NIS2-Bußgeld-Fälle aus FR, IT und AT: was lernt der DE-Mittelstand?

Wo Deutschland im EU-Vergleich steht

Während das deutsche NIS2UmsuCG erst am 6.12.2025 in Kraft trat, haben andere Mitgliedsstaaten den Umsetzungs-Stichtag 17. Oktober 2024 weitgehend gehalten. Das hat für deutsche Unternehmen einen praktischen Vorteil: man kann aus den Anfangsfehlern der Nachbarländer lernen, bevor das deutsche Gesetz scharf gestellt wird.

Die ENISA pflegt einen Implementation Tracker, der den Umsetzungsstand pro Mitgliedsstaat dokumentiert. Stand Frühjahr 2026 sind die Aufsichten in Frankreich, Italien, Österreich, den Niederlanden und Belgien operativ aktiv, mit unterschiedlichen Prioritäten in der Durchsetzung.

Frankreich: ANSSI fokussiert auf Registrierungspflichten

Die Agence nationale de la sécurité des systèmes d'information (ANSSI) hat in den ersten Monaten nach Inkrafttreten der französischen NIS2-Umsetzung eine klare Prioritätenfolge gesetzt: zuerst die formalen Pflichten, Registrierung, Kontaktstellen, Selbsteinschätzung, dann erst die materiellen Maßnahmen aus Art. 21 NIS2.

In mehreren bekanntgewordenen Fällen aus 2025 wurden Bußgelder im fünfstelligen Bereich wegen unterbliebener oder verspäteter Selbstregistrierung verhängt. Die Begründung der ANSSI: ohne Register kein Aufsichtszugriff, ohne Aufsichtszugriff kein wirksames Risikomanagement im Sektor.

Lessons aus Frankreich:

• Die formale Pflichterfüllung (Registrierung, Kontaktdaten, Sektor-Selbsteinschätzung) wird konsequent durchgesetzt
• Sanktionen kommen relativ schnell, innerhalb von Monaten nach Stichtag, nicht erst nach jahrelangen Audits
• Die ANSSI hat klare Leitlinien zur Bußgeld-Bemessung veröffentlicht, was Vorhersagbarkeit schafft

Italien: ACN macht ein Exempel im Gesundheitssektor

Die Agenzia per la Cybersicurezza Nazionale (ACN) hat in einem viel beachteten Fall 2025 einen italienischen Klinikverbund wegen verspäteter Meldung eines Ransomware-Vorfalls zu einer Strafe im hohen sechsstelligen Bereich verurteilt. Der Klinikverbund hatte den Vorfall intern aufgearbeitet, die Aufsicht aber nicht innerhalb der 24h-Frühwarnung informiert.

Die ACN-Begründung: die Meldepflicht dient nicht nur der Information der Aufsicht, sondern auch der Frühwarnung anderer Einrichtungen, eine verspätete Meldung verzögert die sektorweite Reaktion und vergrößert den Schaden.

Lessons aus Italien:

• Meldepflicht-Verstöße werden harsch sanktioniert, weil sie kollektive Schutzwirkung untergraben
• Sektorale Konzentration in der Durchsetzung, der Gesundheitssektor steht im Fokus
• Hohe Beispiel-Strafen sollen abschreckende Wirkung im gesamten Sektor entfalten

Österreich: Doppel-Bußgelder bei Daten-Vorfällen

Die österreichische NIS2-Umsetzung (NIS-AT) hat einen besonderen Aspekt: bei Cyber-Vorfällen mit Daten-Bezug greifen NIS-AT und DSGVO parallel. In der Praxis bedeutet das zwei separate Bußgeldverfahren für denselben Vorfall, eines durch die NIS-Aufsicht, eines durch die Datenschutzbehörde.

Im Sommer 2025 wurden in einem österreichischen Versicherungsfall beide Verfahren parallel geführt. Ergebnis: eine NIS-Strafe wegen verzögerter Frühwarnung plus eine DSGVO-Strafe wegen mangelhafter Datensicherheits-Maßnahmen. Die Gesamtsumme lag deutlich über dem, was eine reine NIS-Sanktion gewesen wäre.

Lessons aus Österreich:

• Cyber-Vorfälle haben oft Daten-Aspekt, beide Meldepflichten müssen bedient werden
• Doppel-Bußgelder können kumulieren und sind nicht durch Doppelahndungs-Verbot gedeckt, wenn sie unterschiedliche Schutzgüter betreffen
• Die Schnittstelle zwischen Cybersicherheits- und Datenschutz-Aufsicht muss in Incident-Response-Plänen explizit adressiert sein

Was sich für den DE-Mittelstand daraus ergibt

Fünf konkrete Lessons:

1. Selbstregistrierung priorisieren, sie ist der erste Hebel der Aufsicht und der erste Bußgeld-Tatbestand
2. Meldepfade vorab testen, wer im Ernstfall erstmals das Portal aufruft, verfehlt die 24h-Frist
3. Parallel-Pflichten dokumentieren, DSGVO, sektorspezifische Pflichten, NIS2 in einer Matrix abgleichen
4. Schwellwert-Diskussion vermeiden, bei Vorfällen lieber melden als nicht melden, denn das Risiko liegt im Nicht-Melden
5. Tabletop-Übungen einplanen, mindestens einmal jährlich, mit reellem Klick durch die Behörden-Portale

Die Bußgeld-Höhen reichen in der ersten EU-Welle von fünfstelligen Beträgen (formale Registrierungsverstöße) bis in den siebenstelligen Bereich (schwere Meldepflicht-Verletzungen mit Datenleck). Das deutsche Bußgeld-Maximum aus Art. 34 NIS2 (10 Mio. € oder 2 % weltweiter Konzernumsatz) wurde in den ersten Fällen nicht annähernd ausgeschöpft, was nicht heißt, dass es dauerhaft so bleibt.

Praxis: Vorbereitung im DE-Mittelstand

Detaillierter Aufbau:

1. EU-Cases im eigenen Compliance-Tracker hinterlegen, pro Quartal Update aus ENISA-Berichten
2. Worst-Case-Szenarien aus EU-Fällen ableiten, was passiert bei verzögerter Meldung in unserem Sektor?
3. Vorbereitete Kommunikation in Templates, Statement an Kunden, Mitarbeiter, Aufsicht, Medien
4. Cyber-Versicherung prüfen, viele Policen decken Bußgelder nur eingeschränkt; siehe separater Artikel zur Versicherbarkeit
5. Externe Beratung im Standby, IT-Security-Anwalt, Forensik-Dienstleister, Krisen-PR

FAQ

Sind EU-Bußgelder direkt auf Deutschland übertragbar?

Nein. Jeder Mitgliedsstaat hat eigene Sanktionsbehörden und eigene Bußgeldrahmen innerhalb des EU-Mindeststandards. Die deutschen Bußgelder werden ausschließlich von deutschen Aufsichtsbehörden verhängt, primär dem BSI. EU-Cases haben aber Indikator-Funktion: sie zeigen, welche Verstöße als besonders schwer eingestuft werden.

Werden Bußgelder veröffentlicht?

Das ist mitgliedsstaatlich unterschiedlich. ANSSI und ACN haben öffentliche Bußgeld-Übersichten. In Deutschland werden im DSGVO-Bereich Bußgelder teilweise anonymisiert veröffentlicht, für NIS2 ist die deutsche Veröffentlichungspraxis noch nicht etabliert. Die ENISA aggregiert europaweit Fälle.

Was, wenn unser Unternehmen sowohl in DE als auch in FR oder IT tätig ist?

Maßgeblich ist die Hauptniederlassung (Art. 26 NIS2). Wenn diese in DE liegt, ist das BSI Federführung. Tochtergesellschaften in FR oder IT unterliegen aber zusätzlich der dortigen Aufsicht für ihre lokal erbrachten Dienste. In der Praxis sollten multinationale Konzerne ein zentrales NIS2-Compliance-Team mit Länder-Koordinatoren etablieren.

Welche Verstöße sind am teuersten?

Aus den bisherigen EU-Fällen kristallisieren sich drei Risiko-Cluster heraus: (1) Meldepflicht-Verletzungen mit Datenleck, (2) fehlende oder veraltete Mindestmaßnahmen-Dokumentation bei einem realen Vorfall, (3) Verstöße der Geschäftsleitung gegen die persönlichen Pflichten aus Art. 20, etwa fehlende Schulungen oder Genehmigungen. Cluster 1 dominiert bisher in Höhe und Häufigkeit.

Wie schnell setzt das BSI Bußgelder ein?

In Deutschland ist mit einer Anlauf-Phase nach Inkrafttreten am 6.12.2025 des NIS2UmsuCG zu rechnen, typischerweise 6-12 Monate, in denen Aufsicht ermahnt und beraten statt sanktioniert. Danach folgt die Durchsetzungs-Phase. Der EU-Vergleich legt nahe, dass die ersten Sanktionen formale Pflichtverletzungen treffen, materielle Bußgelder folgen mit Verzögerung.