NIS2-Bußgelder und Haftung der Geschäftsleitung in Luxemburg
Die Bußgelder sind hoch; überraschend für Gremien ist, dass die Verantwortung persönlich bei ihnen liegt — und sich nicht vollständig delegieren lässt.
Kurz gesagt: Die Bußgelder sind hoch — bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes — doch der Punkt, den die meisten Inhaber-Geschäftsführer übersehen, ist schärfer: Nach dem Gesetz vom 5. Mai 2026 haftet das Leitungsorgan persönlich. Diese Verantwortung lässt sich nicht vollständig an den IT-Dienstleister abgeben.
Die Bußgelder
| Wesentliche Einrichtung | Wichtige Einrichtung | |
|---|---|---|
| Höchstes Bußgeld | 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, was höher ist | 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist |
| Art der Aufsicht | Proaktiv — die ILR kann jederzeit prüfen und Nachweise verlangen | Reaktiv — nach einem Vorfall oder einer Beschwerde |
Das sind Obergrenzen, keine Tarife. Ein erstes, ehrlich offengelegtes Defizit mit glaubwürdigem Behebungsplan ist etwas völlig anderes als eine nach einem Vorfall festgestellte Nichtkonformität. Aber die Obergrenzen zeigen, wie ernst das Gesetz gemeint ist.
Was Geschäftsleiter überrascht: die persönliche Verantwortung
Artikel 20 der NIS2-Richtlinie, umgesetzt durch das luxemburgische Gesetz, legt dem Leitungsorgan — Vorstand, Verwaltungsrat, Geschäftsführer — konkrete Pflichten auf:
- Es muss die Risikomanagementmaßnahmen billigen.
- Es muss ihre Umsetzung überwachen.
- Es muss selbst an Schulungen teilnehmen, um Risiken zu erkennen und die Maßnahmen zu beurteilen — und soll den Beschäftigten Ähnliches anbieten.
Die Folge ist der Kern: Weil das Gesetz das Leitungsorgan benennt, lässt sich die Verantwortung nicht vollständig delegieren. „Unser IT-Dienstleister kümmert sich um die Sicherheit" entbindet einen Geschäftsleiter nicht von der Pflicht, sie zu billigen, zu überwachen und zu verstehen. Ein Gremium, das Maßnahmen abgesegnet hat, die es nie geprüft hat, hat Artikel 20 nicht erfüllt — so gut das zugrunde liegende Setup auch sein mag.
Bei wesentlichen Einrichtungen können die Sanktionen die Person treffen. Behebt eine wesentliche Einrichtung einen Verstoß nicht innerhalb einer gesetzten Frist, kann die zuständige Behörde unter anderem ein vorübergehendes Verbot der Ausübung von Leitungsfunktionen auf Ebene des Geschäftsführers oder gesetzlichen Vertreters verlangen. Es ist weder automatisch noch sofort — es ist letztes Mittel — aber es existiert und richtet sich gegen Personen, nicht nur gegen das Unternehmen.
Die Korrekturmaßnahmen unterhalb des Bußgelds
Das Bußgeld ist das sichtbare Ende der Skala. Davor kann die ILR verbindliche Anweisungen und Verwarnungen erlassen, die fristgerechte Herstellung bestimmter Maßnahmen anordnen, die Information betroffener Kunden verlangen und — bei wesentlichen Einrichtungen — eine Zulassung oder Zertifizierung aussetzen. Für ein Unternehmen, das von Kundenvertrauen lebt, kann eine öffentliche Konformitätsanordnung teurer sein als das Bußgeld.
Was das praktisch bedeutet
Für ein Leitungsorgan, das ruhig schlafen will, folgen drei Dinge:
- Kurz schulen lassen. Geschäftsleiter müssen keine Ingenieure werden. Sie brauchen genug, um die Maßnahmen sachkundig zu billigen und die richtigen Fragen zu stellen. Das Gesetz verlangt es, und ein aufgezeichnetes Video ist eine schwache Antwort gegenüber einer Aufsichtsbehörde.
- Auf Basis von Belegen billigen, nicht von Zusicherungen. Segnen Sie Maßnahmen ab, die Sie als real erkennen — getestet, dokumentiert — statt einer Akte, die Ihnen als vollständig geschildert wurde.
- Den Nachweis aufbewahren. Der Beschluss zur Billigung der Maßnahmen, der Schulungsnachweis, die Risikoakzeptanz — das belegt später, dass die Pflicht erfüllt wurde.
Wie wir helfen
Unser Konformitätsaudit liefert genau die Akte, die ein Leitungsorgan zur Erfüllung von Artikel 20 braucht: eine Risikobewertung und Sicherheitsrichtlinie, die Ihr Gremium billigen kann, einen Aktionsplan, den es tragen kann, und eine Sitzung samt der nun vorgeschriebenen Schulung für Geschäftsleiter — gehalten von Menschen, die Systeme im Ernst testen, nicht von Folien ablesen. Was wir nicht tun: das Risiko für Sie akzeptieren. Das legt das Gesetz auf das Leitungsorgan, und dort bleibt es.
Unsicher, ob das Gesetz überhaupt für Sie gilt? Das ist eine eigene, schnellere Frage — die wir zuerst schriftlich beantworten.