NIS2-Bußgeld 2026: Bis zu 10 Mio. € — wer haftet und wie Sie es vermeiden
Mit der NIS2-Richtlinie und ihrer deutschen Umsetzung im BSIG steigen die Sanktionen für mangelhafte Cybersicherheit auf ein neues Niveau: Statt bisher maximal 100.000 € stehen nun Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes im Raum. Zuständig für die Aufsicht ist das Bundesamt für Sicherheit in der Informationstechnik (BSI), das wesentliche Einrichtungen proaktiv prüfen darf.
Verstöße kommen selten durch Zufall ans Licht. Typische Auslöser sind verspätete oder unterlassene Vorfallsmeldungen — die Frühwarnung an das BSI muss binnen 24 Stunden erfolgen —, fehlende Registrierung sowie Hinweise aus der Lieferkette oder von Kunden, die NIS2-Nachweise vertraglich einfordern. Wer erst nach einem Sicherheitsvorfall mit der Dokumentation beginnt, steht ohne belastbare Nachweise da.
Besonders brisant: Die Geschäftsleitung haftet persönlich für die Umsetzung und Überwachung der Risikomanagementmaßnahmen. Delegation an die IT-Abteilung entlastet nicht. Bußgeldmindernd wirken dagegen eine dokumentierte, gelebte Sicherheitsorganisation, kooperative Zusammenarbeit mit dem BSI und der Nachweis, dass Meldeprozesse vor dem Vorfall etabliert waren.
Diese Sanktionen drohen konkret
Bei Verstößen gegen NIS2 drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
Die Geschäftsleitung haftet persönlich für die Umsetzung und Überwachung der Cyber-Sicherheitsmaßnahmen.
Sicherheitsvorfälle müssen innerhalb von 24 Stunden an das BSI gemeldet werden — ohne Vorbereitung kaum machbar.
Häufige Fragen
Wie hoch ist das maximale NIS2-Bußgeld für mein Unternehmen?
Für wesentliche Einrichtungen sieht der Rahmen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor — es gilt der jeweils höhere Betrag. Für wichtige Einrichtungen liegt der Rahmen darunter, bleibt aber empfindlich. Die konkrete Höhe richtet sich nach Schwere, Dauer und Verschulden des Verstoßes.
Haftet die Geschäftsführung bei NIS2-Verstößen persönlich?
Ja. Das BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen selbst zu billigen und deren Umsetzung zu überwachen. Wer diese Pflicht verletzt, kann persönlich in Haftung genommen werden — eine vollständige Delegation an nachgeordnete Ebenen ist nicht zulässig.
Wie erfährt das BSI überhaupt von einem Verstoß?
Meist über die Meldepflichten selbst: Wer einen erheblichen Vorfall nicht binnen 24 Stunden meldet, fällt spätestens auf, wenn der Vorfall öffentlich wird oder Betroffene sich melden. Daneben kann das BSI wesentliche Einrichtungen anlasslos prüfen und Nachweise über die umgesetzten Maßnahmen anfordern.
Kann ich ein drohendes NIS2-Bußgeld noch abmildern?
Ja. Bußgeldmindernd wirken insbesondere eine unverzügliche Nachmeldung, aktive Kooperation mit dem BSI, der Nachweis bereits umgesetzter Sicherheitsmaßnahmen und die zügige Behebung festgestellter Mängel. Entscheidend ist eine lückenlose Dokumentation — sie belegt, dass kein systematisches Organisationsversagen vorliegt.