NIS2 und DSGVO: Synergien erkennen und Compliance effizient umsetzen

Die NIS2-Richtlinie und die Datenschutz-Grundverordnung (DSGVO) kommen aus unterschiedlichen Ecken der EU-Regulierung, treffen sich aber bei einem zentralen Punkt: Beide verlangen von Unternehmen technische und organisatorische Maßnahmen zum Schutz sensibler Daten und kritischer Systeme. Wer bereits DSGVO-konform arbeitet, hat damit einen Teil der NIS2-Arbeit erledigt. Dieser Artikel zeigt, wo sich die Anforderungen überschneiden, wo sie auseinandergehen und wie Sie beide Regelwerke mit einem integrierten Managementsystem abdecken.

NIS2 und DSGVO: Zwei Regelwerke, ein Ziel?

NIS2 und DSGVO verfolgen ein gemeinsames Ziel: den Schutz digitaler Infrastruktur und personenbezogener Daten durch technische und organisatorische Maßnahmen (TOM). Der Unterschied liegt im Schutzobjekt. Die DSGVO schützt personenbezogene Daten. NIS2 schützt Netz- und Informationssysteme. In der Praxis überlappen sich beide Bereiche erheblich, weil Informationssysteme fast immer auch personenbezogene Daten verarbeiten.

Die Tabelle zeigt: Die Instrumente ähneln sich, die Perspektive ist unterschiedlich. Einen vollständigen Überblick über die NIS2-Richtlinie finden Sie in unserem Pillar-Artikel.

Überschneidungen bei Risikomanagement und TOM

Die größte Schnittmenge zwischen NIS2 und DSGVO liegt bei den technischen und organisatorischen Maßnahmen. Art. 32 DSGVO fordert ein dem Risiko angemessenes Schutzniveau. §30 NIS2UmsuCG verlangt Risikomanagementmaßnahmen in zehn Bereichen. Wer die Anforderungen nebeneinanderlegt, erkennt drei zentrale Überschneidungen.

1. Risikoanalyse als Ausgangspunkt. Beide Regelwerke setzen eine systematische Risikoanalyse voraus. Die DSGVO kennt die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35. NIS2 fordert eine umfassende Risikoanalyse für Netz- und Informationssysteme (§30 Abs. 2 Nr. 1). In der Praxis lassen sich beide Analysen kombinieren: Die DSFA deckt den personenbezogenen Datenbereich ab, die NIS2-Risikoanalyse erweitert den Scope auf die gesamte IT-Infrastruktur. Wer bereits eine DSFA durchführt, hat die Methodik und kann sie auf NIS2-Risiken ausdehnen.

2. Verschlüsselung und Zugangskontrollen. Art. 32 Abs. 1 lit. a DSGVO nennt Verschlüsselung und Pseudonymisierung explizit. §30 Abs. 2 Nr. 7 NIS2UmsuCG fordert Kryptografie-Konzepte. In beiden Fällen geht es darum, Daten im Ruhezustand und bei der Übertragung zu schützen. Wer ein Kryptografie-Konzept für NIS2 aufbaut, erfüllt damit gleichzeitig die DSGVO-Anforderung an Verschlüsselung.

3. Dokumentation und Nachweispflicht. Die DSGVO verlangt ein Verzeichnis von Verarbeit ungstätigkeiten (Art. 30) und die Nachweisfähigkeit der Compliance (Art. 5 Abs. 2). NIS2 fordert die Dokumentation der Risikomanagementmaßnahmen und deren Umsetzungsstand. Ein gemeinsames Dokumentationssystem spart den doppelten Aufwand. Alle zehn Maßnahmenbereiche aus §30 beschreiben wir unter NIS2-Anforderungen.

Meldepflichten koordinieren: DSGVO Art. 33 vs. NIS2 §32

Bei einem Sicherheitsvorfall, der gleichzeitig personenbezogene Daten betrifft und ein Netz- oder Informationssystem beeinträchtigt, greifen beide Meldepflichten parallel. Die Fristen unterscheiden sich: NIS2 verlangt eine Erstmeldung an das BSI innerhalb von 24 Stunden nach Kenntnisnahme (§32 Abs. 1 NIS2UmsuCG). Die DSGVO gibt 72 Stunden für die Meldung an die zuständige Datenschutzbehörde (Art. 33 Abs. 1).

Die NIS2-Frist ist die strengere. Wer den NIS2-Meldeprozess aufbaut, sollte die DSGVO-Meldung direkt integrieren. Konkret bedeutet das: Ein Vorfall wird erkannt, der Incident-Response-Prozess startet, und nach der Erstbewertung gehen zwei Meldungen raus. Die NIS2-Meldung an das BSI innerhalb von 24 Stunden. Die DSGVO-Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden, sofern personenbezogene Daten betroffen sind.

Die genauen Fristen und Eskalationsstufen der NIS2-Meldepflicht behandeln wir unter NIS2-Meldepflichten im Detail.

Nicht jeder Vorfall löst beide Meldepflichten aus. Ein DDoS-Angriff, der Systeme lahmlegt, aber keine personenbezogenen Daten kompromittiert, fällt nur unter NIS2. Ein Datenleck ohne Systembeeinträchtigung fällt nur unter die DSGVO. Die Erfahrung zeigt aber: Bei den meisten schweren Vorfällen sind beide Meldewege betroffen, weil Angreifer selten zwischen Systemen und Daten unterscheiden.

Gemeinsame Prozesse aufbauen: Ein ISMS für beide

Die effizienteste Lösung für die parallele Compliance ist ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001. Ein ISMS nach ISO 27001 deckt rund 70-80 % der Anforderungen beider Regelwerke ab, weil es sowohl Risikomanagement als auch TOM und Dokumentation strukturiert. Statt zwei getrennte Compliance-Projekte aufzusetzen, bauen Sie ein System, das beide bedient.

Der Weg dorthin in vier Schritten:

ISMS-Plattformen wie SECJUR Digital Compliance Office können die Vorbereitungszeit um bis zu 50 % verkürzen, weil Vorlagen, Mappings und Workflows für beide Regelwerke bereits vorkonfiguriert sind. Statt Tabellen und Dokumente manuell zu pflegen, dokumentieren Sie Risiken, Maßnahmen und Nachweise an einem Ort.

„Wer DSGVO-Compliance ernst genommen hat, hat 60-70 % der NIS2-Arbeit bereits erledigt. Die Risikoanalyse steht, die TOM sind dokumentiert, der Meldeprozess existiert. Es fehlt die Erweiterung auf Netz- und Informationssysteme. Das ISMS ist die Brücke zwischen beiden Regelwerken.“

Nandini Suresh, Informationssicherheits- und Datenschutzexpertin bei SECJUR

Wo sich NIS2 und DSGVO unterscheiden

Trotz aller Gemeinsamkeiten gibt es klare Unterschiede, die getrennte Prozesse erfordern.

Registrierungspflicht. NIS2 verlangt eine aktive Registrierung beim BSI innerhalb von drei Monaten (§33 NIS2UmsuCG). Die DSGVO kennt keine vergleichbare Registrierungspflicht. Unternehmen müssen prüfen, ob sie als besonders wichtige oder wichtige Einrichtung gelten, und sich entsprechend registrieren.

Geschäftsleitungshaftung. NIS2 macht die Geschäftsleitung persönlich verantwortlich für die Umsetzung der Risikomanagementmaßnahmen (§38 NIS2UmsuCG). Die DSGVO adressiert primär das Unternehmen als Verantwortlichen, nicht die Geschäftsführung persönlich. Diese persönliche Haftung ist ein Novum, das Geschäftsführer ernst nehmen sollten.

Scope der Maßnahmen. Die DSGVO fokussiert auf den Schutz personenbezogener Daten. NIS2 geht breiter: Betriebskontinuität, Lieferkettensicherheit, Kryptografie-Konzepte und Cyberhygiene gehören zu den zehn Maßnahmenbereichen. Unternehmen, die bisher nur DSGVO-Maßnahmen umgesetzt haben, müssen für NIS2 den Blick auf die gesamte IT-Infrastruktur weiten.

Aufsicht und Durchsetzung. Die DSGVO wird durch die Datenschutzaufsichtsbehörden der Länder durchgesetzt. NIS2 durch das BSI. Das bedeutet zwei verschiedene Ansprechpartner, zwei verschiedene Meldewege und zwei verschiedene Prüfansätze. Wer beide Aufsichtsstrukturen kennt, kann seine internen Zuständigkeiten entsprechend aufteilen.

Die Unterschiede zeigen: NIS2 ist kein DSGVO-Duplikat. Es erweitert den Compliance-Rahmen um Aspekte, die die DSGVO nicht abdeckt. Unternehmen, die beides brauchen, fahren mit einem integrierten ISMS am besten, das die gemeinsamen Anforderungen zentralisiert und die spezifischen Pflichten getrennt verwaltet.