NIS2-Bußgelder im Überblick
Die NIS2-Richtlinie führt ein abgestuftes Sanktionssystem ein, das sich am Modell der DSGVO orientiert. Die Höhe der Bußgelder richtet sich nach der Kategorie des Unternehmens.
Bußgeldhöhen nach Kategorie
Wesentliche Einrichtungen
Für wesentliche Einrichtungen drohen Bußgelder von bis zu:
- 10.000.000 € oder
- 2% des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres
Es gilt der jeweils höhere Betrag.
Wichtige Einrichtungen
Für wichtige Einrichtungen sind die Bußgelder etwas niedriger:
- 7.000.000 € oder
- 1,4% des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres
Auch hier gilt der jeweils höhere Betrag.
Welche Verstöße werden sanktioniert?
Bußgelder können verhängt werden bei:
Verstöße gegen Risikomanagement-Pflichten
- Keine oder unzureichende Risikoanalyse
- Fehlende Sicherheitsmaßnahmen
- Keine Business-Continuity-Planung
- Unzureichende Lieferkettensicherheit
Verstöße gegen Meldepflichten
- Verspätete Frühwarnung (über 24 Stunden)
- Verspätete Erstmeldung (über 72 Stunden)
- Fehlender oder unvollständiger Abschlussbericht
- Unterlassene Meldung
Verstöße gegen Registrierungspflichten
- Keine Registrierung beim BSI als betroffene Einrichtung
- Falsche oder unvollständige Angaben
Verstöße gegen Nachweispflichten
- Fehlende Dokumentation der Sicherheitsmaßnahmen
- Verweigerung der Mitwirkung bei Überprüfungen
Persönliche Haftung der Geschäftsführung
Ein besonders kritischer Aspekt von NIS2: Die Geschäftsleitung kann persönlich haftbar gemacht werden.
Haftungsumfang
- Geschäftsführer müssen die Umsetzung der Cybersicherheitsmaßnahmen billigen und überwachen
- Bei Pflichtverletzung haften sie persönlich mit bis zu 2% des weltweiten Jahresumsatzes
- Die Haftung kann nicht auf die IT-Abteilung delegiert werden
Schulungspflicht
Die Geschäftsleitung muss regelmäßig an Cybersicherheitsschulungen teilnehmen. Das Fehlen solcher Schulungen kann als Pflichtverletzung gewertet werden.
Wie werden Bußgelder berechnet?
Das BSI berücksichtigt bei der Berechnung mehrere Faktoren:
- Schwere des Verstoßes — Wie gravierend war die Pflichtverletzung?
- Dauer des Verstoßes — Wie lange bestand der Zustand?
- Vorsatz oder Fahrlässigkeit — War der Verstoß beabsichtigt?
- Ergriffene Maßnahmen — Welche Schritte wurden zur Schadensbegrenzung unternommen?
- Vorherige Verstöße — Gab es bereits frühere Pflichtverletzungen?
- Kooperation — Wie kooperativ war das Unternehmen mit den Behörden?
Vergleich mit der DSGVO
| Kriterium | NIS2 | DSGVO |
|---|---|---|
| Max. Bußgeld | 10 Mio. € / 2% Umsatz | 20 Mio. € / 4% Umsatz |
| Pers. Haftung GF | Ja | Indirekt |
| Meldepflicht | 24h Frühwarnung | 72h Meldung |
| Aufsichtsbehörde | BSI | Datenschutzbehörden |
So vermeiden Sie NIS2-Bußgelder
1. Compliance-Programm aufsetzen
Ein strukturiertes Compliance-Programm ist der beste Schutz. NIS2Cockpit bietet dafür alle notwendigen Werkzeuge.
2. Risikomanagement implementieren
Führen Sie regelmäßige Risikoanalysen durch und dokumentieren Sie alle Maßnahmen lückenlos.
3. Meldeprozesse etablieren
Richten Sie klare Meldeketten ein, damit Sie die 24-Stunden-Frist einhalten können.
4. Geschäftsführung einbinden
Stellen Sie sicher, dass die Geschäftsleitung ihre Billigungspflicht wahrnimmt und an Schulungen teilnimmt.
5. Dokumentation pflegen
Lückenlose Dokumentation ist der beste Nachweis für Ihre Compliance-Bemühungen.
Mit NIS2Cockpit können Sie all diese Anforderungen systematisch umsetzen und dokumentieren.