigenschutz-Sicht der Geschäftsführung relevant.

Der beste Schutz: frühzeitige, dokumentierte Umsetzung

Ein Bußgeldverfahren setzt in aller Regel eine nachweisbare Pflichtverletzung voraus. Wer seine Maßnahmen nach § 30 BSIG dokumentiert und regelmäßig aktualisiert, reduziert dieses Risiko erheblich — unabhängig davon, ob im Ernstfall tatsächlich ein Vorfall eintritt.