Bußgelder und Aufsicht unter NIS2

Der Bußgeldrahmen nach § 65 BSIG

§ 65 BSIG listet die Ordnungswidrigkeiten auf und ordnet ihnen in Abs. 5 Höchstbeträge zu. Erfasst sind vorsätzliche und fahrlässige Verstöße (§ 65 Abs. 2 BSIG). Die höchste Stufe gilt für die Kernpflichten:

• Sicherheitsmaßnahmen nach § 30 Abs. 1 BSIG nicht, nicht richtig, unvollständig oder verspätet ergriffen (§ 65 Abs. 2 Nr. 2).
• Die Umsetzung dieser Maßnahmen nicht oder nicht vollständig dokumentiert (§ 65 Abs. 2 Nr. 3).
• Einen erheblichen Sicherheitsvorfall nicht, falsch oder verspätet gemeldet, einschließlich der Abschlussmeldung (§ 65 Abs. 2 Nr. 4 und 5).

Gesamtumsatz meint nach § 65 Abs. 8 BSIG die weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung. Für eine Tochter eines großen Konzerns zählt also der Konzernumsatz. Die Prozentregel wirkt erst oberhalb von 500 Mio. €. Bei 1 Mrd. € Umsatz läge der Rahmen für eine besonders wichtige Einrichtung bei 20 Mio. €.

Die niedrigeren Stufen

Für andere Verstöße sieht § 65 Abs. 5 BSIG geringere Höchstbeträge vor. Einige Beispiele:

Die Beträge sind Obergrenzen. Wie hoch ein Bußgeld im Einzelfall ausfällt, richtet sich nach den allgemeinen Regeln des Ordnungswidrigkeitenrechts, also nach Gewicht des Verstoßes, Vorwurf und wirtschaftlichen Verhältnissen.

Aufsicht: besonders wichtig und wichtig im Vergleich

Der größte praktische Unterschied zwischen den beiden Einrichtungsarten liegt nicht im Bußgeld, sondern in der Aufsicht.

Ein typischer Anlass bei wichtigen Einrichtungen ist ein gemeldeter Vorfall, bei dem Zweifel an den Maßnahmen entstehen, oder ein Hinweis auf eine fehlende Registrierung.

Was das BSI anordnen kann

Vor einem Bußgeld stehen meist Aufsichtsmaßnahmen. § 61 BSIG gibt dem BSI unter anderem diese Befugnisse, die über § 62 auch gegenüber wichtigen Einrichtungen greifen:

• Maßnahmen zur Verhütung oder Behebung eines Sicherheitsvorfalls oder eines Mangels anordnen und einen Mängelbeseitigungsplan verlangen (Abs. 6).
• Die Umsetzung konkreter Empfehlungen aus einer Sicherheitsprüfung innerhalb einer angemessenen Frist verlangen (Abs. 7).
• Anordnen, dass Sie Kunden über eine Bedrohung und mögliche Abhilfe informieren, und Verstöße öffentlich bekannt machen lassen (Abs. 8).
• Bei vor Ort durchgeführten Prüfungen Zutritt, Unterlagen und Auskünfte verlangen (Abs. 5).

Befolgt eine besonders wichtige Einrichtung eine Anordnung trotz Frist nicht, kann die zuständige Aufsichtsbehörde als letztes Mittel Genehmigungen vorübergehend aussetzen oder Mitgliedern der Geschäftsleitung die Tätigkeit untersagen, bis die Anordnung befolgt ist (§ 61 Abs. 9 BSIG).

Haftung der Geschäftsleitung

Bußgelder nach § 65 BSIG knüpfen an die Pflichten der Einrichtung an. Daneben steht die persönliche Verantwortung der Geschäftsleitung: Sie muss die Maßnahmen nach § 30 BSIG billigen und ihre Umsetzung überwachen. Bei schuldhafter Pflichtverletzung haftet sie gegenüber der Einrichtung nach den gesellschaftsrechtlichen Regeln (§ 38 BSIG). Ein Bußgeld kann so zu einem Schaden werden, den die Gesellschaft von ihren Geschäftsführern zurückverlangt. Einzelheiten stehen auf der Seite NIS2 für die Geschäftsführung.

Was ein Bußgeld wahrscheinlicher macht

Das neue BSIG gilt erst seit Dezember 2025, eine gefestigte Bußgeldpraxis gibt es noch nicht. Aus dem Gesetz lassen sich aber die Situationen ableiten, in denen das BSI am ehesten hinsieht:

• Die Registrierung fehlt. Sie ist leicht zu prüfen und erscheint bei jedem Kontakt mit dem BSI.
• Ein Vorfall wird zu spät oder gar nicht gemeldet und kommt über Kunden, Medien oder andere Behörden ans Licht.
• Nach einem Vorfall fehlen Unterlagen. § 30 Abs. 1 Satz 3 BSIG verlangt ausdrücklich, dass Sie die Einhaltung dokumentieren. Fehlende Dokumentation ist ein eigener Bußgeldtatbestand.
• Eine Anordnung des BSI bleibt unbeantwortet oder wird nur teilweise umgesetzt.

Was Sie mit Nachweisen dagegen tun

Das Gesetz verlangt geeignete und verhältnismäßige Maßnahmen, keine Perfektion (§ 30 Abs. 1 BSIG). Wer zeigen kann, dass er Risiken bewertet, Maßnahmen ausgewählt und ihre Umsetzung verfolgt hat, steht deutlich besser da als jemand, der gute Technik ohne Papier betreibt. Diese Unterlagen sollten griffbereit sein:

1. Der Vermerk zur Betroffenheitsprüfung und die Bestätigung der Registrierung.
2. Der Beschluss der Geschäftsleitung, mit dem sie die Maßnahmen billigt, mit Datum und Maßnahmenliste.
3. Die Risikoanalyse und eine Übersicht, welche Maßnahme welche Nummer von § 30 Abs. 2 BSIG abdeckt. Die Seite Maßnahmen nach § 30 hilft beim Aufbau.
4. Regelmäßige Berichte an die Geschäftsleitung mit offenen Punkten und Fristen.
5. Schulungsnachweise für Beschäftigte und Geschäftsleitung (§ 38 Abs. 3 BSIG).
6. Der Meldeablauf mit Vorlagen und Protokolle geübter oder echter Vorfälle.
7. Prüfberichte, etwa aus internen Audits oder einer ISO-27001-Zertifizierung, und die Liste der behobenen Feststellungen.

Ein Mängelbeseitigungsplan mit Verantwortlichen und Terminen zeigt auch dort guten Willen, wo noch Lücken sind. Wo Sie heute stehen, zeigt das NIS2-Scoring: Der Bericht ordnet jede Lücke einem Paragrafen zu und nennt eine konkrete Empfehlung.