TL;DR
NIS2-Bußgelder können 10 Mio. € (Wesentliche Einrichtungen) oder 7 Mio. € (Wichtige Einrichtungen) erreichen, jeweils der höhere Wert im Vergleich zum prozentualen Umsatzanteil. Darüber hinaus können Manager persönlich haftbar gemacht werden. Deutschland, Belgien und die Niederlande haben bereits aktive Durchsetzungsregime.
Die NIS2-Richtlinie führt die schärfsten Cybersicherheitssanktionen in der Geschichte der EU ein. Für Compliance-Verantwortliche und Führungskräfte ist ein genaues Verständnis des Bußgeldrahmens wichtig, nicht zuletzt, weil Manager nun persönlich haftbar gemacht werden können.
Dieser Leitfaden erklärt die Bußgeldstruktur, die Faktoren, die Behörden bei der Berechnung berücksichtigen, reale Durchsetzungsbeispiele und konkrete Schritte zur Vermeidung von Sanktionen.
Die NIS2-Bußgeldstruktur auf einen Blick
- • Proaktive Behördenaufsicht (ex-ante)
- • Regelmäßige Audits, auch unangekündigt
- • Anhang-I-Sektoren: Energie, Gesundheit, Wasser, Transport, Banken, digitale Infrastruktur
- • Reaktive Behördenaufsicht (ex-post)
- • Prüfung bei konkretem Anlass
- • Anhang-II-Sektoren: Post, Abfall, Chemikalien, Lebensmittel, Fertigung, digitale Dienste, Forschung
Ein wichtiger Punkt, den viele Unternehmen übersehen: Die Obergrenze ist nicht nur 10 Mio. €, sondern 10 Mio. € ODER 2 % des weltweiten Jahresumsatzes, jeweils der höhere Betrag. Ein Unternehmen mit einem weltweiten Jahresumsatz von 2 Mrd. € könnte theoretisch mit bis zu 40 Mio. € bestraft werden.
Persönliche Haftung der Geschäftsführung
Dies ist die bedeutendste Neuerung von NIS2 gegenüber seinem Vorgänger: Artikel 20 macht die Leitungsorgane persönlich verantwortlich für Cybersicherheitsverstöße.
Was löst eine NIS2-Durchsetzungsmaßnahme aus?
Behörden können Bußgelder für verschiedene Verstöße verhängen. Die häufigsten Auslöser sind:
| Verstoß | Rechtsgrundlage | Schwere |
|---|---|---|
| Keine Behördenregistrierung | Art. 3 | Hoch |
| Keine 24h/72h Vorfallsmeldung | Art. 23 | Sehr hoch |
| Unzureichende Risikomanagement-Maßnahmen | Art. 21 | Hoch |
| Keine Management-Schulungen | Art. 20 | Mittel |
| Fehlendes Lieferketten-Risikomanagement | Art. 21(2)(d) | Hoch |
| Behinderung von Behördenprüfungen | Art. 32/33 | Sehr hoch |
| Keine Kryptographie-/Verschlüsselungsrichtlinie | Art. 21(2)(h) | Mittel |
| Keine MFA für kritische Systeme | Art. 21(2)(j) | Hoch |
Find out if your company is in scope
Does your organisation fall under Annex I (Essential) or Annex II (Important) entities?
Wie werden Bußgelder berechnet?
NIS2 gibt Behörden erhebliche Ermessensspielräume bei der Bußgeldbemessung. Folgende Faktoren fließen in die Berechnung ein:
Durchsetzung in der Praxis: Was bisher passiert ist
Die NIS2-Richtlinie trat am 17. Oktober 2024 in Kraft. Länder, die die Richtlinie früh umgesetzt haben, haben bereits erste Maßnahmen ergriffen oder angekündigt. Hier sind die wichtigsten Entwicklungen:
Das BSI hat seine Meldeplattform aktiviert. Das NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) ist seit März 2025 vollständig in Kraft. Erste Registrierungspflichten für betroffene Einrichtungen sind aktiv. Das BSI hat 2024 betont, dass Unternehmen, die sich nicht registrieren, mit Konsequenzen rechnen müssen.
Das CCB (Centre for Cybersecurity Belgium) hat eine der frühesten NIS2-Umsetzungen in der EU vollzogen. Das CyberFundamentals Framework ist als Nachweis anerkannt. Das CCB hat mehrere Sektoraudits angekündigt und ein öffentliches Register betroffener Einrichtungen aufgebaut.
Die Niederlande haben NIS2 über mehrere sektorspezifische Regulatoren umgesetzt. Das NCSC-NL koordiniert übergreifend. Mehrere Sektorbehörden (Energie, Wasser, Gesundheit) haben 2025 begonnen, Compliance-Anforderungen aktiv durchzusetzen.
ANSSI hat die NIS2-Umsetzung über das 'loi de programmation militaire' und spezifische Cybersicherheitsgesetze vollzogen. ANSSI ist bekannt für strenge Durchsetzung und hat bereits unter NIS1 erhebliche Bußgelder verhängt.
Bußgeldberechnung: Ein konkretes Beispiel
Stellen Sie sich ein mittleres deutsches Pharmaunternehmen (Wesentliche Einrichtung, Sektor Gesundheit) mit einem weltweiten Jahresumsatz von 500 Mio. € vor. Das Unternehmen wurde Opfer eines Ransomware-Angriffs und hat die 72h-Meldepflicht um 3 Tage versäumt.
- +Kooperation mit BSI nach dem Versäumnis
- +Keine vorherigen Verstöße
- -Mehrfaches Versäumnis (3 Tage)
- -Patienten waren betroffen
In vergleichbaren Fällen aus der DSGVO-Praxis (die ähnliche Berechnungsfaktoren verwendet) werden Meldepflichtverstöße mit 10-30 % der Maximalstrafe geahndet, wenn Kooperation vorliegt. Das würde hier einem Bußgeld zwischen 1-3 Mio. € entsprechen. Bei bewusstem Ignorieren der Pflicht oder bei Vertuschung können Behörden deutlich höher gehen.
So vermeiden Sie NIS2-Bußgelder
- Prüfen Sie, ob NIS2 für Ihr Unternehmen gilt: Sektor, Größe und Sonderregeln beachten
- Registrieren Sie sich fristgerecht bei der zuständigen nationalen Behörde
- Implementieren Sie alle 10 Artikel-21-Sicherheitsmaßnahmen mit schriftlicher Dokumentation
- Richten Sie einen 24h/72h-Vorfallsmeldeprozess ein und testen Sie ihn regelmäßig mit Tabletop-Übungen
- Schulen Sie Ihr Leitungsorgan und dokumentieren Sie die Teilnahme mit Zertifikaten
- Führen Sie jährliche Lieferketten-Risikobewertungen durch und halten Sie diese schriftlich fest
- Bereiten Sie sich aktiv auf Behördenprüfungen vor: Dokumentation und Nachweisfähigkeit sind entscheidend
- Kooperieren Sie mit Behörden bei Prüfungen und Vorfällen, das reduziert Bußgelder nachweisbar
Wie gut ist Ihr NIS2-Compliance-Status?
Nutzen Sie unsere kostenlose Lückenanalyse, um Ihre Artikel-21-Maßnahmen zu prüfen, bevor es die Behörde tut.