§ 65 BSIG sieht bis zu 10 Mio. Euro für besonders wichtige und bis zu 7 Mio. Euro für wichtige Einrichtungen vor, wenn gegen die Pflichten aus § 30 oder § 32 verstoßen wird. Ein Verstoß gegen die Registrierungspflicht ist mit höchstens 500.000 Euro bewehrt. Die umsatzbezogenen Obergrenzen von 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Gesamtumsatzes greifen erst ab einem Gesamtumsatz von 500 Mio. Euro. Maßgeblich ist nach § 65 Abs. 8 der Konzernumsatz des Jahres, das der Behördenentscheidung vorausgeht.