NIS2-boetes: wat § 65 BSIG bepaalt
§ 65 BSIG legt maximumbedragen vast. Wie de beveiligingsmaatregelen of de meldplicht schendt, kan een boete krijgen tot 10 miljoen EUR (essentiële entiteit) of 7 miljoen EUR (belangrijke entiteit). Voor een gemiste registratie is de grens 500.000 EUR. Dat zijn bovengrenzen, geen vaste bedragen. Het BSI is de instantie die beslist.
Welke schending welke bovengrens heeft
De belangrijkste gevallen uit § 65 BSIG. Het eerste bedrag geldt voor essentiële, het tweede voor belangrijke entiteiten. Staat er maar één bedrag, dan geldt het voor beide.
| Schending | Maximum |
|---|---|
| Beveiligingsmaatregelen niet, niet juist of niet op tijd genomen§ 65(2) nr. 2 | 10 mln. EUR / 7 mln. EUR |
| Invoering van de maatregelen niet vastgelegd§ 65(2) nr. 3 | 10 mln. EUR / 7 mln. EUR |
| Significant incident niet, onjuist of te laat gemeld, eindrapport niet ingediend§ 65(2) nrs. 4 en 5 | 10 mln. EUR / 7 mln. EUR |
| Bevel van het BSI om klanten over een incident te informeren niet opgevolgd§ 65(2) nr. 1(d) | 10 mln. EUR / 7 mln. EUR |
| Niet of te laat geregistreerd, gegevens niet doorgegeven§ 65(2) nr. 6 | 500.000 EUR |
| Bepaalde bevelen van het BSI niet opgevolgd, zoals het overleggen van bewijs§ 65(2) nr. 1(c) | 500.000 EUR |
| Toegang, documenten of informatie geweigerd bij een controle door het BSI§ 65(2) nr. 17 | 100.000 EUR |
De maximumbedragen staan in § 65(5) BSIG.
Wanneer een percentage van de omzet geldt
Voor zeer grote bedrijven kan de boete hoger zijn: tot 2 procent (essentiële) of 1,4 procent (belangrijke entiteit) van de wereldwijde totale omzet. Dat geldt alleen als die omzet boven 500 miljoen EUR ligt.
Bepalend is de omzet van de onderneming waartoe de entiteit behoort, in het boekjaar vóór de beslissing. Die mag worden geschat.
De EU-richtlijn gaat uit van het hoogste van het vaste bedrag en het percentage (art. 34(4) en (5) NIS 2). De Duitse wet koppelt het percentage aan de omzetgrens van 500 miljoen EUR.
§ 65(6) tot (8) BSIG
Wie beslist, en hoe
Boetes volgens § 65 BSIG legt het BSI op. Het gaat om bestuursrechtelijke overtredingen (Ordnungswidrigkeiten); de procedure volgt de Duitse wet op die overtredingen (Gesetz über Ordnungswidrigkeiten).
De bedragen zijn bovengrenzen. Hoe hoog een boete in een afzonderlijk geval is, hangt volgens de richtlijn af van factoren zoals de ernst en duur van de schending, eerdere schendingen, de schade, opzet of nalatigheid en de samenwerking met de instantie.
Heeft een toezichthouder voor gegevensbescherming hetzelfde gedrag al beboet volgens de AVG, dan mag het BSI geen tweede boete opleggen.
Bij onze laatste controle in augustus 2026 had het BSI nog geen boete volgens de nieuwe BSIG gepubliceerd.
§ 65(10) en (11) BSIG · Art. 32(7), Art. 34(3) NIS 2
En de directie?
Los van boetes legt § 38 BSIG de plichten van de directie vast: de maatregelen invoeren, toezicht houden op de invoering, regelmatig een training volgen. Schendt de directie die verwijtbaar, dan is zij volgens het vennootschapsrecht aansprakelijk tegenover haar eigen bedrijf voor de schade.
Bij essentiële entiteiten kan de toezichthouder als laatste middel de directie tijdelijk verbieden haar functie uit te oefenen, als bevelen van het BSI ondanks een termijn niet worden opgevolgd (§ 61(9) BSIG).
Aansprakelijkheid van de directie volgens § 38 BSIGWat dit betekent bij 50 tot 150 medewerkers
Met 50 tot 249 medewerkers is een bedrijf meestal een belangrijke entiteit. Bij deze omvang is het alleen essentieel als het in een sector van bijlage 1 meer dan 50 miljoen EUR omzet en meer dan 43 miljoen EUR balanstotaal heeft, of als het een kritieke installatie exploiteert (§ 28 BSIG).
Voor een belangrijke entiteit is de bovengrens voor maatregelen en melden dus 7 miljoen EUR. Een percentage van de omzet speelt pas mee vanaf 500 miljoen EUR omzet.
De plichten met de hoogste grenzen zijn de plichten die toch al gelden: de maatregelen nemen, ze vastleggen, significante incidenten melden.
Een voorbeeld
Een verzonnen bedrijf: een maker van werktuigmachines met 140 medewerkers en 28 miljoen EUR omzet.
Machinebouw staat in bijlage 2 van de BSIG. Met 140 medewerkers is het bedrijf een belangrijke entiteit.
De vaste bovengrenzen gelden: tot 7 miljoen EUR voor maatregelen en melden, tot 500.000 EUR voor de registratie. Een percentage van de omzet speelt geen rol.
Als belangrijke entiteit controleert het BSI het bedrijf alleen als feiten erop wijzen dat het § 30, § 32 of § 38(3) BSIG niet naleeft (§ 62 BSIG).
Het bedrijf is geregistreerd, heeft zijn maatregelen vastgelegd en weet wie een incident meldt. Daarmee zijn de plichten gedekt waaraan de wet de hoogste bedragen verbindt.
Zo gaat het in de doorloop
De doorloop op nisd2.eu leidt u door de plichten waaraan § 65 BSIG de hoogste bedragen verbindt.
Elk van de tien gebieden in § 30(2) BSIG wordt minstens één stap die u invult.
Wat u besluit, staat daarna op schrift: als document uit uw antwoorden, of als lijst waar een lijst volstaat.
Eén stap toont de drie meldtermijnen en vraagt of u kunt inloggen op het portaal van het BSI en kunt melden.
Eén stap legt uw registratie bij het BSI vast.
Aan het eind keurt de directie de documenten goed in de app, ingelogd met een eigen account.
Veelgestelde vragen
Zijn er in Duitsland al NIS2-boetes opgelegd?
Bij onze laatste controle in augustus 2026 had het BSI nog geen boete volgens de nieuwe BSIG gepubliceerd. De maximumbedragen gelden sinds 6 december 2025.
Is de boete altijd 10 miljoen EUR?
Nee. 10 miljoen EUR is de bovengrens voor essentiële entiteiten bij schending van de maatregelen en de meldplicht. Het bedrag in een afzonderlijk geval hangt af van factoren zoals de ernst, de duur en de gevolgen van de schending.
Geldt het percentage van de omzet voor het mkb?
Alleen als de totale omzet van de onderneming waartoe de entiteit behoort boven 500 miljoen EUR ligt (§ 65(6) en (7) BSIG). Anders gelden de vaste maximumbedragen.
Wie legt in Duitsland NIS2-boetes op?
Het BSI (§ 65(10) BSIG).
Kan er ook een AVG-boete komen?
Niet voor hetzelfde gedrag. Heeft een toezichthouder voor gegevensbescherming het al beboet, dan mag het BSI geen tweede boete opleggen (§ 65(11) BSIG).
Bronnen
- BSI-wet (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65, gesetze-im-internet.de/bsig_2025
- Richtlijn (EU) 2022/2555 (NIS 2), art. 32(7) en art. 34, EUR-Lex
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
