NIS2: der Bußgeldrahmen des § 65 BSIG

Zu NIS2 kursieren zwei Zahlen: 10 Millionen Euro und 2 Prozent des Umsatzes. Beide stehen im Gesetz, und beide sind Rahmen. § 65 BSIG staffelt sie nach der Kategorie der Einrichtung und nach der Art des Verstoßes. Dieser Beitrag ordnet, welcher Betrag zu welchem Tatbestand gehört, wo der Umsatzanteil überhaupt anfängt und warum die Haftung der Geschäftsleitung an einer ganz anderen Norm hängt.

Der Rahmen nach Kategorie

§ 65 Abs. 5 Satz 1 Nr. 1 BSIG unterscheidet nach der Einstufung der Einrichtung. Die Einstufung selbst folgt aus § 28 BSIG: besonders wichtige Einrichtungen einerseits, wichtige Einrichtungen andererseits.

Der Umsatzanteil ist kein zweiter Rahmen neben dem Betrag, sondern eine Erweiterung nach oben für sehr große Einrichtungen. Unterhalb von 500 Millionen Euro Gesamtumsatz spielt er keine Rolle.

Der Tatbestand, der am häufigsten trifft

§ 65 Abs. 2 Nr. 4 BSIG erfasst, wer „entgegen § 32 Absatz 1 Satz 1 eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht“. Es geht also nicht nur um die unterlassene Meldung, sondern auch um die verspätete und die unvollständige.

§ 32 Abs. 1 Satz 1 BSIG kennt dabei vier Meldungen und nicht zwei, wie die verbreitete Kurzfassung „24 und 72 Stunden“ nahelegt:

Gerechnet wird ab Kenntniserlangung, nicht ab dem Eintritt des Vorfalls. Und Auslöser ist ein erheblicher Sicherheitsvorfall im Sinne des § 2 Nr. 11 BSIG, nicht jede Störung. Wer meldet, was nicht meldepflichtig ist, erzeugt Arbeit; wer nicht meldet, was es ist, fällt in den Tatbestand.

Was der Bußgeldrahmen nicht regelt

Die Haftung der Geschäftsleitung hängt nicht an der Meldefrist. § 38 Abs. 1 BSIG bindet sie an die Risikomanagementmaßnahmen des § 30 BSIG, Abs. 2 an das Gesellschaftsrecht. Wer beides in einem Satz nebeneinanderstellt, behauptet eine Zurechnung, die das Gesetz so nicht trifft.

Ebenfalls eine eigene Baustelle ist die Registrierung: Sie steht in § 33 BSIG und verlangt die Anmeldung binnen drei Monaten. Sie ist nicht die Meldepflicht, auch wenn beide oft in einem Atemzug genannt werden. Der Beitrag zur NIS2-Registrierung beim BSI behandelt sie gesondert.

Und die Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG ist eine Pflicht ohne Intervall: Der Wortlaut verlangt „regelmäßig“, nennt aber keinen Turnus. Ein Zwölf-Monats-Takt ist verbreitete Praxis und darf als Vorschlag angezeigt werden, niemals als Gesetzesfrist und niemals mit dem Wort „überschritten“.

Was daraus für die Vorbereitung folgt

Der Rahmen ist nicht das, wonach man sich richtet. Wonach man sich richtet, ist die Frage, ob innerhalb von 24 Stunden überhaupt jemand meldefähig ist. Vier Dinge entscheiden das:

• Wer entscheidet, ob ein Vorfall erheblich ist? Die Legaldefinition des § 2 Nr. 11 BSIG braucht eine benannte Person, nicht eine Runde.
• Wer meldet? Ein Zugang zum Meldeweg, der auch nachts funktioniert, und eine Vertretung.
• Woher kommt der Zeitpunkt der Kenntniserlangung? Er ist der Fristbeginn und muss dokumentiert sein.
• Wer schreibt die Abschlussmeldung? Sie ist einen Monat später fällig, wenn der Vorfall längst abgearbeitet ist.

RegelWerk führt die vier Meldungen als eigene Fristen und nicht als eine. Die Einstufung nach § 28 BSIG bleibt dabei eine Prüfung im Einzelfall: Das Finanzkriterium ist kumulativ, und ohne erhobene Bilanzsumme bleibt der Finanzweg ein Prüffall. Den Begriff „wesentliche Einrichtung“ kennt das BSIG nicht.

Häufige Fragen

Wie hoch ist das Bußgeld bei NIS2?

§ 65 Abs. 5 Satz 1 Nr. 1 BSIG nennt einen Rahmen von bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen. Ab 500 Millionen Euro Gesamtumsatz kommt nach Abs. 6 und 7 ein Anteil von bis zu 2 beziehungsweise 1,4 Prozent des Gesamtumsatzes hinzu. Das sind Obergrenzen, keine Regelbußen.

Welche Meldefristen gelten nach NIS2?

§ 32 Abs. 1 Satz 1 BSIG kennt vier Meldungen: die frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden, die Meldung mit erster Bewertung binnen 72 Stunden, eine Zwischenmeldung auf Ersuchen des Bundesamtes und die Abschlussmeldung spätestens einen Monat nach der zweiten Meldung. Gerechnet wird ab Kenntniserlangung.

Haftet die Geschäftsleitung für eine versäumte Meldung?

§ 38 BSIG knüpft die Haftung der Geschäftsleitung an die Risikomanagementmaßnahmen des § 30 BSIG und im Übrigen an das Gesellschaftsrecht, nicht an die Meldefristen des § 32 BSIG. Beides gehört getrennt betrachtet.

Muss jeder Sicherheitsvorfall gemeldet werden?

Nein, nur ein erheblicher im Sinne des § 2 Nr. 11 BSIG: wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder erhebliche materielle oder immaterielle Schäden anderer Personen.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall – wenden Sie sich dafür an fachkundige Beratung.