Bußgelder und Strafen nach NIS2: wie hoch, wofür und was Behörden sonst noch tun können

NIS2-Geldbußen drohen, wenn eine Einrichtung gegen Artikel 21 (Risikomanagementmaßnahmen im Bereich der Cybersicherheit) oder Artikel 23 (Meldung von Sicherheitsvorfällen) verstößt. Das nationale Recht muss Geldbußen mit einem Höchstbetrag von mindestens 10 Mio. EUR oder mindestens 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und von mindestens 7 Mio. EUR oder mindestens 1,4 % für wichtige Einrichtungen ermöglichen, je nachdem, welcher Betrag höher ist. Eine höhere NIS2-Stufe gibt es nicht: 20 Mio. EUR oder 4 % stammen aus der DSGVO.

Dieser Leitfaden behandelt die Obergrenzen, den Konzernumsatz, die bußgeldbewehrten Pflichten, die Bemessung, weitere Durchsetzungsbefugnisse, die persönliche Haftung, die DSGVO, nationale Gesetze und eine Checkliste.

	Wesentliche Einrichtungen	Wichtige Einrichtungen
Höchstbetrag der Geldbußen bei Art. 21 oder 23 (Art. 34)	Mindestens 10 Mio. EUR oder 2 % des weltweiten Umsatzes	Mindestens 7 Mio. EUR oder 1,4 %
Beginn der Aufsicht	Jederzeit, auch durch Stichprobenkontrollen (Art. 32)	Ex post, bei Nachweisen oder Hinweisen (Art. 33)
Audits	Regelmäßig, gezielt und ad hoc	Nur gezielt
Warnungen, verbindliche Anweisungen, Anordnungen, Veröffentlichung	Ja	Ja
Überwachungsbeauftragter	Ja (Art. 32 Abs. 4 Buchst. g)	Nein
Aussetzung der Zertifizierung, vorübergehendes Verbot von Leitungsaufgaben	Letztes Mittel (Art. 32 Abs. 5)	Nein
Persönliche Haftung der Vertreter	Art. 32 Abs. 6	Art. 32 Abs. 6, über Art. 33 Abs. 5
DSGVO-Geldbuße für dasselbe Verhalten	Keine NIS2-Geldbuße (Art. 35 Abs. 2)	Keine NIS2-Geldbuße (Art. 35 Abs. 2)

Wie hoch sind die Bußgelder nach NIS2?

Artikel 34 legt eine Untergrenze für die nationale Obergrenze fest, nicht die Geldbuße selbst. Für Verstöße gegen Artikel 21 oder 23 gilt:

• Wesentliche Einrichtungen: Geldbußen mit einem Höchstbetrag von mindestens 10 Mio. EUR oder mindestens 2 % des gesamten weltweiten Jahresumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Betrag höher ist (Artikel 34 Absatz 4).
• Wichtige Einrichtungen: ein Höchstbetrag von mindestens 7 Mio. EUR oder mindestens 1,4 % dieses Umsatzes, je nachdem, welcher Betrag höher ist (Artikel 34 Absatz 5).

Die Formel Höchstbetrag von mindestens wirkt in beide Richtungen. Das nationale Recht kann eine höhere Obergrenze festlegen, und eine Geldbuße kann jeden Betrag bis zu dieser Grenze annehmen. Die Geldbußen müssen „wirksam, verhältnismäßig und abschreckend“ sein (Artikel 34 Absatz 1).

Beide Zahlenpaare treffen sich bei 500 Mio. EUR Umsatz: 2 % davon sind 10 Mio. EUR, 1,4 % sind 7 Mio. EUR. Darunter bestimmt der feste Betrag die Obergrenze, darüber der Prozentsatz. Bei einem Konzern mit 2 Mrd. EUR Umsatz muss der nationale Höchstbetrag für eine wesentliche Einrichtung mindestens 40 Mio. EUR und für eine wichtige Einrichtung mindestens 28 Mio. EUR betragen.

Welcher Umsatz zählt?

Maßgeblich ist der Umsatz des Unternehmens, dem die Einrichtung angehört (Artikel 34 Absätze 4 und 5). Erwägungsgrund 130 versteht den Begriff Unternehmen im Sinne der Artikel 101 und 102 AEUV: als wettbewerbsrechtlichen Begriff der wirtschaftlichen Einheit, die eine Muttergesellschaft und ihre Tochtergesellschaften umfassen kann. Eine kleine Tochtergesellschaft eines großen Konzerns sollte davon ausgehen, dass der Prozentsatz auf Basis des Konzernumsatzes berechnet werden kann.

Gibt es ein NIS2-Bußgeld von 20 Mio. EUR oder 4 %?

Nein. Das ist die höhere Stufe der DSGVO (Artikel 83 Absatz 5 DSGVO). NIS2 hat auch keine Stufe für wiederholte oder systematische Verstöße: Eine Wiederholung wirkt sich auf die Höhe aus, nicht auf die Obergrenze.

Wofür drohen Bußgelder nach NIS2?

Die Untergrenzen aus Artikel 34 gelten für zwei Pflichten:

• Artikel 21, die Risikomanagementmaßnahmen im Bereich der Cybersicherheit: die zehn Mindestmaßnahmen, verhältnismäßig umgesetzt, mit Korrekturmaßnahmen, wenn Sie eine Lücke feststellen.
• Artikel 23, die Meldung von Sicherheitsvorfällen: eine Frühwarnung innerhalb von 24 Stunden, nachdem Sie Kenntnis von einem erheblichen Sicherheitsvorfall erlangt haben, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats nach der Meldung.

Andere Verstöße, etwa eine unterlassene Registrierung oder eine nicht beantwortete Auskunftsanfrage, fallen nicht unter diese Untergrenzen. Ihre Sanktionen legt das nationale Recht fest; Artikel 36 verlangt, dass sie „wirksam, verhältnismäßig und abschreckend“ sind, ohne einen Mindestbetrag auf EU-Ebene.

Die Mitgliedstaaten entscheiden, ob gegen Einrichtungen der öffentlichen Verwaltung Geldbußen verhängt werden können (Artikel 34 Absatz 7). Kennt eine Rechtsordnung keine Verwaltungsgeldbußen, leitet die Behörde die Geldbuße ein und ein Gericht verhängt sie (Artikel 34 Absatz 8).

Wie legen Behörden die Höhe eines NIS2-Bußgelds fest?

Nach Artikel 34 Absatz 3 müssen die Behörden mindestens die in Artikel 32 Absatz 7 genannten Umstände gebührend berücksichtigen:

• die Schwere des Verstoßes und die Bedeutung der verletzten Bestimmungen;
• seine Dauer;
• einschlägige frühere Verstöße;
• verursachte materielle oder immaterielle Schäden, einschließlich finanzieller oder wirtschaftlicher Verluste;
• Vorsatz oder Fahrlässigkeit;
• Maßnahmen zur Verhinderung oder Minderung des Schadens;
• die Einhaltung genehmigter Verhaltensregeln oder genehmigter Zertifizierungsverfahren;
• den Umfang der Zusammenarbeit mit den zuständigen Behörden.

Artikel 32 Absatz 7 Buchstabe a nennt unter anderem fünf Fälle, die in jedem Fall als schwerer Verstoß gelten:

• wiederholte Verstöße;
• die unterlassene Meldung oder Behebung erheblicher Sicherheitsvorfälle;
• die unterlassene Behebung von Mängeln nach verbindlichen Anweisungen;
• die Behinderung von Audits oder Überwachungstätigkeiten, die nach der Feststellung eines Verstoßes angeordnet wurden;
• falsche oder grob unrichtige Angaben zu Maßnahmen nach Artikel 21 oder zu Meldungen nach Artikel 23.

Die Mitgliedstaaten können außerdem Zwangsgelder vorsehen, um eine Einrichtung im Anschluss an eine frühere Entscheidung zur Beendigung eines Verstoßes zu zwingen (Artikel 34 Absatz 6).

Was können NIS2-Behörden sonst noch tun?

Geldbußen werden zusätzlich zu allen anderen Maßnahmen verhängt, beides lässt sich also kombinieren (Artikel 34 Absatz 2).

Wie stellen Behörden Verstöße fest?

Wesentliche Einrichtungen können ohne jeden Anlass beaufsichtigt werden (Artikel 32 Absatz 2). Zu den Befugnissen gehören Vor-Ort-Kontrollen und externe Aufsichtsmaßnahmen, einschließlich Stichprobenkontrollen; regelmäßige, gezielte und Ad-hoc-Sicherheitsaudits; Sicherheitsscans; Auskunftsersuchen und Zugang zu Daten; sowie die Anforderung von Nachweisen für die Umsetzung von Cybersicherheitskonzepten. Die Einrichtung trägt die Kosten eines gezielten Audits durch eine unabhängige Stelle, sofern die Behörde nichts anderes entscheidet.

Wichtige Einrichtungen werden ex post beaufsichtigt: Die Behörde wird tätig, wenn ihr Nachweise, Hinweise oder Informationen über einen Verstoß vorliegen (Artikel 33 Absatz 1). Die Instrumente sind ähnlich, Audits sind aber nur gezielt möglich. Ein Auskunftsersuchen muss seinen Zweck und die angeforderten Informationen angeben (Artikel 32 Absatz 3 und Artikel 33 Absatz 3).

Welche Durchsetzungsmaßnahmen gibt es?

Gegenüber beiden Kategorien (Artikel 32 Absatz 4 und Artikel 33 Absatz 4) können die Behörden:

• Warnungen aussprechen;
• verbindliche Anweisungen erlassen oder die Einrichtung anweisen, Mängel zu beheben;
• sie anweisen, das verstoßende Verhalten einzustellen und nicht zu wiederholen;
• sie anweisen, ihre Maßnahmen in einer bestimmten Weise und innerhalb einer bestimmten Frist mit Artikel 21 in Einklang zu bringen oder die Meldepflichten nach Artikel 23 zu erfüllen;
• sie anweisen, Kunden, die von einer erheblichen Cyberbedrohung potenziell betroffen sind, über die Bedrohung und mögliche Schutzmaßnahmen zu informieren;
• sie anweisen, Empfehlungen aus einem Sicherheitsaudit innerhalb einer angemessenen Frist umzusetzen;
• sie anweisen, Aspekte des Verstoßes öffentlich bekannt zu machen;
• eine Geldbuße verhängen oder ein Gericht oder eine andere Stelle ersuchen, eine Geldbuße zu verhängen.

Nur bei wesentlichen Einrichtungen kann die Behörde außerdem für einen bestimmten Zeitraum einen Überwachungsbeauftragten benennen, der die Einhaltung der Artikel 21 und 23 überwacht (Artikel 32 Absatz 4 Buchstabe g).

Bevor sie handelt, muss die Behörde ihre Entscheidung ausführlich begründen, vorläufige Feststellungen mitteilen und Zeit für Stellungnahmen einräumen, es sei denn, sofortiges Handeln ist erforderlich, um Sicherheitsvorfälle zu verhindern oder auf sie zu reagieren (Artikel 32 Absatz 8, über Artikel 33 Absatz 5 auf wichtige Einrichtungen anwendbar).

Was ist das letzte Mittel?

Artikel 32 Absatz 5 gilt nur für wesentliche Einrichtungen und nur dann, wenn Warnungen, Anweisungen und Anordnungen wirkungslos geblieben sind. Die Behörde setzt eine Frist. Verstreicht sie, kann die Behörde:

1. eine Zertifizierung oder Genehmigung für einen Teil oder alle Dienste der Einrichtung vorübergehend aussetzen oder durch eine Zertifizierungsstelle oder ein Gericht aussetzen lassen;
2. ein Gericht oder eine andere zuständige Stelle ersuchen, einer Person auf Ebene der Geschäftsführung oder des gesetzlichen Vertreters die Wahrnehmung von Leitungsaufgaben in der Einrichtung vorübergehend zu untersagen.

Beides gilt nur, bis die Einrichtung die Mängel behebt. Keine der beiden Maßnahmen gilt für die öffentliche Verwaltung.

Können Führungskräfte nach NIS2 persönlich haftbar gemacht werden?

Ja, aber die Form der Haftung regelt das nationale Recht. Zwei Bestimmungen sind entscheidend:

• Artikel 20 Absatz 1: Die Leitungsorgane billigen die Maßnahmen nach Artikel 21, überwachen ihre Umsetzung und können für Verstöße der Einrichtungen gegen diesen Artikel verantwortlich gemacht werden. Ihre Mitglieder müssen an Schulungen teilnehmen.
• Artikel 32 Absatz 6: Jede Person, die die Einrichtung vertritt, für sie Entscheidungen trifft oder sie kontrolliert, muss befugt sein, die Einhaltung sicherzustellen, und es muss möglich sein, diese natürlichen Personen für die Verletzung ihrer Pflicht, die Einhaltung sicherzustellen, haftbar zu machen. Artikel 33 Absatz 5 wendet dies auf wichtige Einrichtungen an.

Wie diese Haftung aussieht, sagt die Richtlinie nicht. Nach Erwägungsgrund 128 verlangt sie keine strafrechtliche oder zivilrechtliche Haftung dieser Personen für Schäden Dritter. Die einzige persönliche Maßnahme, die sie nennt, ist das vorübergehende Verbot von Leitungsaufgaben nach Artikel 32 Absatz 5. Was die Leitung dokumentieren sollte, steht im Beitrag Verantwortung der Leitung unter NIS2.

Was gilt, wenn der Sicherheitsvorfall auch eine Verletzung des Schutzes personenbezogener Daten ist?

Das ist der Fall hinter Suchanfragen zu einem Vorfall bei einem Cloud- oder Telekommunikationsanbieter, bei dem Kundendaten offengelegt werden. Artikel 35 legt die Reihenfolge fest:

1. Kann ein Verstoß gegen Artikel 21 oder 23 eine Verletzung des Schutzes personenbezogener Daten zur Folge haben, unterrichtet die NIS2-Behörde unverzüglich die DSGVO-Aufsichtsbehörde (Artikel 35 Absatz 1).
2. Verhängt diese Behörde eine Geldbuße nach Artikel 58 Absatz 2 Buchstabe i DSGVO, verhängt die NIS2-Behörde für dasselbe Verhalten keine Geldbuße nach Artikel 34 (Artikel 35 Absatz 2).
3. Die NIS2-Behörde behält ihre übrigen Maßnahmen: Warnungen, Anordnungen, Veröffentlichung und bei wesentlichen Einrichtungen Artikel 32 Absatz 5.

Bei einem Sicherheitsversagen ist die maßgebliche DSGVO-Stufe nicht die, die meist zitiert wird. Sicherheit der Verarbeitung und Meldung von Datenschutzverletzungen (Artikel 32 bis 34 DSGVO) fallen in die Stufe von 10 Mio. EUR oder 2 % nach Artikel 83 Absatz 4 DSGVO. Die gesamte Überschneidung behandelt der Beitrag NIS2 und DSGVO.

Welche NIS2-Behörde tätig wird, hängt vom Dienst ab. Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste unterliegen jedem Mitgliedstaat, in dem sie ihre Dienste erbringen; Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, verwalteten Diensten und ähnliche Anbieter dem Mitgliedstaat ihrer Hauptniederlassung (Artikel 26). Telekommunikationsanbieter sind ab mittlerer Größe wesentlich; Cloud-Anbieter sind in der Regel oberhalb der Schwellenwerte für mittlere Unternehmen wesentlich und als mittlere Unternehmen wichtig. Siehe wesentliche und wichtige Einrichtungen im Vergleich.

Was legen die nationalen NIS2-Gesetze fest?

Beträge, Behörden und Verfahren ergeben sich aus dem nationalen Recht; die Richtlinie setzt Mindestvorgaben. Zwei Beispiele:

• Luxemburg. Das Gesetz vom 5. Mai 2026, in Kraft seit dem 10. Mai 2026, sieht Höchstbußgelder von 10 Mio. EUR oder 2 % für wesentliche und von 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen vor. Außerdem sieht es Warnungen, Verweise und Geldbußen von bis zu 250.000 EUR für die Registrierung und bestimmte andere Pflichten vor (Artikel 25 Absatz 1) sowie Zwangsgelder von bis zu 1.250 EUR pro Tag, begrenzt auf 25.000 EUR. Siehe NIS2 in Luxemburg.
• Belgien. Wesentliche Einrichtungen hatten bis zum 18. April 2026 Zeit, eine CyberFundamentals-Verifizierung, einen Weg über ISO/IEC 27001 oder eine Selbstbewertung mit einem Antrag auf Inspektion vorzuweisen. Das CCB warnte, dass es zu Verwaltungsmaßnahmen oder finanziellen Sanktionen führen kann, wenn Angaben nicht vollständig oder nicht rechtzeitig übermittelt werden. Siehe NIS2 in Belgien.

Wo steht die Durchsetzung von NIS2 im Jahr 2026?

Die Richtlinie gilt seit dem 18. Oktober 2024, aber Geldbußen setzen ein nationales Gesetz voraus, und bis Mitte 2026 hatte noch nicht jeder Mitgliedstaat eines verabschiedet. Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof verklagt, weil sie keine Umsetzungsmaßnahmen mitgeteilt hatten. Grenzüberschreitend müssen sich die Behörden gegenseitig unterstützen und können gemeinsame Aufsichtsmaßnahmen durchführen (Artikel 37).

Was die Bußgeldregeln in der Praxis offenlassen

Artikel 32 Absatz 7 sagt den Behörden, was sie abwägen sollen, nicht, was dafür als Nachweis gilt. Drei Faktoren hängen weitgehend von Aufzeichnungen ab, die Sie entweder haben oder nicht:

• Dauer. Wann ist die Lücke entstanden, und wann haben Sie sie geschlossen? Ohne datierte Aufzeichnungen können Sie beides nicht zeigen.
• Schadensminderung. Was haben Sie in den ersten Stunden eines Sicherheitsvorfalls getan, und können Sie es belegen?
• Zusammenarbeit. Wie schnell und vollständig Sie Nachweise für die Umsetzung von Cybersicherheitskonzepten vorlegen.

Zwei der schweren Verstöße, die unterlassene Meldung eines erheblichen Sicherheitsvorfalls und die unterlassene Behebung nach einer verbindlichen Anweisung, laufen auf eine Frage hinaus: Hat jemand rechtzeitig entschieden und das schriftlich festgehalten?

Die übliche Lücke ist nicht das Konzept. Sie liegt darin, den Zustand einer Maßnahme zu einem bestimmten Datum zu zeigen. Nachweise, die vor einem Audit von Hand gesammelt werden, zeigen den Tag der Sammlung; nach einem Sicherheitsvorfall fragt die Behörde, was vorher galt. In der Praxis heißt das, Nachweise kontinuierlich aus Identitäts-, Endpoint-, Cloud- und Ticketsystemen zu erfassen, sie datiert aufzubewahren und Ausnahmen sowie Entscheidungen über die Erheblichkeit von einer Person prüfen zu lassen. So arbeitet die CloudSoul Plattform: automatisierte Erfassung mit Human-in-the-Loop-Prüfung. Ein Sicherheitsaudit anhand der Artikel 21 und 23 zeigt, wo Sie stehen. Das Gesamtprogramm finden Sie auf der Seite zur NIS2-Compliance.

Sinnvoll ist es, ein Paket für den Tag bereitzuhalten, an dem eine Behörde schreibt:

NIS2-BEHÖRDENANFRAGE: UNTERLAGENPAKET (aktuell halten, alles datieren)

1. Einrichtung
   - Einstufung (wesentlich / wichtig) und ihre Grundlage
   - Registrierungsnachweis; Konzernstruktur; letzter Konzernumsatz
2. Governance (Artikel 20)
   - Billigung der Maßnahmen durch das Leitungsorgan, mit Datum
   - Schulungsnachweise der Leitung
3. Maßnahmen (Artikel 21)
   - Risikoregister, Sicherheitsleitlinie, Maßnahmenkatalog
   - Nachweise je Maßnahme, datiert, mit dem Quellsystem
   - Offene Lücken: Verantwortlicher, Frist, Korrekturmaßnahme
4. Sicherheitsvorfälle (Artikel 23)
   - Vorfallsprotokoll mit jeder Erheblichkeitsentscheidung
     und ihrer Begründung
   - Frühwarnung, Meldung und Abschlussbericht, Zeitstempel
5. Aufsichtshistorie
   - Eingegangene Anfragen, versandte Antworten, Daten
   - Anweisungen oder Anordnungen und Nachweise der Erledigung
6. Kontakte
   - Wer antwortet der Behörde, wer unterschreibt, wer berät

Checkliste zu NIS2-Bußgeldern

• Klären Sie, ob Sie eine wesentliche oder eine wichtige Einrichtung sind und in welchen Mitgliedstaaten.
• Lesen Sie die Bußgeldobergrenzen und sonstigen Sanktionen in jedem nationalen Gesetz, das für Sie gilt.
• Ermitteln Sie, welcher Umsatz einer prozentualen Geldbuße zugrunde läge: der des Konzerns, nicht nur der Einrichtung.
• Dokumentieren Sie die Billigung der Maßnahmen nach Artikel 21 durch das Leitungsorgan und die Schulung seiner Mitglieder.
• Testen Sie die Meldung von Sicherheitsvorfällen gegen die Fristen von 24 Stunden, 72 Stunden und einem Monat, und bewahren Sie die Erheblichkeitsentscheidungen auf.
• Halten Sie datierte Nachweise für jede Maßnahme vor sowie eine Liste der Lücken mit Verantwortlichen und Fristen.
• Benennen Sie eine verantwortliche Person und einen Prozess für die Beantwortung behördlicher Anfragen.
• Vereinbaren Sie mit der für Datenschutz verantwortlichen Person, wie ein Vorfall behandelt wird, der sowohl unter NIS2 als auch unter die DSGVO fällt.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Artikel 20, 21, 23, 26, 32, 33, 34, 35, 36 und 37 und Erwägungsgründe 128 und 130, EUR-Lex.
• Verordnung (EU) 2016/679 (DSGVO), Artikel 58 Absatz 2 Buchstabe i und Artikel 83, EUR-Lex.
• Luxemburg, Gesetz vom 5. Mai 2026 über Maßnahmen zur Gewährleistung eines hohen Cybersicherheitsniveaus, Legilux.
• Zentrum für Cybersicherheit Belgien, „NIS2: 18 April 2026 deadline, what essential entities must have in place“, aktualisiert am 16. April 2026, CCB.
• Europäische Kommission, Klage vor dem Gerichtshof gegen Irland, Spanien, Frankreich und die Niederlande wegen der Umsetzung von NIS2, 8. Juli 2026, Gestaltung der digitalen Zukunft Europas.

Häufige Fragen