Compliance-Lexikon · NIS-2
NIS-2 Sanktionen – Praxis
NIS-2 Sanktionen wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Ist der Geschäftsführung der konkrete Bußgeldrahmen (bis 10 Mio. Euro oder 2% des weltweiten Jahresumsatzes für wesentliche Einrichtungen) bekannt?
Häufige Fehler in der Praxis
- Bußgeldrahmen ist der IT-Abteilung bekannt, aber nicht dem Leitungsorgan
- Sanktionsrisiko wird nicht mit dem tatsächlichen Umsetzungsstand abgeglichen
- Persönliche Haftungsrisiken der Geschäftsführung nach § 38 BSIG werden unterschätzt
Praxis-Tipp
Neben Unternehmenssanktionen sieht NIS-2 auch die persönliche Haftung der Geschäftsführung vor. Diese Doppelstruktur sollte in jeder Risikokommunikation an die Leitung deutlich gemacht werden.
Gestaffelte Bußgeldrahmen
Wesentliche Einrichtungen riskieren Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtige Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent. Die Aufsichtsbehörde berücksichtigt bei der Bemessung die Schwere des Verstoßes und frühere Verstöße.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Information des Leitungsorgans über Bußgeldrahmen und aktuellen Umsetzungsstand, Protokoll der entsprechenden Sitzung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum NIS-2 Sanktionen über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.