NIS2-Bußgelder 2026: Bis zu 10 Mio. EUR — Was droht?

NIS2-Verstöße können Unternehmen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes kosten. Welche Bußgelder bei welchen Verstößen drohen, wie die Geschäftsführerhaftung greift und was zwei Praxisszenarien zeigen.

NIS2-Verstöße können Unternehmen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes kosten. Das NIS2UmsuCG gilt seit Dezember 2025, das BSI kann prüfen und sanktionieren. Von rund 29.500 betroffenen Unternehmen in Deutschland waren Ende Mai 2026 erst etwa 18.500 beim BSI registriert. Der kostenlose Vor-Check von NIS2Compass zeigt in wenigen Minuten, wo Ihr Unternehmen steht.

Wichtig bei bestehender ISO 27001-Zertifizierung: Die §38-Haftung der Geschäftsleitung greift auch bei zertifizierten Unternehmen. Eine ISO 27001-Zertifizierung schützt weder vor persönlicher Haftung noch vor Bußgeldern. Zentrale NIS2-Pflichten wie Meldefristen und BSI-Registrierung deckt sie nicht ab. Mehr dazu: Reicht eine ISO 27001-Zertifizierung für NIS2-Compliance aus?

Welche Bußgelder sieht das NIS2UmsuCG vor?

Das NIS2UmsuCG staffelt Bußgelder nach Einrichtungstyp und Verstoßart in § 65 BSIG. Besonders wichtige Einrichtungen riskieren bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, wichtige Einrichtungen bis zu 7 Mio. EUR oder 1,4 %. Maßgeblich ist jeweils der höhere Betrag. Zum Vergleich: Cyberangriffe verursachen in Deutschland jährlich 202,4 Mrd. EUR Schaden (Bitkom Wirtschaftsschutz 2025). Wie hoch das Bußgeldrisiko für Ihr Unternehmen konkret ausfällt, schätzt der NIS2-Bußgeldrechner anhand von Einrichtungstyp und Umsatz.

Wie hoch sind die Obergrenzen nach Einrichtungstyp?

Besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG): bis 10 Mio. EUR. Ab rund 500 Mio. EUR Jahresumsatz liegt die Umsatzgrenze von 2 % darüber und wird maßgeblich.
Wichtige Einrichtungen (§ 28 Abs. 2 BSIG): bis 7 Mio. EUR. Ab rund 500 Mio. EUR Jahresumsatz greift entsprechend die Grenze von 1,4 %.

Wie staffelt sich das Bußgeld nach Verstoßart?

Nicht jeder Verstoß wiegt gleich schwer. § 65 BSIG differenziert nach Art der Pflichtverletzung:

Melde- und Registrierungsverstöße: bis 5 Mio. EUR
Nichtbefolgung von BSI-Anordnungen: bis 2 Mio. EUR
Fehlende Nachweise: bis 1 Mio. EUR
Sonstige Verstöße: bis 500.000 EUR
Behinderung der Aufsicht: bis 100.000 EUR

Schon die versäumte Registrierung beim BSI kann also empfindliche Konsequenzen haben. Genau hier bestehen derzeit die größten Lücken.

Was bedeutet das für den Mittelstand?

Ein Fertigungsunternehmen mit 160 Mitarbeitenden und 25 Mio. EUR Jahresumsatz gilt als wichtige Einrichtung und fällt unter die 7-Mio.-EUR-Grenze. Da der Umsatz weit unter 500 Mio. EUR liegt, greift die feste Obergrenze, nicht der Prozentsatz. Das maximale Bußgeld entspricht damit mehr als einem Viertel des Jahresumsatzes.

Der NIS2Compass-Guide führt Schritt für Schritt durch die Umsetzungsmaßnahmen für jede dieser Pflichten.

Wer haftet persönlich? Die Geschäftsführerhaftung nach § 38 BSIG

Nach § 38 BSIG haftet die Geschäftsleitung persönlich mit ihrem Privatvermögen für die Umsetzung der Cybersicherheitspflichten. Diese Verantwortung ist nicht delegierbar: weder an einen CISO noch an externe Dienstleister. Laut BSI-Lagebericht 2025 verfügen 48 % der KRITIS-Betreiber noch immer über keine ausreichende Angriffserkennung.

Die Geschäftsleitung muss das Risikomanagement nach § 30 BSIG aktiv billigen und dessen Umsetzung überwachen. Sicherheitsstrategien gehören damit auf die Tagesordnung der Geschäftsführung. Ein CISO kann die operative Umsetzung verantworten, die strategische Gesamtverantwortung verbleibt bei der Geschäftsleitung.

Die Haftung greift als Innenhaftung mit dem Privatvermögen. Das Unternehmen selbst kann die Geschäftsführung in Regress nehmen, wenn Pflichtverletzungen zu Schäden führen. Ein Haftungsverzicht ist gesetzlich ausgeschlossen. § 38 Abs. 2 BSIG verbietet ausdrücklich, dass Gesellschaftervereinbarungen die Geschäftsführung von dieser Verantwortung befreien. Auch eine D&O-Versicherung schützt nicht vor allen Konsequenzen.

Darüber hinaus besteht eine Schulungspflicht. Die Geschäftsleitung muss mindestens alle drei Jahre an Cybersicherheitsschulungen teilnehmen. Das BSI bietet dafür eine Geschäftsleitungsschulung an, die etwa vier Stunden umfasst. Die Pflicht gilt für besonders wichtige und wichtige Einrichtungen gleichermaßen.

Welche Beschlüsse, Nachweise und Dokumente die Geschäftsleitung dafür vorhalten muss, behandelt der Artikel NIS2 Geschäftsführerhaftung: §38 BSIG erklärt. Der NIS2Compass-Guide führt in 8 Kapiteln durch die Risikomanagement-Maßnahmen, die § 30 BSIG verlangt.

Welche Verstöße lösen Bußgelder aus?

Bußgelder drohen bei fünf Kerntatbeständen, von fehlenden Sicherheitsmaßnahmen bis zur verspäteten Meldung eines Vorfalls. Die gesetzliche Registrierungsfrist lief am 6. März 2026 ab. Das BSI hat eine Nachfrist bis zum 31. Juli 2026 eingeräumt; Ende Mai 2026 waren rund 18.500 von etwa 29.500 betroffenen Einrichtungen registriert (heise online). Wer bis heute nicht registriert ist, begeht eine Ordnungswidrigkeit nach § 65 BSIG. Was jetzt zu tun ist, steht im Artikel NIS2 BSI-Registrierung: Frist verpasst, was jetzt?.

Welche Tatbestände kommen am häufigsten vor?

Fehlende Risikomanagement-Maßnahmen (§ 30 BSIG): die zentrale Pflicht. Unternehmen müssen technische und organisatorische Maßnahmen nachweisen.
Meldepflicht-Verstoß (§ 32 BSIG): die Fristen von 24 Stunden, 72 Stunden und einem Monat werden nicht eingehalten. Details dazu finden Sie im Artikel NIS2-Meldepflichten: Wann, was und an wen melden?.
Keine Registrierung beim BSI (§ 33/34 BSIG): die gesetzliche Frist vom 6. März 2026 ist verstrichen.
Fehlende Dokumentation und Nachweise (§ 39, § 61 BSIG): auf Anforderung des BSI müssen Unterlagen vorgelegt werden.
Behinderung einer BSI-Prüfung: wer Kontrollen erschwert oder verweigert, riskiert zusätzliche Sanktionen.

Welche zehn Maßnahmenbereiche definiert § 30 BSIG?

Besonders der erste Tatbestand wiegt schwer. § 30 Abs. 2 BSIG definiert zehn konkrete Bereiche, in denen Einrichtungen angemessene Maßnahmen umsetzen müssen:

Risikoanalyse und Sicherheitskonzepte
Bewältigung von Sicherheitsvorfällen
Business Continuity und Krisenmanagement
Sicherheit der Lieferkette
Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
Bewertung der Wirksamkeit der Maßnahmen
Cyberhygiene und Schulungen
Kryptografie und Verschlüsselung
Personalsicherheit, Zugangskontrollen und Asset Management
Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Fehlt auch nur ein Bereich, liegt ein Verstoß vor. Das BSI kann bei Prüfungen gezielt nach jedem einzelnen Punkt fragen.

Der Umsetzungsstand bleibt dahinter zurück: Nach der Studie Cybersicherheit in Zahlen von G DATA, brand eins und Statista haben nur 12,1 % der betroffenen Unternehmen NIS2 vollständig umgesetzt. Ob Ihr Unternehmen betroffen ist, zeigt der Artikel Bin ich von NIS2 betroffen?. Passende Vorlagen für Risikoanalysen, Sicherheitskonzepte und Incident-Response-Pläne finden Sie in der NIS2Compass Template Library.

Wie unterscheidet sich die Aufsicht nach Einrichtungstyp?

Besonders wichtige und wichtige Einrichtungen haben inhaltlich dieselben Pflichten. Unterschiedlich sind Aufsichtsintensität, Sanktionshöhe und die Befugnis des BSI, die Geschäftsführung zu suspendieren. Besonders wichtige Einrichtungen unterliegen einer proaktiven BSI-Aufsicht auch ohne konkreten Anlass, wichtige Einrichtungen werden nur anlassbezogen geprüft. Zum Stichtag 31. März 2026 waren beim BSI 1.173 KRITIS-Betreiber mit 2.109 Anlagen registriert (BSI, KRITIS in Zahlen).

Im Einzelnen unterscheiden sich die beiden Typen so:

Aufsichtstyp: besonders wichtig proaktiv (ex ante), wichtig anlassbezogen.
BSI-Audits ohne Anlass: bei besonders wichtigen Einrichtungen ja, für Nicht-KRITIS frühestens ab Dezember 2028. Bei wichtigen Einrichtungen nein.
Vor-Ort-Prüfungen: bei besonders wichtigen Einrichtungen jederzeit, bei wichtigen nur mit konkretem Anlass.
Management-Suspendierung: nur bei besonders wichtigen Einrichtungen, vorübergehend nach § 61 BSIG.
Bußgeld-Obergrenze: 10 Mio. EUR oder 2 % Jahresumsatz gegenüber 7 Mio. EUR oder 1,4 %.
Meldepflichten, Risikomanagement nach § 30 und Geschäftsführerhaftung nach § 38: für beide Typen identisch.

Für den Mittelstand heißt das: Ein Fertigungsunternehmen mit 160 Mitarbeitenden gilt typischerweise als wichtige Einrichtung. Es wird nur anlassbezogen geprüft, muss aber dieselben Anforderungen an Risikomanagement und Meldepflichten erfüllen wie ein Energieversorger unter proaktiver Aufsicht.

Was passiert bei einem Meldepflicht-Verstoß?

Wer einen erheblichen Sicherheitsvorfall nicht innerhalb von 24 Stunden meldet, begeht eine Ordnungswidrigkeit mit Bußgeldern bis zu 5 Mio. EUR. Das BSI stellt dabei Schnelligkeit vor Vollständigkeit: Die gesetzlichen Fristen sind Obergrenzen, keine Zielwerte. Wie real das Risiko ist, zeigt das BKA Bundeslagebild Cybercrime 2024: 950 Unternehmen und Institutionen zeigten 2024 einen Ransomware-Fall bei der Polizei an, täglich zwei bis drei schwere Angriffe.

Wie funktioniert der dreistufige Meldeprozess?

Frühe Erstmeldung, 24 Stunden: eine erste Einschätzung des Vorfalls. Hier zählt Geschwindigkeit.
Folgemeldung, 72 Stunden: aktualisierte Bewertung mit Angaben zum Schweregrad.
Abschlussbericht, 1 Monat: Ursachenanalyse, ergriffene Maßnahmen, konkrete Auswirkungen.

Die Meldung erfolgt über die BSI-Meldeplattform. Jede Stufe baut auf der vorherigen auf, Sie müssen also nicht alles auf einmal wissen.

Was ist der häufigste Fehler bei der Meldung?

Viele Unternehmen wollen erst intern alles klären und dann melden. Genau das führt zum Fristverstoß. Die 24-Stunden-Erstmeldung erfordert keine vollständige Analyse. Eine erste Einschätzung reicht aus: welche Systeme betroffen sind und ob der Vorfall andauert. Warten Sie nicht auf den fertigen Forensik-Bericht. Melden Sie zuerst, analysieren Sie parallel.

Drohen neben Bußgeldern weitere Konsequenzen bei NIS2-Verstößen?

Ja. Neben Bußgeldern drohen persönliche Haftung der Geschäftsführung mit dem Privatvermögen (§ 38 BSIG), temporäre Suspendierung von Leitungsfunktionen durch das BSI (§ 61 BSIG), verbindliche Anordnungen mit Fristsetzung und erhebliche Reputationsschäden. Laut Bitkom (2025) hat Ransomware in 34 Prozent der Unternehmen innerhalb eines Jahres Schaden verursacht. Zwei Szenarien zeigen, wie Bußgelder, Haftung und Aufsichtsmaßnahmen zusammenwirken.

Szenario A: Ransomware bei einem Fertigungsunternehmen

Ein mittelständischer Hersteller mit 160 Mitarbeitenden und 25 Millionen Euro Jahresumsatz wird Opfer eines Ransomware-Angriffs. Die Produktion steht still. Als wichtige Einrichtung unterliegt das Unternehmen den NIS2-Pflichten.

Der Geschäftsführer entscheidet: „Erst intern klären, was passiert ist, dann melden.“ Damit verstreicht die 24-Stunden-Frist für die Erstmeldung. Das allein begründet einen Verstoß gegen § 32 BSIG und ein mögliches Bußgeld bis zu 5 Millionen Euro.

Die anschließende Untersuchung fördert weitere Mängel zutage. Es existiert kein dokumentierter Incident-Response-Prozess. Der letzte Backup-Test liegt 18 Monate zurück. Beides verstößt gegen die Risikomanagementpflichten nach § 30.

Schwerer wiegt: Der Geschäftsführer hatte die Sicherheitsmaßnahmen nie formal gebilligt und deren Umsetzung nie überwacht. Damit greift die persönliche Haftung nach § 38. Das Unternehmen kann ihn auf Schadensersatz in Regress nehmen, und ein Haftungsverzicht durch die Gesellschafter ist gesetzlich ausgeschlossen.

Szenario B: BSI-Audit bei einem IT-Dienstleister

Ein Managed-Service-Provider mit 80 Mitarbeitenden gilt als besonders wichtige Einrichtung und unterliegt damit der strengeren Aufsicht. Das BSI führt ein proaktives Audit nach § 61 durch, ohne konkreten Anlass.

Die Prüfer stellen fest: kein dokumentiertes Risikomanagement, keine regelmäßige Risikoanalyse, kein Asset-Inventar. Das sind grundlegende Verstöße gegen § 30, der Bußgeldrahmen liegt hier bei bis zu 10 Millionen Euro.

Das BSI ordnet einen Sanierungsplan mit konkreter Frist an. Das Unternehmen reagiert nicht fristgerecht. Daraufhin greift das BSI zu seiner schärfsten Befugnis und untersagt der Geschäftsführung vorübergehend die Tätigkeit (§ 61 Abs. 5). Die Suspendierung wird erst aufgehoben, wenn alle Anordnungen vollständig erfüllt sind.

Warum sind diese Szenarien keine Ausnahmen?

Der Fertigungssektor zählt laut ENISA Threat Landscape 2025 zu den fünf am häufigsten angegriffenen Sektoren in der EU; auf wesentliche Einrichtungen entfallen 53,7 Prozent aller erfassten Vorfälle. Wie Sie in den ersten Stunden nach einem Angriff die Meldefristen einhalten, erklärt der Artikel NIS2-Meldepflichten: Wann, was und an wen melden?. Vertiefte Fachartikel zu Risikomanagement und Meldepflichten finden Sie im NIS2Compass Knowledge Hub. Mit dem Vor-Check von NIS2Compass prüfen Sie vorab, ob Ihr Unternehmen vorbereitet ist.

Beide Szenarien sind konstruierte Beispiele und dienen der Veranschaulichung. Sie ersetzen keine rechtliche Beratung.

Häufig gestellte Fragen zu NIS2-Bußgeldern

Wie hoch sind die NIS2-Bußgelder?

Die Bußgeldhöhe richtet sich nach der Einstufung Ihres Unternehmens. Für besonders wichtige Einrichtungen drohen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen müssen mit bis zu 7 Mio. EUR oder 1,4 % des Jahresumsatzes rechnen. Die genaue Höhe richtet sich nach Art und Schwere des Verstoßes gemäß § 65 BSIG.

Haftet die Geschäftsführung persönlich, auch mit dem Privatvermögen?

Ja. Nach § 38 BSIG haften Geschäftsführer und Vorstände persönlich gegenüber dem eigenen Unternehmen (sogenannte Innenhaftung). Ein Verzicht auf diese Ansprüche durch Gesellschaftervereinbarung ist gesetzlich ausgeschlossen. Auch die Delegation operativer Aufgaben an einen CISO entbindet die Geschäftsleitung nicht von ihrer Überwachungspflicht; sie bleibt letztverantwortlich.

Gibt es eine Übergangsfrist?

Nein. Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, eine allgemeine Übergangsfrist existiert nicht. Für die BSI-Registrierung lief die gesetzliche Frist am 6. März 2026 ab; das BSI hat eine Nachfrist bis zum 31. Juli 2026 eingeräumt. Diese Nachfrist ist reine Kulanz und ändert nichts daran, dass die Pflicht seit März verletzt ist.

Was passiert, wenn ich einen Sicherheitsvorfall nicht melde?

Die unterlassene oder verspätete Meldung eines Sicherheitsvorfalls ist eine Ordnungswidrigkeit nach § 65 BSIG und kann mit Bußgeldern von bis zu 5 Mio. EUR geahndet werden. Die Erstmeldung an das BSI muss innerhalb von 24 Stunden nach Kenntnis erfolgen. Es gilt der Grundsatz Schnelligkeit vor Vollständigkeit: Eine erste Einschätzung genügt zunächst.

Bin ich als Fertigungsunternehmen mit 160 Mitarbeitern betroffen?

Sehr wahrscheinlich ja. Das verarbeitende Gewerbe fällt unter Anhang II der NIS2-Richtlinie. Unternehmen ab 50 Mitarbeitenden oder 10 Mio. EUR Jahresumsatz gelten als wichtige Einrichtung und unterliegen den vollen NIS2-Pflichten. Mit dem kostenlosen Vor-Check von NIS2Compass können Sie in wenigen Minuten prüfen, ob Ihr Unternehmen betroffen ist.

Weitere Antworten zu Bußgeldhöhen, Aufsicht und Meldepflichten finden Sie in der offiziellen BSI-FAQ zu NIS-2.

Bußgeld für Ihr Unternehmen berechnen

Der NIS2-Bußgeldrechner schätzt Ihr individuelles Bußgeldrisiko anonym in 2 Minuten, basierend auf Branche, Umsatz und Verstoßtyp.