NIS2 Bußgelder: was § 65 BSIG vorsieht
§ 65 BSIG nennt Höchstbeträge. Wer die Sicherheitsmaßnahmen oder die Meldepflicht verletzt, kann ein Bußgeld von bis zu 10 Millionen Euro (besonders wichtige Einrichtung) oder 7 Millionen Euro (wichtige Einrichtung) bekommen. Für eine versäumte Registrierung liegt die Grenze bei 500.000 Euro. Es sind Obergrenzen, keine festen Beträge. Zuständig ist das BSI.
Welcher Verstoß welche Obergrenze hat
Die wichtigsten Fälle aus § 65 BSIG. Der erste Betrag gilt für besonders wichtige, der zweite für wichtige Einrichtungen. Steht nur ein Betrag da, gilt er für beide.
| Verstoß | Höchstbetrag |
|---|---|
| Sicherheitsmaßnahmen nicht, nicht richtig oder nicht rechtzeitig ergriffen§ 65 Abs. 2 Nr. 2 | 10 Mio. € / 7 Mio. € |
| Umsetzung der Maßnahmen nicht dokumentiert§ 65 Abs. 2 Nr. 3 | 10 Mio. € / 7 Mio. € |
| Erheblichen Vorfall nicht, falsch oder zu spät gemeldet, Abschlussmeldung versäumt§ 65 Abs. 2 Nr. 4 und 5 | 10 Mio. € / 7 Mio. € |
| Anordnung des BSI nicht befolgt, Kunden über einen Vorfall zu unterrichten§ 65 Abs. 2 Nr. 1 Buchst. d | 10 Mio. € / 7 Mio. € |
| Nicht oder zu spät registriert, Angaben nicht übermittelt§ 65 Abs. 2 Nr. 6 | 500.000 € |
| Bestimmte Anordnungen des BSI nicht befolgt, etwa Nachweise vorzulegen§ 65 Abs. 2 Nr. 1 Buchst. c | 500.000 € |
| Bei einer Prüfung des BSI Zutritt, Unterlagen oder Auskunft verweigert§ 65 Abs. 2 Nr. 17 | 100.000 € |
Die Höchstbeträge stehen in § 65 Abs. 5 BSIG.
Wann ein Prozentsatz vom Umsatz gilt
Bei sehr großen Unternehmen kann das Bußgeld höher liegen: bis zu 2 Prozent (besonders wichtige) oder 1,4 Prozent (wichtige Einrichtung) des weltweiten Gesamtumsatzes. Das gilt nur, wenn dieser Umsatz über 500 Millionen Euro liegt.
Gezählt wird der Umsatz des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Entscheidung. Er darf geschätzt werden.
Die EU-Richtlinie sieht den höheren Wert aus Festbetrag und Prozentsatz vor (Art. 34 Abs. 4 und 5 NIS 2). Das deutsche Gesetz knüpft den Prozentsatz an die Grenze von 500 Millionen Euro Umsatz.
§ 65 Abs. 6 bis 8 BSIG
Wer entscheidet, und wie
Bußgelder nach § 65 BSIG verhängt das BSI. Es sind Ordnungswidrigkeiten; das Verfahren folgt dem Gesetz über Ordnungswidrigkeiten.
Die Beträge sind Obergrenzen. Wie hoch ein Bußgeld im Einzelfall ausfällt, hängt nach der Richtlinie unter anderem von Schwere und Dauer des Verstoßes, früheren Verstößen, dem Schaden, Vorsatz oder Fahrlässigkeit und der Zusammenarbeit mit der Behörde ab.
Hat eine Datenschutzaufsicht für dasselbe Verhalten schon ein Bußgeld nach der DSGVO verhängt, darf das BSI kein weiteres verhängen.
Bis zu unserer letzten Prüfung im August 2026 hatte das BSI kein Bußgeld nach dem neuen BSIG veröffentlicht.
§ 65 Abs. 10 und 11 BSIG · Art. 32 Abs. 7, Art. 34 Abs. 3 NIS 2
Und die Geschäftsleitung?
Unabhängig von Bußgeldern regelt § 38 BSIG die Pflichten der Geschäftsleitung: Maßnahmen umsetzen, ihre Umsetzung überwachen, regelmäßig an Schulungen teilnehmen. Verletzt sie diese schuldhaft, haftet sie dem eigenen Unternehmen nach Gesellschaftsrecht für den Schaden.
Bei besonders wichtigen Einrichtungen kann die Aufsichtsbehörde einer Geschäftsleitung als letztes Mittel die Tätigkeit vorübergehend untersagen, wenn Anordnungen des BSI trotz Frist nicht befolgt werden (§ 61 Abs. 9 BSIG).
Geschäftsführerhaftung nach § 38 BSIGWas das für ein Unternehmen mit 50 bis 150 Beschäftigten heißt
Mit 50 bis 249 Beschäftigten ist ein Unternehmen in der Regel eine wichtige Einrichtung. Besonders wichtig ist es in dieser Größe nur, wenn es in einem Sektor der Anlage 1 über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme hat oder eine kritische Anlage betreibt (§ 28 BSIG).
Für eine wichtige Einrichtung liegt die Obergrenze bei Maßnahmen und Meldungen also bei 7 Millionen Euro. Ein Prozentsatz vom Umsatz kommt erst ab 500 Millionen Euro Umsatz in Frage.
Die Pflichten mit den höchsten Obergrenzen sind die, die ohnehin anstehen: Maßnahmen ergreifen, sie dokumentieren, erhebliche Vorfälle melden.
Ein Beispiel
Eine erfundene Firma: ein Hersteller von Werkzeugmaschinen mit 140 Beschäftigten und 28 Millionen Euro Umsatz.
Maschinenbau steht in Anlage 2 des BSIG. Mit 140 Beschäftigten ist die Firma eine wichtige Einrichtung.
Für sie gelten die festen Obergrenzen: bis 7 Millionen Euro bei Maßnahmen und Meldungen, bis 500.000 Euro bei der Registrierung. Ein Prozentsatz vom Umsatz kommt nicht in Frage.
Als wichtige Einrichtung prüft das BSI sie nur, wenn Tatsachen annehmen lassen, dass sie § 30, § 32 oder § 38 Abs. 3 BSIG nicht einhält (§ 62 BSIG).
Die Firma ist registriert, hat ihre Maßnahmen dokumentiert und weiß, wer einen Vorfall meldet. Damit erfüllt sie die Pflichten, an die das Gesetz die höchsten Beträge knüpft.
So geht das im Durchgang
Der Durchgang auf nisd2.eu führt durch die Pflichten, an die § 65 BSIG die höchsten Beträge knüpft.
Aus jedem der zehn Bereiche aus § 30 Abs. 2 BSIG wird mindestens ein Schritt, den Sie ausfüllen.
Was Sie festlegen, steht danach schriftlich da: als Dokument aus Ihren Antworten oder als Liste, wo eine Liste reicht.
Ein Schritt zeigt die drei Meldefristen und fragt, ob Sie sich im Portal des BSI anmelden und melden können.
Ein Schritt hält Ihre Registrierung beim BSI fest.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang.
Häufige Fragen
Gibt es schon NIS2 Bußgelder in Deutschland?
Bis zu unserer letzten Prüfung im August 2026 hatte das BSI kein Bußgeld nach dem neuen BSIG veröffentlicht. Die Höchstbeträge gelten seit dem 6. Dezember 2025.
Ist das Bußgeld immer 10 Millionen Euro?
Nein. 10 Millionen Euro ist die Obergrenze für besonders wichtige Einrichtungen bei Verstößen gegen Maßnahmen und Meldepflicht. Die Höhe im Einzelfall hängt unter anderem von Schwere, Dauer und Folgen des Verstoßes ab.
Gilt der Prozentsatz vom Umsatz auch im Mittelstand?
Nur, wenn der Gesamtumsatz des Unternehmens, dem die Einrichtung angehört, über 500 Millionen Euro liegt (§ 65 Abs. 6 und 7 BSIG). Sonst gelten die festen Höchstbeträge.
Wer verhängt NIS2 Bußgelder in Deutschland?
Das BSI (§ 65 Abs. 10 BSIG).
Kann es zusätzlich ein Bußgeld nach der DSGVO geben?
Nicht für dasselbe Verhalten. Hat eine Datenschutzaufsicht dafür schon ein Bußgeld verhängt, darf das BSI kein weiteres verhängen (§ 65 Abs. 11 BSIG).
Quellen
- BSI-Gesetz (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65, gesetze-im-internet.de/bsig_2025
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 32 Abs. 7 und Art. 34, EUR-Lex
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Vorfallbehandlung
Wissen, wie Sie einen Vorfall melden
Drei Meldungen an das BSI, mit festen Fristen.
Registrierung & Meldung
Beim BSI registrieren
Ihr Unternehmen meldet sich einmal beim BSI an.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
