Bußgelder und Aufsicht: die zwei Kategorien des BSIG
Die Sanktionsdrohung der NIS2-Umsetzung ist schnell erzählt, ihre Systematik weniger. Das BSIG staffelt Bußgelder und Aufsicht nach der Einstufung der Einrichtung. Für besonders wichtige Einrichtungen reicht der Rahmen bei schweren Verstößen – etwa gegen die Risikomanagement- oder Meldepflichten – bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 Prozent. Daneben stehen zahlreiche Tatbestände mit niedrigeren Rahmen, darunter Verstöße gegen die Registrierungspflicht.
Mindestens so relevant wie die Zahlen ist die Aufsichtslogik. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht: Das BSI kann ohne konkreten Anlass Nachweise verlangen, Prüfungen und Audits anordnen und verbindliche Anweisungen erteilen. Wichtige Einrichtungen werden reaktiv beaufsichtigt – die Behörde wird tätig, wenn Anhaltspunkte für Verstöße vorliegen, etwa nach einem gemeldeten Vorfall oder einem Hinweis. Wer glaubt, als wichtige Einrichtung faktisch unbeobachtet zu sein, übersieht diesen Mechanismus: Jeder erhebliche Vorfall macht die eigene Dokumentation zum Prüfgegenstand.
Der Ernstfall entscheidet über die Bewertung
In der Aufsichtspraxis anderer Rechtsgebiete – vom Datenschutz bis zum Arbeitsschutz – zeigt sich ein wiederkehrendes Muster: Behörden bewerten nicht nur den Verstoß, sondern den Umgang damit. Eine Einrichtung, die ihre Betroffenheit geprüft, Maßnahmen dokumentiert, Fristen nachweisbar eingehalten und auf den Vorfall strukturiert reagiert hat, steht in jeder Hinsicht besser da als eine, die improvisiert. Das BSIG verstärkt diesen Effekt, weil es Dokumentations- und Nachweispflichten ausdrücklich vorsieht.
Für die Geschäftsleitung kommt die persönliche Ebene hinzu: § 38 BSIG macht Umsetzung und Überwachung der Maßnahmen zur Leitungspflicht, mit Haftung nach den gesellschaftsrechtlichen Regeln. Bußgeld und Innenhaftung sind damit zwei getrennte Risiken, die am selben Versäumnis hängen können.
Der wirksamste Schutz ist unspektakulär: ein laufend gepflegter Nachweisbestand aus Einstufung, Maßnahmen, Kontrollen und Meldeprotokollen. Wie sich das ohne eigenes Compliance-Team organisieren lässt, zeigen das Modul NIS2 und die Tarifübersicht.
