Sie haben irgendwo gelesen, dass NIS2-Bußgelder bis zu zehn Millionen Euro oder zwei Prozent des Umsatzes betragen können, und fragen sich, ob das Ihnen passieren kann. Die kurze Antwort: Diese Beträge stehen tatsächlich in der Richtlinie, sind aber für wesentliche und wichtige Einrichtungen bestimmt — Organisationen, die selbst unter NIS2 fallen, mit einer Sorgfaltspflicht, einer Meldepflicht und einer Mitteilungspflicht bei Vorfällen. Fällt Ihr Unternehmen nicht darunter, liefert aber an eine solche Organisation, dann ist ein Bußgeld nicht das Risiko, das Sie nachts wach halten sollte.
Das Risiko, das Sie eher trifft, ist praktischer und kommt schneller: Ein Auftraggeber, der selbst der Sorgfaltspflicht unterliegt, muss seine Lieferanten bewerten. Können Sie den Fragebogen nicht beantworten oder die Vertragsanforderungen nicht nachweisen, ist die Folge normalerweise keine Geldbuße, sondern der Verlust des Vertrags. Dieser Prozess dauert oft Wochen, nicht Jahre.
Für wen die Geldbuße wirklich bestimmt ist
Die Richtlinie konzentriert die Durchsetzung auf die Organisationen, die selbst verpflichtet sind: die wesentlichen und wichtigen Einrichtungen aus den Sektoren der Anlage I und II. Für sie legt das nationale Recht — in den Niederlanden das Cybersicherheitsgesetz — fest, wie die Aufsichtsbehörde vorgeht, wenn die Sorgfaltspflicht oder die Mitteilungspflicht nicht erfüllt wird. Sind Sie nicht selbst verpflichtet, sondern liefern Sie an eine solche Einrichtung, dann sind Sie keine Partei in diesem Durchsetzungsverfahren. Sie spüren die Richtlinie zwar, aber durch die Vertragsanforderungen Ihres Auftraggebers, nicht durch einen Bußgeldbescheid auf Ihren eigenen Namen. Sind Sie unsicher, ob Ihre Organisation selbst unter das Gesetz fällt, lässt sich das mit ein paar Fragen klären über die Überprüfung, die Ihre Situation in wenigen Schritten darstellt.
Welche Beträge die Richtlinie nennt
Die Richtlinie selbst nennt Höchstbeträge für wesentliche und wichtige Einrichtungen, mit einer höheren Obergrenze für wesentliche als für wichtige. Es geht immer um den höchsten Betrag — entweder ein fester Betrag oder ein Prozentsatz des weltweiten Jahresumsatzes — also nicht automatisch der volle Betrag bei jedem Verstoß. Wie die Aufsichtsbehörde in einem konkreten Fall abwägt und welcher Betrag tatsächlich verhängt wird, ist in der Richtlinie nicht festgelegt und liegt im Ermessen der zuständigen Aufsichtsbehörde. Wir machen bewusst keine Vorhersage darüber; was die Richtlinie und das nationale Recht genau sagen, können Sie in der offiziellen Fassung und den Veröffentlichungen der Aufsichtsbehörde nachlesen.
Warum der Vertrag vor dem Bußgeld kommt
Ein Bußgeldverfahren beginnt normalerweise erst nach Hinweisen, Untersuchungen und einer Gelegenheit zur Abhilfe — das kostet Zeit. Eine Einkaufsabteilung, die einen Sicherheitsfragebogen versendet, wartet nicht darauf. Fehlt die Antwort oder ist unvollständig, wird der Auftrag oft einfach an einen anderen Lieferanten vergeben, oder Sie erhalten eine Nachfrist, die Sie selbst ausfüllen müssen. Das macht das Gespräch mit Ihrem Auftraggeber für die meisten KMU dringender als die Frage, ob jemals ein Bußgeld droht. Mehr darüber, was genau hinter einem solchen Fragebogen steckt, lesen Sie in der Übersicht der Themen, die je nach Situation ausgearbeitet wurden.
Was das bedeutet, wenn Sie eine Lieferkette betroffen sind
Sind Sie selbst nicht verpflichtet, aber Lieferant einer verpflichteten Organisation, dann geht es nicht darum, ob eine Geldbuße droht, sondern ob Sie nachweisen können, dass Sie die geforderten Maßnahmen erfüllen. Es geht um Nachweise, einen Verantwortlichen pro Maßnahme und eine Antwort, die Sie nicht jedes Mal neu erfinden müssen. Wer das einmal dokumentiert hat, beantwortet den nächsten Fragebogen mit viel weniger Aufwand. Häufig gestellte Fragen dazu, was von Ihnen verlangt werden darf und was nicht, finden Sie unter der Seite mit häufig gestellten Fragen.
Sind Sie selbst wesentlich oder wichtig, dann zählt die Geldbuße als letztes Druckmittel, aber die Sorgfaltspflicht selbst ist die eigentliche Arbeit: Maßnahmen ergreifen, dokumentieren und nachweisen können. Wie dieser Prozess aufgebaut ist und woher die Informationen auf dieser Website stammen, wird erläutert auf der Seite, die erklärt, wie die Plattform funktioniert.
Möchten Sie wissen, ob Ihre Organisation selbst unter NIS2 fällt oder nur über einen Auftraggeber betroffen ist? Machen Sie die kostenlose NIS2-Überprüfung, oder lesen Sie zunächst in aller Ruhe die Wissensdatenbank — beides ist ohne Konto zugänglich.