NIS2 Bußgelder 2026: Womit Geschäftsführer rechnen müssen

NIS2 ist kein reines IT-Thema – und das ist die wichtigste Botschaft für jede Geschäftsführung. Das Gesetz nimmt die Leitungsebene ausdrücklich in die Pflicht und koppelt Verstöße an empfindliche Bußgelder. Anders als bei vielen früheren IT-Vorgaben kann die Verantwortung nicht vollständig an die IT-Abteilung oder einen Dienstleister delegiert werden: Die Billigung und Überwachung der Risikomanagementmaßnahmen ist Chefsache.

Dieser Beitrag ordnet ein, welche Bußgelder drohen, welche konkreten Versäumnisse sie auslösen und wie Geschäftsführer ihr persönliches Risiko reduzieren.

Die Bußgeldhöhen

Das deutsche Umsetzungsgesetz sieht – gestaffelt nach Unternehmenstyp – Bußgelder in erheblicher Höhe vor. Für besonders wichtige Einrichtungen sind Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegen die Obergrenzen niedriger, sind aber für mittelständische Unternehmen immer noch existenzbedrohend.

Darüber hinaus gibt es konkrete, klar benannte Tatbestände, die unmittelbar teuer werden: etwa wenn der beim BSI hinterlegte Ansprechpartner nicht erreichbar ist, wenn kein Nachweis über ein funktionierendes Informationssicherheits-Managementsystem (ISMS) vorgelegt werden kann oder wenn vom BSI angeordnete Maßnahmen nicht fristgerecht umgesetzt werden. Diese Beträge bewegen sich im sechsstelligen Bereich – und sie greifen unabhängig davon, ob bereits ein Sicherheitsvorfall eingetreten ist.

Die persönliche Haftung der Geschäftsführung

Der für viele überraschende Teil: NIS2 verpflichtet die Leitungsorgane, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen – und sieht eine persönliche Verantwortung vor. Geschäftsführer können bei Pflichtverletzungen in die Haftung geraten. Außerdem müssen sie an Schulungen zum Thema Cybersicherheitsrisiken teilnehmen. Damit wird Cybersicherheit endgültig zur Führungsaufgabe.

Wie Geschäftsführer ihr Risiko senken

Der wirksamste Schutz ist Nachweisbarkeit. Wer dokumentieren kann, dass ein angemessenes Risikomanagement existiert, regelmäßig überprüft wird und Vorfälle erkannt und gemeldet werden können, reduziert sowohl das Bußgeld- als auch das Haftungsrisiko erheblich. Konkret heißt das: ein dokumentiertes ISMS oder zumindest belastbare Sicherheitsprozesse, eine funktionierende Vorfallserkennung und eine klare Meldekette. Für Unternehmen ohne eigene Sicherheitsabteilung lässt sich ein Großteil dieser Nachweispflichten über externe Managed-Security- und ISB-Leistungen abdecken.

Ein externer ISB und ein Managed-Detection-&-Response-Service liefern genau die Dokumentation und die Erkennungsfähigkeit, die im Ernstfall den Unterschied zwischen „angemessenes Risikomanagement nachgewiesen" und „Bußgeld" ausmachen. Ergänzend empfehlen wir einen Blick auf NIS2-Compliance im Überblick.

Nächste Schritte: In einem kostenfreien Erstgespräch prüfen wir, wo Ihr NIS2-Status heute steht und welche Nachweispflichten Sie als nächstes schließen sollten. NIS2-Compliance jetzt prüfen lassen.