„Was kostet uns das, wenn wir NIS2 nicht umsetzen?“ Die Frage ist berechtigt. Wer ein Budget verantwortet, muss Risiken in Zahlen denken. Die ehrliche Antwort hat zwei Teile: einen, der im Gesetz steht, und einen, der im Alltag eines Unternehmens passiert.
Was im Gesetz steht: die Bußgelder
Das BSI-Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Für Verstöße gegen die zentralen Pflichten – Risikomanagementmaßnahmen nach § 30 und Meldungen nach § 32 BSIG – gelten diese Obergrenzen (§ 65 Abs. 5 bis 7 BSIG):
- Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro. Liegt der weltweite Gesamtumsatz des Unternehmens, dem die Einrichtung angehört, über 500 Millionen Euro: bis zu 2 Prozent dieses Umsatzes.
- Wichtige Einrichtungen: bis zu 7 Millionen Euro. Bei einem weltweiten Gesamtumsatz über 500 Millionen Euro: bis zu 1,4 Prozent dieses Umsatzes.
Für eine versäumte oder fehlerhafte Registrierung nach § 33 BSIG sind es bis zu 500.000 Euro (§ 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5 BSIG).
Ordnungswidrig handelt nicht nur, wer eine Maßnahme nicht ergreift. Ordnungswidrig handelt auch, wer die Einhaltung „nicht, nicht richtig oder nicht vollständig dokumentiert“ (§ 65 Abs. 2 Nr. 3 BSIG). Dieser Punkt wird oft übersehen. Ein Unternehmen kann gute Sicherheitsarbeit leisten und trotzdem gegen das Gesetz verstoßen – weil es die Arbeit nicht belegen kann.
Die Zahlen sind Obergrenzen. Wie hoch ein Bußgeld im Einzelfall ausfällt, hängt von den Umständen ab. Wer Ihnen mit Höchstbeträgen Angst machen will, hilft Ihnen nicht bei der Entscheidung. Wer sie verschweigt, allerdings auch nicht.
Was das BSI darüber hinaus anordnen kann
Für besonders wichtige Einrichtungen gibt § 61 BSIG dem BSI ein ganzes Bündel an Befugnissen. Es kann
- Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§ 61 Abs. 1),
- Maßnahmen zur Behebung von Mängeln und einen Mängelbeseitigungsplan verlangen (§ 61 Abs. 6),
- anordnen, dass das Unternehmen seine eigenen Kunden über eine erhebliche Cyberbedrohung informiert (§ 61 Abs. 8 Nr. 1),
- anordnen, dass Informationen über Verstöße nach Vorgaben des BSI öffentlich bekannt gemacht werden (§ 61 Abs. 8 Nr. 2).
Kommt ein Unternehmen Anordnungen trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel Genehmigungen vorübergehend aussetzen oder unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).
Bei wichtigen Einrichtungen greift die Aufsicht anlassbezogen: Rechtfertigen Tatsachen die Annahme, dass Pflichten nicht oder nicht richtig umgesetzt werden, kann das BSI prüfen und Maßnahmen nach § 61 treffen (§ 62 BSIG). Ein möglicher Anlass ist ein Sicherheitsvorfall – also genau der Moment, in dem ein Unternehmen ohnehin unter Druck steht.
Was nicht im Gesetz steht: die eigentlichen Kosten
Das Bußgeld ist eine Obergrenze, die im Gesetz steht. Die anderen Kosten stehen nirgends – sie sind schwerer zu fassen und oft höher.
Der Vorfall selbst. NIS2 schützt nicht vor dem BSI, sondern vor dem Ausfall. Ein Unternehmen ohne Notfallplan, ohne geprüfte Datensicherung und ohne klare Zuständigkeiten verliert bei einem Angriff Tage, manchmal Wochen. Jeder dieser Tage kostet Umsatz, Lieferfähigkeit und Nerven.
Die Kunden. Unternehmen, die selbst unter NIS2 fallen, müssen die Sicherheit ihrer Lieferkette berücksichtigen (§ 30 Abs. 2 Nr. 4 BSIG). Sie fragen ihre Zulieferer und Dienstleister nach Nachweisen. Wer darauf keine Antwort hat, zahlt keine Strafe – er verliert Aufträge.
Die Öffentlichkeit. Eine angeordnete Bekanntmachung oder eine Kundeninformation nach § 61 Abs. 8 BSIG wirkt länger als jedes Bußgeld. Vertrauen, das ein Unternehmen über Jahre aufgebaut hat, steht dann in einem einzigen Schreiben zur Disposition.
Die Zeit. Wer erst nach einer Anordnung beginnt, arbeitet unter einer fremden Frist. Projekte, die man in Ruhe in zwölf Monaten geplant hätte, müssen dann in wenigen Wochen stehen. Das ist teurer, und es wird schlechter.
Die Rechnung, die sich lohnt
Viele Unternehmen stellen die falsche Frage. Sie vergleichen die Kosten der Umsetzung mit dem Bußgeld. Die bessere Rechnung vergleicht zwei Zustände:
Ohne Klärung: Niemand weiß genau, ob und wie das Gesetz gilt. Die Geschäftsführung trägt ein Risiko, das sie nicht beziffern kann. Kundenfragen werden einzeln und unter Zeitdruck beantwortet. Nach einem Vorfall beginnt die Aufarbeitung bei null.
Nach der Klärung: Die Betroffenheit ist geprüft und dokumentiert. Die Lücken sind bekannt und priorisiert. Die Geschäftsführung kann begründen, warum sie welche Maßnahme wann umsetzt. Ein Kunde, ein Versicherer oder das BSI bekommt auf eine Frage eine belegte Antwort.
Der Unterschied zwischen beiden Zuständen ist kein Großprojekt. Er beginnt mit einer Prüfung, die nachvollziehbar ist.
Wo Sie anfangen
Klären Sie zuerst, ob Sie als wichtige oder besonders wichtige Einrichtung gelten. Davon hängen die Obergrenzen, die Art der Aufsicht und die Dringlichkeit ab. Ohne diese Einordnung ist jede Kostenschätzung geraten.
Meine kostenlose NIS2-Vorprüfung ordnet Ihr Unternehmen ein und nennt zu jedem Ergebnis die Fundstelle im BSIG – ohne Konto, ohne Speicherung: nis2.otatel.com/check
Erst prüfen. Dann entscheiden.