Kurztitel

Netz- und Informationssystemsicherheitsgesetz 2026

Kundmachungsorgan

Bundesgesetzblatt Teil eins, Nr. 94 aus 2025,

Typ

BG

Paragraph/Artikel/Anlage

Paragraph 45

Inkrafttretensdatum

01.10.2026

Abkürzung

NISG 2026

Index

41/01 Sicherheitsrecht

Text

Verwaltungsstrafbestimmungen

Paragraph 45,

  1. Absatz eins,Wer
    1. Ziffer eins
      seiner Verpflichtung, Cybersicherheitsschulungen für Leitungsorgane gemäß Paragraph 31, Absatz 2, vorzusehen, nicht nachkommt,
    2. Ziffer 2
      seiner Verpflichtung, Cybersicherheitsschulungen für Mitarbeiter (Arbeitnehmer) gemäß Paragraph 31, Absatz 2, zweiter Satz vorzusehen, nicht nachkommt,
    3. Ziffer 3
      Risikomanagementmaßnahmen gemäß Paragraph 32, nicht umsetzt, soweit dieser Umstand der Cybersicherheitsbehörde nicht nur aufgrund einer Selbstdeklaration gemäß Paragraph 33, Absatz eins, bekanntgeworden ist,
    4. Ziffer 4
      seiner Verpflichtung zur Meldung eines erheblichen Cybersicherheitsvorfalls gemäß Paragraph 34, Absatz eins und 2 sowie den damit zusammenhängenden Berichtspflichten nicht entspricht,
    5. Ziffer 5
      seiner Verpflichtung zur unverzüglichen Unterrichtung der Empfänger der Dienste einer wesentlichen oder wichtigen Einrichtung gemäß Paragraph 34, Absatz 3, nicht entspricht, oder
    6. Ziffer 6
      den gemäß Paragraph 39, Absatz 2, angeordneten Durchsetzungsmaßnahmen nicht fristgerecht nachkommt, sofern nicht wegen desselben zugrundeliegenden Sachverhalts eine Strafbarkeit nach den Absatz eins, oder 4 besteht,
    begeht eine Verwaltungsübertretung und ist mit einer Geldstrafe nach Maßgabe der Absatz 2 und 3 zu bestrafen.
  2. Absatz 2,Wer als wesentliche Einrichtung (Paragraph 24, Absatz eins,) eine Verwaltungsübertretung gemäß Absatz eins, begeht, ist mit Geldstrafe in Höhe von bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wesentliche Einrichtung angehört, je nachdem, welcher Betrag höher ist, zu bestrafen.
  3. Absatz 3,Wer als wichtige Einrichtung (Paragraph 24, Absatz 2,) eine Verwaltungsübertretung gemäß Absatz eins, begeht, ist mit Geldstrafe in Höhe von bis zu 7 000 000 EUR oder bis zu 1,4 % des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes des Unternehmens, dem die wichtige Einrichtung angehört, je nachdem, welcher Betrag höher ist, zu bestrafen.
  4. Absatz 4,Wer
    1. Ziffer eins
      sich bei der Cybersicherheitsbehörde nicht fristgerecht gemäß Paragraph 29, Absatz 3, registriert oder im Zuge der Registrierung wissentlich falsche oder unvollständige Angaben übermittelt,
    2. Ziffer 2
      der Cybersicherheitsbehörde Änderungen gemäß Paragraph 29, Absatz 4, nicht im dort vorgegebenen Zeitraum bekannt gibt,
    3. Ziffer 3
      seiner Verpflichtung zur Führung einer Datenbank gemäß Paragraph 30, Absatz eins, nicht nachkommt,
    4. Ziffer 4
      entgegen Paragraph 30, Absatz 3, über keine Vorgaben und Verfahren, einschließlich Überprüfungsverfahren, verfügt oder diese Vorgaben und Verfahren nicht öffentlich zugänglich macht,
    5. Ziffer 5
      entgegen Paragraph 30, Absatz 4, nicht unverzüglich nach der Registrierung eines Domänenamens die nicht personenbezogenen Domänennamen-Registrierungsdaten öffentlich zugänglich macht,
    6. Ziffer 6
      entgegen Paragraph 30, Absatz 5, trotz rechtmäßigen und begründeten Antrags keinen Zugang zu den Domänennamen-Registrierungsdaten gewährt, alle Anträge auf Zugang nicht unverzüglich, längstens jedoch innerhalb von 72 Stunden nach Eingang des jeweiligen Antrags, beantwortet oder die Vorgaben und Verfahren im Hinblick auf die Offenlegung solcher Daten nicht öffentlich zugänglich macht,
    7. Ziffer 7
      entgegen Paragraph 33, Absatz eins, seiner Verpflichtung zur Selbstdeklaration nicht fristgerecht nachkommt,
    8. Ziffer 8
      in einer Selbstdeklaration gemäß Paragraph 33, Absatz eins, wissentlich falsche Angaben über die Umsetzung von Risikomanagementmaßnahmen macht,
    9. Ziffer 9
      entgegen Paragraph 33, Absatz 3, seiner Verpflichtung zur Übermittlung eines Prüfberichts nicht fristgerecht nachkommt,
    10. Ziffer 10
      entgegen Paragraph 33, Absatz 5, der Cybersicherheitsbehörde die geplanten Prüfungen nicht fristgerecht bekanntgibt,
    11. Ziffer 11
      seiner Verpflichtung zur Bekanntgabe von Abschlüssen sowie Rücktritten von Vereinbarungen zum Informationsaustausch gemäß Paragraph 36, Absatz 4, nicht entspricht,
    12. Ziffer 12
      die Durchführung einer Kontrolle der jeweiligen Einrichtung gemäß Paragraph 38, Absatz eins, Ziffer eins, be- oder verhindert,
    13. Ziffer 13
      die Durchführung von Sicherheitsscans betreffend die jeweilige Einrichtung gemäß Paragraph 38, Absatz eins, Ziffer 2, be- oder verhindert,
    14. Ziffer 14
      seiner Verpflichtung zur Bereitstellung von Informationen einschließlich dokumentierter Sicherheitskonzepte gemäß Paragraph 38, Absatz eins, Ziffer 3, nicht entspricht,
    15. Ziffer 15
      seiner Verpflichtung zur Gewährung des Zugangs zu Daten, Dokumenten oder sonstigen Informationen auf Anforderung gemäß Paragraph 38, Absatz eins, Ziffer 4, nicht entspricht,
    16. Ziffer 16
      die Durchführung einer Ad-hoc-Prüfung der jeweiligen Einrichtung gemäß Paragraph 38, Absatz eins, Ziffer 5, be- oder verhindert,
    17. Ziffer 17
      den gemäß Paragraph 39, Absatz 3, Ziffer eins, Litera a, und b angeordneten Maßnahmen nicht fristgerecht nachkommt,
    18. Ziffer 18
      den Überwachungsbeauftragten gemäß Paragraph 39, Absatz 3, Ziffer 2, bei seiner Tätigkeit behindert oder
    19. Ziffer 19
      seiner Verpflichtung zur Verwendung spezieller IKT-Produkte, -Dienste und -Prozesse gemäß Paragraph 40, nicht nachkommt,
    ist mit Geldstrafe in Höhe von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR zu bestrafen.

Zuletzt aktualisiert am

30.12.2025

Gesetzesnummer

20013065

Dokumentnummer

NOR40273906