Einleitung
Den größten Teil des Jahres 2025 und Anfang 2026 war die Durchsetzung von NIS2 theoretisch: eine Richtlinie mit hohen Bußgeldobergrenzen und ohne jegliche Erfahrungswerte. Das hat sich in diesem Sommer geändert. In mindestens vier Mitgliedstaaten wurden inzwischen bestätigte Bußgelder verhängt, allein in Deutschland und Frankreich gehen die förmlichen Aufsichtsanordnungen in die Dutzende, und am 8. Juli 2026 hat die Europäische Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof der Europäischen Union verklagt, weil sie die Richtlinie nicht vollständig in nationales Recht umgesetzt haben. NIS2 ist keine Compliance-Frist auf einer Folie mehr. NIS2 ist ein aktives Durchsetzungsregime.
Die bisherigen Bußgelder
- Belgien: rund 185.000 €
- Italien: rund 450.000 €
- Ungarn: rund 78.000 €
- Litauen: rund 52.000 €
Die Aufsichtstätigkeit eilt den Bußgeldern voraus
Bußgelder sind ein nachlaufender Indikator. Das unmittelbarere Signal ist die Zahl der bereits erlassenen förmlichen Aufsichtsanordnungen: rund 47 durch das deutsche BSI und 23 durch die französische ANSSI, die auf Grundlage ihres bestehenden Rahmens von 2018 handelt, solange die förmliche NIS2-Umsetzung im eigenen Land noch aussteht. In mindestens 14 Mitgliedstaaten laufen inzwischen Prüfprogramme, die sich zuerst an wesentliche Einrichtungen richten. Eine Organisation, gegen die noch kein Bußgeld verhängt wurde, sollte das nicht als Beleg dafür werten, dass sie die Anforderungen erfüllt, sondern nur als Zeichen, dass ihre Aufsichtsbehörde noch nicht bei ihr angekommen ist.
Warum sich vier Mitgliedstaaten vor dem Gerichtshof verantworten müssen
NIS2 verlangte die Umsetzung in nationales Recht bis Oktober 2024. Bis Mai 2026 hatten das etwa 21 bis 23 der 27 Mitgliedstaaten getan, sodass eine hartnäckige Minderheit (darunter einige der größten Volkswirtschaften der EU) mit teilweisen oder unvollständigen nationalen Rahmen arbeitet. Dass die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem EuGH verklagt, ist eine förmliche Eskalation und keine symbolische Geste: Damit beginnt ein Gerichtsverfahren, das letztlich zu finanziellen Sanktionen gegen den Mitgliedstaat selbst führen kann, und zwar zusätzlich zu den Pflichten, die bereits für die dort tätigen regulierten Einrichtungen gelten, nicht an deren Stelle.
Was das in der Praxis für Compliance-Nachweise bedeutet
Die Organisationen, die bisher Bußgelder vermieden haben, sind nicht diejenigen mit den besten Richtlinien auf dem Papier: Bußgelder trafen wesentliche und wichtige Einrichtungen, die bei der Untersuchung keine kontinuierlichen Nachweise für die in ihren Richtliniendokumenten beschriebenen Kontrollen vorlegen konnten. Ein Aufsichtsaudit fragt nicht, ob eine Sicherheitsrichtlinie existiert; es fragt, ob die Organisation mit zeitgestempelten Nachweisen belegen kann, dass die Richtlinie an den entscheidenden Tagen eingehalten wurde. Genau an dieser Unterscheidung sind maschinell überprüfbare, kontinuierlich erzeugte Compliance-Nachweise einem stichtagsbezogenen Audit-Ordner überlegen.
Während die Durchsetzung von NIS2 von der Theorie in die Praxis übergeht, landen die Bußgelder genau in der Lücke zwischen Compliance-Richtlinie und Compliance-Nachweis. Sehen Sie, wie ROOTKey kontinuierliche, auditfähige NIS2-Nachweise erzeugt.