NIS2-Strafen: Bis zu 10 Mio. Euro oder 2 % des Umsatzes

NIS2 ist keine Empfehlung. Es ist ein Gesetz mit echten Konsequenzen. Und die treffen nicht nur das Unternehmen — sondern die Geschäftsführung persönlich.

Was droht konkret?

Wesentliche Einrichtungen (Essential Entities)

Bußgelder bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes — je nachdem was höher ist. Das betrifft Unternehmen in Sektoren wie Energie, Transport, Gesundheit und digitale Infrastruktur.

Wichtige Einrichtungen (Important Entities)

Bußgelder bis zu 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes. Das trifft Unternehmen in Sektoren wie Post, Lebensmittel, Chemie und verarbeitendes Gewerbe.

Neu: Persönliche Haftung der Geschäftsführung

Das ist der Punkt der CEOs aufhorchen lässt: Die Geschäftsleitung kann persönlich haftbar gemacht werden wenn sie nachweislich keine angemessenen Maßnahmen zur Informationssicherheit getroffen hat. Das ging bei der alten NIS-Richtlinie noch nicht.

Heißt konkret: Wenn dein Unternehmen gehackt wird und du keinen Incident Response Plan hattest, keinen ISB benannt hattest, keine Risikoanalyse gemacht hattest — dann haftest du als Geschäftsführer mit deinem Privatvermögen.

Meldepflichten: 24 Stunden Frist

Nach einem Sicherheitsvorfall musst du innerhalb von 24 Stunden eine Frühwarnung an das BSI senden. Innerhalb von 72 Stunden folgt ein detaillierter Bericht. Innerhalb von einem Monat der Abschlussbericht.

Wer diese Fristen verpasst, riskiert zusätzliche Sanktionen — unabhängig vom eigentlichen Vorfall.

Was jetzt tun?

Der erste Schritt kostet nichts: Prüf ob dein Unternehmen überhaupt unter NIS2 fällt. Unser Quick-Check gibt dir in 5 Minuten eine klare Antwort — inklusive einer Einschätzung wo du stehst und was als Nächstes zu tun ist.