Bußgeldrahmen (§ 65 BSIG)

Kurzdefinition: Der Bußgeldrahmen nach § 65 BSIG legt fest, wie hoch Geldbußen bei den dort bewehrten BSIG-Pflichten ausfallen können — das sind nicht nur die NIS-2-Umsetzungspflichten, sondern etwa auch die Nachweispflicht der Betreiber kritischer Anlagen nach § 39 BSIG. Er staffelt tatbestandsbezogen; eine umsatzbezogene Stufe kommt nur unter engen Voraussetzungen hinzu. [N-BSIG-65]

Welche Strafen drohen bei Verstößen?

Zunächst zwei Klarstellungen. Es sind Geldbußen, keine Strafen: Das BSIG kennt Bußgeldtatbestände, keine Straftatbestände. Und sie setzen bei einer handelnden Person an — § 65 Abs. 2 BSIG beginnt mit „Ordnungswidrig handelt, wer“. Die juristische Person trifft die Geldbuße nicht unmittelbar über § 65 BSIG, sondern über die Verbandsgeldbuße des § 30 OWiG, die eine Anknüpfungstat voraussetzt. [N-OWiG-30]

§ 65 Abs. 5 Satz 1 BSIG staffelt die Geldbuße nach dem verletzten Tatbestand. Der Satz nennt sechs Nummern; weil die Nummer 1 zwischen besonders wichtigen und wichtigen Einrichtungen unterscheidet, stehen dahinter sieben Betragsobergrenzen: bis zu zehn Millionen, sieben Millionen, fünf Millionen, zwei Millionen, eine Million, fünfhunderttausend und hunderttausend Euro.

Die viel zitierten zehn beziehungsweise sieben Millionen Euro gelten nur für die Tatbestandsmenge der Nummer 1 — bis zu zehn Millionen Euro bei besonders wichtigen, bis zu sieben Millionen Euro bei wichtigen Einrichtungen. Welche Stufe gilt, entscheidet also der Tatbestand, nicht die Schlagzeile. [N-BSIG-65]

Kann sich der Rahmen gegenüber dem Unternehmen verzehnfachen?

Für zwei der sechs Nummern: ja. § 65 Abs. 5 Satz 2 BSIG ordnet an, dass in den Fällen des Satzes 1 Nummer 3 und 4 § 30 Abs. 2 Satz 3 OWiG anzuwenden ist. Nach dieser Vorschrift verzehnfacht sich das Höchstmaß der Geldbuße für die im Gesetz bezeichneten Tatbestände, wenn ein Gesetz auf sie verweist.

Praktisch heißt das: Wo für die handelnde natürliche Person bis zu zwei Millionen Euro stehen (Nummer 3), kann der Rahmen gegen den Verband bei vorsätzlicher Anknüpfungstat bis zu zwanzig Millionen Euro erreichen; wo eine Million Euro steht (Nummer 4), bis zu zehn Millionen Euro. Bei fahrlässiger Anknüpfungstat mindert sich der Rahmen grundsätzlich, weil § 17 Abs. 2 OWiG für die Nummern 3 und 4 nicht ausgeschaltet ist. Diese Sonderverzehnfachung gilt nur auf Verbandsebene und nur für die Nummern 3 und 4 — nicht für die vielzitierte 10-/7-Millionen-Stufe der Nummer 1 und nicht für die Umsatzstufen der Absätze 6 und 7. [N-BSIG-65] [N-OWiG-30]

Wann greift die umsatzbezogene Stufe von 2 Prozent?

Nur unter drei Bedingungen, die zusammen vorliegen müssen — und genau hier wird am häufigsten falsch zitiert.

Nach § 65 Abs. 6 BSIG kann gegenüber einer besonders wichtigen Einrichtung mit einem Gesamtumsatz von mehr als 500 Millionen Euro eine Geldbuße bis zu 2 Prozent des Gesamtumsatzes verhängt werden — abweichend vom Pauschalrahmen und nur für bestimmte Tatbestände. Für wichtige Einrichtungen sieht § 65 Abs. 7 BSIG unter denselben Bedingungen bis zu 1,4 Prozent vor.

Die verbreitete Formel „bis zu 10 Millionen Euro oder 2 Prozent, je nachdem, welcher Betrag höher ist“ gibt § 65 BSIG nicht wieder. Diese Formel steht in der DSGVO, nicht im BSIG. [N-BSIG-65]

Was ist der „Gesamtumsatz“?

Nicht der Umsatz der Einrichtung. Nach § 65 Abs. 8 BSIG ist Gesamtumsatz die Summe aller Umsatzerlöse, die das Unternehmen, dem die Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat. Er kann geschätzt werden.

In Konzernkonstellationen weitet sich der Bezugspunkt damit über die einzelne Einrichtung hinaus aus. [N-BSIG-65]

Was gilt bei fahrlässigem Handeln?

Grundsätzlich halbiert § 17 Abs. 2 OWiG das Höchstmaß, wenn das Gesetz für vorsätzliches und fahrlässiges Handeln dieselbe Geldbuße androht. § 65 Abs. 9 BSIG schaltet diese Halbierungsregel aus — aber nur für die Fälle des Absatzes 5 Satz 1 Nummer 1 sowie der Absätze 6 und 7.

Die Ausschlusswirkung ist damit eng. Sie erfasst weder die Fünf-Millionen-Stufe der Nummer 2 noch die Nummern 3 bis 6; dort bleibt § 17 Abs. 2 OWiG grundsätzlich relevant. Wer die Sperre auf alle §-65-Fälle überträgt, liest die Norm zu weit.

Für das persönliche Verfahren wegen Aufsichtspflichtverletzung nach § 130 OWiG ist § 17 Abs. 2 OWiG nicht ausdrücklich ausgenommen. [N-BSIG-65] [N-OWiG-17]

Kann neben dem BSIG-Bußgeld auch die DSGVO greifen?

Beide Regime können denselben Sachverhalt betreffen, aber § 65 Abs. 11 BSIG zieht eine Grenze: Hat eine Datenschutz-Aufsichtsbehörde bereits eine Geldbuße nach Art. 58 Abs. 2 Buchst. i DSGVO verhängt, darf für einen Verstoß nach dem BSIG, der sich aus demselben Verhalten ergibt, keine weitere Geldbuße verhängt werden.

Der DSGVO-Bußgeldrahmen selbst ist anders konstruiert: Art. 83 Abs. 4 DSGVO nennt bis zu 10 000 000 EUR oder 2 Prozent des weltweiten Jahresumsatzes, Art. 83 Abs. 5 DSGVO bis zu 20 000 000 EUR oder 4 Prozent — jeweils ausdrücklich „je nachdem, welcher der Beträge höher ist“. Dort trägt der Wortlaut die Formel, die im BSIG falsch wäre. [N-BSIG-65] [N-DSGVO-83]

Trifft das Bußgeld die Geschäftsleitung persönlich?

Nicht allein wegen der Organstellung. Eine BSIG-Sonderbuße für Geschäftsleiter gibt es nicht. Ein persönliches Bußgeldverfahren setzt eine eigene tatbestandsmäßige Zuwiderhandlung oder eine Aufsichtspflichtverletzung voraus.

Setzt der Tatbestand ein besonderes persönliches Merkmal voraus, das nur bei der Einrichtung vorliegt, kann § 9 OWiG es auf Organe und gesetzliche Vertreter erstrecken. Er rechnet aber nicht pauschal jede Unternehmenspflicht jedem Organmitglied zu. Die juristische Person wird über § 30 OWiG erreicht — und dafür braucht es eine Anknüpfungstat. [N-OWiG-30] [N-OWiG-9]

Häufige Fehlannahmen

• „Bis zu 10 Millionen Euro oder 2 Prozent, je nachdem, welcher Betrag höher ist.“ Diese Formel steht in Art. 83 DSGVO, nicht in § 65 BSIG. Dort greift die Umsatzstufe nur ab 500 Millionen Euro Gesamtumsatz, nur für bestimmte Tatbestände und abweichend vom Pauschalrahmen. [N-BSIG-65] [N-DSGVO-83]
• **„Es gibt den Bußgeldrahmen.“** § 65 Abs. 5 Satz 1 BSIG kennt sechs tatbestandsbezogene Nummern mit sieben Betragswerten — von hunderttausend bis zehn Millionen Euro. [N-BSIG-65]
• „Gesamtumsatz ist der Umsatz der Einrichtung.“ Es ist der weltweite Umsatz des Unternehmens, dem die Einrichtung angehört. [N-BSIG-65]
• „Fahrlässigkeit halbiert immer das Höchstmaß.“ Für die Nummer 1 des § 65 Abs. 5 Satz 1 BSIG und die Absätze 6 und 7 ist § 17 Abs. 2 OWiG ausgeschaltet. [N-BSIG-65] [N-OWiG-17]
• „Die Verzehnfachung des § 30 OWiG gilt für alle BSIG-Bußgelder.“ Sie gilt nur, soweit ein Gesetz auf § 30 Abs. 2 Satz 3 OWiG verweist — im BSIG allein für § 65 Abs. 5 Satz 1 Nummer 3 und 4, und nur auf Verbandsebene. [N-BSIG-65] [N-OWiG-30]
• „Nach einer DSGVO-Buße kommt das BSIG-Bußgeld obendrauf.“ Für denselben Verstoß aus demselben Verhalten sperrt § 65 Abs. 11 BSIG die weitere Geldbuße. [N-BSIG-65]

Was die Geschäftsleitung tun sollte

1. Die Einordnung klären. Besonders wichtige oder wichtige Einrichtung — davon hängt die Stufe ab.
2. Den Gesamtumsatz kennen. Die 500-Millionen-Schwelle bezieht sich auf das Unternehmen, dem die Einrichtung angehört.
3. Die bewehrten Pflichten kennen. Nicht jeder NIS-2-Verstoß ist bußgeldbewehrt, und nicht jeder bewehrte Verstoß liegt in der obersten Stufe.
4. Nachweisbar erfüllen. Dokumentierte Maßnahmen, fristgerechte Registrierung und Meldungen, belegbare Überwachung — für die Bußgeldzumessung sind jedenfalls Bedeutung der Ordnungswidrigkeit, Vorwurf und wirtschaftliche Verhältnisse relevant; außerdem soll die Geldbuße den wirtschaftlichen Vorteil übersteigen können (§ 17 Abs. 3 und 4 OWiG).
5. Verfahren parallel denken. Bußgeld, Verbandsgeldbuße, Innenhaftung und Strafverfahren laufen nach eigenen Regeln.

Für die Geschäftsleitung

Die Zahl, die überall zitiert wird, sagt für sich genommen nichts. Ohne Tatbestand, Einrichtungskategorie und Umsatzschwelle ist sie unvollständig — und die Formel „zehn Millionen oder zwei Prozent, je nachdem, welcher Betrag höher ist“ steht ohnehin in der DSGVO, nicht im BSIG. Rechnen Sie mit der Stufe, die zu Ihrem Tatbestand gehört, und halten Sie im Blick, dass der Rahmen gegenüber dem Unternehmen in zwei Fällen zehnmal höher liegen kann. Was Sie in der Hand haben, ist die nachweisbare Pflichterfüllung: Sie ist bei der Bemessung ein zentraler Faktor.

Quellen

1. [N-BSIG-65] § 65 BSIG (Bußgeldvorschriften), Abs. 5 bis 9 und Abs. 11. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__65.html
2. [N-OWiG-17] § 17 OWiG (Höhe der Geldbuße), Abs. 2 bis 4. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/owig_1968/__17.html
3. [N-OWiG-30] § 30 OWiG (Geldbuße gegen juristische Personen und Personenvereinigungen), Abs. 1 sowie Abs. 2 Satz 2 und Satz 3. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/owig_1968/__30.html
4. [N-OWiG-9] § 9 OWiG (Handeln für einen anderen). Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/owig_1968/__9.html
5. [N-DSGVO-83] Art. 83 DSGVO (Allgemeine Bedingungen für die Verhängung von Geldbußen), Abs. 4 und 5. Konsolidierte Fassung. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504