NIS2 Strafen: Bußgelder und Sanktionen ab 2026

Viele Betriebe fragen dasselbe. Nämlich: Was kosten NIS2 Strafen im Ernstfall? Die Antwort steht seit Ende 2025 im österreichischen NISG 2026. Und sie fällt deutlich aus. Geldstrafen bis zu 10 Millionen Euro sind möglich. Zudem nimmt das Gesetz die Geschäftsführung ausdrücklich in die Pflicht (§ 31 NISG 2026). Deshalb lohnt sich der Blick auf die Sanktionen jetzt.

Dieser Beitrag ordnet die NIS2 Strafen sachlich ein. Zunächst geht es um die Höhe der Geldstrafen. Danach um die Aufsichtsmaßnahmen der Behörde. Zum Schluss um die Frage, wie Sie Sanktionen von vornherein vermeiden. Das Ziel ist Klarheit statt Panikmache. Also eine nüchterne Grundlage, mit der Sie planen können.

Warum NIS2 Strafen ein Thema für die Leitung sind

NIS2 Strafen betreffen zuerst die Unternehmensspitze. Denn das Gesetz macht die Leitung verantwortlich. Sie muss die Einhaltung der Sicherheitsmaßnahmen sicherstellen und beaufsichtigen (§ 31 NISG 2026). Ansonsten drohen Geldstrafen und persönliche Folgen. Zudem verlagert das die Verantwortung nach oben. Damit rückt Cybersicherheit von der IT-Abteilung in die Chefetage. Somit ist das der Bruch mit der alten Rechtslage.

Österreich setzt die EU-Richtlinie mit dem NISG 2026 um. Der Nationalrat beschloss das Gesetz im Dezember 2025. Kundgemacht wurde es am 23. Dezember 2025. Seit 1. Oktober 2026 ist es in Kraft. Seither gelten die Pflichten und damit auch die Sanktionen. Den europäischen Rahmen liefert die Richtlinie 2022/2555. Die nationalen Details bündelt die Anlaufstelle nis.gv.at.

Warum die Höhe abschrecken soll

Der Gesetzgeber wählt bewusst hohe Rahmen. Denn Cybersicherheit soll ernst genommen werden. Eine Strafe, die kaum wehtut, ändert kein Verhalten. Deshalb orientieren sich die NIS2 Strafen am Modell der DSGVO. Ebenso setzt der Gesetzgeber auf klare Schwellen. Dort haben spürbare Summen viel bewegt. Zudem zeigt die Behörde damit, dass sie es ernst meint. Ob Ihr Betrieb überhaupt unter das Gesetz fällt, klärt der Beitrag zur NIS2 Betroffenheit.

Zwei Klassen, zwei Strafrahmen

NIS2 unterscheidet zwei Arten von Einrichtungen. Zunächst die wesentlichen, etwa aus Energie und Gesundheit. Danach die wichtigen, etwa aus Post und Lebensmittelproduktion. Beide müssen die Pflichten aus Artikel 21 (in Österreich § 32 NISG 2026) erfüllen. Der Strafrahmen ist aber gestaffelt. Wesentliche Einrichtungen tragen das höhere Risiko. Deshalb sollten Sie Ihre Einstufung kennen. Sie entscheidet über die maximale Höhe der NIS2 Strafen.

Wie hoch die Bußgelder ausfallen

Die Höhe der NIS2 Strafen hängt von der Einstufung ab. Das NISG 2026 nennt zwei getrennte Obergrenzen. Wesentliche Einrichtungen tragen den höheren Rahmen. Wichtige Einrichtungen den etwas niedrigeren. Beide Grenzen orientieren sich am weltweiten Jahresumsatz. Somit trifft die Strafe große Konzerne härter als kleine Betriebe.

Die konkreten Obergrenzen

Bei den großen Rahmen gilt eine einfache Regel. Es zählt der höhere der beiden Werte. Also entweder der feste Betrag oder der Prozentsatz vom Umsatz. Insbesondere für ein Großunternehmen kann der Prozentsatz weit über 10 Millionen liegen. Hingegen greift für ein KMU meist der feste Betrag. Die WKO-Übersicht zu NIS2 fasst diese Zahlen kompakt zusammen.

Kleinere Geldstrafen für Formfehler

Nicht jeder Verstoß löst die volle Härte aus. Für rein organisatorische Fehler gilt ein eigener Rahmen. Dazu zählt etwa eine fehlende Registrierung. Ebenso eine verspätete Selbstdeklaration oder Änderungsmeldung. Hier drohen bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro (§ 45 Abs. 4 NISG 2026). Diese Summen wirken kleiner. Dennoch summieren sie sich bei mehreren Versäumnissen rasch. Eine unterlassene oder verspätete Vorfallsmeldung und fehlende Schulungen fallen dagegen unter den vollen Strafrahmen. Sorgfalt lohnt sich also auch bei Formalien. Welche Fristen gelten, zeigt der Beitrag zur NISG-2026-Fristen.

Ein Rechenbeispiel macht die Größenordnung greifbar. Ein Energieunternehmen mit 300 Beschäftigten und 40 Millionen Euro Umsatz ist ein großes Unternehmen und damit eine wesentliche Einrichtung. Zwei Prozent davon sind 800.000 Euro. Hingegen liegt der feste Rahmen von 10 Millionen höher. Also bildet er die Obergrenze. Ausgeschöpft wird sie selten. Doch der Rahmen zeigt, worüber die Behörde verfügt. Genau deshalb sind NIS2 Strafen keine Formsache. Ein solides Sicherheitsniveau ist die günstigere Wahl.

Wichtig ist der Bezug zum Umsatz. Denn die Prozentregel meint den weltweiten Konzernumsatz. Also nicht nur den Umsatz der einzelnen Tochter. Gehört Ihr Betrieb zu einer Gruppe, kann die Basis deutlich größer sein. Damit steigt der mögliche Betrag. Deshalb prüfen wir bei verbundenen Firmen die gesamte Struktur. Ein isolierter Blick auf die eigene Bilanz führt sonst in die Irre.

Aufsichtsmaßnahmen der Behörde im Detail

Neben den Geldstrafen kennt das Gesetz ein ganzes Bündel an Aufsichtsmaßnahmen. Zuständig ist die neue Cybersicherheitsbehörde. Sie ist zugleich zentrale Anlaufstelle und vertritt Österreich in den EU-Gremien (§ 4 NISG 2026). Somit hat Österreich erstmals eine schlagkräftige Cyberbehörde.

Was die Behörde anordnen darf

Die Behörde verfügt über mehrere Werkzeuge. Zunächst kann sie Audits und Vor-Ort-Prüfungen anordnen. Danach kann sie konkrete Sicherheitsmaßnahmen verlangen. Ebenso kann sie mit Frist zur Behebung auffordern und Bescheide erlassen. Bei anhaltenden Mängeln kann sie einen Überwachungsbeauftragten einsetzen oder Tätigkeiten aussetzen. Besteht der Verdacht einer Übertretung, erstattet sie Anzeige, und die Bezirksverwaltungsbehörde verhängt die Geldstrafe (§ 44 NISG 2026). Deshalb ist die Behörde kein reines Straforgan. Vielmehr steuert sie ein abgestuftes Verfahren.

• Sicherheitsaudits: regelmäßige oder anlassbezogene Prüfungen durch die Behörde oder beauftragte Stellen.
• Aufforderungen mit Frist: konkrete Mängel innerhalb einer gesetzten Frist zu beheben.
• Bescheide: verbindliche Anordnung, wenn eine Aufforderung nicht befolgt wird.
• Aussetzung und Untersagung: bei wesentlichen Einrichtungen im Extremfall das Aussetzen von Zertifizierungen oder die vorübergehende Untersagung der Leitungstätigkeit.

Unterschied zwischen den Klassen

Wesentliche Einrichtungen unterliegen der schärferen Aufsicht. Die Behörde darf sie proaktiv prüfen. Also auch ohne konkreten Anlass. Wichtige Einrichtungen kontrolliert sie eher im Verdachtsfall. Somit reagiert sie dort auf Hinweise oder Vorfälle. Für die Praxis heißt das: Wesentliche Betriebe müssen jederzeit vorzeigen können. Ein sauber geführtes ISMS nach ISO 27001 macht genau das möglich. Denn es hält die Nachweise ohnehin bereit.

Ein regelmäßiges IT-Security-Audit nimmt der behördlichen Prüfung den Schrecken. Denn wer die eigenen Lücken kennt, schließt sie vor der Kontrolle. Somit wird aus einer drohenden Prüfung eine reine Bestätigung. Zudem sinkt das Risiko einer Anordnung deutlich. Deshalb ist die interne Prüfung die günstigere Übung. Sie kostet weniger als jede Aufsichtsmaßnahme von außen.

Persönliche Konsequenzen für die Geschäftsführung

NIS2 Strafen treffen nicht nur das Unternehmen. Die Folgen können aber auch die Leitung selbst treffen. Denn das NISG 2026 verpflichtet die Geschäftsführung ausdrücklich. Sie muss die Einhaltung der Maßnahmen sicherstellen und beaufsichtigen. Wer das unterlässt, kann der Gesellschaft nach § 25 GmbHG auf Schadenersatz haften. Damit endet die alte Delegation nach unten.

Wann die Leitung persönlich haftet

Die persönliche Haftung greift nicht bei jedem Vorfall. Sie setzt ein Versäumnis der Aufsicht voraus. Wurde ein Angriff durch mangelhafte Kontrolle begünstigt, wird es kritisch. Ebenso, wenn bekannte Lücken bewusst ignoriert wurden. Dann kann die Gesellschaft die Geschäftsführung nach § 25 GmbHG auf Schadenersatz in Anspruch nehmen. Bei wesentlichen Einrichtungen kann die Behörde zudem die Leitungstätigkeit vorübergehend untersagen (§ 39 Abs. 4 NISG 2026). Die Details dazu klärt der Beitrag zur Geschäftsführerhaftung unter NIS2. Die Aufsichtspflicht ist also keine Nebensache. Die Geldstrafe selbst richtet sich vorrangig gegen das Unternehmen (§ 44 NISG 2026).

Schulungspflicht für Führungskräfte

Das Gesetz verlangt mehr als Freigaben. Die Leitung muss selbst geschult sein. Sie muss die Cyberrisiken einschätzen können. Deshalb schreibt das NISG 2026 Schulungen für die Geschäftsführung vor. Unterbleibt die Schulung, ist das eine eigene Verwaltungsübertretung mit dem vollen Strafrahmen (§ 45 Abs. 1 NISG 2026). Passende Formate bündelt unsere Security-Awareness-Schulung. Denn Wissen in der Leitung senkt das Haftungsrisiko spürbar.

Für viele Betriebe ist das eine neue Rolle. Denn Geschäftsführer sind selten Cyberexperten. Genau hier hilft eine externe Steuerung. Ein externer CISO übersetzt die Pflichten in konkrete Schritte. Zudem dokumentiert er die Freigaben sauber. Somit kann die Leitung ihre Aufsicht belegen. Und sie senkt das Risiko persönlicher NIS2 Strafen. Denn nachweisbare Sorgfalt schützt vor dem Vorwurf der Untätigkeit.

Ein praktischer Punkt wird oft übersehen. Die Aufsicht muss aktenkundig sein. Ein mündliches Einverständnis reicht im Streitfall nicht. Deshalb gehören Beschlüsse und Freigaben ins Protokoll. Ebenso die Kenntnisnahme von Risikoberichten. Somit entsteht eine lückenlose Spur. Sie zeigt, dass die Leitung ihre Pflicht ernst genommen hat. Genau diese Spur entscheidet später über die Haftung. Denn ohne Nachweis steht am Ende Aussage gegen Aussage.

Verhältnismäßigkeit: wann die Behörde wirklich straft

Die maximalen NIS2 Strafen sind ein Rahmen, kein Automatismus. Die Behörde muss verhältnismäßig vorgehen. Also die Umstände jedes Falls prüfen. Ebenso wird ein kleiner Formfehler anders behandelt als grobe Fahrlässigkeit. Deshalb bedeutet ein Verstoß nicht sofort das Höchstmaß. Vielmehr wägt die Behörde ab.

Diese Faktoren zählen

Mehrere Punkte beeinflussen die Höhe einer Strafe. Zunächst die Schwere des Verstoßes. Danach die Dauer und der angerichtete Schaden. Ebenso, ob der Verstoß vorsätzlich oder fahrlässig war. Zudem zählt die Bereitschaft zur Zusammenarbeit. Wer Lücken meldet und behebt, steht besser da. Genau hier zeigt sich der Wert einer offenen Meldekultur bei Sicherheitsvorfällen. Denn Kooperation mildert die Folgen.

Kein Freibrief für den ersten Verstoß

Einen Freibrief für den ersten Verstoß gibt es nicht. Hat die Behörde einen Verdacht, muss sie Durchsetzungsmaßnahmen setzen (§ 39 Abs. 8 NISG 2026) und den Verdacht der Bezirksverwaltungsbehörde anzeigen (§ 44 Abs. 1). Bei der Höhe zählen Schwere, Dauer, Verschulden und Ihre Zusammenarbeit. Eine unterlassene Meldung gilt dabei immer als schwerer Verstoß. Wer eine Aufforderung der Behörde ignoriert, verschärft seine Lage zusätzlich. Deshalb ist die Reaktion auf einen ersten Hinweis so wichtig. Sie entscheidet über den weiteren Verlauf. Ein guter Notfallplan und BCM hilft, im Ernstfall richtig zu reagieren.

Für KMU ist diese Verhältnismäßigkeit eine gute Nachricht. Denn sie schützt vor überzogenen Folgen. Ein Betrieb, der ernsthaft an der Sicherheit arbeitet, muss keine existenzbedrohende Strafe fürchten. Vorausgesetzt, er kann seine Bemühungen belegen. Genau deshalb ist die Dokumentation so zentral. Sie ist der Nachweis der Sorgfalt. Und sie verwandelt einen möglichen Verstoß in einen überschaubaren Vorfall. Somit relativieren sich die hohen Zahlen der NIS2 Strafen für sorgfältige Betriebe.

Ein Vergleich mit der DSGVO ordnet das ein. Auch dort schreckten die hohen Rahmen zunächst ab. In der Praxis blieben existenzbedrohende Bußgelder für KMU die Ausnahme. Die Behörden setzten meist auf Beratung und Korrektur. Ob die Praxis bei NIS2 ähnlich verläuft, ist noch offen. Deshalb sollten Sie die Zahlen ernst nehmen, aber nüchtern. Die eigentliche Gefahr ist nicht die Behörde. Sie ist der Angriff selbst, den fehlende Maßnahmen erst möglich machen.

So vermeiden Sie NIS2 Strafen von Anfang an

NIS2 Strafen lassen sich zuverlässig vermeiden. Der Weg dahin ist bekannt. Er beginnt mit einer ehrlichen Bestandsaufnahme. Danach folgt die Umsetzung der Pflichten aus § 32 NISG 2026 (Artikel 21 NIS2). Zum Schluss steht die laufende Pflege und Dokumentation. Somit wird aus einem Strafrisiko ein planbares Projekt.

Der Fahrplan in vier Schritten

• Betroffenheit klären: Sektor und Größe abgleichen, Einstufung festhalten. Das legt den Strafrahmen fest.
• Lücken finden: ein Audit zeigt, wo Maßnahmen fehlen. Danach lassen sie sich priorisieren.
• Maßnahmen umsetzen: Zugriffskontrolle, Backups, Notfallplan und Lieferkette absichern.
• Nachweise führen: Freigaben, Schulungen und Prüfungen dokumentieren. Das entlastet die Leitung.

Der wichtigste Hebel ist der frühe Start. Denn die Umsetzung braucht Monate, nicht Tage. Seit 1. Oktober 2026 gelten die Pflichten bereits. Wer noch nicht begonnen hat, sollte die wichtigsten Maßnahmen jetzt nach Risiko priorisieren. Zudem senkt ein früher Start die Kosten. Denn Hektik am Ende ist immer teurer.

Vorhandene Strukturen nutzen

Viele Betriebe müssen nicht bei null anfangen. Ein bestehendes ISMS deckt große Teile der Pflichten ab. Auch eine gelebte Datenschutzpraxis hilft. Denn viele Kontrollen überschneiden sich. Deshalb lohnt sich der Blick auf das, was schon da ist. Wo Wissen fehlt, ergänzt eine gezielte NIS2-Beratung die Lücken. Somit wird der Aufwand kalkulierbar. Kleine Betriebe finden zudem Hilfen bei der Initiative onlinesicherheit.gv.at.

Am Ende zahlt sich die Vorbereitung doppelt aus. Sie schützt vor NIS2 Strafen. Und sie schützt das Geschäft vor echten Angriffen. Denn die geforderten Maßnahmen sind keine Bürokratie. Sie senken das Risiko eines teuren Vorfalls. Ob nun mit oder ohne gesetzliche Pflicht. Genau darum ist die Umsetzung eine Investition. Nicht bloß eine Auflage. Ein erstes Gespräch klärt Ihren konkreten Bedarf über unsere Kontaktseite.

Ein letzter Gedanke zur Priorität. Nicht jede Maßnahme muss am ersten Tag stehen. Beginnen Sie mit den Kontrollen, die das größte Risiko senken. Zunächst mit Zugriffsrechten, Backups und der Erkennung von Angriffen. Danach folgt die Feinarbeit an Prozessen und Papieren. Somit zeigen Sie der Behörde einen klaren Fortschritt. Und Sie schützen den Betrieb schon in der Aufbauphase. Denn ein halb umgesetztes Sicherheitsniveau ist besser als gar keines. Wer den Weg begonnen hat, steht im Zweifel deutlich besser da als ein untätiger Betrieb.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Wie hoch sind die NIS2 Strafen maximal?

Für wesentliche Einrichtungen liegt der Rahmen bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Es zählt der höhere Wert. Für wichtige Einrichtungen sind es bis zu 7 Millionen Euro oder 1,4 Prozent. Ausgeschöpft wird der Rahmen aber selten.

Ab wann drohen in Österreich NIS2 Strafen?

Das NISG 2026 gilt seit 1. Oktober 2026. Seither gelten die Pflichten und damit auch die Sanktionen. Zudem müssen sich betroffene Einrichtungen bis 31. Dezember 2026 registrieren. Deshalb sollten Sie die Umsetzung früh starten.

Haftet die Geschäftsführung persönlich?

Ja, unter Umständen. Die Leitung muss die Einhaltung der Maßnahmen sicherstellen und beaufsichtigen. Wurde ein Vorfall durch mangelhafte Aufsicht begünstigt, kann sie der Gesellschaft nach § 25 GmbHG auf Schadenersatz haften. Geldstrafen richten sich vorrangig gegen das Unternehmen. Zudem verlangt das Gesetz eine Schulung der Führungskräfte. Nachweisbare Sorgfalt senkt dieses Risiko.

Wird bei jedem Verstoß sofort das Höchstmaß verhängt?

Nein. Die Behörde muss verhältnismäßig vorgehen. Sie prüft Schwere, Dauer und Verschulden. Einen Freibrief für den ersten Verstoß gibt es aber nicht. Eine unterlassene Meldung gilt immer als schwerer Verstoß.

Welche Geldstrafen gelten für Formfehler?

Für rein organisatorische Verstöße gilt ein eigener Rahmen. Dazu zählen etwa eine fehlende Registrierung oder eine verspätete Selbstdeklaration. Eine unterlassene Vorfallsmeldung fällt dagegen unter den vollen Strafrahmen. Das gilt ebenso für fehlende Schulungen (§ 45 Abs. 1 bis 3 NISG 2026). Für die organisatorischen Verstöße drohen bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro (§ 45 Abs. 4). Auch diese Summen summieren sich rasch.

Kann die Behörde auch ohne Strafe eingreifen?

Ja. Sie kann Audits anordnen, mit Frist zur Behebung auffordern und Bescheide erlassen. Wesentliche Einrichtungen darf sie proaktiv prüfen. Besteht der Verdacht einer Übertretung, erstattet sie Anzeige, und die Bezirksverwaltungsbehörde verhängt die Geldstrafe.

Wie vermeide ich NIS2 Strafen am sichersten?

Klären Sie zuerst Ihre Betroffenheit und Einstufung. Setzen Sie danach die Maßnahmen nach § 32 NISG 2026 um. Führen Sie zudem Nachweise über Freigaben und Schulungen. Ein bestehendes ISMS deckt vieles ab. Der frühe Start ist der wichtigste Hebel.

Fazit: Vorbereitung schlägt Bußgeld

Die NIS2 Strafen sehen auf dem Papier bedrohlich aus. Bis zu 10 Millionen Euro und die ausdrückliche Verantwortung der Leitung sind ein deutliches Signal. Doch der Rahmen ist ein Höchstmaß, kein Automatismus. Die Behörde geht abgestuft und verhältnismäßig vor. Wer die Pflichten ernst nimmt und dokumentiert, muss keine existenzbedrohende Strafe fürchten. Genau darin liegt die gute Nachricht für KMU.

Der beste Schutz vor NIS2 Strafen ist die frühe Umsetzung. Denn es ist mehr zu tun, als viele denken. Ein früher Start spart Geld und senkt das Haftungsrisiko. Zudem schützt er das Geschäft vor echten Angriffen. Somit ist die Vorbereitung eine Investition, die sich doppelt auszahlt.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren