Bußgeldhaftung

Definition

Die Bußgeldhaftung nach NIS2UmsuCG sieht empfindliche Geldbußen für Verstöße gegen Meldepflichten, Sicherheitsanforderungen und Registrierungspflichten vor. Besonders wichtige Einrichtungen können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes belegt werden — je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen riskieren bis zu 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes. Davon zu trennen ist die Haftung der Geschäftsleitung nach § 38 Abs. 2 BSIG: Sie richtet sich gegen die eigene Einrichtung, folgt den Regeln des anwendbaren Gesellschaftsrechts und greift nach dem BSIG selbst nur dann, wenn dieses keine eigene Haftungsregelung enthält. Bußgeld und Geschäftsleiterhaftung sind zwei verschiedene Mechanismen und addieren sich nicht automatisch. Diese Bußgeldrahmen entsprechen dem Niveau der DSGVO und unterstreichen, dass der EU-Gesetzgeber NIS2-Compliance als prioritär ansieht.

Rechtsgrundlage

Der Bußgeldrahmen ist abschließend in § 65 BSIG festgelegt, der die Bußgeldtatbestände und maximalen Sanktionen definiert. Die Tatbestände umfassen Verstöße gegen Registrierungspflichten gemäß § 33 BSIG, Meldepflichten gemäß § 32 BSIG, Sicherheitsmaßnahmen gemäß § 30 BSIG und Mitwirkungspflichten bei Audits gemäß § 64 BSIG. Das BSI als zuständige Aufsichtsbehörde verhängt Bußgelder in einem gestuften Verfahren mit Anhörungsrecht. Strafrechtliche Risiken bestehen zusätzlich bei vorsätzlichen oder grob fahrlässigen Handlungen von Leitungspersonen. Das BSI ist nach § 62 BSIG berechtigt, bei schwerwiegenden und anhaltenden Verstößen die Zulassung zum Betrieb kritischer Dienste vorübergehend zu entziehen.

Praktische Implikation

Das Bußgeldrisiko sollte als starker Motivator für rechtzeitige und vollständige Compliance genutzt werden. Ein vollständiges Compliance-Programm, das Registrierung, Meldeprozesse und Sicherheitsmaßnahmen fristgerecht und nachweisbar umsetzt, reduziert das Bußgeldrisiko erheblich. Cyber-Versicherungen decken staatliche Bußgelder grundsätzlich nicht ab. Regelmäßige interne Compliance-Reviews vor Ablauf gesetzlicher Fristen sind das wirksamste und wirtschaftlichste Präventionsmittel gegen unerwartete BSI-Sanktionen. Bei drohendem Verstoß sollte proaktiv Kontakt zum BSI gesucht werden. Transparenz und kooperatives Verhalten gegenüber der Aufsichtsbehörde werden bei der Bußgeldbemessung positiv berücksichtigt und können Sanktionen erheblich mildern.

Verwandte Begriffe

• Leitungsorganhaftung
• BSI-Aufsicht
• Nachweispflicht
• Konformitätsprüfung