NIS2-Bußgelder sind die Sanktionen, die bei Verstößen gegen das NIS2-Umsetzungsgesetz (NIS2UmsuCG) drohen. Die Höhe richtet sich nach der Einstufung des Unternehmens: Besonders wichtige Einrichtungen riskieren höhere Bußgelder als wichtige Einrichtungen. In beiden Fällen gilt der jeweils höhere Betrag aus Festbetrag und Umsatzanteil — bei umsatzstarken Unternehmen kann das Bußgeld den Festbetrag also deutlich übersteigen.
Besonders wichtige Einrichtungen
oder 2 % des weltweiten Jahresumsatzes
Wichtige Einrichtungen
oder 1,4 % des weltweiten Jahresumsatzes
Es gilt jeweils der höhere Betrag. Bei 600 Mio. Euro Umsatz sind das für eine besonders wichtige Einrichtung bis zu 12 Mio. Euro — der Prozentsatz schlägt dann den Festbetrag.
Höhe der Bußgelder
| Kategorie | Maximales Bußgeld | Alternative |
|---|---|---|
| Besonders wichtige Einrichtungen | 10 Mio. Euro | oder 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtungen | 7 Mio. Euro | oder 1,4 % des weltweiten Jahresumsatzes |
Rechenbeispiel: Bei einem Unternehmen mit 600 Mio. Euro Umsatz wäre das Bußgeld für eine besonders wichtige Einrichtung bis zu 12 Mio. Euro (2 % von 600 Mio.) — der Umsatzanteil liegt hier über dem Festbetrag.
Wofür können Bußgelder verhängt werden?
Bußgelder drohen bei Verstößen gegen die zentralen NIS2-Pflichten, unter anderem:
- Fehlende oder unzureichende Risikomanagementmaßnahmen (§ 30 BSIG)
- Verletzung der Meldepflichten, etwa eine verspätete 24-Stunden-Frühwarnung an das BSI (§ 32 BSIG)
- Unterlassene BSI-Registrierung (§ 33 BSIG)
- Verstöße gegen die Geschäftsleiterpflichten (§ 38 BSIG)
Bußgelder sind nicht die einzige Konsequenz
- Persönliche Haftung der Geschäftsleitung — auch mit dem Privatvermögen, siehe Geschäftsführerhaftung
- Abberufung von Leitungsaufgaben durch die Aufsichtsbehörde
- Reputationsschäden durch öffentliche Bekanntmachung von Verstößen
- Vertragsverlust, wenn NIS2-regulierte Kunden Compliance-Nachweise in der Lieferkette verlangen
Einordnung: NIS2 vs. DSGVO
Die DSGVO sieht Bußgelder bis 20 Mio. Euro oder 4 % des Umsatzes vor — auf den ersten Blick mehr. NIS2 geht aber an anderer Stelle weiter: Die DSGVO kennt keine persönliche Haftung der Geschäftsleitung, NIS2 schon. Beide Regelwerke gelten parallel.
Was Sie jetzt tun sollten
Die Bußgeldhöhe hängt von Ihrer Einstufung ab — klären Sie diese zuerst. Der kostenlose Betroffenheitscheck liefert in 5 Minuten eine Einschätzung, ob Ihr Unternehmen als besonders wichtige oder wichtige Einrichtung gilt. Danach zeigt eine Gap-Analyse, wo Ihre größten Compliance-Lücken liegen.