NIS-2: Aufsicht, Durchsetzung und Sanktionen

Problem in der Praxis

Viele Organisationen behandeln NIS2 als reinen Pflichtenkatalog. Wer kontrolliert und mit welchen Konsequenzen, bleibt unscharf. Daraus entstehen drei typische Fehlbilder.

Erstens wird unterschätzt, dass wesentliche Einrichtungen mit proaktiver Aufsicht rechnen müssen, also auch ohne Anlass mit Inspektionen und Audits. Man bereitet sich auf den Vorfall vor, nicht auf die Prüfung im Normalbetrieb.

Zweitens werden Sanktionszahlen aus Medienberichten als feststehend übernommen. Tatsächlich gibt die Richtlinie eine Untergrenze für den nationalen Höchstbetrag vor: nach Art. 34 Abs. 4 und 5 muss er mindestens 10 Mio. EUR oder 2 Prozent des weltweiten Vorjahresumsatzes betragen, je nachdem welcher Betrag höher ist. Darunter darf die nationale Umsetzung nicht bleiben, darüber hinausgehen schon; Verfahren und Bemessung im Einzelfall regelt sie ohnehin.

Drittens wird die persönliche Dimension oft erwähnt, aber selten in Governance übersetzt: Wer billigt nachweislich, wer überwacht, wer dokumentiert?

CISO-Einordnung

Das Aufsichts- und Sanktionsregime ist der Hebel hinter den NIS2-Pflichten: Es begründet die Ressourcen und strukturiert, worauf eine Prüfung abzielt. Drei Unterscheidungen sind steuerungsrelevant:

• Aufsichtsintensität nach Kategorie. Wesentliche Einrichtungen unterliegen einem proaktiven Regime (laut Richtlinie u. a. Inspektionen und Audits). Wichtige Einrichtungen werden primär ex post beaufsichtigt, also anlassbezogen bei Hinweisen auf einen Verstoß. Das entscheidet, ob jederzeit Prüfungsfähigkeit nötig ist oder vor allem Reaktion auf erkannte Vorfälle.
• Durchsetzungsinstrumente. Behörden können Anweisungen und verbindliche Weisungen erteilen, Audits anordnen und Geldbußen verhängen. Für wesentliche Einrichtungen sieht die Richtlinie schärfere Mittel vor, etwa die vorübergehende Aussetzung von Leitungsfunktionen oder Genehmigungen. Art. 32 Abs. 5 setzt dafür voraus, dass die Maßnahmen nach Abs. 4 unwirksam waren und eine gesetzte Frist fruchtlos verstrichen ist; Reichweite und Ausgestaltung im Übrigen sind national zu prüfen.
• Sanktionsrahmen nach Kategorie. Die Richtlinie verpflichtet die Mitgliedstaaten zu Höchstbeträgen von mindestens 10 Mio. EUR oder 2 Prozent des weltweiten Vorjahresumsatzes für wesentliche und mindestens 7 Mio. EUR oder 1,4 Prozent für wichtige Einrichtungen, jeweils der höhere Betrag (Art. 34 Abs. 4 und 5). Das ist eine Untergrenze für den nationalen Rahmen, keine Obergrenze; die Bemessung im Einzelfall richtet sich nach der nationalen Umsetzung.

Umsetzungsperspektive

Aufsicht und Sanktionen gehören nicht in ein separates Projekt, sondern in die bestehende Governance-Steuerung. Bewährt hat sich eine Abfolge in vier Schritten:

• Einordnung klären: wesentliche, wichtige oder keine Einrichtung im Sinne der Richtlinie? Die Antwort steuert Aufsichtsintensität und Sanktionsrahmen und sollte begründet dokumentiert, nicht nur angenommen sein.
• Nachweisfähigkeit aufbauen: Belege für Risikomanagement, Maßnahmen, Meldewege und Managemententscheidungen entstehen als Nebenprodukt des Betriebs, nicht als Sammlung kurz vor der Prüfung. Das ist die Voraussetzung proaktiver Aufsicht.
• Leitungs-Governance operationalisieren: Billigung der Maßnahmen, Überwachung der Umsetzung und regelmäßige Schulung der Leitungsorgane als wiederkehrende, protokollierte Vorgänge. Belegbare Befassung schützt vor persönlicher Verantwortung besser als nachträgliche Beteuerung.
• Nationale Konkretisierung verfolgen: Die unionsrechtlichen Meldefristen für erhebliche Sicherheitsvorfälle (24 Stunden Frühwarnung, 72 Stunden Vorfallmeldung, ein Monat Abschlussbericht nach Art. 23) und die Systematik der Bußgeld-Obergrenzen gibt die Richtlinie EU-weit vor; ebenso legt Art. 23 die Kriterien, wann ein Vorfall als erheblich gilt (u. a. schwerwiegende Betriebsstörung oder finanzielle Verluste bzw. erhebliche Auswirkungen auf andere), EU-weit fest. Die nationale Umsetzung konkretisiert diese Kriterien mit Details und Schwellen, ersetzt sie aber nicht; aus dem nationalen Recht stammen vor allem konkrete Schwellenwerte, Verfahren, Zuständigkeiten und die Bußgeldpraxis. Das Monitoring der Umsetzung gehört zum Pflichtprogramm.

Typische Fehler

1. Die Kategorie wesentlich oder wichtig wird angenommen statt begründet dokumentiert, obwohl sie Aufsicht und Sanktionsrahmen steuert.
2. Bußgeldzahlen werden als feste Obergrenzen kommuniziert, obwohl die Richtlinie damit eine Untergrenze für den nationalen Höchstbetrag setzt und das nationale Recht darüber hinausgehen darf.
3. Wesentliche Einrichtungen bereiten sich auf den Vorfall vor, nicht auf die proaktive Prüfung im Regelbetrieb.
4. Persönliche Verantwortung der Leitungsebene wird erwähnt, aber nicht in nachweisbare Billigungs- und Überwachungsprozesse übersetzt.
5. Die nationale Umsetzung wird als erledigt betrachtet, statt Änderungen laufend zu verfolgen.

Risiken und Trade-offs

Wer nur mit maximalen Bußgeldern argumentiert, verliert Glaubwürdigkeit, sobald nationale Details differenzierter ausfallen; ein zu beruhigender Ton unterschätzt dagegen die reale Durchsetzbarkeit, gerade bei wesentlichen Einrichtungen mit proaktiver Aufsicht. Ein zweiter Trade-off ist die Nachweistiefe: maximale Dokumentation erhöht die Prüfungsfähigkeit, bindet aber Ressourcen und kann Akzeptanz kosten; angemessen ist sie je nach Kategorie, Sektor und Risikoexposition. Und wer persönliche Verantwortung nur als Haftungsthema rahmt, erzeugt Abwehr statt Mitwirkung.

Entscheidungspunkte

• Ist die Organisation als wesentliche oder wichtige Einrichtung einzustufen, und ist die Einordnung belastbar dokumentiert?
• Welches Aufsichtsregime ist zu erwarten, und ist die Organisation auf proaktive oder anlassbezogene Aufsicht eingestellt?
• Welche Nachweise müssen jederzeit verfügbar sein, und entstehen sie aus dem Regelbetrieb oder nur projektbezogen?
• Wie werden Billigung, Überwachung und Schulung der Leitungsorgane nachweisbar organisiert?
• Wer verfolgt die nationale Umsetzung und prüft verbindliche Aussagen am aktuellen Gesetzestext?

Praktische Empfehlungen

1. Bestimmen und dokumentieren Sie die Einordnung als wesentliche oder wichtige Einrichtung als Grundlage der Aufsichts- und Sanktionsplanung.
2. Kommunizieren Sie die Bußgeldzahlen als unionsrechtliche Mindestvorgabe für den nationalen Höchstbetrag und prüfen Sie am Umsetzungsgesetz, ob es darüber hinausgeht.
3. Richten Sie die Nachweisführung auf proaktive Prüfung aus, wenn Sie wesentliche Einrichtung sind.
4. Verankern Sie Billigung, Überwachung und Schulung der Leitungsorgane als protokollierte, wiederkehrende Vorgänge.
5. Etablieren Sie ein Monitoring der nationalen Umsetzung und lassen Sie verbindliche Aussagen rechtlich prüfen.

Relevante Normreferenzen

• Richtlinie (EU) 2022/2555 (NIS2): Rechtsgrundlage für Aufsicht, Durchsetzung und Sanktionen, insbesondere die Unterscheidung von wesentlichen und wichtigen Einrichtungen sowie die Pflichten der Leitungsorgane (vgl. u. a. Art. 20). EU-Recht, mit Quellenangabe zitierbar (EUR-Lex, ABl. L 333 vom 27.12.2022).
• Nationale Umsetzung, in Deutschland das NIS2-Umsetzungsgesetz: maßgeblich für konkrete Schwellen, Fristenauslegung, Verfahren und Bußgeldpraxis. Stand der Umsetzung vor verbindlicher Nutzung prüfen.