Kurzdefinition: § 65 BSIG ist die Bußgeldnorm des NIS-2-Umsetzungsrechts. Verstöße gegen die Pflichten des BSIG können als Ordnungswidrigkeit mit erheblichen Geldbußen geahndet werden. [N-BSIG-65]
Der Normwortlaut
§ 65 Abs. 5 BSIG bestimmt die Höhe der Geldbußen; bei „besonders wichtigen Einrichtungen nach § 28 Absatz 1 Satz 1“ ist eine „Geldbuße bis zu zehn Millionen Euro“ vorgesehen. Die Absätze 1 bis 4 bestimmen, welche Handlungen ordnungswidrig sind; Absätze 6 und 7 enthalten für bestimmte große Einrichtungen Umsatzrahmen, Absatz 11 eine Sperre weiterer BSIG-Geldbußen bei bereits geahndetem DSGVO-Verstoß aus demselben Verhalten. [N-BSIG-65]
Was wird geahndet?
Verstöße gegen die BSIG-Pflichten. § 65 BSIG erfasst unter anderem die Verletzung von Nachweis-, Melde- und Risikomanagementpflichten sowie bestimmte Verstöße gegen unmittelbar geltendes Unionsrecht. Die Ordnungswidrigkeiten können vorsätzlich oder fahrlässig begangen werden; für einzelne Rahmen enthält § 65 Abs. 9 BSIG aber eine Sonderregel zur Nichtanwendung von § 17 Abs. 2 OWiG. [N-BSIG-65]
Wie hoch sind die Bußgelder?
Bis zu zehn Millionen Euro bei besonders wichtigen Einrichtungen — und in bestimmten Großfällen bis zu Umsatzprozentsätzen. § 65 BSIG staffelt die Bußgeldhöhe nach Verstoß und Einrichtungskategorie. Für besonders wichtige Einrichtungen ist ein Rahmen bis zu zehn Millionen Euro vorgesehen; bei einem Gesamtumsatz von mehr als 500 Millionen Euro können Absatz 6 und Absatz 7 statt der Pauschalbeträge an 2 Prozent beziehungsweise 1,4 Prozent des Gesamtumsatzes anknüpfen. § 65 Abs. 9 BSIG ordnet daneben für bestimmte Fälle an, dass die Fahrlässigkeitshalbierung des § 17 Abs. 2 OWiG nicht anzuwenden ist. [N-BSIG-65]
Wie verhält sich das zur Verbandsgeldbuße?
Es kann sich verschärfen, muss aber getrennt geprüft werden. Neben der Geldbuße gegen die handelnde Person kann über die im BSIG in Bezug genommenen Regeln des Ordnungswidrigkeitenrechts eine Geldbuße gegen das Unternehmen selbst relevant werden. Gegenüber DSGVO-Geldbußen enthält § 65 Abs. 11 BSIG zugleich eine Sperre: Für dasselbe Verhalten darf keine weitere BSIG-Geldbuße verhängt werden, wenn die zuständige DSGVO-Aufsicht bereits eine Geldbuße verhängt hat. [N-BSIG-65]
Wie hoch ist der Bußgeldrahmen für besonders wichtige Einrichtungen?
Bis zu zehn Millionen Euro. § 65 Abs. 5 BSIG sieht für besonders wichtige Einrichtungen nach § 28 Abs. 1 Satz 1 eine Geldbuße bis zu zehn Millionen Euro vor; für bestimmte große Einrichtungen treten nach den Absätzen 6 und 7 umsatzbezogene Rahmen hinzu. [N-BSIG-65]
Welche Handlungen sind ordnungswidrig?
Die in den Absätzen 1 bis 4 bestimmten. § 65 BSIG legt in den Absätzen 1 bis 4 fest, welche Verstöße als Ordnungswidrigkeit geahndet werden können. Die Bußgeldhöhe richtet sich nach der Einordnung der Einrichtung. [N-BSIG-65]
Was gilt bei bereits geahndetem DSGVO-Verstoß?
Eine Sperre. Nach § 65 Abs. 11 BSIG ist eine weitere BSIG-Geldbuße gesperrt, wenn ein Verstoß aus demselben Verhalten bereits nach der DSGVO geahndet wurde. Eine doppelte Ahndung desselben Verhaltens wird damit vermieden. [N-BSIG-65]
Häufige Fehlannahmen
- „NIS-2-Verstöße bleiben ohne Sanktion.“ Nein. § 65 BSIG sieht empfindliche Bußgelder vor. [N-BSIG-65]
- „Das Bußgeld ist auf einen festen kleinen Betrag gedeckelt.“ Nein. Bei besonders wichtigen Einrichtungen drohen bis zu zehn Millionen Euro, bei wichtigen bis zu sieben Millionen Euro; erst ab einem Gesamtumsatz von mehr als 500 Millionen Euro können nach § 65 Abs. 6 und 7 BSIG an die Stelle der Pauschale 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Jahresumsatzes treten. [N-BSIG-65]
- „Nur das Unternehmen zahlt, die Geschäftsleitung bleibt außen vor.“ Nein. Neben der Unternehmensbuße kann die Geschäftsleitung nach den einschlägigen Vorschriften auch persönlich in die Verantwortung genommen werden. [N-BSIG-65]
- „Nur vorsätzliche Verstöße werden geahndet.“ Nein. Auch fahrlässige Verstöße können ordnungswidrig sein. [N-BSIG-65]
- „Das BSIG-Bußgeld schließt andere Sanktionen aus.“ Nicht pauschal. Andere Regime können berührt sein; für dasselbe DSGVO-Verhalten sperrt § 65 Abs. 11 BSIG aber eine zusätzliche BSIG-Geldbuße. [N-BSIG-65]
Was die Geschäftsleitung tun sollte
- Pflichten erfüllen. Melde-, Nachweis- und Risikomanagementpflichten konsequent umsetzen.
- Bußgeldrisiko einordnen. Rahmen bis zu zehn Millionen Euro ernst nehmen.
- Sanktionswelten trennen. BSIG-Geldbußen, DSGVO-Aufsicht und andere Regime getrennt prüfen; § 65 Abs. 11 BSIG beachten.
- Dokumentation führen. Pflichterfüllung nachweisbar belegen.
Für die Geschäftsleitung
§ 65 BSIG gibt den BSIG-/NIS-2-Pflichten Nachdruck: Wer sie verletzt, riskiert erhebliche Bußgelder, in bestimmten Großfällen auch Umsatzrahmen. Für die Geschäftsleitung ist konsequente, dokumentierte Pflichterfüllung deshalb der sicherste Weg, Bußgeld- und Verbandsgeldbußenrisiken zu begrenzen.
Quellen
- [N-BSIG-65] § 65 BSIG (Bußgeldvorschriften), Abs. 1 bis 11. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__65.html
