§ 65 BSIG: Die 7 Stufen der NIS2-Bußgeldstaffel — und die Zehnfach-Regel

Die höchste Geldbuße, die § 65 BSIG gegen ein Unternehmen zulässt, steht nicht in der Zeile mit den zehn Millionen Euro. Sie steht in der Zeile mit den zwei Millionen — und beträgt zwanzig.

Der Grund ist ein Verweis von einer Zeile Länge. § 65 Absatz 5 Satz 2 BSIG ordnet an, dass in den Fällen der Nummern 3 und 4 „§ 30 Absatz 2 Satz 3 des Gesetzes über Ordnungswidrigkeiten anzuwenden“ ist. Dort steht: „Verweist das Gesetz auf diese Vorschrift, so verzehnfacht sich das Höchstmaß der Geldbuße“ [1][2]. Gegen die juristische Person wird aus dem Zwei-Millionen-Rahmen damit ein Rahmen von zwanzig Millionen Euro — mehr als die vielzitierten zehn.

Diese Mechanik fehlt in praktisch jeder deutschsprachigen Bußgeldübersicht, ebenso wie die Stufe über fünf Millionen Euro, die nicht das BSI, sondern das Bundesinnenministerium verhängt. Dieser Beitrag zerlegt die Staffel so, wie das Gesetz sie tatsächlich baut: sieben Höchstbeträge, zwei Umsatzquoten und zwei Korrekturregeln aus dem Ordnungswidrigkeitenrecht. Das BSIG in dieser Fassung gilt seit dem 6. Dezember 2025 [11]; § 65 wurde zuletzt mit Wirkung zum 17. März 2026 geändert [12]. Den Gesamtüberblick über Sanktionen, Aufsicht und Managerhaftung gibt unser Leitfaden zu den NIS2-Sanktionen und Bußgeldern.

Die sieben Stufen des § 65 BSIG auf einen Blick

Die Staffel steht in § 65 Absatz 5 Satz 1 BSIG. Die Vorschrift zählt sechs Nummern auf, ergibt aber sieben Höchstbeträge, weil Nummer 1 zwischen besonders wichtigen und wichtigen Einrichtungen unterscheidet [1]. Die Spalte „Fundstelle“ nennt die Nummer im Gesetz — sie ist nicht mit der Stufennummer dieser Tabelle identisch.

Stufe	Höchstbetrag	Wofür	Fundstelle in § 65
1	10 Mio. € besonders wichtige Einrichtung	Risikomanagementmaßnahmen (§ 30 Abs. 1 S. 1), deren Dokumentation (§ 30 Abs. 1 S. 3), Erst- und Abschlussmeldung (§ 32), Mitteilung an betroffene Kunden (§ 35 Abs. 2), Zuwiderhandlung gegen Anordnungen nach § 35 Abs. 1 S. 1 und § 36 Abs. 2 S. 1	Abs. 5 S. 1 Nr. 1 Buchst. a
2	7 Mio. € wichtige Einrichtung	dieselben Tatbestände wie Stufe 1 — nur die Einstufung der Einrichtung unterscheidet sich	Abs. 5 S. 1 Nr. 1 Buchst. b
3	5 Mio. €	im Verfahren über kritische Komponenten die erheblichen Tatsachen nicht vollständig oder nicht wahrheitsgemäß mitteilen (§ 41 Abs. 5 S. 2)	Abs. 5 S. 1 Nr. 2
4	2 Mio. € gegen Unternehmen bis 20 Mio. €	Zuwiderhandlung gegen vollziehbare Anordnungen nach § 11 Abs. 6, § 16 Abs. 1 S. 1, § 17 S. 1 oder § 39 Abs. 1 S. 5	Abs. 5 S. 1 Nr. 3
5	1 Mio. € gegen Unternehmen bis 10 Mio. €	Nachweis nach § 39 Abs. 1 S. 1 nicht oder nicht rechtzeitig erbracht; Nachweis nicht richtig oder nicht vollständig (Abs. 1)	Abs. 5 S. 1 Nr. 4
6	500.000 €	Registrierungsangaben (§ 33 Abs. 1, § 34 Abs. 1) und Änderungsmitteilung (§ 34 Abs. 2); Anordnungen nach § 18, § 40 Abs. 5 S. 1, § 61; Verstöße gegen die Zertifizierungsvorschriften §§ 49 bis 55; Verstöße gegen die Verordnung (EU) 2019/881	Abs. 5 S. 1 Nr. 5
7	100.000 €	Erreichbarkeit nicht sichergestellt (§ 33 Abs. 2 S. 2); Anordnung nach § 14 Abs. 2 S. 1; Betreten, Vorlage oder Auskunft nach § 61 Abs. 5 S. 3 verweigert; fahrlässig unrichtiger Nachweis (Abs. 3)	Abs. 5 S. 1 Nr. 6

Zwei Dinge fallen auf. Erstens taucht der Klassiker „Zuwiderhandlung gegen eine Anordnung des BSI“ in vier verschiedenen Stufen auf — je nachdem, welche Anordnung gemeint ist, kostet derselbe Ungehorsam 100.000, 500.000, zwei Millionen oder zehn Millionen Euro — am teuersten wird die Anordnung, die Kunden über einen Vorfall unterrichten lässt (§ 35 Abs. 1 S. 1) [8]. Zweitens fehlt § 38 BSIG in der ganzen Aufstellung: Die Pflicht der Geschäftsleitung, Maßnahmen umzusetzen, zu überwachen und sich schulen zu lassen, ist nicht bußgeldbewehrt [9]. Sie wirkt über die gesellschaftsrechtliche Innenhaftung — dazu unser Beitrag zur persönlichen Haftung der Geschäftsführung.

Besonders wichtig oder wichtig — die Weiche vor der Staffel

Die deutsche Fassung kennt den Begriff „wesentliche Einrichtung“ nicht. Die NIS2-Richtlinie unterscheidet zwischen essential und important entities, häufig übersetzt als „wesentlich“ und „wichtig“; das BSIG hat daraus besonders wichtige und wichtige Einrichtungen gemacht (§ 28) [4]. Wer im Schriftverkehr mit dem BSI von einer „wesentlichen Einrichtung“ spricht, zitiert die Richtlinie, nicht das anwendbare Gesetz.

Kriterium	Besonders wichtige Einrichtung	Wichtige Einrichtung
Schwelle (Regelfall)	mindestens 250 Beschäftigte oder Jahresumsatz über 50 Mio. € und Bilanzsumme über 43 Mio. €	mindestens 50 Beschäftigte oder Jahresumsatz und Bilanzsumme jeweils über 10 Mio. €
Sektoren	Anlage 1; zusätzlich Betreiber kritischer Anlagen, qualifizierte Vertrauensdienste, TLD-Registries und DNS-Dienste größenunabhängig	Anlagen 1 und 2; Vertrauensdiensteanbieter größenunabhängig
Bußgeldrahmen Stufe 1/2	bis 10 Mio. €	bis 7 Mio. €
Umsatzquote (ab 500 Mio. € Gesamtumsatz)	bis 2 % des Gesamtumsatzes	bis 1,4 % des Gesamtumsatzes

Die Einstufung ist keine Formalie: Sie verschiebt den Rahmen um drei Millionen Euro, bevor überhaupt über den konkreten Verstoß gesprochen wird. Wie die Zuordnung im Einzelfall läuft, behandelt der Beitrag zu wesentlichen und wichtigen Einrichtungen.

Die übersehene Stufe: fünf Millionen Euro für eine unvollständige Auskunft

Zwischen den zehn Millionen und den zwei Millionen liegt eine Stufe, die in kaum einer Übersicht auftaucht: fünf Millionen Euro nach § 65 Absatz 5 Satz 1 Nummer 2. Sie sanktioniert einen einzigen Tatbestand — § 41 Absatz 5 Satz 2 BSIG. Prüft oder untersagt das Bundesinnenministerium den Einsatz einer kritischen Komponente, muss der Betreiber kritischer Anlagen „auf Verlangen alle für das Verfahren erheblichen Tatsachen vollständig und wahrheitsgemäß mitteilen und die ihm bekannten Beweismittel angeben“ [10].

Wer in diesem Verfahren unvollständig antwortet, riskiert also das Zweieinhalbfache dessen, was eine ignorierte BSI-Anordnung nach § 16 oder § 17 kostet. Und die Zuständigkeit wechselt: Nach § 65 Absatz 10 Nummer 1 ist für genau diesen Tatbestand das Bundesministerium des Innern Verwaltungsbehörde, für alle übrigen das BSI [1]. Betroffen ist ein enger Kreis — Betreiber kritischer Anlagen mit Komponenten aus Drittstaaten —, für diesen aber mit einem Rahmen, der die meisten Meldeverstöße übersteigt.

Warum „10 Millionen oder 2 Prozent“ die Staffel falsch beschreibt

Die geläufigste Formel — „bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist“ — stammt aus der NIS2-Richtlinie. § 65 BSIG ist anders gebaut. Absatz 5 setzt feste Höchstbeträge. Die Quoten von 2 Prozent (Absatz 6) und 1,4 Prozent (Absatz 7) stehen nur zur Verfügung, wenn der Gesamtumsatz 500 Millionen Euro übersteigt [1].

Diese Schwelle ist kein politischer Kompromiss, sondern der Schnittpunkt der beiden Rechenwege:

• 2 % von 500 Mio. € = 10 Mio. € — exakt der Festbetrag für besonders wichtige Einrichtungen
• 1,4 % von 500 Mio. € = 7 Mio. € — exakt der Festbetrag für wichtige Einrichtungen

Unterhalb von 500 Millionen Euro Umsatz läge die Quote also immer unter dem Festbetrag; die Öffnung wäre wirkungslos. Der deutsche Gesetzgeber hat das „je nachdem, welcher Betrag höher ist“ der Richtlinie damit in eine saubere Schwellenregel übersetzt. Praktische Folge für den Mittelstand: Die Prozentquote ist schlicht nicht anwendbar, der Festbetrag ist die Obergrenze.

Ein Detail, das größere Konzerntöchter trifft: Gesamtumsatz ist nach Absatz 8 die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im vorausgegangenen Geschäftsjahr — und er „kann geschätzt werden“ [1]. Maßgeblich ist damit nicht der Umsatz der deutschen Einheit, sondern der der Gruppe. Eine 60-Millionen-Tochter in einem Konzern mit drei Milliarden Euro Umsatz fällt in den Anwendungsbereich der Quote.

Die Zehnfach-Regel: wie aus zwei Millionen zwanzig werden

Wichtig für das Verständnis der Rahmen: Die Tatbestände des § 65 knüpfen durchweg an Pflichten an, die das Gesetz der Einrichtung auferlegt — § 30, § 32 und § 33 BSIG adressieren „besonders wichtige Einrichtungen und wichtige Einrichtungen“, nicht deren Geschäftsführung. Kein Absatz des § 65 nennt eine natürliche Person als Bußgeldschuldner [1]. Zwei Vorschriften des Ordnungswidrigkeitenrechts verteilen die Buße trotzdem auf zwei Adressaten: § 9 OWiG erstreckt eine Ahndung, die an besondere persönliche Merkmale des Vertretenen anknüpft, auf das vertretungsberechtigte Organ und auf ausdrücklich Beauftragte [13]; § 30 OWiG erlaubt die Geldbuße gegen die juristische Person, wenn eine Leitungsperson die Ordnungswidrigkeit begangen hat. Nach § 30 Absatz 2 Satz 2 OWiG entspricht deren Rahmen grundsätzlich dem angedrohten Höchstmaß [2].

Für die Stufen 4 und 5 gilt etwas anderes. § 65 Absatz 5 Satz 2 BSIG erklärt für diese beiden Fälle § 30 Absatz 2 Satz 3 OWiG für anwendbar — und dieser Satz verzehnfacht das Höchstmaß [1][2]:

Stufe	Rahmen der Norm (auch gegen die Leitungsperson über § 9 OWiG)	Gegen die Einrichtung (§ 30 OWiG)
4 — bestimmte vollziehbare Anordnungen	2 Mio. €	20 Mio. €
5 — Nachweispflichten nach § 39	1 Mio. €	10 Mio. €
1 — Risikomanagement, Meldepflicht	10 Mio. €	10 Mio. € (keine Verzehnfachung)

Der Grund für die Konstruktion ist erkennbar: Die Stufen 1 und 2 sprechen die Einrichtung ausdrücklich an und sind bereits auf Unternehmensgröße kalibriert. Die Stufen 4 und 5 sind allgemeine Tatbestände, deren Rahmen gegen einen Konzern kaum Steuerungswirkung hätte — die Verweisung stellt sie wieder her. Für die Quotenregelung nehmen die Absätze 6 und 7 ausdrücklich nur auf § 30 Absatz 2 Satz 2 OWiG Bezug, also ohne Vervielfachung.

Einordnung: Der Verweis selbst ist eindeutiger Gesetzeswortlaut. Dass daraus im Ergebnis der höchste Rahmen der ganzen Vorschrift entsteht, ist eine Ableitung aus zwei Normen, zu der — soweit ersichtlich — noch keine veröffentlichte Behörden- oder Gerichtspraxis vorliegt. Für die Risikobewertung ist sie trotzdem relevant: Wer eine vollziehbare Anordnung nach § 16 oder § 17 BSIG aussitzt, bewegt sich nicht im Zwei-Millionen-Bereich.

Fahrlässigkeit halbiert die Buße — außer ganz oben

§ 65 Absatz 2 stellt vorsätzliches und fahrlässiges Handeln gleich, ohne im Höchstmaß zu unterscheiden. Genau dafür gibt es § 17 Absatz 2 OWiG: Ist das der Fall, kann fahrlässiges Handeln „im Höchstmaß nur mit der Hälfte des angedrohten Höchstbetrages“ geahndet werden [3].

Absatz 9 nimmt davon drei Fälle aus — die Stufen 1 und 2 sowie die Quotenregelungen der Absätze 6 und 7 [1]. Daraus ergibt sich eine zweite, selten abgebildete Tabelle:

Stufe	Vorsatz	Fahrlässigkeit
1 — besonders wichtige Einrichtung	10 Mio. €	10 Mio. € (§ 17 Abs. 2 OWiG ausgeschlossen)
2 — wichtige Einrichtung	7 Mio. €	7 Mio. € (ausgeschlossen)
3 — kritische Komponenten	5 Mio. €	2,5 Mio. €
4 — Anordnungen	2 Mio. €	1 Mio. €
6 — Registrierung	500.000 €	250.000 €

Das ist die schärfste Einzelentscheidung der ganzen Vorschrift. Ein fahrlässig unterlassener Risikomanagement-Schritt oder eine versäumte 24-Stunden-Meldung wird mit demselben Rahmen bedroht wie der vorsätzliche Verstoß. Die verbreitete Vorstellung, „wir haben es ja nicht mit Absicht gemacht“ halbiere das Risiko, trifft ausgerechnet auf die beiden teuersten Stufen nicht zu.

Anders bei Stufe 5: Dort hat der Gesetzgeber die Abstufung selbst vorgenommen. Der unrichtige Nachweis kostet vorsätzlich bis zu 1 Mio. €, fahrlässig bis zu 100.000 € (Absatz 3 in Verbindung mit Absatz 5 Satz 1 Nummer 6) — ein Verhältnis von zehn zu eins statt zwei zu eins.

Wer verhängt was — und wann die DSGVO die Buße sperrt

Verwaltungsbehörde ist nach § 65 Absatz 10 grundsätzlich das BSI; allein für den Fünf-Millionen-Tatbestand der kritischen Komponenten das Bundesinnenministerium [1]. Der Bußgeldpfad läuft also nicht durchgängig über eine Behörde.

Praktisch bedeutsam ist Absatz 11: Verhängt eine Datenschutzaufsichtsbehörde nach Artikel 58 Absatz 2 Buchstabe i DSGVO eine Geldbuße, darf für einen Verstoß nach dem BSIG, „der sich aus demselben Verhalten ergibt“, keine weitere Geldbuße verhängt werden [1]. Ein Sicherheitsvorfall mit personenbezogenen Daten führt damit nicht automatisch zur Doppelsanktion — vorausgesetzt, es geht wirklich um dasselbe Verhalten. Die BSIG-Meldung nach § 32 und die Datenschutzmeldung nach Artikel 33 DSGVO bleiben zwei getrennte Pflichten mit eigenen Fristen — nach § 32 Absatz 1 sind das eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach [6]; wie diese Fristen im Detail laufen, zeigt unser Leitfaden zu den NIS2-Meldepflichten.

Ein Punkt zur Vorsicht: § 65 Absatz 2 Nummer 7 sanktioniert weiterhin, wer „entgegen § 33 Absatz 2 Satz 2 nicht sicherstellt, dass er erreichbar ist“. § 33 Absatz 2 besteht in der seit dem 17. März 2026 geltenden Fassung jedoch nur noch aus einem Satz zur Registrierung kritischer Anlagen nach § 8 KRITIS-Dachgesetz [7][12]. Der Verweis geht damit derzeit ins Leere; ob der Tatbestand in dieser Form noch trägt, ist — soweit ersichtlich — nicht geklärt. Unabhängig davon bleibt die Erreichbarkeit praktisch verbindlich: Kontaktdaten gehören nach § 33 Absatz 1 Nummer 2 zu den Pflichtangaben, und Änderungen sind nach Absatz 5 binnen zwei Wochen nachzuziehen.

Was das für Ihre Rolle bedeutet

Rolle	Wichtigster Hebel aus § 65	Konkreter nächster Schritt
Compliance / Recht	Die Stufen 1 und 2 kennen keine Fahrlässigkeitsmilderung (Absatz 9)	Die Dokumentation nach § 30 Abs. 1 S. 3 als eigenständige Pflicht führen — sie ist nach § 30 Abs. 1 S. 3 BSIG ein eigener Tatbestand der obersten Stufe, nicht nur Beiwerk zur Maßnahme [5]
Geschäftsleitung	§ 38 ist nicht bußgeldbewehrt, wirkt aber über die Innenhaftung nach Gesellschaftsrecht (§ 38 Abs. 2)	Billigung und Überwachung der Maßnahmen protokollieren; die Schulungspflicht nach § 38 Abs. 3 terminieren
CISO / IT-Sicherheit	Anordnungen verteilen sich über vier Stufen — die Rechtsgrundlage entscheidet über den Rahmen	Jede BSI-Anordnung beim Eingang der Norm zuordnen (§ 14, § 16/17, § 18/61, § 35/36) und Fristen eskalieren lassen
Betreiber kritischer Anlagen	Stufe 3 (5 Mio. €) und Stufe 5 (Nachweise, gegen das Unternehmen bis 10 Mio. €)	Auskünfte im Verfahren nach § 41 rechtlich begleiten lassen; den Drei-Jahres-Nachweiszyklus nach § 39 im Kalender führen

Wer die Einstufung und den Pflichtenkatalog noch nicht abschließend geklärt hat, findet den Einstieg in unserem Überblick zu den NIS2-Anforderungen und in der Darstellung des deutschen Umsetzungsgesetzes.

Häufige Fragen

Sind es nun sechs oder sieben Bußgeldstufen?
§ 65 Absatz 5 Satz 1 hat sechs Nummern, aber sieben Höchstbeträge, weil Nummer 1 in Buchstabe a (10 Mio. €) und Buchstabe b (7 Mio. €) aufgeteilt ist. Beide Zählweisen sind vertretbar; entscheidend ist, dass alle sieben Beträge im Blick bleiben — insbesondere die fünf Millionen, die in vielen Übersichten fehlen [1].

Gilt der Rahmen von 10 Mio. € pro Verstoß oder pro Jahr?
Pro Ordnungswidrigkeit. § 65 nennt Höchstmaße für einzelne Tatbestände, keine Jahresobergrenze. Hinzu kommt § 17 Absatz 4 OWiG: Die Geldbuße soll den wirtschaftlichen Vorteil aus der Tat übersteigen, und dafür darf das gesetzliche Höchstmaß überschritten werden [3].

Haftet die Geschäftsführung persönlich für das Bußgeld?
§ 65 BSIG selbst nennt keine natürliche Person als Bußgeldschuldner — die Tatbestände knüpfen an Pflichten der Einrichtung an [1]. Ausgeschlossen ist eine persönliche Buße damit aber nicht: § 9 OWiG erstreckt die Ahndung ausdrücklich auf vertretungsberechtigte Organe und ausdrücklich Beauftragte, wenn die maßgeblichen Merkmale beim Vertretenen vorliegen [13]. Wer daraus ein pauschales „Geschäftsführer können nicht belangt werden“ ableitet, verkürzt die Rechtslage. Davon zu trennen ist die zivilrechtliche Seite: Nach § 38 Absatz 2 BSIG haften Geschäftsleitungen ihrer eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des anwendbaren Gesellschaftsrechts [9] — Innenhaftung, keine Sanktion der Behörde. Die Einzelheiten dazu behandelt unser Beitrag zur Geschäftsleiterhaftung nach § 38 BSIG.

Ab wann können Bußgelder überhaupt verhängt werden?
Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und trat am 6. Dezember 2025 in Kraft — ohne allgemeine Übergangsfrist für die Bußgeldvorschriften [11]. Die Registrierungspflicht knüpft an eine eigene Frist an: spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt (§ 33 Abs. 1) [7].

Wie hoch ist das realistische Risiko für einen Mittelständler?
Der Rahmen ist die Obergrenze, nicht der Regelfall. Nach § 17 Absatz 3 OWiG bemisst sich die Geldbuße nach der Bedeutung der Ordnungswidrigkeit, dem Vorwurf und den wirtschaftlichen Verhältnissen [3]. Belastbare öffentliche Daten zur deutschen Zumessungspraxis unter dem neuen BSIG liegen bislang nicht vor.

Rechtlicher Hinweis

Dieser Beitrag enthält allgemeine Informationen und stellt keine Rechts- oder Complianceberatung dar. Anforderungen können je nach Rechtsordnung, Sektor und Unternehmensart abweichen. Die dargestellten Bußgeldrahmen sind gesetzliche Höchstbeträge, keine Prognose über die Höhe einer konkreten Geldbuße. Für eine auf Ihre Situation bezogene Bewertung ziehen Sie bitte eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder eine Compliance-Fachkraft hinzu.

Quellen

1. § 65 BSIG — Bußgeldvorschriften, gesetze-im-internet.de
2. § 30 OWiG — Geldbuße gegen juristische Personen und Personenvereinigungen, gesetze-im-internet.de
3. § 17 OWiG — Höhe der Geldbuße, gesetze-im-internet.de
4. § 28 BSIG — Besonders wichtige Einrichtungen und wichtige Einrichtungen, gesetze-im-internet.de
5. § 30 BSIG — Risikomanagementmaßnahmen, gesetze-im-internet.de
6. § 32 BSIG — Meldepflichten, gesetze-im-internet.de
7. § 33 BSIG — Registrierungspflicht, gesetze-im-internet.de
8. § 35 BSIG — Unterrichtungspflichten, gesetze-im-internet.de
9. § 38 BSIG — Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, gesetze-im-internet.de
10. § 41 BSIG — Untersagung des Einsatzes kritischer Komponenten, gesetze-im-internet.de
11. Bundesamt für Sicherheit in der Informationstechnik: NIS-2-FAQ (allgemein), bsi.bund.de — Verkündung am 5. Dezember 2025, Inkrafttreten am 6. Dezember 2025
12. Fassungsvergleich § 65 BSIG, buzer.de — geltende Fassung mit Wirkung vom 17. März 2026
13. § 9 OWiG — Handeln für einen anderen, gesetze-im-internet.de