NIS2-Bußgelder in Frankreich, Italien und Österreich: Stand der Umsetzung

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Die drei Länder im Überblick

Frankreich: Gesetz steht noch aus

Frankreich setzt NIS2 zusammen mit der CER-Richtlinie und der DORA-Begleitrichtlinie in einem einzigen Gesetz um, dem „projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité“. Laut Dossier des Senats wurde der Entwurf am 15.10.2024 eingebracht, am 12.03.2025 vom Senat angenommen; der Bericht der Sonderkommission der Nationalversammlung wurde am 10.09.2025 vorgelegt. Eine Verkündung ist dort nicht verzeichnet.

Die ANSSI schreibt auf ihrem NIS2-Portal, die Umsetzung in Frankreich laufe noch; bis zur Veröffentlichung aller Umsetzungstexte ruft sie künftige wesentliche und wichtige Einrichtungen auf, sich schon jetzt vorzubereiten.

Die EU-Kommission hat am 08.07.2026 beschlossen, Frankreich zusammen mit Irland, Spanien und den Niederlanden vor den EuGH zu bringen (Verfahren gegen Frankreich: INFR(2024)0274). Sie beantragt einen Pauschalbetrag und ein tägliches Zwangsgeld bis zur vollständigen Umsetzung.

Bußgeldfälle: Ohne nationales Gesetz gibt es keine Befugnis, NIS2-Bußgelder zu verhängen. Entsprechend sind auch keine Fälle bekannt.

Italien: Rahmen seit 2024, Pflichten gestaffelt

Das D.Lgs. 138/2024 wurde am 01.10.2024 in der Gazzetta Ufficiale veröffentlicht und trat am 16.10.2024 in Kraft. Nach dem NIS-Portal der ACN ist die Agentur die zuständige NIS-Behörde.

Die Pflichten greifen erst nach Aufnahme in die NIS-Liste. Nach den FAQ der ACN gilt für Einrichtungen, die 2025 erstmals gelistet wurden: Meldepflicht für Vorfälle 9 Monate und Sicherheitsmaßnahmen 18 Monate nach Zugang der Listungsmitteilung. Für Einrichtungen mit Erstlistung 2026 gilt die Meldepflicht ab 01.01.2027, die Frist für die Sicherheitsmaßnahmen endet am 31.07.2027. Die Frühwarnung ist spätestens 24 Stunden nach Kenntnis fällig, die Meldung spätestens nach 72 Stunden.

Art. 38 D.Lgs. 138/2024 staffelt die Sanktionen:

• Verstöße gegen Risikomanagement und Meldepflicht, wesentliche Einrichtungen: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, Mindestbetrag ein Zwanzigstel des Höchstbetrags (Abs. 9 lit. a)
• dasselbe bei wichtigen Einrichtungen: bis 7 Mio. € oder 1,4 %, Mindestbetrag ein Dreißigstel (Abs. 9 lit. b)
• Formverstöße wie fehlende Registrierung (Abs. 10): bis 0,1 % des Umsatzes bei wesentlichen, bis 0,07 % bei wichtigen Einrichtungen (Abs. 11)

Bußgeldfälle: Weder auf dem NIS-Portal der ACN noch in der Fachpresse fand sich bis zum 18.09.2026 eine öffentlich bekannt gemachte Sanktion nach dem D.Lgs. 138/2024.

Österreich: Start am 1. Oktober 2026

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) ist als BGBl. I Nr. 94/2025 kundgemacht. Nach § 51 tritt es neun Monate nach der Kundmachung zum nächsten Monatsersten in Kraft. Das Unternehmensserviceportal des Bundes nennt dafür den 01.10.2026. Die erste Registrierung muss bis zum 01.01.2027 erfolgen, die Meldepflicht gilt ab Inkrafttreten.

Zuständige Behörde ist nach § 3a das neue Bundesamt für Cybersicherheit, das dem Innenministerium untersteht. Geldstrafen verhängen nach § 44 Abs. 1 aber die Bezirksverwaltungsbehörden, das Bundesamt zeigt den Verdacht bei ihnen an. Die Strafrahmen nach § 45 im Gesetzestext der Regierungsvorlage (308 d.B.), die der Innenausschuss unverändert angenommen hat:

• wesentliche Einrichtungen: bis 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes (§ 45 Abs. 2)
• wichtige Einrichtungen: bis 7 Mio. € oder 1,4 % (§ 45 Abs. 3)
• Formverstöße, etwa verspätete Registrierung oder Selbstdeklaration: bis 50.000 €, im Wiederholungsfall bis 100.000 € (§ 45 Abs. 4)

Bußgeldfälle: Vor dem 01.10.2026 gelten die NISG-2026-Pflichten nicht, also kann es noch keine Strafen nach diesem Gesetz geben.

Was das für deutsche Unternehmen heißt

In Deutschland gilt das BSIG in der Fassung des NIS2-Umsetzungsgesetzes, in Kraft seit 06.12.2025 (BGBl. 2025 I Nr. 301). Die Bußgelder regelt § 65 BSIG: bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen. Umsatzbezogene Obergrenzen von 2 % bzw. 1,4 % greifen nur bei bestimmten Verstößen und nur bei mehr als 500 Mio. € Jahresumsatz.

Welcher Staat zuständig ist, regelt Art. 26 Abs. 1 NIS2:

• Grundregel: Zuständig ist der Mitgliedstaat, in dem die Einrichtung niedergelassen ist. Eine Tochtergesellschaft in Italien fällt unter das italienische Recht, eine in Österreich ab 01.10.2026 unter das NISG 2026.
• Hauptniederlassung gilt nur für die in Art. 26 Abs. 1 lit. b genannten Anbieter: DNS-Diensteanbieter, TLD-Namenregister, Domain-Registrierungsdienste, Cloud-Computing, Rechenzentren, Inhaltszustellnetze, verwaltete (Sicherheits-)Dienste, Online-Marktplätze, Suchmaschinen und soziale Netzwerke.
• Telekommunikationsanbieter unterliegen dem Staat, in dem sie ihre Dienste erbringen (lit. a).

FAQ

Gibt es schon veröffentlichte NIS2-Bußgelder aus Frankreich, Italien oder Österreich?

Bis zum 18.09.2026 ließ sich keiner finden. In Frankreich fehlt das Umsetzungsgesetz, in Österreich gelten die Pflichten erst ab 01.10.2026. In Italien gilt das Gesetz, aber veröffentlichte Sanktionen waren nicht auffindbar.

Kann das BSI eine deutsche Firma wegen ihrer italienischen Tochter bestrafen?

Nach der Grundregel in Art. 26 Abs. 1 NIS2 ist für die italienische Niederlassung der italienische Staat zuständig, also die ACN. Anders ist es nur bei den Anbieterarten aus lit. b: Für sie zählt die Hauptniederlassung in der EU.

Drohen bei einem Datenleck zwei Bußgelder?

Nicht für dasselbe Verhalten. Hat die Datenschutzbehörde bereits ein DSGVO-Bußgeld verhängt, ist ein NIS2-Bußgeld dafür nach Art. 35 Abs. 2 NIS2 ausgeschlossen. Andere Aufsichtsmaßnahmen der NIS2-Behörde bleiben möglich.

Sind die Höchstbeträge überall gleich?

Art. 34 NIS2 legt nur Mindest-Höchstbeträge fest. Italien und Österreich übernehmen 10 Mio. € bzw. 2 % und 7 Mio. € bzw. 1,4 % und ergänzen eigene Rahmen für Formverstöße. Deutschland wendet die Umsatzgrenzen nach § 65 BSIG nur bei bestimmten Verstößen und erst ab mehr als 500 Mio. € Umsatz an.