§ 65 BSIG · Art. 34 NIS 2

Kary pieniężne NIS2: co przewiduje § 65 BSIG

§ 65 BSIG określa kwoty maksymalne. Naruszenie środków bezpieczeństwa lub obowiązku zgłaszania może skutkować karą do 10 mln EUR (podmiot kluczowy) lub 7 mln EUR (podmiot ważny). Za brak rejestracji górna granica wynosi 500 000 EUR. Są to górne granice, a nie stałe kwoty. Organem, który decyduje, jest BSI.

Zacznij teraz

Umów rozmowę

Decyduje ktoś inny? Jedna strona dla Twojego kierownictwa

Simon Orzel·Zuletzt geprüft 5. Oktober 2026

Które naruszenie ma jaką górną granicę

Najważniejsze przypadki z § 65 BSIG. Pierwsza kwota dotyczy podmiotów kluczowych, druga podmiotów ważnych. Jeśli jest tylko jedna kwota, dotyczy obu.

Naruszenie	Maksimum	Przepis
Środki bezpieczeństwa niepodjęte, podjęte nieprawidłowo lub nie w terminie§ 65(2) nr 2	10 mln EUR / 7 mln EUR	§ 65(2) nr 2
Wdrożenie środków nieudokumentowane§ 65(2) nr 3	10 mln EUR / 7 mln EUR	§ 65(2) nr 3
Poważny incydent niezgłoszony, zgłoszony nieprawidłowo lub z opóźnieniem, brak sprawozdania końcowego§ 65(2) nr 4 i 5	10 mln EUR / 7 mln EUR	§ 65(2) nr 4 i 5
Niewykonanie polecenia BSI, aby poinformować klientów o incydencie§ 65(2) nr 1 lit. d	10 mln EUR / 7 mln EUR	§ 65(2) nr 1 lit. d
Brak rejestracji lub rejestracja z opóźnieniem, dane nieprzekazane§ 65(2) nr 6	500 000 EUR	§ 65(2) nr 6
Niewykonanie niektórych poleceń BSI, na przykład przedstawienia dowodów§ 65(2) nr 1 lit. c	500 000 EUR	§ 65(2) nr 1 lit. c
Odmowa dostępu, dokumentów lub informacji podczas kontroli BSI§ 65(2) nr 17	100 000 EUR	§ 65(2) nr 17

Kwoty maksymalne są w § 65(5) BSIG.

Kiedy obowiązuje procent obrotu

W przypadku bardzo dużych firm kara może być wyższa: do 2 procent (podmiot kluczowy) lub 1,4 procent (podmiot ważny) całkowitego światowego obrotu. Dotyczy to tylko sytuacji, gdy ten obrót przekracza 500 mln EUR.

Liczy się obrót przedsiębiorstwa, do którego należy podmiot, w roku obrotowym poprzedzającym decyzję. Może on zostać oszacowany.

Dyrektywa UE przewiduje wyższą z dwóch wartości: kwotę stałą albo procent (Art. 34(4) i (5) NIS 2). Niemiecka ustawa wiąże procent z progiem obrotu 500 mln EUR.

§ 65(6) do (8) BSIG

Kto decyduje i jak

Kary pieniężne z § 65 BSIG nakłada BSI. Są to wykroczenia administracyjne (Ordnungswidrigkeiten); postępowanie toczy się według niemieckiej ustawy o wykroczeniach administracyjnych.

Kwoty są górnymi granicami. Wysokość kary w konkretnym przypadku zależy według dyrektywy od takich czynników jak waga i czas trwania naruszenia, wcześniejsze naruszenia, szkoda, umyślność lub niedbalstwo oraz współpraca z organem.

Jeśli organ ochrony danych ukarał już to samo zachowanie na podstawie RODO, BSI nie może nałożyć kolejnej kary.

Według naszego ostatniego sprawdzenia w sierpniu 2026 r. BSI nie opublikowało żadnej kary nałożonej na podstawie nowej BSIG.

§ 65(10) i (11) BSIG · Art. 32(7), Art. 34(3) NIS 2

A kierownictwo?

Niezależnie od kar pieniężnych § 38 BSIG określa obowiązki kierownictwa: wdrażać środki, nadzorować ich wdrożenie, regularnie brać udział w szkoleniach. Jeśli kierownictwo w sposób zawiniony je naruszy, odpowiada wobec własnej firmy za szkodę według prawa spółek.

W przypadku podmiotów kluczowych organ nadzoru może w ostateczności tymczasowo zakazać kierownictwu pełnienia funkcji, jeśli mimo wyznaczonego terminu polecenia BSI nie zostaną wykonane (§ 61(9) BSIG).

Odpowiedzialność kierownictwa według § 38 BSIG

Co to oznacza przy 50 do 150 pracownikach

Przy 50 do 249 pracownikach firma jest zwykle podmiotem ważnym. Przy tej wielkości jest podmiotem kluczowym tylko wtedy, gdy w sektorze z załącznika 1 ma ponad 50 mln EUR obrotu i ponad 43 mln EUR sumy bilansowej albo gdy prowadzi instalację krytyczną (§ 28 BSIG).

Dla podmiotu ważnego górna granica dla środków i zgłaszania wynosi więc 7 mln EUR. Procent obrotu ma znaczenie dopiero od 500 mln EUR obrotu.

Obowiązki z najwyższymi granicami to te, które i tak trzeba wypełnić: podjąć środki, udokumentować je, zgłaszać poważne incydenty.

Przykład

Fikcyjna firma: producent obrabiarek, 140 pracowników i 28 mln EUR obrotu.

Budowa maszyn jest wymieniona w załączniku 2 do BSIG. Przy 140 pracownikach firma jest podmiotem ważnym.

Obowiązują stałe górne granice: do 7 mln EUR za środki i zgłaszanie, do 500 000 EUR za rejestrację. Procent obrotu nie ma znaczenia.

Jako podmiot ważny jest kontrolowana przez BSI tylko wtedy, gdy fakty wskazują, że nie przestrzega § 30, § 32 lub § 38(3) BSIG (§ 62 BSIG).

Firma jest zarejestrowana, udokumentowała swoje środki i wie, kto zgłasza incydent. To obejmuje obowiązki, z którymi ustawa wiąże najwyższe kwoty.

Jak robi to przewodnik

Przewodnik na nisd2.eu prowadzi Cię przez obowiązki, z którymi § 65 BSIG wiąże najwyższe kwoty.

Każdy z dziesięciu obszarów z § 30(2) BSIG staje się co najmniej jednym krokiem, który wypełniasz.

To, co postanowisz, jest potem na piśmie: jako dokument z Twoich odpowiedzi albo jako lista tam, gdzie lista wystarcza.

Jeden krok pokazuje trzy terminy zgłoszeń i pyta, czy możesz zalogować się do portalu BSI i dokonać zgłoszenia.

Jeden krok zapisuje Twoją rejestrację w BSI.

Na końcu kierownictwo zatwierdza dokumenty w aplikacji, zalogowane na własne konto.

Zacznij od pierwszego kroku

Częste pytania

Czy w Niemczech nałożono już kary pieniężne NIS2?

Według naszego ostatniego sprawdzenia w sierpniu 2026 r. BSI nie opublikowało żadnej kary nałożonej na podstawie nowej BSIG. Kwoty maksymalne obowiązują od 6 grudnia 2025 r.

Czy kara zawsze wynosi 10 mln EUR?

Nie. 10 mln EUR to górna granica dla podmiotów kluczowych za naruszenia dotyczące środków i obowiązku zgłaszania. Kwota w konkretnym przypadku zależy od takich czynników jak waga, czas trwania i skutki naruszenia.

Czy procent obrotu dotyczy MŚP?

Tylko jeśli całkowity obrót przedsiębiorstwa, do którego należy podmiot, przekracza 500 mln EUR (§ 65(6) i (7) BSIG). W przeciwnym razie obowiązują stałe kwoty maksymalne.

Kto nakłada kary pieniężne NIS2 w Niemczech?

BSI (§ 65(10) BSIG).

Czy może być też kara na podstawie RODO?

Nie za to samo zachowanie. Jeśli organ ochrony danych już je ukarał, BSI nie może nałożyć kolejnej kary (§ 65(11) BSIG).

Źródła

Ustawa o BSI (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65, gesetze-im-internet.de/bsig_2025
Dyrektywa (UE) 2022/2555 (NIS 2), Art. 32(7) i Art. 34, EUR-Lex

W praktyce

Gdzie to pojawia się w przewodniku krok po kroku

Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.

Sam przewodnik jest po niemiecku i po angielsku.

Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.