Geschäftsleitungen von Einrichtungen müssen die Risikomanagement-Maßnahmen für Cybersecurity umsetzen
und die Umsetzung in der Einrichtung überwachen.
§38 (1)
Werden diese Pflichten verletzt, ergibt sich aus allgemeinen Grundsätzen (bspw. §93 AktG) eine Binnenhaftung der Geschäftsleitung gegenüber der Einrichtung B. Besonderer Teil, zu §38 (2).
Besteht für eine Rechtsform nach den anwendbaren gesellschaftsrechtlichen Bestimmungen keine Binnenhaftung, sieht die NIS2-Umsetzung einen Auffangtatbestand vor. Dann haften die Geschäftsleitungen ihren Einrichtungen für einen schuldhaft verursachten Schaden nach dem BSIG.
eigene Zusammenstellung aus NIS2-Referentenentwurf Stand November 2025
| Höhe |
Verstöße |
10 Mio. EUR
wenn Umsatz größer 500 Mio. Euro: Bußgeldhöhe 2% vom weltweiten Umsatz, Anwendung von §30 (2) Satz 2 OWiG |
Besonders wichtige Einrichtungen:
- Vorkehrungen zur Cybersicherheit nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig getroffen. §30 (1) Satz 1
- Einhaltung der Vorkehrungen nicht, nicht richtig oder nicht vollständig dokumentiert. §30 (1) Satz 3
- Meldungen werden nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt. §32 (1) Satz 1
- Abschlussmeldungen werden nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorgelegt. §32 (2) Satz 2
- Anordnung des BSI zur Information von Kunden oder Öffentlichkeit über Sicherheitsvorfall wird zuwidergehandelt. §35 (1) Satz 1 oder §36 (2) Satz 1
- Mitteilungen (an Kunden oder Öffentlichkeit) werden nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig gemacht. §35 (2) Satz 1, auch i.V.m. Satz 2
|
7 Mio. EUR
wenn Umsatz größer 500 Mio. Euro: Bußgeldhöhe 1,4% vom weltweiten Umsatz, Anwendung von §30 (2) Satz 2 OWiG |
Wichtige Einrichtungen:
- Vorkehrungen zur Cybersicherheit nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig getroffen. §30 (1) Satz 1
- Einhaltung der Vorkehrungen nicht, nicht richtig oder nicht vollständig dokumentiert. §30 (1) Satz 3
- Meldungen werden nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt. §32 (1) Satz 1
- Abschlussmeldungen werden nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorgelegt. §32 (2) Satz 2
- Anordnung des BSI zur Information von Kunden oder Öffentlichkeit über Sicherheitsvorfall wird zuwidergehandelt. §35 (1) Satz 1 oder §36 (2) Satz 1
- Mitteilungen (an Kunden oder Öffentlichkeit) werden nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig gemacht. §35 (2) Satz 1, auch i.V.m. Satz 2
|
| 5 Mio. EUR |
Betreiber kritischer Anlagen
- Bei Verfahren zum Einsatz kritischer Komponenten wird eine Mitteilung oder Angabe nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig gemacht. §41 (5) Satz 2
|
| 2 Mio. EUR |
Hersteller von IT-Systemen
- Durch BSI angewiesene Mitwirkung an Wiederherstellung der Sicherheit oder Funktionsfähigkeit eines IT-Systems wird verweigert. §11 (6)
Anbieter von TK-Diensten (>100.000 Kunden)
- Angeordnete Maßnahme nach §169 (6)(7) TKG wird nicht getroffen oder Datenverkehr nicht wie angewiesen umgeleitet. §16 (1) Nr. 1, auch i.V.m. §16 (3)
- Angeordnete technische Befehle zur Bereinigung von einem konkret benannten Schadprogramm werden nicht verteilt. § 16 (1) Nr. 2
Anbieter digitaler Dienste
- Angeordnete technische und organisatorische Maßnahmen für den ordnungsgemäßen Zustand digitaler Dienste werden verweigert. §17 Satz 1
Betreiber kritischer Anlagen
- Verlangter geeigneter Nachweis über die erfolgte Mängelbeseitigung wird nicht vorgelegt. §39 (1) Satz 5
– Anwendung von §30 (2) 3 OWiG
|
| 1 Mio. EUR |
Betreiber kritischer Anlagen:
- Nachweis über Erfüllung der Anforderungen wird nicht richtig oder nicht vollständig erbracht. §39 (1) Satz 1 i.V.m. VO §56 (4) Satz 1
- Nachweis über Erfüllung der Anforderungen wird nicht oder nicht rechtzeitig erbracht. §39 (1) Satz 1 i.V.m. VO §56 (4) Satz 1
– Anwendung von §30 (2) 3 OWiG
|
| 500.000 EUR |
Besonders wichtige Einrichtungen und wichtige Einrichtungen
- Angabe oder Änderung bei Registrierung wird nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt. §33 (1) oder (2) Satz 1, auch i.V.m. VO nach §56 (4) Satz 1, oder §34 (1)
- Das BSI wird über Änderungen an Registrierungsdaten nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig unterichtet. §34 (2)
- Zuwiderhandlung gegen Anordnung des BSI zur Vorlage von Nachweisen über die Erfüllung von Verpflichtungen. §61 (3) Satz 1, auch i.V.m. §62
- Anordnung des BSI zur Umsetzung erforderlicher Maßnahmen nach § 30 (1) Satz 1 inkl. Mängelbeseitigungsplan und Nachweiserbringung wird zuwidergehandelt, oder Frist wird nicht eingehalten. §61 (6) Satz 1 und 3, auch i.V.m. §62
- Zuwiderhandlung gegen Anordnung des BSI zur Umsetzung von im Rahmen einer Sicherheitsprüfung formulierten Empfehlungen, oder nicht fristgerechte Umsetzung. §61 (7) Satz 1 und 3, auch i.V.m. §62
- Anordnung des BSI zur Unterrichtung oder Öffentlichmachung von Informationen wird zuwidergehandelt. §61 (8), auch i.V.m. §62
Alle
- Nicht-konforme Verwendung eines Zertifikats, einer Erklärung oder eines Kennzeichens nach §52 (2) Satz 4, §53 (1) Satz 4, §54 (6) Satz 2 od. §55 (4) Satz 1
- Tätigkeit als akkreditierte Konformitätsbewertungsstelle ohne Erlaubnis. §53 (3) Satz 2 oder §54 (2) Satz 2
- Vorsätzlicher oder fahrlässiger Verstoß gegen (EU) 2019/881 über ENISA und Zertifizierung: Angaben oder Information nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig.
Betreiber kritischer Anlagen
- Zuwiderhandlung gegen Anordnung des BSI, zur Bewältigung einer Störung notwendige Informationen inkl. personenbezogenen Daten herauszugegeben. §40 (5) Satz 1
TLD-Registries und Domain-Name-Registry-Dienstleister
- Vorgaben oder Verfahren zur Sicherstellung genauer und vollständiger Angaben in Datenbank werden nicht eingehalten oder nicht, nicht in der vorgeschrieben Weise oder nicht rechtzeitig zugänglich gemacht. §49 (3) Satz 1 oder §49 (3) Satz 2 oder (4)
- Zugang zu den Domain-Namen-Registrierungsdaten wird nicht oder nicht rechtzeitig gewährt. §50 (1) Satz 1
Hersteller von IT-Systemen
- Durch BSI angewiesene Mitwirkung an der Beseitigung oder Vermeidung von erheblichen Sicherheitsvorfällen bei IKT-Produkten verweigert. §18
|
| 100.000 EUR |
Besonders wichtige Einrichtungen
- Betreten eines Raums nicht gestattet oder Aufzeichnung, Schriftstück oder Unterlage nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorgelegt oder Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt. §61 (5) Satz 3
Betreiber kritischer Anlagen
- Fahrlässig einen Nachweis nicht richtig oder nicht vollständig erbringen. §39 (1) Satz 1
Hersteller von IT-Systemen
- Vom BSI verlangte Auskünfte zu Produkten und Systemen, insb. auch zu technischen Details, werden verweigert. §14 (2) Satz 1
Alle
- Kontaktstelle ist nicht erreichbar. §33 (2) Satz 2
|
