NIS2-Bußgelder und Sanktionen in Deutschland: Was Unternehmen jetzt wissen müssen

Wer ist betroffen? Besonders wichtige und wichtige Einrichtungen

Das deutsche NIS2-Umsetzungsrecht ist im BSI-Gesetz (BSIG) verankert. Zuständige Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Entscheidend für die Höhe möglicher Bußgelder ist, in welche Kategorie Ihr Unternehmen fällt. Das BSIG unterscheidet nach § 28 zwei Klassen:

• Besonders wichtige Einrichtung (§ 28 Absatz 1): u. a. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter sowie sonstige Einrichtungen bestimmter Sektoren mit mindestens 250 Mitarbeitern oder einem Jahresumsatz von über 50 Millionen Euro und einer Jahresbilanzsumme von über 43 Millionen Euro.
• Wichtige Einrichtung (§ 28 Absatz 2): u. a. Vertrauensdiensteanbieter sowie sonstige Einrichtungen mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro.

Diese Einstufung ist kein bürokratisches Detail: Sie bestimmt direkt den maximalen Bußgeldrahmen. Wer unsicher ist, in welche Kategorie das eigene Unternehmen fällt, sollte die Zuordnung frühzeitig prüfen.

Bußgelder nach § 65 BSIG: die konkreten Höchstbeträge

Die Bußgeldvorschriften finden sich in § 65 BSIG. Die Höhe hängt von der Art des Verstoßes und der Einstufung der Einrichtung ab.

Für schwerwiegende Verstöße (u. a. gegen Risikomanagement- und Meldepflichten) gilt nach § 65 Absatz 5:

Daneben gibt es je nach Verstoß weitere, abgestufte Rahmen: bis zu fünf Millionen Euro (§ 65 Abs. 5 Nr. 2), bis zu zwei Millionen Euro (Nr. 3), bis zu einer Million Euro (Nr. 4), bis zu fünfhunderttausend Euro (Nr. 5) sowie bis zu hunderttausend Euro (Nr. 6).

Umsatzabhängige Obergrenze bei großen Unternehmen: Übersteigt der Gesamtumsatz 500 Millionen Euro, können abweichend höhere Bußgelder verhängt werden:

• Besonders wichtige Einrichtung: bis zu 2 Prozent des weltweiten Gesamtumsatzes des vorangegangenen Geschäftsjahres (§ 65 Abs. 6).
• Wichtige Einrichtung: bis zu 1,4 Prozent des weltweiten Gesamtumsatzes des vorangegangenen Geschäftsjahres (§ 65 Abs. 7 und Abs. 8).

Verwaltungsbehörde ist in der Regel das Bundesamt (§ 65 Absatz 10). In den Fällen des § 65 Absatz 2 Nummer 11 ist das Bundesministerium des Innern zuständig.

Persönliche Verantwortung der Geschäftsleitung

NIS2 nimmt ausdrücklich die Führungsebene in die Pflicht. Nach § 38 BSIG gilt:

• § 38 Absatz 1: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die nach § 30 zu ergreifenden Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen.
• § 38 Absatz 2: Geschäftsleitungen, die diese Pflichten verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts.
• § 38 Absatz 3: Die Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können.

Als letztes Mittel kann die zuständige Aufsichtsbehörde nach § 61 Absatz 9 – wenn eine besonders wichtige Einrichtung Anordnungen des Bundesamtes trotz Fristsetzung nicht nachkommt – die erteilte Genehmigung vorübergehend aussetzen und unzuverlässigen Geschäftsleitungen die Ausübung ihrer Leitungstätigkeit vorübergehend untersagen.

Die Führungsverantwortung ist damit kein rein interner Aspekt: Sie ist gesetzlich verankert und kann persönliche Konsequenzen haben.

Welche Pflichtverstöße können Bußgelder auslösen?

Die bußgeldbewehrten Tatbestände nach § 65 Absatz 2 knüpfen unter anderem an folgende Kernpflichten an:

• Risikomanagementmaßnahmen (§ 30 Absatz 1): Wer die vorgeschriebenen technischen und organisatorischen Maßnahmen nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift (§ 65 Abs. 2 Nr. 2), sowie die Nichtdokumentation (§ 65 Abs. 2 Nr. 3).
• Meldepflichten (§ 32): Wer eine Meldung eines erheblichen Sicherheitsvorfalls nicht fristgerecht macht (§ 65 Abs. 2 Nr. 4) oder die Abschlussmeldung nicht vorlegt (§ 65 Abs. 2 Nr. 5). Die Fristen nach § 32 Abs. 1 betragen 24 Stunden (frühe Erstmeldung), 72 Stunden (Meldung) und einen Monat (Abschlussmeldung).
• Registrierungspflicht (§ 33): Wer die erforderlichen Angaben nicht fristgerecht übermittelt (§ 65 Abs. 2 Nr. 6). Die Registrierung beim BSI hat spätestens drei Monate nach Eintritt des Status zu erfolgen (§ 33 Abs. 1).
• Anordnungen des Bundesamtes: Zuwiderhandlungen gegen vollziehbare Anordnungen, etwa im Rahmen der Aufsichts- und Durchsetzungsmaßnahmen nach §§ 61–62 (§ 65 Abs. 2 Nr. 1).

Wichtig: Nach § 65 Absatz 11 darf für einen Verstoß, der sich aus demselben Verhalten ergibt, für das bereits eine DSGVO-Geldbuße verhängt wurde, keine weitere Geldbuße nach dem BSIG verhängt werden.

Um frühzeitig zu klären, ob Ihr Unternehmen in den Anwendungsbereich fällt und welche Pflichten konkret gelten, empfiehlt sich eine strukturierte Bestandsaufnahme mit einem Anwendbarkeits- und Selbstbewertungs-Tool.