Die ISMS-Einführung ist gemäß B3S für die KRITIS-Betreiber eine Pflicht, seine Zertifizierung ist es hingegen (meist) nicht.

"[...] bis zu 20 Mio. €, [...] bis zu 10 Mio. €, [...] bis zu 500.000 €, [...] bis zu 100.000 €, [...]" Quelle: BSI - FAQ zu Bußgeldern