NIS2-Bußgelder: Was welcher Verstoß kosten kann

Die Zahlen, die zu NIS2 am häufigsten zitiert werden, sind die Bußgelder: zehn Millionen Euro, zwei Prozent des Umsatzes. Beide stehen im Gesetz, aber sie stehen dort als Obergrenzen für bestimmte Verstöße bestimmter Einrichtungen – nicht als Preis für jede Nachlässigkeit. Wer die Staffelung kennt, kann einschätzen, welche Versäumnisse teuer werden und welche nicht.

§ 65 BSIG ordnet die Verstöße in Absatz 1 und 2 und die Beträge in Absatz 5; die Absätze 6 und 7 ergänzen umsatzabhängige Obergrenzen für große Häuser. Diese Seite gibt die Staffelung wieder, wie wir sie dem Gesetzestext entnehmen, und benennt die Verstöße, die in mittelständischen Häusern erfahrungsgemäß am leichtesten passieren.

Welche Verstöße im Mittelstand am leichtesten passieren

Die hohen Beträge sind an die schweren Verstöße gebunden – Maßnahmen gar nicht ergreifen, Vorfälle nicht melden, Anordnungen des BSI ignorieren. Ein Haus, das die zehn Bereiche ernsthaft bearbeitet, wird diese Verstöße kaum begehen. Mit einer Ausnahme, die überrascht: Die fehlende Dokumentation steht in derselben Gruppe. § 65 Abs. 2 Nr. 3 stellt es dem Unterlassen der Maßnahme gleich, wenn ihre Einhaltung nicht, nicht richtig oder nicht vollständig dokumentiert ist – bis zu 7 Millionen Euro für wichtige, bis zu 10 Millionen für besonders wichtige Einrichtungen. Eine Maßnahme, die existiert, aber nicht belegt werden kann, ist für das Gesetz keine.

Die übrigen Verstöße, die in der Praxis drohen, sitzen weiter unten in der Staffel und haben eines gemeinsam: Sie hängen nicht an der Technik, sondern an Fristen. Die versäumte oder verspätete Registrierung ist der erste – drei Monate ab Betroffenheit, niemand mahnt sie an, bis zu 500.000 Euro. Die verspätete Änderungsmeldung der zweite: zwei Wochen, ausgelöst von einem Geschäftsführerwechsel, an den beim BSI niemand denkt, derselbe Tatbestand. Die Nichterreichbarkeit der dritte: eine Kontaktstelle, die im Portal steht, aber nicht besetzt ist, bis zu 100.000 Euro.

Keiner dieser drei kostet Millionen. Jeder davon kostet aber etwas, das teurer ist als das Bußgeld: Er steht in der Akte, wenn später etwas Größeres passiert. Eine Einrichtung, die nachweislich Fristen versäumt hat, wird bei einem Vorfall anders beurteilt als eine, die sie gehalten hat – und zwar bei der Frage, ob ihre Maßnahmen angemessen waren und ob sie dokumentiert sind.

Was das Bußgeld nicht ist

Das Bußgeld ist eine Sanktion der Aufsicht gegen die Einrichtung. Es ist nicht der Schaden des Vorfalls, nicht der Anspruch eines Kunden, nicht die Frage, ob eine Versicherung zahlt, und nicht die Haftung der Geschäftsleitung nach § 38 gegenüber ihrem Haus. Diese Posten entstehen unabhängig voneinander und addieren sich. Wer die Risikobetrachtung auf das Bußgeld beschränkt, unterschätzt den Vorfall – meist ist das Bußgeld der kleinste Posten.

Umgekehrt gilt: Wer die Maßnahmen wegen des Bußgelds ergreift, ergreift sie aus dem falschen Grund, aber er ergreift sie. Das Gesetz nimmt das in Kauf. Für ein mittelständisches Haus ist die bessere Rechnung die andere: Was kostet ein Stillstand von drei Tagen, und was kostet die Maßnahme, die ihn verhindert? Diese Zahl steht in keiner Bußgeldtabelle, aber sie entscheidet.