CyberPediaWissenA3-04NIS-2

Die Verbandsgeldbuße

Autor: Willi Plattes LinkedIn
Erstveröffentlichung: 05. Juli 2026 · Letzte Aktualisierung: 19. September 2026
Lesezeit: 50 Min.

1. Worum es geht — die Buße gegen das Unternehmen

Die Verbandsgeldbuße ist die Geldbuße gegen den Rechtsträger des Unternehmens, also gegen eine juristische Person oder Personenvereinigung. § 65 des BSI-Gesetzes (BSIG) [N-BSIG-65] beschreibt die Ordnungswidrigkeiten und Höchstrahmen; § 30 des Gesetzes über Ordnungswidrigkeiten (OWiG) [N-OWiG-30] erklärt, wann dieser Verband selbst mit Geldbuße belegt werden kann. Eine Ordnungswidrigkeit ist ein rechtswidriger und vorwerfbarer Gesetzesverstoß, den das Gesetz mit Geldbuße bedroht; die Anknüpfungstat ist die konkrete Tat einer natürlichen Person, an die § 30 OWiG die Buße gegen den Verband knüpft. Den Überblick über Haftung und Sanktionen gibt Haftung und Sanktionen — Überblick. NIS-2 meint die Richtlinie (EU) 2022/2555; KRITIS steht für Kritische Infrastrukturen; DORA meint die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor.

2. Vierstufiges Anwendungs-, Pflicht-, Sanktionssubjekt- und Behörden-Gate

Vor jeder Betragsfrage steht ein Gate. Wer mit „10 Millionen Euro“ oder „2 Prozent Umsatz“ beginnt, überspringt die eigentliche Prüfung. Wer verpflichtet und damit grundsätzlich bußgeldbedroht ist, steht im Detail in Schwellenwerte (250 MA / 50 Mio. €); die Konzern-, Größen- und Umsatzrechnung steht in Konzern: Größenklassen & IT-Tochter.

Der praktische Nutzen entsteht, wenn jede Rolle dieselbe Kette anders liest:

Rolle Sofortfrage Erste Artikelstelle Arbeitsprodukt
Geschäftsleitung Droht dem Unternehmen überhaupt eine Buße? Abschnitt 2 und 10.2 Gate-Entscheidung und Vorstandsfazit
Compliance/Legal Welche Tatbestandsvariante trägt die Buße? Abschnitte 3 bis 7 Tatbestands-, Schuld- und Verfahrensmatrix
Finance/CFO Welcher Betrag kann realistisch im Rahmen stehen? Abschnitt 4 und 4.3 Höhen- und Gesamtumsatznotiz
Security/IT-Leitung Welche Nachweise werden prüfungs- und zumessungsrelevant? Abschnitte 6 und 10.1 Maßnahmen-, Melde- und Aufsichtsdokumentation
M&A/Corporate Bleibt ein Risiko nach Umwandlung oder Kauf? Abschnitt 5.1 Rechtsnachfolge- und Due-Diligence-Check
Gate Leitfrage Warum es entscheidet Modalverb/Rechtscharakter
Tatbestandsfamilie Welche Variante des § 65 BSIG steht im Raum? § 65 umfasst nicht nur NIS-2-Kernpflichten, sondern auch Anordnungen, KRITIS-Nachweise, Komponenten, Domain-Name-Daten, Zertifizierung, Aufsichtsauskunft und Cybersecurity-Act-Verstöße. § 65 „handelt ordnungswidrig“ und „kann geahndet werden“
Pflichtgeltung Galt die verletzte Pflicht für genau diesen Adressaten und diesen Zeitraum? Bereichsausnahmen, Ausnahmebescheide, Fälligkeit, Rechtsverordnungen und Verweisungsfehler können die Bußgeldkette abbrechen. Pflichtnorm „muss“/„hat“, Ausnahme „findet keine Anwendung“/„kann befreien“
Sanktionssubjekt Geht es um natürliche Person oder Verband? § 30 OWiG braucht eine natürliche Anknüpfungstat und eine Person aus dem §-30-Katalog. § 30 „kann … festgesetzt werden“
Behörde und Verfahren Welche Behörde verfolgt welche Spur? § 65 Abs. 10 BSIG regelt nur unmittelbare §-65-Fälle; § 88 OWiG und § 131 OWiG können zusätzliche Verfahrensfragen eröffnen. Zuständigkeits- und Verfahrensnormen

2.1 Die Tatbestandsfamilie bestimmt den Einstieg

§ 65 BSIG ist kein einheitlicher „NIS-2-Bußgeldtatbestand“. Die Norm enthält mehrere Familien. Für jede Familie muss der Adressat aus der konkreten Bezugsnorm kommen:

  1. vollziehbare Anordnungen nach § 65 Abs. 2 Nr. 1 Buchst. a bis d BSIG;
  2. Risikomanagement-, Melde-, Registrierungs- und Unterrichtungstatbestände nach § 65 Abs. 2 Nr. 2 bis 9 BSIG;
  3. KRITIS-Nachweispflichten nach § 65 Abs. 1, Abs. 2 Nr. 10 und Abs. 3 BSIG;
  4. kritische Komponenten nach § 65 Abs. 2 Nr. 11 BSIG;
  5. Domain-Name-Datenbanken und Zugangsgewährung nach § 65 Abs. 2 Nr. 12 bis 14 BSIG;
  6. Zertifizierung, Konformitätserklärung und Kennzeichen nach § 65 Abs. 2 Nr. 15 und 16 BSIG;
  7. Mitwirkung bei Aufsichtsprüfungen nach § 65 Abs. 2 Nr. 17 BSIG;
  8. statisch in Bezug genommene Verstöße gegen die Verordnung (EU) 2019/881 nach § 65 Abs. 4 BSIG.

Die Einordnung als „besonders wichtige Einrichtung“ oder „wichtige Einrichtung“ nach § 28 Abs. 1 und 2 BSIG [N-BSIG-28] ist für die großen NIS-2-Kernrahmen entscheidend. Sie ist aber nicht das universelle Eingangstor für jeden Tatbestand des § 65 BSIG. Einige Varianten betreffen andere Spezialadressaten, etwa Hersteller, Betreiber von Domain-Name-Datenbanken, Konformitätsbewertungsstellen oder Inhaber von Zertifikaten.

2.2 Pflichtgeltung und Ausnahmen

Die wichtigste Gegenprobe lautet: Gilt die angeblich verletzte Pflicht überhaupt? Eine Bereichsausnahme ist kein rhetorisches Detail, sondern kann die Anknüpfungstat entfallen lassen.

Norm Wirkung im Bußgeld-Gate Modalverb/Rechtscharakter Prüfnotiz
§ 28 Abs. 5 BSIG Für die dort genannten Telekommunikations- und Energieeinrichtungen entfallen die ausdrücklich genannten BSIG-Pflichten: §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62. „nicht anzuwenden“ §§ 33 und 34 bleiben grundsätzlich möglich; Rückausnahmen und Nebentätigkeiten prüfen.
§ 28 Abs. 6 BSIG Für bestimmte DORA-Finanzunternehmen und Telematikakteure entfallen nur §§ 30, 31, 32, 35, 36, 38 und 39 BSIG. „nicht anzuwenden“ Das BSIG wird nicht insgesamt verdrängt. Registrierung und andere Tatbestandsfamilien können bleiben.
§ 28 Abs. 7 BSIG Für bestimmte Betreiber kritischer Anlagen entfällt nur § 32 BSIG. „nicht anzuwenden“ Keine Gesamtausnahme. KRITIS-Besonderheiten stehen in Sondertatbestände + KRITIS.
§ 28 Abs. 8 BSIG Das Gesetz findet nur bei kumulativem Vorliegen beider Voraussetzungen keine Anwendung. „findet keine Anwendung“ Öffentlichkeitsnähe allein genügt nicht.
§ 29 Abs. 1 BSIG Vor § 29 Abs. 2 ist der Begriff der Einrichtungen der Bundesverwaltung zu bestimmen. Institutionen der Sozialen Sicherung und die Deutsche Bundesbank sind ausgenommen. Legaldefinition Wer schon nicht unter § 29 Abs. 1 fällt, darf nicht über § 29 Abs. 2 aus § 65 herausgenommen werden.
§ 29 Abs. 2 BSIG Für Einrichtungen der Bundesverwaltung gelten die Regelungen der §§ 38, 40 Abs. 3, 61 und 65 BSIG nicht. „nicht anzuwenden“ § 65 ist nur für echte Einrichtungen der Bundesverwaltung im Sinne des § 29 Abs. 1 vollständig ausgeschlossen.
§ 29 Abs. 3 BSIG Für bestimmte Bundesverwaltungsbereiche gelten weitere Pflichten nicht. „nicht anzuwenden“ Wegen § 29 Abs. 2 bleibt § 65 für diese Einrichtungen ohnehin ausgeschlossen.
§ 37 BSIG Das Bundesministerium des Innern kann nach Maßgabe des § 37 BSIG teilweise oder insgesamt von bestimmten Pflichten befreien. „kann … befreien“ Bescheid, Vorschlag, Tenor, erfasste Pflichten und Tätigkeiten genau prüfen.
§ 64 BSIG Institutionen der sozialen Sicherung haben einen besonderen Koordinierungsmechanismus. Sonderregel Gerade wegen § 29 Abs. 1 nicht als Bundesverwaltung und nicht als schlichte Bußgeldfreiheit behandeln.

2.3 Übergang, Fassung und Verweisungen

Zeit und Fassung sind Teil des Tatbestands. § 65 BSIG gilt seit Inkrafttreten des neuen BSIG am 6. Dezember 2025. Einzelne Bußgeldvarianten können aber trotzdem daran scheitern, dass ihre Bezugsnorm noch nicht anwendbar, nicht fällig, nicht durch Rechtsverordnung ausgefüllt oder fehlerhaft verwiesen ist.

Drei Warnstellen gehören in jede Prüfung. Sie sind keine Fußnoten, sondern harte Einsatzregeln:

Warnstelle Sichere Arbeitsregel Konsequenz für eine Bußgeldprüfung
§ 66 BSIG § 66 verschiebt § 2 Nr. 22 und 24 sowie § 33 Abs. 2 bis zum Geltungsbeginn der dort genannten KRITIS-Dachgesetz-Rechtsverordnung. Die Fortgeltungsanordnung erwähnt nur die früheren Fassungen von § 2 Nr. 22 und 24, nicht eine frühere Fassung von § 33 Abs. 2. Für § 33 Abs. 2 braucht jede belastende Aussage ein Tatzeit-, Übergangs- und Fälligkeitsprotokoll.
§ 65 Abs. 2 Nr. 7 BSIG Die Norm verweist auf § 33 Abs. 2 Satz 2; in der aktuellen konsolidierten Fassung besteht § 33 Abs. 2 nur aus einem Satz. Diese Variante wird in der Matrix als gesetzlicher Listeneintrag geführt, aber nicht als belastungssichere Bußgeldgrundlage behandelt, solange keine eindeutige amtliche Korrektur vorliegt.
§ 56 BSIG § 56 enthält unterschiedliche Ermächtigungen. Für KRITIS-Nachweise, Registrierung und kritische Komponenten dürfen Absatznummer, Rechtsverordnung und Tatzeitfassung nicht vermischt werden. § 39/§ 33/§ 41-Fälle brauchen jeweils ihr eigenes Verweisziel; kritische Komponenten laufen insbesondere über § 2 Nr. 23, § 41 und die einschlägige Rechtsverordnung nach § 56.

Bei Bußgeldnormen gelten das Bestimmtheitsgebot des Art. 103 Abs. 2 GG, § 3 OWiG und das tatzeitbezogene Günstigkeitsprinzip des § 4 OWiG. Die praktische Regel ist deshalb: Keine belastende Bußgeldkette ohne tragfähige Fassung, tragfähiges Verweisziel, anwendbare Bezugsnorm und konkrete Tatzeit.

2.4 Sanktionssubjekt und Behörde

Bei der natürlichen Person wird gefragt: Hat diese Person selbst eine Ordnungswidrigkeit begangen? Beim Verband wird zusätzlich gefragt: Ist diese Person eine Leitungsperson im Sinne von § 30 Abs. 1 OWiG und verletzt die Tat Pflichten des Verbands oder bereichert sie ihn?

§ 65 Abs. 10 BSIG bestimmt für unmittelbare §-65-Fälle die Verwaltungsbehörde: Beim kritische-Komponenten-Tatbestand des § 65 Abs. 2 Nr. 11 ist das Bundesministerium des Innern zuständig; bei den übrigen unmittelbaren §-65-Fällen ist es das Bundesamt für Sicherheit in der Informationstechnik. Das beantwortet aber nicht automatisch jede Zuständigkeitsfrage bei § 30, § 88, § 130 oder grenzüberschreitenden Fällen.

Drei Begriffe dürfen nicht verschoben werden:

Begriff Wofür er gebraucht wird Typischer Fehler
Einrichtung Pflichtstatus, §-28-Einordnung, betroffene Tätigkeit Einrichtung mit Rechtsträger gleichsetzen.
Rechtsträger/Verband Adressat der Verbandsgeldbuße nach § 30 OWiG § 65 direkt „gegen die Einrichtung“ denken, obwohl § 30 den Verband adressiert.
Unternehmen im Sinne des § 65 Abs. 8 BSIG Bezugsgröße für den weltweiten Gesamtumsatz Umsatzbezugsgröße mit Bußgeldadressat verwechseln.

3. Wofür — vollständiges Tatbestandsinventar des § 65 Abs. 1 bis 4 BSIG

§ 65 BSIG ist die Karte der bußgeldbewehrten Verstöße. Die Karte ersetzt nicht die Prüfung der jeweiligen Bezugsnorm. Die Maßnahmen, deren Verletzung bußgeldbewehrt sein kann, stehen vertieft in Umsetzung — § 30 BSIG, zehn Mindestmaßnahmen; die Meldepflicht steht in BSI-Meldepflicht (§ 32 BSIG).

§-65-Variante Bezugsnorm/Familie Kerntathandlung Modalverb/Rechtscharakter Besondere Gegenprobe Höchstrahmen-Ausgangspunkt
Abs. 1 § 39 Abs. 1 Satz 1 i. V. m. Rechtsverordnung nach § 56 Abs. 4 Satz 1 KRITIS-Nachweis nicht richtig oder nicht vollständig „handelt ordnungswidrig“ §-56-Verweisziel und Rechtsverordnung prüfen. 1 Mio. €; fahrlässig über Abs. 3: 100.000 €
Abs. 2 Nr. 1a Vollziehbare Anordnungen nach § 11 Abs. 6, § 16 Abs. 1 Satz 1 auch i. V. m. Abs. 4, § 17 Satz 1, § 39 Abs. 1 Satz 5 Zuwiderhandeln „zuwiderhandelt“ Normadressat der Anordnung prüfen. 2 Mio. €; Verband mit Sonderverzehnfachung möglich
Abs. 2 Nr. 1b Vollziehbare Anordnung nach § 14 Abs. 2 Satz 1 Zuwiderhandeln „zuwiderhandelt“ Hersteller-/Auskunftspfad, nicht §-28-Gate. 100.000 €
Abs. 2 Nr. 1c Anordnungen nach §§ 18, 40 Abs. 5 Satz 1, § 61 Abs. 3, 6, 7, 8, auch i. V. m. § 62 Zuwiderhandeln „zuwiderhandelt“ Bei § 61/62 Status und Anordnung prüfen. 500.000 €
Abs. 2 Nr. 1d Anordnungen nach § 35 Abs. 1 Satz 1 oder § 36 Abs. 2 Satz 1 Zuwiderhandeln „zuwiderhandelt“ Nur besonders wichtige/wichtige Einrichtung. 10 Mio. €/7 Mio. €; ggf. Umsatzalternative
Abs. 2 Nr. 2 § 30 Abs. 1 Satz 1 Risikomanagementmaßnahme nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergriffen „entgegen“ Zeitmoment „nicht rechtzeitig“ enthalten. 10 Mio. €/7 Mio. €; ggf. Umsatzalternative
Abs. 2 Nr. 3 § 30 Abs. 1 Satz 3 Einhaltung nicht, nicht richtig oder nicht vollständig dokumentiert „entgegen“ Kein „nicht rechtzeitig“ im Tatbestand. 10 Mio. €/7 Mio. €; ggf. Umsatzalternative
Abs. 2 Nr. 4 § 32 Abs. 1 Satz 1 Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig gemacht „entgegen“ Meldefälligkeit und §-28-Ausnahme prüfen. 10 Mio. €/7 Mio. €; ggf. Umsatzalternative
Abs. 2 Nr. 5 § 32 Abs. 2 Satz 2 Abschlussmeldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorgelegt „entgegen“ Meldepflicht nicht vertiefen, nur Bußgeldfolge. 10 Mio. €/7 Mio. €; ggf. Umsatzalternative
Abs. 2 Nr. 6 § 33 Abs. 1 oder 2 Satz 1, jeweils auch i. V. m. Rechtsverordnung nach § 56 Abs. 4 Satz 1, oder § 34 Abs. 1 Angabe nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt „entgegen“ Direkte §-33-Abs.-1-/§-34-Zweige von §-33-Abs.-2-/§-56-Problemen trennen. 500.000 €
Abs. 2 Nr. 7 § 33 Abs. 2 Satz 2 Erreichbarkeit nicht sichergestellt „entgegen“ Aktueller § 33 Abs. 2 hat nur einen Satz; belastende Anwendung nur nach tragfähiger gesetzlicher Korrektur oder anderweitig eindeutiger amtlicher Klärung. 100.000 €
Abs. 2 Nr. 8 § 34 Abs. 2 Unterrichtung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig „entgegen“ Spezialadressat aus § 34. 500.000 €
Abs. 2 Nr. 9 § 35 Abs. 2 Satz 1, auch i. V. m. Satz 2 Mitteilung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig gemacht „entgegen“ Unterrichtungspflicht, nicht DSGVO-Sperre. 10 Mio. €/7 Mio. €; ggf. Umsatzalternative
Abs. 2 Nr. 10 § 39 Abs. 1 Satz 1 i. V. m. Rechtsverordnung nach § 56 Abs. 4 Satz 1 Nachweis nicht oder nicht rechtzeitig erbracht „entgegen“ §-56-Verweisziel prüfen. 1 Mio. €; Verband mit Sonderverzehnfachung möglich
Abs. 2 Nr. 11 § 41 Abs. 5 Satz 2 Mitteilung oder Angabe nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig „entgegen“ Verwaltungsbehörde: Bundesministerium des Innern; §-56-/kritische-Komponenten-Gate. 5 Mio. €
Abs. 2 Nr. 12 § 49 Abs. 3 Satz 1 Vorgabe oder Verfahren nicht vorgehalten „entgegen“ Domain-Name-Datenbank, nicht NIS-2-Kernpflicht. 500.000 €
Abs. 2 Nr. 13 § 49 Abs. 3 Satz 2 oder Abs. 4 Vorgabe, Verfahren oder Daten nicht, nicht vorschriftsgemäß oder nicht rechtzeitig zugänglich gemacht „entgegen“ Zugänglichmachung und Form prüfen. 500.000 €
Abs. 2 Nr. 14 § 50 Abs. 1 Satz 1 Zugang nicht oder nicht rechtzeitig gewährt „entgegen“ Zugangsgewährung, nicht Meldung. 500.000 €
Abs. 2 Nr. 15 § 52 Abs. 2 Satz 4, § 53 Abs. 1 Satz 4, § 54 Abs. 6 Satz 2, § 55 Abs. 4 Satz 1 Zertifikat, Erklärung oder Kennzeichen verwendet „entgegen“ Zertifizierungs-/Kennzeichenrecht. 500.000 €
Abs. 2 Nr. 16 § 53 Abs. 3 Satz 2 oder § 54 Abs. 2 Satz 2 Tätigwerden ohne Befugnis „entgegen“ Konformitätsbewertungsstellen. 500.000 €
Abs. 2 Nr. 17 § 61 Abs. 5 Satz 3 Betreten nicht gestattet, Unterlagen nicht vorgelegt, Auskunft nicht erteilt „entgegen“ Aufsichtsmitwirkung, nicht Grundpflicht. 100.000 €
Abs. 3 Fahrlässige Begehung der Abs.-1-Handlung Fahrlässiger KRITIS-Nachweisverstoß „handelt ordnungswidrig“ Kein weiterer Fahrlässigkeitsabschlag auf diesen eigenen Rahmen. 100.000 €
Abs. 4 Nr. 1 Art. 55 Abs. 1 Verordnung (EU) 2019/881 in der bezeichneten Fassung Angabe nicht, nicht richtig, nicht vollständig oder nicht binnen eines Monats zugänglich gemacht „verstößt“ Statische Fassung vom 19. Dezember 2024 prüfen. 500.000 €
Abs. 4 Nr. 2 Art. 56 Abs. 8 Satz 1 Verordnung (EU) 2019/881 in der bezeichneten Fassung Information nicht, nicht richtig, nicht vollständig oder nicht unverzüglich gegeben „verstößt“ Sicherheitslücke oder Unregelmäßigkeit als Auslöser. 500.000 €

Warnbox kritische Komponenten: Bei § 65 Abs. 2 Nr. 11 reicht die Mitwirkung nach § 41 Abs. 5 Satz 2 nicht allein. Vorher sind die Legaldefinition der kritischen Komponente in § 2 Nr. 23 BSIG, die einschlägige Rechtsverordnung nach der aktuellen §-56-Ermächtigung, die sektorbezogene Einordnung nach § 41 und die Tatzeitfassung zu sichern. Bei ungelöstem Verweisungs-, Fassungs- oder Bestimmtheitsproblem darf keine belastende Bußgeldaussage als gesichert dargestellt werden.

Der Tatbestandswort-Vergleich bei § 30 BSIG ist besonders wichtig:

§ 65 Abs. 2 Nr. 2 und Nr. 3 BSIG — Ziffernwortlaut: 2. entgegen § 30 Absatz 1 Satz 1 eine dort genannte Maßnahme nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift, 3. entgegen § 30 Absatz 1 Satz 3 die Einhaltung der Verpflichtung nicht, nicht richtig oder nicht vollständig dokumentiert,

Nr. 2 enthält also ausdrücklich „nicht rechtzeitig“. Nr. 3 enthält dieses Zeitwort nicht. Eine verspätete Dokumentation kann deshalb nicht ohne weitere Prüfung einfach in Nr. 3 hineingelesen werden.

§ 38 BSIG [N-BSIG-38] steht nicht in § 65 BSIG. Die Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung sind deshalb keine eigene unmittelbare BSIG-Bußgeld-Anknüpfungstat. Das bedeutet nicht, dass § 38 folgenlos wäre. Die persönliche Innenhaftung und der Regress stehen in Innenhaftung der Geschäftsleitung; die Überwachungspflicht steht in Überwachungspflicht der Geschäftsleitung. Für die Verbandsgeldbuße braucht es aber eine eigene §-65- oder §-130-Anknüpfung.

4. Schuldform und Höhe — getrennte Rechenpfade

Die Höhe wird nicht aus dem Bauch heraus berechnet. Die Reihenfolge lautet: Tatbestand, Pflichtgeltung, Schuldform, natürliche Person oder Verband, gegebenenfalls Umsatzalternative, Zumessung, Vorteilsabschöpfung und Konkurrenz.

4.1 Der gesetzliche Höhenkern

§ 65 Abs. 5 bis 9 BSIG:

(5) Die Ordnungswidrigkeit kann geahndet werden:

  1. in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9, a) bei besonders wichtigen Einrichtungen nach § 28 Absatz 1 Satz 1 mit einer Geldbuße bis zu zehn Millionen Euro, b) bei wichtigen Einrichtungen im Sinne des § 28 Absatz 2 Satz 1 mit einer Geldbuße bis zu sieben Millionen Euro,
  2. in den Fällen des Absatzes 2 Nummer 11 mit einer Geldbuße bis zu fünf Millionen Euro,
  3. in den Fällen des Absatzes 2 Nummer 1 Buchstabe a mit einer Geldbuße bis zu zwei Millionen Euro,
  4. in den Fällen des Absatzes 1 und des Absatzes 2 Nummer 10 mit einer Geldbuße bis zu einer Million Euro,
  5. in den Fällen des Absatzes 2 Nummer 1 Buchstabe c, Nummer 6, 8, 12 bis 16 und des Absatzes 4 mit einer Geldbuße bis zu fünfhunderttausend Euro und
  6. in den Fällen des Absatzes 2 Nummer 1 Buchstabe b, Nummer 7 und 17 und des Absatzes 3 mit einer Geldbuße bis zu hunderttausend Euro. In den Fällen des Satzes 1 Nummer 3 und 4 ist § 30 Absatz 2 Satz 3 des Gesetzes über Ordnungswidrigkeiten anzuwenden.

(6) Gegenüber einer besonders wichtigen Einrichtung im Sinne des § 28 Absatz 1 Satz 1 mit einem Gesamtumsatz von mehr als 500 Millionen Euro kann abweichend von Absatz 5 Satz 1 Nummer 1 Buchstabe a, auch in Verbindung mit § 30 Absatz 2 Satz 2 des Gesetzes über Ordnungswidrigkeiten, eine Ordnungswidrigkeit in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9 mit einer Geldbuße bis zu 2 Prozent des Gesamtumsatzes geahndet werden.

(7) Gegenüber einer wichtigen Einrichtung im Sinne des § 28 Absatz 2 Satz 1 mit einem Gesamtumsatz von mehr als 500 Millionen Euro kann abweichend von Absatz 5 Satz 1 Nummer 1 Buchstabe b, auch in Verbindung mit § 30 Absatz 2 Satz 2 des Gesetzes über Ordnungswidrigkeiten, eine Ordnungswidrigkeit in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9 mit einer Geldbuße bis zu 1,4 Prozent des Gesamtumsatzes geahndet werden.

(8) Gesamtumsatz im Sinne der Absätze 6 und 7 ist die Summe aller Umsatzerlöse, die das Unternehmen, dem die besonders wichtige Einrichtung oder die wichtige Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat. Der Gesamtumsatz kann geschätzt werden.

(9) § 17 Absatz 2 des Gesetzes über Ordnungswidrigkeiten ist in den Fällen des Absatzes 5 Satz 1 Nummer 1 sowie der Absätze 6 und 7 nicht anzuwenden.

4.2 Die Höhenmatrix

Tatbestandsgruppe Modalverb/Rechtscharakter Natürliche Person bei Vorsatz Natürliche Person bei Fahrlässigkeit Verband über § 30 OWiG Umsatzalternative
§ 65 Abs. 2 Nr. 1d, Nr. 2 bis 5, Nr. 9 — besonders wichtige Einrichtung „kann … geahndet werden“; § 65 Abs. 9 schließt § 17 Abs. 2 aus bis 10 Mio. € bis 10 Mio. € bis 10 Mio. € bei >500 Mio. € Gesamtumsatz bis 2 %
Dieselbe Gruppe — wichtige Einrichtung „kann … geahndet werden“; § 65 Abs. 9 schließt § 17 Abs. 2 aus bis 7 Mio. € bis 7 Mio. € bis 7 Mio. € bei >500 Mio. € Gesamtumsatz bis 1,4 %
§ 65 Abs. 2 Nr. 11 § 17 Abs. 2 bleibt grundsätzlich relevant bis 5 Mio. € grundsätzlich bis 2,5 Mio. € bei vorsätzlicher Anknüpfung grundsätzlich bis 5 Mio. €, bei fahrlässiger Anknüpfung grundsätzlich bis 2,5 Mio. € nein
§ 65 Abs. 2 Nr. 1a Sonderverzehnfachung nur auf Verbandsebene bis 2 Mio. € grundsätzlich bis 1 Mio. € bei vorsätzlicher Anknüpfung bis 20 Mio. €, bei fahrlässiger Anknüpfung grundsätzlich bis 10 Mio. € nein
§ 65 Abs. 1 und Abs. 2 Nr. 10 Sonderverzehnfachung bei Abs. 5 Satz 1 Nr. 4, aber Abs. 3 bleibt eigene 100.000-€-Staffel Abs. 1/Nr. 10 bis 1 Mio. € Abs. 3 für fahrlässigen Abs.-1-Verstoß bis 100.000 €; Nr. 10 grundsätzlich bis 500.000 € Abs. 1/Nr. 10 vorsätzlich bis 10 Mio.; Nr. 10 fahrlässig grundsätzlich bis 5 Mio.; Abs. 3 bis 100.000 € nein
§ 65 Abs. 2 Nr. 1c, Nr. 6, 8, 12 bis 16 und Abs. 4 keine Sonderverzehnfachung bis 500.000 € grundsätzlich bis 250.000 € bei vorsätzlicher Anknüpfung grundsätzlich bis 500.000 €, bei fahrlässiger Anknüpfung grundsätzlich bis 250.000 € nein
§ 65 Abs. 2 Nr. 1b, Nr. 7, Nr. 17 und Abs. 3 keine Sonderverzehnfachung bis 100.000 € grundsätzlich bis 50.000 €, außer Abs. 3 als eigener Fahrlässigkeitstatbestand bei vorsätzlicher Anknüpfung grundsätzlich bis 100.000 €, bei fahrlässiger Anknüpfung grundsätzlich bis 50.000 €; bei Abs. 3 bis 100.000 € nein

„Bis zu“ ist eine Obergrenze. Es ist keine Standardbuße, keine Regelbuße und keine Prognose. Bußgeld-Praxiszahlen werden hier bewusst nicht genannt, weil ohne belastbare, vergleichbare und aktuelle Behörden- oder Gerichtsquellen aus dem Rahmen keine typische Höhe folgt.

4.3 Gesamtumsatz ist eine Bezugsgröße, nicht automatisch der Bußgeldbetrag

Die Umsatzalternative greift nur bei den in § 65 Abs. 6 und 7 bezeichneten schweren Tatbeständen und nur bei mehr als 500 Mio. € Gesamtumsatz. Maßgeblich ist nicht der Umsatz der einzelnen Einrichtung, sondern die Summe aller Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, weltweit im Geschäftsjahr vor der Behördenentscheidung. Welche Rechtsträger in diese Unternehmensbetrachtung einzubeziehen sind, ist gesondert zu prüfen.

Für CFO, Legal und Abschlussprüfungsnähe ist die sichere Rechenlogik fünfstufig:

  1. betroffene Einrichtung und §-28-Status bestimmen;
  2. Rechtsträger bestimmen, gegen den eine Verbandsgeldbuße überhaupt festgesetzt werden könnte;
  3. das „Unternehmen, dem die Einrichtung angehört“, als Umsatzbezugsgröße bestimmen;
  4. das der Behördenentscheidung vorausgegangene Geschäftsjahr sichern;
  5. prüfen, ob die 500-Mio.-€-Schwelle und eine schwere Tatbestandsgruppe des § 65 Abs. 6 oder 7 erreicht sind.

Der Begriff „Konzernumsatz“ ist deshalb als Kurzform riskant. Sicherer ist: weltweiter Umsatz des Unternehmens, dem die Einrichtung angehört. Die Umsatzbezugsgröße kann weiter sein als der Rechtsträger, gegen den die Buße festgesetzt wird; sie ersetzt aber nicht die §-30-Prüfung des konkreten Verbands.

4.4 Zumessung und Vorteilsabschöpfung

§ 17 OWiG [N-OWiG-17] enthält die Grundanatomie der Geldbuße. § 17 Abs. 1 nennt den allgemeinen Mindestbetrag von fünf Euro und einen subsidiären Höchstbetrag, soweit das Gesetz nichts anderes bestimmt. Die hohen §-65-Rahmen verdrängen diesen subsidiären Höchstbetrag; sie verdrängen nicht die übrige Höhenmechanik. § 17 Abs. 2 halbiert den Höchstrahmen bei Fahrlässigkeit, wenn das Gesetz Vorsatz und Fahrlässigkeit ohne unterschiedliche Höchstmaße erfasst. § 65 Abs. 9 schließt diese Halbierung nur für die große Staffel und die Umsatzalternative aus. Für andere Staffeln bleibt § 17 Abs. 2 grundsätzlich zu prüfen.

§ 17 Abs. 3 OWiG nennt Bedeutung der Ordnungswidrigkeit, Vorwurf und wirtschaftliche Verhältnisse. Bei geringfügigen Ordnungswidrigkeiten bleiben wirtschaftliche Verhältnisse in der Regel unberücksichtigt. Bei der Verbandsgeldbuße ist zusätzlich zu beachten: § 30 Abs. 3 OWiG verweist ausdrücklich auf § 17 Abs. 4 und § 18, nicht auf § 17 Abs. 3.

§ 17 Abs. 4 OWiG: Die Geldbuße soll den wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat, übersteigen. Reicht das gesetzliche Höchstmaß hierzu nicht aus, so kann es überschritten werden.

Diese Überschreitung ist kein Automatismus. Sie dient der Vorteilsabschöpfung, nicht der freien Erhöhung jeder Buße.

5. Direkter Weg zur Verbandsgeldbuße — §§ 9, 14 und 30 OWiG

Eine Verbandsgeldbuße entsteht nicht dadurch, dass „das Unternehmen gegen NIS-2 verstoßen hat“. Der direkte Pfad läuft über eine natürliche Person.

§ 30 Abs. 1 OWiG: Hat jemand

  1. als vertretungsberechtigtes Organ einer juristischen Person oder als Mitglied eines solchen Organs,
  2. als Vorstand eines nicht rechtsfähigen Vereins oder als Mitglied eines solchen Vorstandes,
  3. als vertretungsberechtigter Gesellschafter einer rechtsfähigen Personengesellschaft,
  4. als Generalbevollmächtigter oder in leitender Stellung als Prokurist oder Handlungsbevollmächtigter einer juristischen Person oder einer in Nummer 2 oder 3 genannten Personenvereinigung oder
  5. als sonstige Person, die für die Leitung des Betriebs oder Unternehmens einer juristischen Person oder einer in Nummer 2 oder 3 genannten Personenvereinigung verantwortlich handelt, wozu auch die Überwachung der Geschäftsführung oder die sonstige Ausübung von Kontrollbefugnissen in leitender Stellung gehört, eine Straftat oder Ordnungswidrigkeit begangen, durch die Pflichten, welche die juristische Person oder die Personenvereinigung treffen, verletzt worden sind oder die juristische Person oder die Personenvereinigung bereichert worden ist oder werden sollte, so kann gegen diese eine Geldbuße festgesetzt werden.

Die Kette hat fünf Stufen:

Stufe Frage Rechtsfolge Modalverb/Rechtscharakter
1. Natürliche Anknüpfungstat Hat eine natürliche Person eine §-65-Ordnungswidrigkeit oder eine sonstige hier behandelte taugliche Anknüpfungstat, insbesondere eine §-130-Ordnungswidrigkeit, als Täter oder Beteiligter verwirklicht? Ohne Tat keine Verbandsgeldbuße. Tatbestand, Rechtswidrigkeit, Verantwortlichkeit und Vorwerfbarkeit
2. § 14 OWiG Geht es um Beteiligung an einer Ordnungswidrigkeit? Beteiligung ist ein eigenes Gate und macht niemanden automatisch zur Leitungsperson. nur Ordnungswidrigkeitenpfad
3. § 9 OWiG Müssen besondere persönliche Merkmale des Normadressaten auf eine handelnde Person übertragen werden? Täterfähigkeit kann entstehen. Vertreter-/Beauftragtenzurechnung
4. § 30-Person Fällt die handelnde Person zusätzlich unter § 30 Abs. 1 Nr. 1 bis 5 OWiG? Erst dann öffnet sich der Verbandspfad. eigener Personenkatalog
5. Verbandsbezug Wurden Pflichten des Verbands verletzt oder wurde der Verband bereichert oder sollte er bereichert werden? Gegen den Verband kann eine Geldbuße festgesetzt werden. § 30 „kann“

§ 14 OWiG ersetzt weder § 9 noch § 30. Er klärt die Beteiligung an einer Ordnungswidrigkeit; die Verbandsgeldbuße verlangt anschließend weiterhin eine §-30-Person und den Verbandsbezug.

§ 9 OWiG [N-OWiG-9] und § 30 OWiG haben unterschiedliche Funktionen. Ein nach § 9 täterfähiger Beauftragter ist nicht automatisch eine Leitungsperson nach § 30. Umgekehrt ersetzt eine Leitungsstellung nicht die Täterfähigkeit und nicht die konkrete Anknüpfungstat.

Die BSIG-„Geschäftsleitung“ nach § 2 Nr. 13 BSIG ist ebenfalls nicht automatisch deckungsgleich mit dem §-30-Personenkatalog. Für die Verbandsgeldbuße zählt der OWiG-Katalog.

5.1 Verzehnfachung, Rechtsnachfolge, Einziehungssperre und Sicherung

§ 30 Abs. 2 OWiG: Die Geldbuße beträgt

  1. im Falle einer vorsätzlichen Straftat bis zu zehn Millionen Euro,
  2. im Falle einer fahrlässigen Straftat bis zu fünf Millionen Euro. Im Falle einer Ordnungswidrigkeit bestimmt sich das Höchstmaß der Geldbuße nach dem für die Ordnungswidrigkeit angedrohten Höchstmaß der Geldbuße. Verweist das Gesetz auf diese Vorschrift, so verzehnfacht sich das Höchstmaß der Geldbuße nach Satz 2 für die im Gesetz bezeichneten Tatbestände. Satz 2 gilt auch im Falle einer Tat, die gleichzeitig Straftat und Ordnungswidrigkeit ist, wenn das für die Ordnungswidrigkeit angedrohte Höchstmaß der Geldbuße das Höchstmaß nach Satz 1 übersteigt.

§ 65 Abs. 5 Satz 2 BSIG verweist nur für die Fälle des § 65 Abs. 5 Satz 1 Nr. 3 und 4 auf § 30 Abs. 2 Satz 3 OWiG. Deshalb verzehnfacht sich dort der Verbandshöchstrahmen, nicht der persönliche Höchstrahmen der handelnden natürlichen Person. Aus 2 Mio. € können auf Verbandsebene bis zu 20 Mio. € werden; aus 1 Mio. € können bis zu 10 Mio. € werden. Bei Fahrlässigkeit ist vorher zu prüfen, ob § 17 Abs. 2 OWiG den Ausgangsrahmen halbiert.

§ 30 Abs. 2a OWiG: Im Falle einer Gesamtrechtsnachfolge oder einer partiellen Gesamtrechtsnachfolge durch Aufspaltung (§ 123 Absatz 1 des Umwandlungsgesetzes) kann die Geldbuße nach Absatz 1 und 2 gegen den oder die Rechtsnachfolger festgesetzt werden. Die Geldbuße darf in diesen Fällen den Wert des übernommenen Vermögens sowie die Höhe der gegenüber dem Rechtsvorgänger angemessenen Geldbuße nicht übersteigen. Im Bußgeldverfahren tritt der Rechtsnachfolger oder treten die Rechtsnachfolger in die Verfahrensstellung ein, in der sich der Rechtsvorgänger zum Zeitpunkt des Wirksamwerdens der Rechtsnachfolge befunden hat.

Bei M&A bedeutet das: Das Risiko verschwindet nicht schon deshalb, weil die Zielgesellschaft umstrukturiert wird. Die beiden Grenzen wirken nicht additiv. Die Buße darf weder den Wert des übernommenen Vermögens noch die gegenüber dem Rechtsvorgänger angemessene Geldbuße überschreiten.

§ 30 Abs. 4 OWiG: Wird wegen der Straftat oder Ordnungswidrigkeit ein Straf- oder Bußgeldverfahren nicht eingeleitet oder wird es eingestellt oder wird von Strafe abgesehen, so kann die Geldbuße selbständig festgesetzt werden. Durch Gesetz kann bestimmt werden, daß die Geldbuße auch in weiteren Fällen selbständig festgesetzt werden kann. Die selbständige Festsetzung einer Geldbuße gegen die juristische Person oder Personenvereinigung ist jedoch ausgeschlossen, wenn die Straftat oder Ordnungswidrigkeit aus rechtlichen Gründen nicht verfolgt werden kann; § 33 Abs. 1 Satz 2 bleibt unberührt.

Selbständige Festsetzung heißt nicht: Die Behörde braucht keine Anknüpfungstat. Es heißt nur: Eine Verurteilung oder ein laufendes Verfahren gegen die natürliche Person ist nicht immer Voraussetzung. Die Anknüpfungstat und die §-30-Merkmale müssen trotzdem festgestellt werden.

§ 30 Abs. 5 und 6 OWiG: Die Festsetzung einer Geldbuße gegen die juristische Person oder Personenvereinigung schließt es aus, gegen sie wegen derselben Tat die Einziehung nach den §§ 73 oder 73c des Strafgesetzbuches oder nach § 29a anzuordnen.

Bei Erlass eines Bußgeldbescheids ist zur Sicherung der Geldbuße § 111e Absatz 2 der Strafprozessordnung mit der Maßgabe anzuwenden, dass an die Stelle des Urteils der Bußgeldbescheid tritt.

Die Einziehungssperre gilt nur in ihrem Wortlautumfang: gegen denselben Verband und wegen derselben Tat. § 30 Abs. 6 OWiG ist ein Sicherungspfad beim Erlass des Bußgeldbescheids. Er ist nicht Zumessung, nicht Einziehung und nicht Vollstreckung. Die verfahrensrechtliche Vertretungs- und Beiordnungsfrage nach § 428 StPO [N-StPO-428] ist hiervon zu trennen; sie ersetzt weder § 30 Abs. 5 und 6 OWiG noch die Prüfung von § 29a OWiG und §§ 73, 73c StGB.

6. Eigenständiger Aufsichtspflichtpfad — § 130 OWiG

§ 130 OWiG [N-OWiG-130] ist keine Abkürzung für „schlechte Compliance“. Er ist eine eigene Ordnungswidrigkeit. Er kann wichtig werden, wenn nicht die ursprüngliche Grundtat von einer §-30-Leitungsperson begangen wurde, sondern eine Leitungsperson die erforderliche Aufsicht unterlassen hat.

§ 130 Abs. 1 OWiG: Wer als Inhaber eines Betriebes oder Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterläßt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, handelt ordnungswidrig, wenn eine solche Zuwiderhandlung begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Zu den erforderlichen Aufsichtsmaßnahmen gehören auch die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen.

§ 130 Abs. 2 OWiG: Betrieb oder Unternehmen im Sinne des Absatzes 1 ist auch das öffentliche Unternehmen.

§ 130 Abs. 2 OWiG verhindert einen vorschnellen Ausschluss öffentlicher Unternehmensstrukturen. Er ersetzt aber nicht die Prüfung, ob die konkrete straf- oder bußgeldbewehrte Pflicht gerade den Inhaber des Betriebs oder Unternehmens traf.

Der §-130-Pfad hat eigene Tatbestandsstufen:

Stufe Erforderliche Prüfung Typischer Fehler Modalverb/Rechtscharakter
Inhaberpflicht Trifft die straf- oder bußgeldbewehrte Pflicht den Betriebs- oder Unternehmensinhaber? Jede BSIG-Pflicht pauschal als Inhaberpflicht behandeln. Pflicht muss den Inhaber treffen.
Öffentliche Unternehmensstruktur Ist trotz staatlicher Nähe ein öffentliches Unternehmen im Sinne des § 130 Abs. 2 betroffen? Öffentliche Unternehmen pauschal herausnehmen. § 130 Abs. 2 „ist auch“
Aufsichtspflicht Welche Aufsichtsmaßnahmen waren erforderlich? Abstrakt „Compliance fehlte“ behaupten. Erforderliche Maßnahmen, auch Auswahl und Überwachung.
Grundzuwiderhandlung Wurde tatsächlich eine geschützte Pflicht verletzt? Reinen Organisationsmangel genügen lassen. § 130 verlangt „wenn eine solche Zuwiderhandlung begangen wird“.
Kausalität Hätte gehörige Aufsicht verhindert oder wesentlich erschwert? Kausalitätsgegenprobe überspringen. Verhinderungs-/Erschwerbarkeitsprüfung.
Verbandspfad Ist der Aufsichtspflichtverletzer zusätzlich eine §-30-Person? Grundtäter, Aufsichtstäter und Verband vermischen. Zusätzliche §-30-Prüfung.

Die Höhe muss dreistufig getrennt werden:

Ebene Frage Höhenfolge Gegenprobe
persönliche §-130-Tat Hat eine natürliche Aufsichtsperson § 130 verwirklicht? Bei strafbewehrter Grundpflicht bis 1 Mio. €; bei bußgeldbewehrter Grundpflicht nach dem angedrohten Höchstmaß der Grundpflicht; Mischfälle gesondert. Nicht automatisch „immer 1 Mio. €“.
Verband über § 30 wegen § 130 Ist die Aufsichtsperson zusätzlich eine §-30-Person und besteht Verbandsbezug? Erst dann kann die §-130-Ordnungswidrigkeit Anknüpfungstat für eine Verbandsgeldbuße sein. Persönliche §-130-Buße nicht mit Verbandsgeldbuße gleichsetzen.
§-65-Sonderrahmen Darf § 65 Abs. 6/7 oder § 65 Abs. 5 Satz 2 auf diesen Pfad wirken? Nur wenn die jeweilige Norm den Import trägt; ohne ausdrückliche Herleitung bleibt es bei der defensiven Nichtanwendung. Umsatzalternative und Sonderverzehnfachung nicht ungeprüft importieren.

§ 130 Abs. 3 OWiG ist der unmittelbare Höhenanker des Aufsichtspflichtpfads und muss im konkreten Fall am Wortlaut geprüft werden. Bei strafbewehrter Grundpflicht bleibt die persönliche §-130-Obergrenze zunächst § 130 Abs. 3 Satz 1. Der Verweis in § 130 Abs. 3 Satz 2 auf § 30 Abs. 2 Satz 3 OWiG darf in dieser Managementfassung nicht als automatische Verzehnfachung jeder persönlichen §-130-Geldbuße dargestellt werden. Bei bußgeldbewehrter Grundpflicht ist § 130 Abs. 3 Satz 3 der erste Höhenanker; wenn das Spezialgesetz selbst ausdrücklich auf § 30 Abs. 2 Satz 3 verweist, ist die Reichweite dieses Verweises gesondert zu begründen. Für BSIG-Fälle gilt deshalb die defensive Regel: Die Umsatzalternative des § 65 Abs. 6 und 7 und die besondere Verzehnfachung des § 65 Abs. 5 Satz 2 werden nicht in jeden §-130-Fall importiert. Sie werden nur angesetzt, wenn die konkrete Normkette das ausdrücklich und belastbar trägt.

§ 131 OWiG [N-OWiG-131] ist im §-130-Verfahren vor allem wegen Absatz 3 zu prüfen. Absatz 1 ist keine allgemeine Behördenzuweisung für § 130-BSIG-Fälle; er betrifft die dort besonders aufgeführten Ordnungswidrigkeiten und darf nicht zu einer pauschalen BSI- oder BMI-Zuständigkeit umgeschrieben werden. Absatz 2 betrifft Antrag oder Ermächtigung, wenn die Grundtat nur auf Antrag oder mit Ermächtigung verfolgt werden könnte. Absatz 3 ordnet für § 130 die entsprechende Anwendung der Verfahrensvorschriften an, die bei der Verfolgung der Pflichtverletzung anzuwenden wären. Daraus folgt eine Behörden- und Verfahrenskette von der Grundpflicht her, aber keine fertige Pauschalformel für Behörde, Verjährung oder Höhe.

7. Zumessung, Konkurrenzen, Verjährung und reaktiver Mindestpfad

7.1 Zumessung

Zumessung ist die konkrete Bemessung innerhalb des gesetzlichen Rahmens. Das Unternehmen sollte deshalb nicht nur auf den Höchstbetrag schauen, sondern auf die Zumessungsfaktoren: Bedeutung des Verstoßes, Vorwurf, wirtschaftliche Verhältnisse, Kooperation, Abstellung, Schaden, Dauer, Wiederholung und gezogene Vorteile. Der Hinweis, dass § 30 Abs. 3 OWiG auf § 17 Abs. 4 und § 18 OWiG verweist und nicht auf § 17 Abs. 3 OWiG, ist keine abschließende Zumessungsdogmatik und kein Ausschluss jeder einzelfallbezogenen Bewertung; Verbandsgeldbußen bleiben anwaltlich anhand der konkreten Normkette und Fallakte zu prüfen.

Art. 34 Abs. 3 der NIS-2-Richtlinie verweist unionsrechtlich auf die Einzelfallfaktoren des Art. 32 Abs. 7. Dazu gehören unter anderem Schwere, Dauer, frühere Verstöße, Schaden, Vorsatz oder Fahrlässigkeit, Schadensminderung, Einhaltung genehmigter Verhaltenskodizes oder Zertifizierungen und Zusammenarbeit. Das ist kein eigenständiger deutscher Bußgeldkatalog, aber ein wichtiger Auslegungs- und Umsetzungsrahmen.

7.2 Konkurrenzen und Sperren

Strang Norm Adressat Sperrt was? Sperrt was nicht? Modalverb/Rechtscharakter
Verbandsgeldbuße § 30 OWiG i. V. m. § 65 BSIG juristische Person oder Personenvereinigung Nach § 30 Abs. 5 Einziehung gegen denselben Verband wegen derselben Tat persönliche Geldbuße, Innenhaftung, Aufsicht, Strafrecht nicht pauschal „schließt es aus“
Persönliche Geldbuße § 65 BSIG natürliche Person keine automatische Sperre der Verbandsgeldbuße Verbandsgeldbuße bleibt bei §-30-Voraussetzungen möglich eigene Ahndung
DSGVO-Bußgeldsperre § 65 Abs. 11 BSIG BSIG-Bußgeldadressat weitere BSIG-Geldbuße für denselben Verhaltensverstoß nach vorheriger DSGVO-Geldbuße Aufsichtsmaßnahmen, Zwangsgeld, Innenhaftung, Strafrecht nicht pauschal „darf … nicht verhängt werden“
Innenhaftung § 38 Abs. 2 BSIG, § 93 AktG, § 43 GmbHG Geschäftsleitung keine bußgeldrechtliche Sperre Verbandsgeldbuße und persönliche Geldbuße zivilrechtlicher Strang
Tätigkeitsverbot Aufsichtsrechtlicher Spezialstrang Geschäftsleitung keine automatische Bußgeldsperre Bußgeld bei eigenem Tatbestand siehe Tätigkeitsverbot
Strafrecht Strafrechtlicher Spezialstrang natürliche Person § 21 OWiG bei Tatidentität prüfen Verbandsgeldbuße nicht pauschal erledigt siehe Strafrechtliche Risiken

Für mehrere Ordnungswidrigkeiten gelten die allgemeinen Konkurrenzregeln. § 19 OWiG betrifft dieselbe Handlung und mehrere Gesetzesverletzungen. § 20 OWiG betrifft mehrere verwirkte Geldbußen. § 21 OWiG betrifft das Zusammentreffen von Straftat und Ordnungswidrigkeit. Die Höchstbeträge des § 65 BSIG sind deshalb keine Gesamtobergrenze für beliebig viele selbständige Taten.

7.3 Verfolgungsverjährung: drei Spuren

Verjährung ist für laufende Verfahren oft wichtiger als die Maximalzahl. Der Artikel gibt hier keinen Ersatz für eine Verteidigungsprüfung, aber eine belastbare Arbeitsordnung. Jede konkrete Fristnotiz muss Beginn, Vollendung oder Beendigung, Ruhen nach § 32 OWiG, Unterbrechung nach § 33 OWiG, mögliche absolute Grenzen und die getrennte Vollstreckungsverjährung nach § 34 OWiG ausdrücklich auseinanderhalten:

Spur Ausgangspunkt Sichere Berechnungsregel Nicht zulässige Abkürzung Modalverb/Rechtscharakter
Unmittelbare §-65-Ordnungswidrigkeit konkrete §-65-Tat der natürlichen oder zurechenbaren Person §§ 31 bis 33 OWiG; wegen der hohen §-65-Höchstrahmen regelmäßig § 31 Abs. 2 Nr. 1 mit drei Jahren, vorbehaltlich Spezialregel, Vollendung, Beendigung, Ruhen und Unterbrechung „immer drei Jahre ab Vorfall“ Verfolgungsverjährung schließt Verfolgung aus
Verbandsgeldbuße nach § 30 OWiG natürliche Anknüpfungtat plus §-30-Verbandspfad Nicht vom verzehnfachten oder umsatzbezogenen Verbandshöchstrahmen her rechnen, sondern von der Anknüpfungtat und deren Verjährungsregeln; § 30 Abs. 4 Satz 3 und § 33 Abs. 1 Satz 2 OWiG gesondert prüfen „§ 30 hat automatisch eine eigene Dreijahresfrist“ oder „§ 65-Umsatzrahmen verlängert die Verjährung“ Anknüpfungstatbezogene Verjährungsspur
§-130-Aufsichtspflichtverletzung eigenständige Aufsichtstat Grundpflicht, Grundzuwiderhandlung, Pflichtart und § 131 Abs. 3 OWiG bestimmen; bei BSIG-Grundpflichten nicht ohne Prüfung auf dieselbe Frist wie die Ausgangs-OWi springen „§ 130 verjährt immer wie § 65“ eigene Aufsichtstat mit Verfahrensverweis

Das Reformmaterial aus Juni 2026 zeigt, warum diese Trennung sorgfältig zu dokumentieren ist: Der Gesetzgeber diskutiert ausdrückliche Verjährungsregeln für §§ 30 und 130 OWiG, ohne dass daraus für diesen Artikel bereits eine neue geltende Regel folgt. Die Arbeitsregel bleibt deshalb: Jede Verjährungsnotiz muss Anknüpfungstat, Verbandspfad und §-130-Pfad getrennt rechnen.

Verfolgungsverjährung ist nicht Vollstreckungsverjährung. Die Vollstreckung setzt eine rechtskräftig festgesetzte Geldbuße voraus. Danach sind insbesondere § 89 OWiG zur Vollstreckbarkeit, §§ 90 bis 93 OWiG zur Vollstreckung und Zahlungserleichterung, § 99 OWiG zur Verbandsgeldbuße und § 34 OWiG zur Vollstreckungsverjährung zu unterscheiden.

7.4 Reaktiver Mindestpfad bei laufendem Verfahren

Ein laufendes Verfahren ist kein Ort für Schnellformeln. Der Mindestpfad lautet:

  1. Tatbestandsvariante, Tatzeitraum, Fälligkeit, Fassung und Verweisziel sichern.
  2. Natürliche Person, möglicher Verband und verbundene oder selbständige Verfahrensform trennen.
  3. Opportunität und Einstellung nach § 47 OWiG mitdenken: Die Verfolgung liegt im pflichtgemäßen Ermessen der Behörde, solange das Verfahren bei ihr anhängig ist. Das ist kein Freispruch und kein materieller Tatbestandsersatz.
  4. Zuständigkeit prüfen: §§ 35 bis 37 OWiG, § 65 Abs. 10 BSIG, bei Zusammenhang §§ 38 und 39 OWiG, bei Staatsanwaltschaft und Gericht §§ 40 bis 45 OWiG, beim Verband § 88 OWiG und bei § 130 vor allem § 131 Abs. 3 OWiG und, falls einschlägig, Absatz 2; Absatz 1 nicht als allgemeine §-130-BSIG-Behördenzuweisung verwenden.
  5. Anhörung nach § 55 Abs. 1 OWiG und Akteneinsicht nach § 49 OWiG funktional einordnen.
  6. Bekanntmachung nach § 50 OWiG, Zustellung nach § 51 OWiG und Wiedereinsetzung nach § 52 OWiG nicht vermischen.
  7. Antrag auf gerichtliche Entscheidung nach § 62 OWiG von Einspruch gegen den Bußgeldbescheid nach § 67 OWiG trennen.
  8. Bußgeldbescheid nach §§ 65 und 66 OWiG — nicht zu verwechseln mit § 65 BSIG —, Einspruch und Zwischenverfahren nach §§ 67 bis 70 OWiG, Hauptverhandlung oder Beschluss nach §§ 71 und 72 OWiG prüfen.
  9. Weitere erstinstanzliche Regeln nach §§ 73 bis 78 OWiG, Rechtsbeschwerde nach §§ 79, 80 und 80a OWiG und elektronischen Rechtsverkehr nach § 110c OWiG nur nach konkretem Auslöser prüfen.
  10. Beweiserhalt, Dokumentensicherung und Trennung von Tatsachenaufklärung und rechtlicher Würdigung organisieren, ohne daraus ein Verteidigungs-Testat abzuleiten.

7.5 Der Verband im Verfahren — § 88 OWiG, § 60 Satz 2 OWiG und § 444 StPO

Der Verband darf im Verfahren nicht wie eine natürliche betroffene Person behandelt werden. § 88 OWiG [N-OWiG-88] ist der spezielle Verfahrensknoten für Geldbußen gegen juristische Personen und Personenvereinigungen. § 46 OWiG öffnet daneben den allgemeinen strafprozessualen Verfahrensrahmen sinngemäß, soweit das OWiG keine besonderen Regeln enthält. Für den Verband heißt das: erst OWiG-Spezialregel, dann StPO-Verweisung, nie umgekehrt.

Knoten Mechanik Fehler, den der Artikel vermeiden muss
§ 88 Abs. 1 OWiG Hat die Verwaltungsbehörde über eine Verbandsgeldbuße zu entscheiden, ist sie auch für die Anordnung der Verfahrensbeteiligung zuständig; § 60 Satz 2 OWiG gilt entsprechend. § 88 nur als Zitiernorm nennen.
§ 88 Abs. 2 OWiG Im selbständigen Verfahren setzt die Verwaltungsbehörde die Geldbuße durch selbständigen Bußgeldbescheid fest; zuständig ist die Behörde, die bei Verfolgung einer bestimmten Person zuständig wäre; örtlich zuständig ist auch die Behörde am Sitz oder an einer Zweigniederlassung des Verbands. Selbständige Festsetzung ohne Bußgeldbescheid-, Behörden- und Sitzspur darstellen.
§ 88 Abs. 3 OWiG § 87 Abs. 2 Satz 1 und 2 sowie Abs. 5 OWiG gelten entsprechend; damit sind Betroffenenbefugnisse des Verbands ab Bußgeldbescheid, Zustellung des Bescheids und eine etwaige Nichtanfechtbarkeit nach entsprechender Anwendung gesondert zu prüfen. Verband und natürliche Person ohne Beteiligungsprüfung gleichsetzen.
§ 444 StPO § 88 Abs. 1 verweist für die Beteiligungsanordnung auf § 444 Abs. 1 StPO; im Strafverfahren ist § 444 StPO der eigene Verbandsbeteiligungspfad. § 444 StPO und § 88 OWiG austauschen.
§ 428 StPO § 428 StPO betrifft Vertretung und Beiordnung des Einziehungsbeteiligten; im Verbandskontext ist er über den §-88-/§-444-Verfahrensknoten gesondert zu prüfen, nicht als materieller Einziehungs- oder Sicherungsmechanismus. § 428 StPO als Einziehungs- oder Sicherungsnorm behandeln.
§ 99 OWiG Bei Vollstreckung einer Verbandsgeldbuße sind die besonderen Vollstreckungsverweisungen für den Verband mitzulesen. Vollstreckung nur über natürliche Person denken.

Aufsicht und Durchsetzung stehen in BSI-Aufsicht nach der Meldung. Dieser Artikel gibt nur den Mindestkompass für die Verbandsgeldbuße.

8. DSGVO-Koordinierung und EU-Wurzel

8.1 § 65 Abs. 11 BSIG: besondere Bußgeldsperre

§ 65 Abs. 11 BSIG: Verhängen die in Artikel 55 oder 56 der Verordnung (EU) 2016/679 genannten Aufsichtsbehörden gemäß Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 eine Geldbuße, so darf eine weitere Geldbuße für einen Verstoß nach diesem Gesetz, der sich aus demselben Verhalten ergibt wie jener Verstoß, der Gegenstand der Geldbuße nach Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 war, nicht verhängt werden.

Die Datenschutz-Grundverordnung (DSGVO) ist die Verordnung (EU) 2016/679 [EU-DSGVO]. Art. 55 und 56 DSGVO bestimmen Zuständigkeiten von Datenschutzaufsichtsbehörden. Art. 58 Abs. 2 Buchst. i DSGVO nennt deren Befugnis zur Verhängung von Geldbußen.

§ 65 Abs. 11 BSIG ist keine allgemeine Immunität. Er sperrt eine weitere BSIG-Geldbuße, wenn eine zuständige DSGVO-Aufsichtsbehörde wegen desselben Verhaltens bereits eine Geldbuße nach Art. 58 Abs. 2 Buchst. i DSGVO verhängt hat. Er sperrt nicht pauschal Aufsichtsmaßnahmen, Zwangsgelder, persönliche Innenhaftung, Tätigkeitsverbote oder Strafverfahren.

Für „dasselbe Verhalten“ reicht ein gemeinsamer Cybervorfall allein nicht. Die sichere Prüfung arbeitet mit vier Fragen:

Frage Bedeutung
Wurde bereits eine DSGVO-Geldbuße verhängt? § 65 Abs. 11 ist nach seinem Wortlaut eine Sperre nach verhängter DSGVO-Geldbuße, keine allgemeine Kollisionsregel für jedes Parallelverfahren.
Stammt die Geldbuße von einer Art.-55- oder Art.-56-DSGVO-Aufsichtsbehörde und beruht sie auf Art. 58 Abs. 2 Buchst. i DSGVO? Nur dann ist der in § 65 Abs. 11 bezeichnete Behörden- und Befugnisanker getroffen.
Geht es um denselben tatsächlichen Lebensvorgang? Tat, Zeitraum, Systeme, Datenverarbeitung, Schaden und Pflichtverletzung müssen verglichen werden.
Ist derselbe Adressat beziehungsweise dieselbe wirtschaftliche Verhaltenseinheit betroffen? Eine Unternehmensgruppe, mehrere Rechtsträger oder mehrere Behördenverfahren können die Identität kompliziert machen.

Art. 83 DSGVO steht nicht im Wortlaut des § 65 Abs. 11 BSIG. Er gehört aber zum Kontext, weil Art. 58 Abs. 2 Buchst. i DSGVO auf Art. 83 verweist. Art. 83 Abs. 4 bis 6 DSGVO werden dadurch nicht als eigener BSIG-Höhenrahmen importiert; sie bleiben Kontext der Datenschutz-Geldbuße, deren Vorliegen und Identität für die Sperrfrage zu prüfen ist. Das Ergebnis kann deshalb lauten: BSIG-Bußgeld gesperrt, teilweise gesperrt oder nicht gesperrt. Ohne Identitätsprüfung ist keine dieser Antworten seriös.

8.2 EU-Wurzel der großen Höchstrahmen

Die NIS-2-Richtlinie ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Art. 21 regelt Risikomanagementmaßnahmen; Art. 23 regelt Berichtspflichten.

Art. 34 Abs. 4 und 5 der NIS-2-Richtlinie [EU-NIS2] verlangt für Verstöße wesentlicher beziehungsweise wichtiger Einrichtungen gegen Art. 21 oder 23 Mindesthöchstrahmen von 10 Mio. € oder 2 % beziehungsweise 7 Mio. € oder 1,4 % des weltweiten Umsatzes des Unternehmens, dem die Einrichtung angehört, je nachdem, welcher Betrag höher ist. Das erklärt die große deutsche Staffel, aber nicht jede sonstige §-65-Familie. Der deutsche § 65 BSIG setzt diese EU-Logik nicht wortgleich um, sondern arbeitet in Abs. 6 und 7 mit einer besonderen Schwelle von mehr als 500 Mio. € Gesamtumsatz.

Art. 35 Abs. 2 NIS-2-Richtlinie ist die unionsrechtliche Vorlage der DSGVO-Bußgeldsperre. Art. 36 verlangt Sanktionen, die wirksam, verhältnismäßig und abschreckend sind. Art. 37 regelt Amtshilfe, wenn Dienste oder Netz- und Informationssysteme mehrere Mitgliedstaaten betreffen. Art. 26 betrifft dagegen die unionsrechtliche Zuständigkeitsordnung; er ist nicht dasselbe wie Amtshilfe. DORA bleibt eine eigene Aufsichts- und Sanktionsschicht für ihren persönlichen und sachlichen Anwendungsbereich; Art. 50 DORA [EU-DORA] wird hier als DORA-Sanktions- und Abhilfeschicht eingeordnet, aber nicht als Importnorm für BSIG- oder OWiG-Rechtsfolgen verwendet.

Die unionsrechtlichen Verfahrensgarantien sind ebenfalls wichtig. Art. 32 Abs. 7 nennt Einzelfallfaktoren. Art. 32 Abs. 8 verlangt insbesondere Begründung, Mitteilung vorläufiger Erkenntnisse und Gelegenheit zur Stellungnahme, vorbehaltlich begründeter Dringlichkeit. Art. 33 Abs. 5 erstreckt diese Garantien auf wichtige Einrichtungen.

9. Wenn der Verband zahlt — Innenregress-Brücke

Die Verbandsgeldbuße trifft das Unternehmen. Das bedeutet nicht automatisch, dass die wirtschaftliche Last dort endgültig bleibt. § 38 Abs. 2 BSIG verbindet die Verletzung der Pflichten nach § 38 Abs. 1 BSIG mit der gesellschaftsrechtlichen Verantwortlichkeit. Bei Aktiengesellschaften führt der Anschluss zu § 93 AktG [N-AktG-93], bei Gesellschaften mit beschränkter Haftung zu § 43 GmbHG [N-GmbHG-43]. Die Schulungspflicht des § 38 Abs. 3 BSIG darf nicht ohne eigene Haftungsgrundlage in diese Brücke hineingelesen werden.

Dieser Artikel entscheidet nicht, ob und in welchem Umfang eine konkrete Verbandsgeldbuße regressfähig ist. Das ist eine eigene Innenhaftungsfrage und steht in Innenhaftung der Geschäftsleitung. Hier genügt die Brücke: Die Buße gegen den Verband, die persönliche Innenhaftung und ein möglicher Regress sind unterschiedliche Stränge. Die Außenhaftung steht in Aufsichtsrats-Haftung.

10. Arbeitsprodukte und Prüfreihenfolge

Ein belastbares Bußgeld-Playbook arbeitet nicht mit Maximalzahlen, sondern mit Nachweisen.

10.1 Präventives Playbook

Schritt Arbeitsprodukt Zweck Modalverb/Rechtscharakter
1 Status- und Bereichsausnahmen-Memo Klärt, welche §-65-Familien überhaupt adressieren können. Pflichtgeltung vor Bußgeldhöhe
2 Tatbestandsmatrix § 65 Ordnet jede Pflichtverletzung einer Variante zu. § 65 „handelt ordnungswidrig“
3 Fassung- und Verweisungsprotokoll Sichert § 33, § 56, § 66, Rechtsverordnung, Fälligkeit und Tatzeit. Bestimmtheit und Tatzeitprinzip
4 Rollen- und Delegationsmatrix Trennt Geschäftsleitung, §-30-Personen, §-9-Beauftragte, §-14-Beteiligte und einfache Mitarbeiter. keine automatische Zurechnung
5 Dokumentationspaket Risikomanagement und Meldung Belegt Maßnahmen, Dokumentation, Meldungen und Unterrichtungen. Pflichten in Umsetzung — § 30 BSIG, zehn Mindestmaßnahmen und BSI-Meldepflicht (§ 32 BSIG)
6 Aufsichtsorganisation nach § 130 OWiG Belegt Auswahl, Bestellung, Überwachung und Eskalation. Vermeid-/Erschwerbarkeitsgegenprobe
7 DSGVO-Schnittstellenblatt Sichert mögliche Parallelität und „dasselbe Verhalten“. besondere Bußgeldsperre
8 Regress- und Versicherungsnotiz Trennt Unternehmensbuße, Innenhaftung und Deckungsfragen. Anschluss an Innenhaftung der Geschäftsleitung

10.2 Vorstandsfazit

Für die Geschäftsleitung ist die wichtigste Aussage nicht „10 Millionen“ oder „2 Prozent“. Wichtig ist: Eine Verbandsgeldbuße entsteht über eine nachweisbare Tat- und Zurechnungskette. Saubere Pflichtgeltung, richtige Zuständigkeiten, dokumentierte Maßnahmen, klare Rollen, gelebte Aufsicht und belastbare Nachweise sind prüfungs- und zumessungsrelevant; sie garantieren aber keine Entlastung und ersetzen keine Fallprüfung.

10.3 Was jede Zielgruppe aus dem Artikel ziehen sollte

Zielgruppe Nutzbarer Kern Nicht aus dem Artikel ableiten
Geschäftsleitung Welche Entscheidungsknoten vor einer Bußgeldhöhe liegen und welche Nachweise Führungsaufgabe sind. Eine persönliche Entlastung ohne Fallprüfung.
Compliance Welche Kontrollfragen in eine §-65-/§-30-/§-130-Matrix gehören. Eine vollständige Verteidigungsstrategie.
Legal/Anwälte Welche harten Fall-Gates für Fassung, Verjährung, Behörde, § 130, Umsatz und DSGVO-Identität abzuarbeiten sind. Ein endgültiges Gutachten zu § 33, § 56, § 130-Höhe oder § 65 Abs. 8 ohne Fallakte.
Finance/CFO Wann Fixrahmen, Umsatzalternative und Vorteilsabschöpfung getrennt werden müssen. Eine Rückstellungshöhe ohne Zumessungs- und Sachverhaltsprüfung.
Security/IT Welche Maßnahmen-, Melde-, Dokumentations- und Aufsichtsnachweise bußgeldrelevant werden. Eine technische Maßnahmenliste; die steht in Umsetzung — § 30 BSIG, zehn Mindestmaßnahmen und BSI-Meldepflicht (§ 32 BSIG).

11. Zeitlicher Geltungsstand und Reformradar

Dieser Artikel verwendet den Rechts- und Quellenstand vom 26. Juni 2026. Das BSIG ist das BSI-Gesetz vom 2. Dezember 2025, in Kraft seit 6. Dezember 2025, geändert durch Artikel 4 des Gesetzes vom 11. März 2026 mit Wirkung seit 17. März 2026. OWiG, NIS-2-Richtlinie und DSGVO sind jeweils in der im Quellenverzeichnis bezeichneten Fassung zu prüfen.

Im Reformradar stehen besonders drei Punkte:

  • Der Entwurf eines Cyberresilienz-Durchführungsgesetzes würde den bisherigen § 65 BSIG zu § 68 verschieben und die Behördenregelung neu ordnen. Das ist noch kein geltendes Recht dieses Artikels.
  • Der Regierungsentwurf eines Gesetzes zur Stärkung der Cybersicherheit, BT-Drs. 21/6585, betrifft unter anderem Änderungen des BSI-Gesetzes und wurde am 25. Juni 2026 in erster Lesung beraten und in die Ausschüsse überwiesen. Für diesen Artikel bleibt bei jeder Aktualisierung oder Anwendung zu prüfen, ob daraus mittelbar oder unmittelbar Änderungen an Behörden-, Zuständigkeits-, Eingriffs- oder Verweisungsnormen folgen. Das ist Reformradar, nicht geltendes Recht.
  • Ein aktuelles OWiG-Reformmaterial behandelt unter anderem klarere Verjährungsregeln für Verbandsgeldbußen nach § 30 OWiG und Aufsichtspflichtverletzungen nach § 130 OWiG. Auch das ist Reformradar, nicht geltendes Recht.

Bei jeder Aktualisierung oder Anwendung auf einen konkreten Fall ist deshalb eine Verkündungs- und Geltungsstandsprüfung erforderlich: BGBl./recht.bund.de, Bundestag/DIP und Bundesrat sind auf Verkündung, Inkrafttreten, Übergangsrecht und geänderte Paragrafenzählung zu prüfen.

12. Schnittstellen

13. Kurzantworten auf die 24 Lese-Fragen

  1. Was ist die Verbandsgeldbuße? Die Geldbuße gegen den Rechtsträger des Unternehmens (juristische Person oder Personenvereinigung). § 65 BSIG beschreibt die Ordnungswidrigkeiten und Höchstrahmen; § 30 OWiG erklärt, wann der Verband selbst mit Geldbuße belegt werden kann.
  2. Reicht der Satz „das Unternehmen hat gegen NIS-2 verstoßen“? Nein. Erforderlich ist eine konkrete Anknüpfungstat einer natürlichen Person nach § 65 BSIG oder § 130 OWiG sowie die Erfüllung der Voraussetzungen des § 30 OWiG.
  3. Was steht vor jeder Betragsfrage? Ein vierstufiges Gate: Tatbestandsfamilie des § 65 BSIG, Pflichtgeltung und Ausnahmen, Sanktionssubjekt (natürliche Person oder Verband) sowie Behörde und Verfahren.
  4. Ist § 65 BSIG ein einheitlicher NIS-2-Bußgeldtatbestand? Nein. Die Norm enthält mehrere Familien (vollziehbare Anordnungen, Risikomanagement- und Meldetatbestände, KRITIS-Nachweise, kritische Komponenten, Domain-Name-Daten, Zertifizierung, Aufsichtsmitwirkung und Verstöße gegen die Verordnung (EU) 2019/881); jede Familie hat ihren eigenen Adressaten.
  5. Welche Höchstrahmen nennt § 65 Abs. 5 BSIG? Bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtung) für die schwere Gruppe; 5 Mio. € (Abs. 2 Nr. 11); 2 Mio. € (Abs. 2 Nr. 1a); 1 Mio. € (Abs. 1 und Abs. 2 Nr. 10); 500.000 €; 100.000 €.
  6. Wann greift die Umsatzalternative? Nur in den Fällen des § 65 Abs. 6 und 7 (schwere Tatbestandsgruppe) und nur bei mehr als 500 Mio. € Gesamtumsatz: bis 2 % bzw. 1,4 % des weltweiten Unternehmensumsatzes.
  7. Was ist „Gesamtumsatz“ nach § 65 Abs. 8 BSIG? Die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung; er kann geschätzt werden. Es ist eine Bezugsgröße, nicht der Bußgeldadressat.
  8. Wie entsteht eine Verbandsgeldbuße über § 30 OWiG? Eine Leitungsperson im Sinne des § 30 Abs. 1 Nr. 1 bis 5 OWiG begeht eine Straftat oder Ordnungswidrigkeit, durch die Verbandspflichten verletzt werden oder der Verband bereichert wird oder werden sollte; dann kann gegen den Verband eine Geldbuße festgesetzt werden.
  9. Welche Rolle spielen §§ 9 und 14 OWiG? § 9 OWiG erstreckt besondere persönliche Merkmale auf Vertreter oder Beauftragte; § 14 OWiG betrifft die Beteiligung. Keiner macht jemanden automatisch zur Leitungsperson; § 30 OWiG verlangt zusätzlich eine §-30-Person und den Verbandsbezug.
  10. Wann verzehnfacht sich der Verbandsrahmen? § 65 Abs. 5 Satz 2 BSIG verweist nur für die Fälle des Satzes 1 Nr. 3 und 4 auf § 30 Abs. 2 Satz 3 OWiG. Aus 2 Mio. € können auf Verbandsebene bis zu 20 Mio. €, aus 1 Mio. € bis zu 10 Mio. € werden; nur auf Verbandsebene.
  11. Was ist der eigenständige § 130-OWiG-Pfad? Die Aufsichtspflichtverletzung des Betriebs- oder Unternehmensinhabers: unterlassene erforderliche Aufsicht, durch die eine betriebsbezogene Zuwiderhandlung ermöglicht wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Es ist eine eigene Ordnungswidrigkeit, kein Automatismus.
  12. Wie hoch ist die § 130-Geldbuße? Nach § 130 Abs. 3 OWiG bis 1 Mio. €, wenn die Pflichtverletzung mit Strafe bedroht ist; ist sie mit Geldbuße bedroht, richtet sich das Höchstmaß nach deren angedrohtem Höchstmaß. Eine automatische Verzehnfachung jeder persönlichen § 130-Buße besteht nicht.
  13. Steht § 38 BSIG im Bußgeldkatalog des § 65 BSIG? Nein. Die Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung sind keine unmittelbare BSIG-Bußgeldanknüpfung. Für die Verbandsgeldbuße braucht es eine eigene § 65- oder § 130-Anknüpfung.
  14. Was leistet § 17 OWiG? Er enthält die Grundanatomie der Geldbuße (Mindestbetrag fünf Euro, Zumessungsfaktoren in Abs. 3, Vorteilsabschöpfung in Abs. 4). § 65 Abs. 9 BSIG schließt die Fahrlässigkeitshalbierung des § 17 Abs. 2 OWiG nur für die große Staffel und die Umsatzalternative aus.
  15. Was bedeutet „bis zu“? Eine Obergrenze, keine Standard- oder Regelbuße und keine Prognose. Ohne belastbare, vergleichbare und aktuelle Quellen folgt aus dem Rahmen keine typische Höhe.
  16. Wie wird die Verjährung gerechnet? Getrennt: die unmittelbare § 65-Ordnungswidrigkeit nach §§ 31 bis 33 OWiG (wegen der hohen Rahmen regelmäßig drei Jahre nach § 31 Abs. 2 Nr. 1), der Verbandspfad anknüpfungstatbezogen, der § 130-Pfad eigenständig. Ruhen (§ 32), Unterbrechung (§ 33) und Vollstreckungsverjährung (§ 34) sind auseinanderzuhalten.
  17. Wie wird der Verband im Verfahren behandelt? § 88 OWiG ist der spezielle Verfahrensknoten (Anordnung der Verfahrensbeteiligung, selbständiger Bußgeldbescheid, Sitz-Zuständigkeit); § 60 Satz 2 OWiG und § 444 StPO sind einzubeziehen, erst OWiG-Spezialregel, dann StPO-Verweisung.
  18. Welche Rolle spielt § 428 StPO? Er betrifft die Vertretung und Beiordnung des Einziehungsbeteiligten und ist im Verbandskontext über den § 88-/§ 444-Verfahrensknoten gesondert zu prüfen, nicht als materieller Einziehungs- oder Sicherungsmechanismus.
  19. Was sperrt § 65 Abs. 11 BSIG? Eine weitere BSIG-Geldbuße, wenn wegen desselben Verhaltens bereits eine Geldbuße nach Artikel 58 Abs. 2 Buchstabe i der Datenschutz-Grundverordnung verhängt wurde. Es ist keine allgemeine Immunität; Aufsichtsmaßnahmen, Zwangsgeld, Innenhaftung und Strafrecht bleiben unberührt.
  20. Was ist die EU-Wurzel der großen Höchstrahmen? Art. 34 Abs. 4 und 5 der NIS-2-Richtlinie verlangen für Verstöße gegen Art. 21 oder 23 Mindesthöchstrahmen von 10 Mio. €/2 % bzw. 7 Mio. €/1,4 % des weltweiten Umsatzes. Der deutsche § 65 BSIG setzt das mit der Schwelle von mehr als 500 Mio. € in Abs. 6 und 7 um, nicht wortgleich.
  21. Wie verhält sich DORA? DORA bleibt eine eigene Aufsichts- und Sanktionsschicht für ihren persönlichen und sachlichen Anwendungsbereich; Art. 50 DORA (verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen) wird nicht als Importnorm für BSIG- oder OWiG-Rechtsfolgen verwendet.
  22. Bleibt die wirtschaftliche Last endgültig beim Verband? Nicht zwingend. § 38 Abs. 2 BSIG knüpft an die gesellschaftsrechtliche Verantwortlichkeit (§ 93 AktG, § 43 GmbHG). Ob und in welchem Umfang eine Verbandsgeldbuße regressfähig ist, ist eine eigene Innenhaftungsfrage.
  23. Was gehört in das präventive Playbook? Status- und Bereichsausnahmen-Memo, § 65-Tatbestandsmatrix, Fassungs- und Verweisungsprotokoll (§ 33, § 56, § 66), Rollen- und Delegationsmatrix, Dokumentation zu Risikomanagement und Meldung, Aufsichtsorganisation nach § 130 OWiG, DSGVO-Schnittstellenblatt sowie Regress- und Versicherungsnotiz.
  24. Welcher Rechtsstand gilt? Der 26. Juni 2026: BSIG vom 2. Dezember 2025, in Kraft seit 6. Dezember 2025, geändert durch Artikel 4 des Gesetzes vom 11. März 2026 (Wirkung seit 17. März 2026). Reformmaterial (Cyberresilienz-Durchführungsgesetz mit Verschiebung des § 65 zu § 68; BT-Drs. 21/6585; OWiG-Verjährungsreform) ist kein geltendes Recht dieses Artikels; der dynamische Rechtsstand ist bei Verwendung erneut zu prüfen.

14. Quellen

Die Quellen sind in sechs Gruppen geordnet. Gesetzesverweise führen auf die jeweilige amtliche Einzelnorm bzw. EUR-Lex (ELI/CELEX). Maßgebliche Verkündungsquelle bleibt das Bundesgesetzblatt bzw. das Amtsblatt der Europäischen Union. Quellenstand: 26. Juni 2026; die vollständige amtliche Fassung bleibt jeweils maßgeblich.

14.1 Nationale Normen

BSI-Gesetz (BSIG) — konsolidierter Stand

Ordnungswidrigkeitengesetz (OWiG) und Anschlussnormen

14.2 EU-Recht

14.3 Rechtsprechung

Keine tragenden Rechtsprechungsquellen in dieser Fassung. Der Artikel stützt keine Aussage auf ein Gericht, ein Aktenzeichen, eine ECLI oder einen Leitsatz; die rechtlichen Aussagen folgen unmittelbar aus dem Norm-, Verordnungs- und Materialtext.

14.4 Behörden, Gesetzesmaterialien und Reformradar

Die folgenden Bundestagsdrucksachen sind Reformmaterial und kein geltendes Recht dieses Artikels.

14.5 Markt, Standards und sonstige Praxis

Keine eigenständige Marktquelle herangezogen. Zertifikate, Standards und Behördenpraxis werden im Body nur als Einordnungs- oder Nachweismittel genannt; sie begründen keinen Marktstandard und ersetzen die normbezogene Prüfung nicht.

14.6 Prüfstatus und Schlusssatz

  • Rechts- und Redaktionsstand: 26. Juni 2026, Version 1.5. Die tragenden Quellen wurden mit Stand 26. Juni 2026 zugrunde gelegt; bei späterer Verwendung ist der dynamische Rechtsstand erneut zu prüfen.
  • BSIG-Stand: BSI-Gesetz vom 2. Dezember 2025, in Kraft seit 6. Dezember 2025, geändert durch Artikel 4 des Gesetzes vom 11. März 2026 (Wirkung seit 17. März 2026).
  • Statushinweis: § 38 BSIG ist kein eigener Bußgeldtatbestand des § 65 BSIG; Verbands- und persönliche Folgen ergeben sich nur über die eigenständigen Pfade (§ 65 BSIG, §§ 9, 14, 17, 30, 130 OWiG, rechtsformspezifische Haftung). DORA wirkt als eigene Sanktionsschicht (Art. 50 DORA), nicht als Importnorm.

15. CyberSchutzEngel-Hinweis

CyberSchutzEngel ordnet NIS-2-Pflichten, Haftungsfolgen und Bußgeldmechanik in einer gemeinsamen Arbeitslogik. Diese Einordnung ersetzt keine Fallprüfung, hilft aber, Rollen, Nachweise und Eskalationspunkte strukturiert sichtbar zu machen.

Alle Menschen sind klug.
Die einen vorher, die anderen nachher.

PlattesGroup – auf Mallorca verankert, weltweit vernetzt

Unsere Kompetenzzentren

Wissen & Networking