NIS2-Leitfaden · 8 Min.
NIS2-Bußgelder und Sanktionen: wie hoch, wer haftet und wie man sie vermeidet
NIS2 gibt den Aufsichtsbehörden echte Durchsetzungsmacht: umsatzbasierte Bußgelder, verbindliche Anordnungen und, für wesentliche Einrichtungen, die Befugnis, eine Zertifizierung vorübergehend auszusetzen oder einer Führungskraft die Funktion vorübergehend zu untersagen. Dieser Leitfaden erklärt, was die Sanktionen sind, wer persönlich haftet, wie sich die Aufsicht für wesentliche und wichtige Einrichtungen unterscheidet, und den praktischen Weg, Ärger zu vermeiden: Setzen Sie die Maßnahmen nach Artikel 21 Absatz 2 um und führen Sie fortlaufende, datierte Nachweise darüber.
Wichtigste Erkenntnisse
- Die Höchstbußgelder sind umsatzbasiert: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und 7 Mio. € oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist.
- Das Leitungsorgan muss die Sicherheitsmaßnahmen genehmigen und überwachen (Art. 20) und kann persönlich haftbar gemacht werden; bei wesentlichen Einrichtungen können Behörden einer Führungskraft die Funktion vorübergehend untersagen (Art. 32 Abs. 5).
- Bußgelder sind das letzte Mittel: Der Alltag besteht aus verbindlichen Anordnungen, Audits und den Kosten des Sorgfaltsnachweises. Fortlaufende, nachgewiesene Lieferkettenüberwachung ist die günstigste Versicherung.
Was NIS2-Sanktionen abdecken
NIS2 (Richtlinie (EU) 2022/2555) wird von jedem Mitgliedstaat in nationales Recht umgesetzt, sodass die genauen Beträge und Verfahren national festgelegt werden, doch die Richtlinie legt die Untergrenzen für die maximalen Bußgelder und das Durchsetzungsinstrumentarium fest. Sanktionen knüpfen an die Nichterfüllung der Pflichten an: die Risikomanagementmaßnahmen nach Artikel 21 Absatz 2, die Meldepflichten nach Artikel 23, die Registrierung und die Zusammenarbeit mit den Behörden.
Entscheidend ist: Bei NIS2 geht es nicht nur um Geld. Artikel 32 (wesentliche Einrichtungen) und Artikel 33 (wichtige Einrichtungen) geben den zuständigen Behörden abgestufte Befugnisse, von Verwarnungen über verbindliche Anweisungen bis hin zu, für wesentliche Einrichtungen, Aussetzung und Führungsverboten. Das Bußgeld ist die Schlagzeile; die operativen Maßnahmen sind das, was die meisten Einrichtungen tatsächlich erleben.
Die Höchstbußgelder
Wesentliche Einrichtungen
Bis zu 10.000.000 € oder 2 % des gesamten weltweiten Jahresumsatzes (vorangegangenes Geschäftsjahr), je nachdem, welcher Betrag höher ist.
Größere Betreiber in hochkritischen Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Raumfahrt.
Wichtige Einrichtungen
Bis zu 7.000.000 € oder 1,4 % des gesamten weltweiten Jahresumsatzes (vorangegangenes Geschäftsjahr), je nachdem, welcher Betrag höher ist.
Sonstige mittlere und große Einrichtungen in den erfassten Sektoren, darunter Post- und Kurierdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter und Forschung.
Dies sind durch die Richtlinie festgelegte Höchstgrenzen (Art. 34). Tatsächliche Bußgelder werden national festgelegt und müssen wirksam, verhältnismäßig und abschreckend sein, unter Berücksichtigung von Schwere, Dauer und Ihrer Zusammenarbeit. Bestätigen Sie die genauen Regeln in der Umsetzung Ihres Landes mit qualifizierter Beratung.
Persönliche Haftung und Haftung der Leitung
NIS2 legt die Cybersicherheit bewusst auf den Tisch der Geschäftsleitung. Nach Artikel 20 muss das Leitungsorgan die Cyber-Risikomanagementmaßnahmen genehmigen, ihre Umsetzung überwachen und kann für Versäumnisse haftbar gemacht werden. Mitglieder der Leitungsorgane müssen zudem an Schulungen teilnehmen und sollen ihren Mitarbeitenden ähnliche Schulungen anbieten.
Bei wesentlichen Einrichtungen geht Artikel 32 Absatz 5 weiter: Wenn andere Durchsetzung gescheitert ist, können die zuständigen Behörden eine Zertifizierung oder Genehmigung vorübergehend aussetzen und einer Person auf Ebene des Geschäftsführers oder gesetzlichen Vertreters die Ausübung von Leitungsfunktionen vorübergehend untersagen. Diese persönliche Verantwortung ist der Grund, warum die NIS2-Governance nun bis an die Spitze der Organisation reicht.
Sehen Sie, wie Ihre Lieferanten tatsächlich abschneiden
7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar
Das Durchsetzungsinstrumentarium (über Bußgelder hinaus)
Vor oder neben einem Bußgeld können Behörden eine Reihe verbindlicher Maßnahmen anwenden (Art. 32 und 33). In der Praxis werden Sie am ehesten mit Folgendem konfrontiert:
- Verwarnungen und verbindliche Anweisungen, bestimmte Mängel innerhalb einer Frist zu beheben.
- Anordnungen zur Einhaltung, zur Information betroffener Kunden über eine erhebliche Bedrohung oder zur Umsetzung von Auditempfehlungen.
- Verpflichtende Sicherheitsaudits und Vor-Ort-Inspektionen auf eigene Kosten.
- Bestellung eines Überwachungsbeauftragten, der Ihre Einhaltung für einen festgelegten Zeitraum überwacht.
- Öffentliche Bekanntgabe des Verstoßes und Anordnungen, Aspekte des Vorfalls öffentlich zu machen.
- Nur für wesentliche Einrichtungen: vorübergehende Aussetzung der Zertifizierung oder Genehmigung und ein vorübergehendes Führungsverbot (Art. 32 Abs. 5).
Die Aufsicht unterscheidet sich je nach Kategorie
Wesentliche Einrichtungen unterliegen nach Artikel 32 einer proaktiven (Ex-ante-) und reaktiven (Ex-post-)Aufsicht: regelmäßige und gezielte Audits, Vor-Ort-Inspektionen, Sicherheitsscans und Auskunftsersuchen können unabhängig davon erfolgen, ob ein Problem vermutet wird.
Wichtige Einrichtungen werden nach Artikel 33 nur ex post beaufsichtigt: Die Behörden werden tätig, wenn Nachweise oder Hinweise auf Nichteinhaltung vorliegen, typischerweise nach einem Vorfall oder einer Beschwerde. In beiden Fällen liegt die Beweislast bei Ihnen, dass angemessene Maßnahmen vorhanden waren, was mit fortlaufenden Aufzeichnungen weit einfacher ist als mit einer einmal jährlichen Momentaufnahme.
Quellen: Richtlinie (EU) 2022/2555 (NIS2), Artikel 20, 32, 33 und 34 Die Höchstbußgeldbeträge sind in der Richtlinie festgelegt; die nationalen Umsetzungen regeln die genauen Vorschriften und Verfahren. Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung.
Wie norppa.io Ihr Risiko senkt
Die meisten Sanktionen lassen sich auf zwei Versäumnisse zurückführen: unzureichende Maßnahmen nach Artikel 21 Absatz 2 (insbesondere Lieferkettensicherheit) und die Unfähigkeit, die Sorgfalt auf Anfrage nachzuweisen. norppa.io adressiert beides, indem es jede Lieferanten-Domain fortlaufend überwacht und jeden Befund dem NIS2-Artikel zuordnet, den er betrifft.
Da jeder Überwachungszyklus protokolliert wird, verfügen Sie über einen fortlaufenden, datierten Prüfpfad, genau den Nachweis, den die Aufsicht nach den Artikeln 32 und 33 verlangt, statt einer Momentaufnahme. Das macht aus „wir hatten vor“ ein „hier ist der Nachweis“ und ist die günstigste Versicherung gegen die obigen Bußgelder und Anordnungen.