Artikel 34 fastsætter reglerne for administrative bøder til væsentlige og vigtige enheder. Bøderne skal være effektive, stå i forhold til overtrædelsen og have afskrækkende virkning.
Bøderne kommer oven i andre tilsynsforanstaltninger. De erstatter ikke advarsler, pålæg eller instrukser fra myndighederne.
Myndighederne ser på overtrædelsens alvor og varighed. De ser også på, om overtrædelsen var forsætlig, og om virksomheden samarbejder om at rette op på den.
Væsentlige enheder kan få bøder på op til 10 mio. EUR eller op til 2 % af den globale omsætning. Det højeste beløb gælder.
Vigtige enheder kan få bøder på op til 7 mio. EUR eller op til 1,4 % af den globale omsætning. Det højeste beløb gælder.
Myndighederne kan også pålægge løbende tvangsbøder. Det sker, hvis en enhed ikke stopper en overtrædelse efter en afgørelse.
Hvert EU-land bestemmer selv, om offentlige myndigheder kan få bøder. Lande uden administrativ bødepraksis bruger domstolene i stedet.
Eksempler
En dansk virksomhed klassificeret som væsentlig enhed undlader at indberette et alvorligt cyberangreb inden for fristen i artikel 23. Myndighederne pålægger en bøde på 3 mio. EUR og giver desuden en bindende instruks om at udbedre sikkerhedshullerne.
En vigtig enhed har gentagne gange ikke opdateret sine risikovurderinger som krævet i artikel 21. Myndigheden pålægger en tvangsbøde på 50.000 kr. pr. dag, indtil virksomheden dokumenterer, at vurderingerne er på plads.
Relevante præambler:
Ofte stillede spørgsmål
Hvad er maksimumsbeløbet for administrative bøder under NIS2?
Væsentlige enheder kan få bøder på op til 10 mio. EUR eller op til 2 % af den globale omsætning. Vigtige enheder kan få op til 7 mio. EUR eller op til 1,4 % af omsætningen. Det højeste beløb gælder i begge tilfælde. Beløbene er minimumsgrænser, og nationale lovgivere kan fastsætte højere bøder.
Hvad tages der hensyn til, når en bøde fastsættes?
Myndighederne ser på overtrædelsens alvor og varighed. De ser på, om den var forsætlig eller uagtsom. De vurderer også, om virksomheden samarbejder, om den har overtrådt reglerne før, og hvilke persongrupper der er berørt.
Kan min virksomhed pålægges bøder udover de i artikel 34 nævnte beløb?
Bøderne er et supplement til andre foranstaltninger, ikke en erstatning. Myndigheden kan både give en bøde og udstede en bindende instruks eller pålægge en sikkerhedsrevision. Sanktioner fra andre myndigheder, f.eks. Datatilsynet for GDPR-brud, kan komme oven i.
Er bøderne de samme i alle EU-lande?
Nej, beløbene er minimumsgrænser. Hvert EU-land kan fastsætte højere maksimumsbøder. Bødeniveauet kan derfor variere fra land til land afhængigt af den nationale lovgivning.
Den originale tekst fra direktivet
Stk. 1.
Medlemsstaterne sikrer, at de administrative bøder, der pålægges væsentlige og vigtige enheder i henhold til denne artikel for så vidt angår overtrædelser af dette direktiv, er effektive, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning, under hensyntagen til omstændighederne i hver enkelt sag.
Stk. 2.
Administrative bøder pålægges i tillæg til en hvilken som helst af foranstaltningerne omhandlet i artikel 32, stk. 4, litra a)-h), artikel 32, stk. 5, og artikel 33, stk. 4, litra a)-g).
Stk. 3.
Når det besluttes, om der skal pålægges en administrativ bøde, og der træffes afgørelse om dens størrelse i hver enkelt sag, tages der som minimum behørigt hensyn til de i artikel 32, stk. 7, angivne elementer.
Stk. 4.
Medlemsstaterne sikrer, at hvor væsentlige enheder overtræder artikel 21 eller 23, straffes de i overensstemmelse med nærværende artikels stk. 2 og 3 med administrative bøder med et maksimum på mindst 10 000 000 EUR eller et maksimum på mindst 2 % af den samlede globale årsomsætning i det foregående regnskabsår i den virksomhed, som den væsentlige enhed tilhører, alt efter hvad der er højest.
Stk. 5.
Medlemsstaterne sikrer, at hvor vigtige enheder overtræder artikel 21 eller 23, straffes de i overensstemmelse med nærværende artikels stk. 2 og 3 med administrative bøder med et maksimum på mindst 7 000 000 EUR eller et maksimum på mindst 1,4 % af den samlede globale årsomsætning i det foregående regnskabsår i den virksomhed, som den vigtige enhed tilhører, alt efter hvad der er højest.
Stk. 6.
Medlemsstaterne kan fastsætte beføjelser til at pålægge tvangsbøder for at tvinge en væsentlig eller vigtig enhed til at bringe en overtrædelse af dette direktiv til ophør i overensstemmelse med en forudgående afgørelse truffet af den kompetente myndighed.
Stk. 7.
Uden at det berører tilsynsmyndighedernes beføjelser i henhold til artikel 32 og 33, kan hver enkelt medlemsstat fastsætte regler om, hvorvidt og i hvilket omfang administrative bøder kan pålægges offentlige forvaltningsorganer.
Stk. 8.
Hvis en medlemsstats retssystem ikke giver mulighed for at pålægge administrative bøder, sørger den pågældende medlemsstat for, at denne artikel anvendes på en sådan måde, at den kompetente myndighed tager skridt til bøder, og de kompetente nationale domstole pålægger dem, idet det sikres, at disse retsmidler er effektive, og at deres virkning svarer til virkningen af administrative bøder, som pålægges af de kompetente myndigheder. De bøder, der pålægges, skal under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning. Medlemsstaten giver Kommissionen meddelelse om bestemmelserne i de love, som den vedtager i henhold til dette stykke, senest den 17. oktober 2024 og underretter den straks om eventuelle senere ændringslove eller ændringer, der berører dem.