NIS2-Sanktionen: Bußgelder nach § 65 BSIG, Aufsichtsmaßnahmen und Managerhaftung

Zuletzt geprüft: Oktober 2026. Für Einrichtungen in Deutschland ist das BSI-Gesetz in der Fassung des NIS2UmsuCG (BGBl. 2025 I Nr. 301) maßgeblich: Bußgelder regelt § 65 BSIG, Aufsichts- und Durchsetzungsmaßnahmen die §§ 61–63 BSIG, die Pflichten der Geschäftsleitung § 38 BSIG. Die NIS2-Richtlinie selbst (Artikel 20 und 32–36) gibt den Mitgliedstaaten nur den Rahmen vor; die nationalen Umsetzungsgesetze können darüber hinausgehen.

Die Nichteinhaltung der NIS2-Vorgaben ist keine Formalie. Das BSIG sieht Geldbußen von bis zu 10 Millionen Euro vor – bei sehr großen Unternehmen auch umsatzbezogen –, dazu Aufsichtsbefugnisse des BSI, die von Nachweisanforderungen bis zu Vor-Ort-Prüfungen reichen. Hinzu kommt eine ausdrückliche Pflicht der Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und zu überwachen; wer diese Pflicht schuldhaft verletzt, haftet der eigenen Einrichtung nach Gesellschaftsrecht. Die Bußgeldobergrenzen liegen unter denen der DSGVO (dort bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes), entsprechen aber in etwa deren niedrigerer Stufe von bis zu 10 Millionen Euro oder 2 %.

Dieser Leitfaden erläutert, wie die Sanktionen nach der Richtlinie und nach deutschem Recht funktionieren, wen sie treffen, wie Bußgelder bemessen werden – und was Artikel 20 NIS2 bzw. § 38 BSIG für Vorstand und Geschäftsführung bedeuten.

1. Der NIS2-Sanktionsrahmen: Zwei Stufen, eskalierende Konsequenzen

Die Sanktionen folgen der zweistufigen Einteilung, die Artikel 3 der Richtlinie vorgibt: wesentliche Einrichtungen – im deutschen Recht „besonders wichtige Einrichtungen“ (§ 28 Abs. 1 BSIG) – und wichtige Einrichtungen (§ 28 Abs. 2 BSIG). Die Zuordnung hängt in Deutschland vom Sektor (Anlagen 1 und 2 BSIG) und von der Unternehmensgröße ab; bestimmte Einrichtungsarten, etwa Betreiber kritischer Anlagen, gelten unabhängig von der Größe als besonders wichtig [1][2].

Diese Klassifizierung ist aus folgenden Gründen bedeutsam:

• Besonders wichtige Einrichtungen unterliegen höheren Bußgeldrahmen – bis zu 10 Millionen Euro statt bis zu 7 Millionen Euro bei den Kerntatbeständen (§ 65 Abs. 5 BSIG).
• Besonders wichtige Einrichtungen unterliegen der proaktiven Aufsicht – das BSI kann die Einhaltung der Anforderungen auch ohne konkreten Anlass überprüfen (§ 61 Abs. 5 BSIG).
• Wichtige Einrichtungen werden nachträglich beaufsichtigt – das BSI wird tätig, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden (§ 62 BSIG).

Für beide Stufen gelten die Pflichten der Geschäftsleitung nach § 38 BSIG (Artikel 20 NIS2). Wichtig zur Einordnung des Begriffs „Strafen“: Einen Straftatbestand enthält das BSIG nicht. Verstöße sind Ordnungswidrigkeiten, die nach § 65 BSIG mit Geldbußen geahndet werden [2].

Wenn Sie Ihre Entitätsklassifizierung noch nicht bestätigt haben, führt der NIS2-Anwendungsbereichsleitfaden durch den vollständigen Bewertungsprozess.

2. Finanzielle Sanktionen für wesentliche (besonders wichtige) Einrichtungen

Artikel 34 Abs. 4 der Richtlinie verpflichtet die Mitgliedstaaten, für Verstöße wesentlicher Einrichtungen gegen Artikel 21 oder 23 Geldbußen mit einem Höchstbetrag von mindestens 10 Millionen Euro oder mindestens 2 % des weltweiten Vorjahresumsatzes vorzusehen, „je nachdem, welcher Betrag höher ist“ [1]. Das ist eine Vorgabe an den Gesetzgeber – ein Mindest-Höchstbetrag –, keine Untergrenze für das einzelne Bußgeld. Der deutsche Gesetzgeber hat diese Vorgabe in § 65 BSIG anders konstruiert:

§ 65 Abs. 5 Satz 1 Nr. 1 Buchst. a BSIG: Geldbuße bis zu zehn Millionen Euro bei besonders wichtigen Einrichtungen. § 65 Abs. 6 BSIG: Bei einem Gesamtumsatz von mehr als 500 Millionen Euro abweichend bis zu 2 Prozent des Gesamtumsatzes.

Die Formel „je nachdem, welcher Betrag höher ist“ findet sich im BSIG also nicht. Es gilt ein fester Höchstbetrag; erst bei einem Gesamtumsatz von mehr als 500 Millionen Euro tritt die Umsatzquote an seine Stelle. Rechnerisch ergeben sich folgende Obergrenzen:

Globaler Jahresumsatz	2 % des Umsatzes	Maßgebliche Regel	Höchstbußgeld (bis zu)
€20 Millionen (mittlerer Markt)	€400.000	Fester Höchstbetrag (§ 65 Abs. 5)	€10 Millionen
€50 Millionen (oberer mittlerer Markt)	€1 Million	Fester Höchstbetrag (§ 65 Abs. 5)	€10 Millionen
€100 Millionen	€2 Millionen	Fester Höchstbetrag (§ 65 Abs. 5)	€10 Millionen
€500 Millionen	€10 Millionen	Fester Höchstbetrag (Schwelle „mehr als 500 Mio.“ nicht überschritten)	€10 Millionen
€1 Milliarde	€20 Millionen	Umsatzquote (§ 65 Abs. 6)	€20 Millionen
€5 Milliarden	€100 Millionen	Umsatzquote (§ 65 Abs. 6)	€100 Millionen

Diese höchsten Beträge gelten nur für die Kerntatbestände des § 65 Abs. 2 Nr. 1 Buchst. d, Nr. 2 bis 5 und 9 BSIG: Risikomanagementmaßnahmen nach § 30 Abs. 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergriffen, ihre Einhaltung nicht dokumentiert, Meldungen nach § 32 Abs. 1 oder die Abschlussmeldung nicht oder nicht rechtzeitig abgegeben, Mitteilungen zu erheblichen Cyberbedrohungen nach § 35 Abs. 2 unterlassen oder vollziehbare Anordnungen nach § 35 Abs. 1 bzw. § 36 Abs. 2 missachtet. Andere Verstöße sind niedriger bewehrt, unter anderem [2]:

• bis zu €5 Millionen – Verletzung der Mitwirkungspflicht von Betreibern kritischer Anlagen im Verfahren zu kritischen Komponenten (§ 41 Abs. 5 Satz 2); Bußgeldbehörde ist hier das Bundesministerium des Innern;
• bis zu €2 Millionen – Zuwiderhandlung gegen bestimmte vollziehbare Anordnungen, etwa zur Beseitigung von Sicherheitsmängeln bei kritischen Anlagen (§ 39 Abs. 1 Satz 5);
• bis zu €1 Million – Nachweise nach § 39 Abs. 1 Satz 1 nicht oder nicht rechtzeitig bzw. vorsätzlich nicht richtig oder nicht vollständig erbracht;
• bis zu €500.000 – unter anderem Registrierungsangaben nach § 33 Abs. 1 oder 2 Satz 1 bzw. § 34 Abs. 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt sowie Anordnungen nach § 61 Abs. 3, 6, 7 oder 8 missachtet;
• bis zu €100.000 – unter anderem fehlende Erreichbarkeit (§ 33 Abs. 2 Satz 2) oder fehlende Mitwirkung bei einer Überprüfung nach § 61 Abs. 5 Satz 3.

Für die Stufen bis 2 Millionen und bis 1 Million Euro verweist § 65 Abs. 5 Satz 2 BSIG auf § 30 Abs. 2 Satz 3 OWiG: Gegen die Einrichtung als juristische Person kann sich das Höchstmaß der Geldbuße dadurch verzehnfachen. Für die höchsten Stufen schließt § 65 Abs. 9 BSIG die sonst übliche Halbierung des Höchstmaßes bei Fahrlässigkeit (§ 17 Abs. 2 OWiG) aus. Zuständige Bußgeldbehörde ist grundsätzlich das BSI (§ 65 Abs. 10 BSIG) [2][5].

Der Höchstrahmen ist für einen Gesundheitsdienstleister mit 30 Millionen Euro Umsatz und für ein Energieunternehmen mit 400 Millionen Euro Umsatz derselbe. Die konkrete Geldbuße wird aber im Einzelfall bemessen – nach der Bedeutung der Ordnungswidrigkeit, dem Vorwurf und den wirtschaftlichen Verhältnissen (§ 17 Abs. 3 OWiG). Artikel 32 Abs. 7 und 34 Abs. 3 NIS2 nennen zusätzlich unter anderem Schwere und Dauer des Verstoßes, frühere Verstöße, den verursachten Schaden, Vorsatz oder Fahrlässigkeit sowie die Zusammenarbeit mit der Behörde [1].

Zur Umsatzberechnung: „Gesamtumsatz“ ist nach § 65 Abs. 8 BSIG die Summe aller Umsatzerlöse, die das Unternehmen, dem die Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat; er kann geschätzt werden. Gehört eine Einrichtung zu einer Unternehmensgruppe, kann – je nach Auslegung des Unternehmensbegriffs – der Umsatz der Gruppe maßgeblich sein, sowohl für die 500-Millionen-Schwelle als auch für die Quote. Für eine Tochtergesellschaft mit €50 Millionen eigenem Umsatz in einem Konzern mit €10 Milliarden Umsatz läge die rechnerische Obergrenze dann bei bis zu €200 Millionen.

Die vollständige Aufschlüsselung aller sieben Bußgeldstufen mit den zugehörigen Tatbeständen finden Sie in unserer Bußgeldstaffel nach § 65 BSIG. Das Gesetz spricht dort übrigens nicht von „wesentlichen“, sondern von „besonders wichtigen Einrichtungen“.

3. Finanzielle Sanktionen für wichtige Einrichtungen

Artikel 34 Abs. 5 der Richtlinie sieht für wichtige Einrichtungen einen Höchstbetrag von mindestens 7 Millionen Euro oder mindestens 1,4 % des weltweiten Vorjahresumsatzes vor, je nachdem, welcher Betrag höher ist [1]. Im deutschen Recht gilt:

§ 65 Abs. 5 Satz 1 Nr. 1 Buchst. b BSIG: Geldbuße bis zu sieben Millionen Euro bei wichtigen Einrichtungen. § 65 Abs. 7 BSIG: Bei einem Gesamtumsatz von mehr als 500 Millionen Euro abweichend bis zu 1,4 Prozent des Gesamtumsatzes.

Für die meisten wichtigen Einrichtungen (mittelständische Unternehmen mit einem Gesamtumsatz bis 500 Millionen Euro) liegt die Obergrenze bei den Kerntatbeständen damit bei bis zu 7 Millionen Euro. Erst oberhalb von 500 Millionen Euro gilt die 1,4-%-Quote. Die niedrigeren Stufen (etwa bis zu €500.000 für eine fehlende Registrierung) gelten unabhängig von der Einstufung.

Aspekt	Besonders wichtige Einrichtungen	Wichtige Einrichtungen
Höchstbußgeld (Kerntatbestände)	bis zu €10 Mio.; bei mehr als €500 Mio. Gesamtumsatz bis zu 2 % (§ 65 Abs. 5, 6 BSIG)	bis zu €7 Mio.; bei mehr als €500 Mio. Gesamtumsatz bis zu 1,4 % (§ 65 Abs. 5, 7 BSIG)
Umsatzquote gilt erst ab einem Gesamtumsatz von	mehr als €500 Millionen	mehr als €500 Millionen
Aufsichtsmodus	Proaktiv – Prüfungen auch ohne Anlass möglich (§ 61 BSIG)	Nachträglich – wenn Tatsachen auf Verstöße hindeuten (§ 62 BSIG)
Managementhaftung	Ja – § 38 BSIG (Art. 20 NIS2), Haftung gegenüber der Einrichtung	Ja – § 38 BSIG (Art. 20 NIS2), Haftung gegenüber der Einrichtung
Vorübergehendes Managementverbot	Als letztes Mittel – § 61 Abs. 9 BSIG (Art. 32 Abs. 5 Buchst. b NIS2)	In der Richtlinie nicht vorgesehen (Art. 33 Abs. 5 verweist nur auf Art. 32 Abs. 6–8); § 61 Abs. 9 BSIG ist auf besonders wichtige Einrichtungen zugeschnitten
Typische Sektoren	Anlage 1 BSIG: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum (in der Regel ab Großunternehmensgröße)	Anlage 2 BSIG: Post- und Kurierdienste, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung – sowie mittlere Unternehmen der Anlage-1-Sektoren

Die Beträge der Richtlinie sind Mindesthöchstbeträge – die Mitgliedstaaten dürfen höhere Obergrenzen festlegen. Deutschland hat die Werte der Richtlinie für die Kerntatbestände übernommen und für weitere Pflichten eigene, niedrigere Bußgeldstufen geschaffen [2].

4. Managementhaftung: Artikel 20 NIS2 und § 38 BSIG

Neben den Geldbußen gegen die Einrichtung adressieren Richtlinie und BSIG ausdrücklich die Leitungsebene. Völlig neu ist das in Deutschland nicht – Geschäftsleiter haften schon nach allgemeinem Gesellschaftsrecht für sorgfaltswidriges Handeln. NIS2 macht Cybersicherheit aber ausdrücklich zur Leitungsaufgabe und nicht nur zu einem Thema der IT-Abteilung.

Was Artikel 20 verlangt

Nach Artikel 20 Abs. 1 NIS2 sollen die Leitungsorgane die Risikomanagementmaßnahmen nach Artikel 21 billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können; Artikel 20 Abs. 2 verlangt die Teilnahme an Schulungen [1]. Der deutsche Gesetzgeber hat dies in § 38 BSIG so umgesetzt [3]:

1. Die Geschäftsleitung muss die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1). Eine ausdrückliche Pflicht zur „Billigung“, wie sie Artikel 20 und frühere Gesetzentwürfe vorsahen, enthält die endgültige Fassung nicht.
2. Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung für den Schaden nach dem für deren Rechtsform geltenden Gesellschaftsrecht (§ 38 Abs. 2).
3. Sie muss regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten sowie deren Auswirkungen auf die erbrachten Dienste beurteilen zu können (§ 38 Abs. 3).

Dies sind rechtliche Verpflichtungen der Geschäftsleitung – nach § 2 Nr. 13 BSIG der natürlichen Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen sind.

Persönliche Haftung der Mitglieder des Leitungsorgans

Artikel 20 Abs. 1 NIS2 verlangt, dass Leitungsorgane für Verstöße „verantwortlich gemacht werden können“. § 38 Abs. 2 BSIG gestaltet das als Innenhaftung: Geschäftsleitungen, die ihre Pflichten schuldhaft verletzen, haften ihrer Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform; nach dem BSIG selbst nur, wenn das Gesellschaftsrecht keine entsprechende Haftungsregel enthält [3]. In der Praxis bedeutet das:

• Eine Geldbuße nach § 65 BSIG richtet sich gegen die Einrichtung. Einen eigenen Bußgeldtatbestand für Verstöße der Geschäftsleitung gegen § 38 BSIG enthält § 65 nicht.
• Persönliche Geldbußen gegen Geschäftsleiter sind allenfalls mittelbar denkbar, etwa über § 9 OWiG (Handeln als vertretungsberechtigtes Organ) oder § 130 OWiG (Verletzung der Aufsichtspflicht in Betrieben und Unternehmen). Ob diese Vorschriften greifen, ist eine Frage des Einzelfalls [5].
• Nach einem erheblichen Sicherheitsvorfall wird sich die Frage stellen, ob die Geschäftsleitung die Maßnahmen umgesetzt und überwacht hat – etwa wenn ein Budget für Cybersicherheit ohne Prüfung gekürzt oder die gesamte Aufsicht ohne regelmäßige Berichterstattung an die IT-Abteilung abgegeben wurde.
• Als letztes Mittel kann die zuständige Aufsichtsbehörde unzuverlässigen Geschäftsleitungen besonders wichtiger Einrichtungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG, siehe Abschnitt 5).

Für Vorstandsmitglieder und C-Suite-Führungskräfte: NIS2 macht Cybersicherheit ausdrücklich zur Leitungsaufgabe. Die Frage lautet nicht mehr nur „Hat sich der CISO darum gekümmert?“, sondern „Hat die Geschäftsleitung die Umsetzung der Maßnahmen veranlasst, sich regelmäßig berichten lassen und durch Schulungen die nötige Sachkunde erworben?“ Dokumentierte Leitungsentscheidungen helfen, das später nachzuweisen.

Die verpflichtende Schulungspflicht

Artikel 20 Abs. 2 NIS2 und § 38 Abs. 3 BSIG verlangen, dass Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um „ausreichende Kenntnisse und Fähigkeiten“ zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken zu erlangen. Diese Schulungspflicht ist nicht optional. Bei besonders wichtigen Einrichtungen kann das BSI ihre Einhaltung auch über angeordnete Audits prüfen lassen – § 61 Abs. 1 BSIG nennt § 38 Abs. 3 ausdrücklich; Nachweisanordnungen nach § 61 Abs. 3 beziehen sich auf dieselben Pflichten [4].

Die Schulungsanforderung schafft eine Dokumentationsspur: Organisationen sollten Aufzeichnungen darüber führen, welche Schulungen das Management erhalten hat, wann und welche Themen behandelt wurden. Diese Nachweise werden bei Aufsichtsüberprüfungen und Ermittlungen entscheidend.

Eine vollständige Übersicht der NIS2-Schulungsanforderungen auf allen Ebenen – einschließlich der erforderlichen Mitarbeiterschulungen – finden Sie im NIS2-Leitfaden zu Schulungsanforderungen.

5. Aufsichtsmaßnahmen: Was Behörden vor dem Bußgeld tun können

Geldbußen stehen am Ende des Durchsetzungsprozesses, nicht am Anfang. Die Artikel 32 und 33 NIS2 – in Deutschland umgesetzt in den §§ 61 bis 63 BSIG – geben den Behörden ein umfangreiches Instrumentarium an Aufsichts- und Durchsetzungsmaßnahmen, die vor oder neben einer Geldbuße eingesetzt werden können und von denen einige unmittelbar einschneidender sind als eine finanzielle Sanktion [1][4].

Aufsichtsbefugnisse für besonders wichtige Einrichtungen (Artikel 32 NIS2, § 61 BSIG)

Für besonders wichtige Einrichtungen ist die Aufsicht proaktiv und ex ante – das BSI muss keinen Vorfall abwarten. Das BSIG sieht unter anderem vor:

• Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen auf Anordnung des BSI (§ 61 Abs. 1)
• Überprüfungen durch das BSI, auch vor Ort: Betreten der Geschäftsräume, Vorlage von Unterlagen, Auskünfte (§ 61 Abs. 5)
• Nachweisanforderungen gegenüber weiteren besonders wichtigen Einrichtungen – frühestens drei Jahre nach Inkrafttreten des Gesetzes, bei zugelassenen Krankenhäusern frühestens nach fünf Jahren (§ 61 Abs. 3)
• Mängelbeseitigungspläne und Nachweise über die erfolgte Mängelbeseitigung (§ 61 Abs. 3 und 6)
• Sicherheitsscans nennt Artikel 32 Abs. 2 Buchst. d NIS2 zusätzlich als Mindestbefugnis der Behörden

Durchsetzungsmaßnahmen für beide Stufen (Artikel 32 und 33 NIS2, §§ 61–63 BSIG)

Stellt die Aufsicht Mängel fest, kann das BSI zu Durchsetzungsmaßnahmen übergehen, darunter:

• Anordnungen zur Verhütung oder Behebung eines Sicherheitsvorfalls oder Mangels, einschließlich Mängelbeseitigungsplan und Berichterstattung (§ 61 Abs. 6)
• Umsetzungsanordnungen, auch zu konkreten Empfehlungen aus einer Sicherheitsprüfung, mit angemessener Frist (§ 61 Abs. 7)
• Anordnungen zur Information betroffener Kunden über erhebliche Cyberbedrohungen oder zur öffentlichen Bekanntmachung von Verstößen (§ 61 Abs. 8)
• Zwangsgelder von bis zu €100.000 zur Durchsetzung von Anordnungen (§ 63)
• Vorübergehende Aussetzung von Genehmigungen und vorübergehende Untersagung der Leitungstätigkeit – nur gegenüber besonders wichtigen Einrichtungen und nur als letztes Mittel (§ 61 Abs. 9)
• Geldbußen wie in den Abschnitten 2–3 oben beschrieben

Das Managementverbot ist an enge Voraussetzungen gebunden: Die Einrichtung muss Anordnungen des BSI trotz Fristsetzung nicht nachgekommen sein. Das BSI kann dies der zuständigen Aufsichtsbehörde mitteilen, die – wenn ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung besteht – als letztes Mittel unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen kann. Die Untersagung ist nur so lange zulässig, bis die Einrichtung den Anordnungen nachkommt (§ 61 Abs. 9 BSIG; vgl. Artikel 32 Abs. 5 NIS2). Eine strafrechtliche Verurteilung setzt sie nicht voraus – ein Instrument für laufende Ermittlungen ist sie aber ebenso wenig.

Aufsicht über wichtige Einrichtungen (Artikel 33 NIS2, § 62 BSIG)

Wichtige Einrichtungen unterliegen der nachträglichen Aufsicht: Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung ihre Pflichten nach § 30 Abs. 1 Satz 1, § 32 Abs. 1 bis 3 oder § 38 Abs. 3 BSIG nicht oder nicht richtig umsetzt, kann das BSI die Einhaltung überprüfen und Maßnahmen nach § 61 treffen (§ 62 BSIG). Wichtige Einrichtungen werden daher in der Regel nicht routinemäßig geprüft; sie gelangen eher durch Vorfallmeldungen, Hinweise Dritter oder andere Erkenntnisse des BSI in den Blick der Aufsicht.

6. Unterschiede zwischen den Mitgliedstaaten

NIS2 legt Mindesthöchstbeträge fest – die Mitgliedstaaten können in ihren Umsetzungsgesetzen strengere Regelungen vorsehen. Die Umsetzung verlief uneinheitlich: Am 7. Mai 2025 forderte die EU-Kommission 19 Mitgliedstaaten, darunter Deutschland, Frankreich, die Niederlande, Irland, Österreich und Polen, mit einer begründeten Stellungnahme auf, die Richtlinie vollständig umzusetzen [6]. Einige Beispiele:

• Deutschland (NIS2UmsuCG, BGBl. 2025 I Nr. 301, in Kraft seit 6. Dezember 2025): Das Gesetz hat das BSIG neu gefasst; zuständige Behörde ist das BSI (Bundesamt für Sicherheit in der Informationstechnik). Betreiber kritischer Anlagen müssen die Umsetzung ihrer Maßnahmen alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nachweisen (§ 39 BSIG). Die Bußgelder nach § 65 BSIG richten sich gegen die Einrichtung; individuelle Bußgeldtatbestände gegen Führungspersonen enthält das BSIG nicht [2][7].
• Belgien (NIS2-Gesetz vom 26. April 2024): Eine der fristgerechten Umsetzungen; die Pflichten gelten seit dem 18. Oktober 2024. Zuständige Behörde ist das CCB (Centre for Cybersecurity Belgium) [8].
• Niederlande und Irland: Beide gehörten zu den 19 Mitgliedstaaten, die im Mai 2025 eine begründete Stellungnahme der Kommission erhielten [6]. Den aktuellen Umsetzungsstand sollten Einrichtungen mit Tätigkeiten in diesen Ländern bei den nationalen Behörden prüfen.

Wenn Ihre Organisation in mehreren Mitgliedstaaten tätig ist, können Bußgeldrahmen und Aufsichtspraxis je nach Rechtsordnung abweichen. Die NIS2-Richtlinie setzt den Mindeststandard; die Einzelheiten regelt das nationale Recht. Grundlagen zur Richtlinie selbst finden Sie in der NIS2-Richtlinienübersicht.

7. Aktuelle Durchsetzungsmaßnahmen und Präzedenzfälle

Die Umsetzungsfrist der Richtlinie endete am 17. Oktober 2024. In Deutschland gelten die Pflichten seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 – ohne Übergangsfrist. Öffentlich dokumentierte Bußgeldentscheidungen des BSI nach § 65 BSIG lagen uns bei Redaktionsschluss nicht vor. Hinweise auf die künftige Praxis liefern andere Rechtsbereiche und die ersten Schritte der Aufsicht:

Präzedenzfälle aus dem Datenschutzrecht

• Vereinigtes Königreich (ICO): British Airways wurde 2020 mit £20 Millionen und Marriott International mit £18,4 Millionen nach Datenschutzrecht für Sicherheitsmängel belegt, durch die personenbezogene Daten offengelegt wurden [9]. Es handelte sich um Datenschutz-, nicht um NIS-Bußgelder; die Fälle zeigen aber, dass Aufsichtsbehörden unzureichende Sicherheitsmaßnahmen empfindlich ahnden können.
• Verhältnis zur DSGVO: Führt ein NIS2-Verstoß zu einer meldepflichtigen Datenschutzverletzung, unterrichtet das BSI die Datenschutzaufsicht (§ 61 Abs. 11 BSIG). Hat die Datenschutzaufsicht für dasselbe Verhalten bereits eine DSGVO-Geldbuße verhängt, darf keine weitere Geldbuße nach dem BSIG folgen (§ 65 Abs. 11 BSIG, Art. 35 Abs. 2 NIS2).

Frühe NIS2-Durchsetzungssignale (2025–2026)

• Die Europäische Kommission hat am 7. Mai 2025 begründete Stellungnahmen an 19 Mitgliedstaaten – darunter Deutschland – wegen unvollständiger Umsetzung der Richtlinie gerichtet und damit gezeigt, dass der Durchsetzungsdruck auch auf staatlicher Ebene wirkt [6].
• In Deutschland endete die Registrierungsfrist nach § 33 BSIG am 6. März 2026. Das BSI erwartete nach einem Schreiben an Wirtschaftsverbände vom Juni 2026, dass ausstehende Registrierungen bis Ende Juli 2026 nachgeholt werden – eine gesetzliche Nachfrist war das nicht. Eine unterlassene oder verspätete Registrierung kann mit bis zu €500.000 geahndet werden (§ 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5 BSIG).
• Breite Nachweisanforderungen gegenüber besonders wichtigen Einrichtungen nach § 61 Abs. 3 BSIG sind erst frühestens drei Jahre nach Inkrafttreten möglich. Anlassbezogene Prüfungen und Anordnungen (§ 61 Abs. 1 und 5 bis 7, § 62 BSIG) sind dagegen bereits zulässig.

Wesentliche Erkenntnis: Die Durchsetzung ist rechtlich bereits möglich: Bußgeldrahmen, Prüfrechte und Anordnungsbefugnisse gelten seit dem 6. Dezember 2025. Wer Registrierung, Meldewege und Dokumentation jetzt in Ordnung bringt, verringert das Risiko, bei den ersten Prüfungen durch Lücken aufzufallen.

8. So schützen Sie Ihre Organisation und sich selbst

Der Sanktionsrahmen ist darauf ausgelegt, Handlungen zu motivieren, und der wirksamste Schutz gegen NIS2-Sanktionen ist eine dokumentierte, nachgewiesene Compliance. Hier sollten Sie den Schwerpunkt setzen:

Für Ihre Organisation

1. Bestimmen Sie Ihre Entitätsklassifizierung – besonders wichtig oder wichtig – und prüfen Sie, ob die Registrierung beim BSI nach § 33 BSIG erfolgt ist. Bußgeldrahmen und Aufsichtsregime hängen davon ab. Nutzen Sie den NIS2-Anwendungsbereichsleitfaden, falls Sie Ihren Status noch nicht bestätigt haben.
2. Implementieren und dokumentieren Sie die zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG (Artikel 21 NIS2) – und pflegen Sie die Nachweisführung. Eine fehlende Dokumentation ist nach § 65 Abs. 2 Nr. 3 BSIG ein eigener Bußgeldtatbestand. Prüfer suchen nach dokumentierten Richtlinien, Umsetzungsnachweisen und Testergebnissen, nicht nur nach mündlichen Zusicherungen. Die NIS2-Compliance-Checkliste ordnet jede Maßnahme der entsprechenden Dokumentation zu.
3. Etablieren Sie Verfahren zur Vorfallmeldung – eine nicht rechtzeitige Meldung nach § 32 Abs. 1 BSIG, zu der die frühe Erstmeldung innerhalb von 24 Stunden gehört, ist nach § 65 Abs. 2 Nr. 4 BSIG ein eigenständiger Bußgeldtatbestand, unabhängig vom zugrunde liegenden Vorfall. Informationen zum vollständigen Vorfallmelderahmen finden Sie im NIS2-Anforderungsleitfaden.
4. Erstellen Sie Ihre Dokumentenbibliothek – die NIS2-Compliance-Vorlagen orientieren sich an den Anforderungen der Richtlinie, des BSIG und – soweit einschlägig – der Durchführungsverordnung (EU) 2024/2690 und lassen sich an Ihre Organisation anpassen.

Für Vorstandsmitglieder und leitende Führungskräfte

1. Nehmen Sie regelmäßig an Cybersicherheitsschulungen teil – und dokumentieren Sie diese. Das Versäumen der Schulung verletzt § 38 Abs. 3 BSIG, auch wenn § 65 BSIG dafür keine eigene Geldbuße vorsieht.
2. Lassen Sie sich das Cybersicherheitsprogramm vorlegen und dokumentieren Sie Ihre Entscheidungen – auf Ebene der Geschäftsleitung, mit Protokollen. § 38 BSIG verlangt keine förmliche „Genehmigung“, wohl aber Umsetzung und Überwachung. Wenn Ihr CISO oder Ihr IT-Team ein Sicherheitsprogramm vorlegt und das Management es weder prüft noch hinterfragt, lässt sich eine ordnungsgemäße Überwachung später kaum belegen.
3. Fordern Sie regelmäßige Berichte ein – zu Umsetzungsstand, Sicherheitsvorfällen und offenen Mängeln. Eine nachvollziehbare Berichtslinie ist der einfachste Nachweis dafür, dass die Geschäftsleitung ihrer Überwachungspflicht nachkommt.

Quellen

1. Richtlinie (EU) 2022/2555 (NIS2), insbesondere Art. 3, 20, 32–36 – EUR-Lex
2. § 65 BSIG (Bußgeldvorschriften) und § 28 BSIG – gesetze-im-internet.de
3. § 38 BSIG (Pflichten der Geschäftsleitungen) – gesetze-im-internet.de
4. §§ 61–63 BSIG (Aufsichts- und Durchsetzungsmaßnahmen, Verwaltungszwang) – gesetze-im-internet.de
5. Gesetz über Ordnungswidrigkeiten (§§ 9, 17, 30, 130 OWiG) – gesetze-im-internet.de
6. Europäische Kommission: Commission calls on 19 Member States to fully transpose the NIS2 Directive (7. Mai 2025) – digital-strategy.ec.europa.eu
7. NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, BGBl. 2025 I Nr. 301 – recht.bund.de
8. Eubelius: Entry into force of Belgian acts transposing NIS2 – eubelius.com
9. Cleary Gottlieb: UK ICO Data Breach Fines – What Can We Learn From British Airways and Marriott? (Dezember 2020) – clearygottlieb.com

Vertiefung: Wie sich die Bußgelder nach § 65 BSIG zur persönlichen Verantwortung der Geschäftsleitung verhalten — und warum die Geldbuße die Einrichtung trifft, nicht den Geschäftsführer persönlich — erläutert der Beitrag Geschäftsleiterhaftung nach NIS2: Was § 38 BSIG wirklich verlangt.