NIS2 und DSGVO: Zwei Seiten einer Medaille?
Viele Unternehmen fragen sich, wie NIS2 und die DSGVO zusammenhängen. Beide EU-Regelwerke betreffen die Informationssicherheit, setzen aber unterschiedliche Schwerpunkte.
Grundlegende Unterschiede
Schutzziel
- DSGVO: Schutz personenbezogener Daten natürlicher Personen
- NIS2: Schutz von Netz- und Informationssystemen (Cybersicherheit)
Adressaten
- DSGVO: Alle Organisationen, die personenbezogene Daten verarbeiten — unabhängig von Größe oder Branche
- NIS2: Nur Unternehmen bestimmter Sektoren ab einer gewissen Größe (50 Mitarbeiter / 10 Mio. € Umsatz)
Aufsichtsbehörde
- DSGVO: Landesdatenschutzbehörden (z. B. LfDI Baden-Württemberg, BfDI)
- NIS2: Bundesamt für Sicherheit in der Informationstechnik (BSI)
Rechtsgrundlage
- DSGVO: EU-Verordnung 2016/679 — unmittelbar geltendes Recht
- NIS2: EU-Richtlinie 2022/2555 — muss in nationales Recht umgesetzt werden (NIS2UmsuCG)
Vergleichstabelle
| Kriterium | DSGVO | NIS2 |
|---|---|---|
| Inkrafttreten | 25. Mai 2018 | Oktober 2024 (DE) |
| Fokus | Personenbezogene Daten | Cybersicherheit |
| Betroffene | Alle Datenverarbeiter | Bestimmte Sektoren |
| Max. Bußgeld | 20 Mio. € / 4% Umsatz | 10 Mio. € / 2% Umsatz |
| Meldepflicht | 72 Stunden | 24h (Frühwarnung) / 72h |
| GF-Haftung | Indirekt | Direkt, persönlich |
| DPO/CISO | DSB Pflicht (bei Bedarf) | Keine CISO-Pflicht |
| Audits | Durch Behörden | Durch BSI / Dritte |
| Scope | Datenverarbeitung | IT-Systeme & Netze |
Gemeinsamkeiten
Trotz der Unterschiede gibt es wichtige Überschneidungen:
1. Technische und organisatorische Maßnahmen
Beide Regelwerke verlangen angemessene technische und organisatorische Maßnahmen (TOMs):
- DSGVO Art. 32: Sicherheit der Verarbeitung
- NIS2 Art. 21: Risikomanagementmaßnahmen
Viele Maßnahmen erfüllen gleichzeitig beide Anforderungen:
- Verschlüsselung
- Zugangskontrolle
- Backup-Systeme
- Incident-Response
2. Meldepflichten
Beide erfordern die Meldung von Vorfällen:
- DSGVO Art. 33: Meldung von Datenschutzverletzungen innerhalb von 72 Stunden an die Aufsichtsbehörde
- NIS2 Art. 23: Frühwarnung innerhalb von 24 Stunden, Erstmeldung innerhalb von 72 Stunden
Bei einem Cyberangriff, der auch personenbezogene Daten betrifft, müssen unter Umständen beide Meldungen erfolgen.
3. Risikobasierter Ansatz
Beide Regelwerke verfolgen einen risikobasierten Ansatz:
- Maßnahmen müssen dem Risiko angemessen sein
- Regelmäßige Bewertung erforderlich
- Dokumentationspflicht
4. Lieferkette
Beide adressieren die Lieferkette:
- DSGVO: Auftragsverarbeitung (Art. 28)
- NIS2: Sicherheit der Lieferkette (Art. 21)
5. Sanktionen
Beide sehen empfindliche Bußgelder vor und setzen auf Abschreckung.
Wo sich NIS2 und DSGVO ergänzen
Beispiel: Ransomware-Angriff
Bei einem Ransomware-Angriff auf ein Krankenhaus:
- NIS2-Meldung: Frühwarnung an das BSI innerhalb von 24 Stunden (Cybersicherheitsvorfall)
- DSGVO-Meldung: Meldung an die Datenschutzbehörde innerhalb von 72 Stunden (wenn Patientendaten betroffen)
- DSGVO-Benachrichtigung: Information der betroffenen Patienten (wenn hohes Risiko)
Beispiel: Schwachstelle in der Lieferkette
Ein IT-Dienstleister hat eine Sicherheitslücke:
- NIS2: Risikobewertung des Lieferanten, Sicherheitsanforderungen im Vertrag
- DSGVO: Auftragsverarbeitungsvertrag (AVV), technische und organisatorische Maßnahmen
Synergien nutzen
Unternehmen, die bereits DSGVO-konform arbeiten, haben einen Vorsprung bei NIS2:
Was Sie bereits haben (DSGVO)
- Verzeichnis der Verarbeitungstätigkeiten
- Technische und organisatorische Maßnahmen
- Datenschutz-Folgenabschätzung
- Incident-Response-Prozesse
- Auftragsverarbeitungsverträge
Was NIS2 zusätzlich fordert
- Umfassenderes Risikomanagement für IT-Systeme
- Kürzere Meldefristen (24h statt 72h)
- Business-Continuity-Management
- Explizite Lieferkettensicherheit
- GF-Billigung der Cybersicherheitsmaßnahmen
- BSI-Registrierung
Integrierte Compliance
Der effizienteste Ansatz ist eine integrierte Compliance-Strategie, die beide Regelwerke gemeinsam adressiert:
- Gemeinsames Risikomanagement — Ein System für Datenschutz- und Cybersicherheitsrisiken
- Einheitliche Dokumentation — Zentrale Nachweisführung für beide Regelwerke
- Koordinierte Meldeprozesse — Parallele Meldeketten für BSI und Datenschutzbehörde
- Ganzheitliche Schulungen — Mitarbeiterschulungen, die beide Themen abdecken
NIS2Cockpit unterstützt diesen integrierten Ansatz mit 62 NIS2-Controls und DSGVO-konformer Architektur in einer einzigen Plattform.