NIS2-Strafen: Bis zu 10 Mio. Euro Bußgeld

NIS2 ist keine Empfehlung. Es ist ein Gesetz mit echten Konsequenzen. Und die treffen nicht nur das Unternehmen — sondern die Geschäftsführung persönlich.

Was droht konkret?

Besonders wichtige Einrichtungen (Essential Entities)

Bußgelder bis zu 10 Mio. EUR. Nur bei mehr als 500 Mio. EUR weltweitem Gesamtumsatz gilt stattdessen eine Obergrenze von 2 % dieses Umsatzes (§ 65 Abs. 6 BSIG). Das betrifft Unternehmen in Sektoren wie Energie, Transport, Gesundheit und digitale Infrastruktur.

Wichtige Einrichtungen (Important Entities)

Bußgelder bis zu 7 Mio. EUR. Nur bei mehr als 500 Mio. EUR weltweitem Gesamtumsatz gilt stattdessen eine Obergrenze von 1,4 % dieses Umsatzes (§ 65 Abs. 7 BSIG). Das trifft Unternehmen in Sektoren wie Post, Lebensmittel, Chemie und verarbeitendes Gewerbe.

Neu: Persönliche Haftung der Geschäftsführung

Das ist der Punkt, der Geschäftsführer aufhorchen lässt: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Verletzt sie diese Pflicht, haftet sie der eigenen Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht (§ 38 Abs. 2 BSIG).

Heißt konkret: Fehlen nach einem Vorfall Risikoanalyse, Notfallplan oder Schulungsnachweise, kann das Unternehmen den Schaden bei der Geschäftsführung geltend machen. Das ist eine Haftung gegenüber dem eigenen Unternehmen, kein Bußgeld der Behörde.

Meldepflichten: 24 Stunden Frist

Nach einem erheblichen Sicherheitsvorfall musst du spätestens 24 Stunden nach Kenntniserlangung eine frühe Erstmeldung an die Meldestelle von BSI und BBK senden, spätestens nach 72 Stunden eine Meldung mit erster Bewertung und spätestens einen Monat danach die Abschlussmeldung (§ 32 BSIG). Die Uhr läuft laut BSI, sobald ein Mitarbeiter während der Arbeitszeit vom Vorfall erfährt.

Wer diese Fristen verpasst, riskiert zusätzliche Sanktionen — unabhängig vom eigentlichen Vorfall.

Was jetzt tun?

Der erste Schritt kostet nichts: Prüf ob dein Unternehmen überhaupt unter NIS2 fällt. Der Quick-Check gibt dir in 5 Minuten eine klare Antwort — inklusive einer Einschätzung wo du stehst und was als Nächstes zu tun ist.