TL;DR
NIS2 und DSGVO sind zwei verschiedene EU-Gesetze, die gleichzeitig gelten. NIS2 schützt Netzwerke und Dienste. Die DSGVO schützt personenbezogene Daten. Ein einziger Cyberangriff kann Meldepflichten nach beiden Gesetzen auslösen, an unterschiedliche Behörden und mit unterschiedlichen Fristen.
Viele Organisationen glauben, dass DSGVO-Compliance und NIS2-Compliance dasselbe sind. Das ist falsch. Beide Rahmenwerke haben unterschiedliche Schutzziele, unterschiedliche Behörden und unterschiedliche Anforderungen. Gleichzeitig gibt es erhebliche Überschneidungen, die eine koordinierte Umsetzung möglich und sinnvoll machen.
Dieser Artikel erklärt die Unterschiede, wo die Gesetze zusammentreffen und wie Sie eine einheitliche Compliance-Strategie aufbauen, die beide Anforderungen abdeckt.
NIS2 und DSGVO im direkten Vergleich
| Kriterium | NIS2 | GDPR |
|---|---|---|
| Rechtsform | Richtlinie (in nat. Recht umzusetzen) | Verordnung (direkt anwendbar) |
| Schutzziel | Sicherheit von Netzwerken und Informationssystemen | Schutz personenbezogener Daten |
| Anwendungsbereich | 18 kritische Sektoren, ab mittlerer Unternehmensgröße | Alle Organisationen, die personenbezogene Daten verarbeiten |
| Aufsichtsbehörde | Nationale zuständige Behörde (z.B. BSI, CCB, ANSSI) | Datenschutzaufsichtsbehörde (z.B. BfDI, Datatilsynet) |
| Meldepflicht bei Vorfällen | 24h Frühwarnung, 72h Vollmeldung an CSIRT/Behörde | 72h Meldung an Datenschutzbehörde (bei pers. Datenpanne) |
| Maximales Bußgeld | €10 Mio. oder 2 % Umsatz (WE); €7 Mio. oder 1,4 % (WI) | €20 Mio. oder 4 % des weltweiten Jahresumsatzes |
| Persönliche Haftung | Ja (Art. 20: Leitungsorgane persönlich haftbar) | Begrenzt (hauptsächlich organisatorische Sanktionen) |
| Sicherheitsanforderungen | 10 spezifische Artikel-21-Maßnahmen | Artikel 32: angemessene technisch-org. Maßnahmen (TOMs) |
Wann ein Vorfall beide Gesetze gleichzeitig auslöst
Ein Ransomware-Angriff auf ein Krankenhaus trifft beide Rahmenwerke gleichzeitig. Das Krankenhaus ist als Wesentliche Einrichtung unter NIS2 registriert und verarbeitet als Gesundheitsdienstleister täglich tausende Patientendaten unter der DSGVO. Der Angriff betrifft die Verfügbarkeit des Netzwerks (NIS2-Tatbestand) und führt möglicherweise zum unbefugten Zugriff auf Patientendaten (DSGVO-Tatbestand).
In diesem Fall entstehen zwei parallele Meldepflichten mit unterschiedlichen Empfängern:
- ▸24h Frühwarnung an CSIRT oder zuständige Behörde
- ▸72h vollständige Meldung mit Vorfallsklassifizierung
- ▸1 Monat: Abschlussbericht mit Root-Cause-Analyse
- ▸Auslöser: erhebliche Auswirkung auf Dienstverfügbarkeit
- ▸72h Meldung an Datenschutzaufsichtsbehörde
- ▸Benachrichtigung betroffener Personen (bei hohem Risiko)
- ▸Auslöser: Verletzung des Schutzes personenbezogener Daten
- ▸Dokumentation im internen Verarbeitungsverzeichnis
Das kritische Detail: Die NIS2-Frist von 24 Stunden für die Frühwarnung ist kürzer als die DSGVO-Frist von 72 Stunden. Eine Organisation, die einen kombinierten Vorfall feststellt, muss die NIS2-Frühwarnung priorisieren, selbst wenn noch keine endgültige Beurteilung der Datenschutzverletzung vorliegt.
Die Sicherheitsanforderungen im Vergleich
Artikel 32 DSGVO verlangt, dass Verantwortliche und Auftragsverarbeiter 'geeignete technische und organisatorische Maßnahmen' treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Das ist bewusst offen formuliert. NIS2 Artikel 21 hingegen benennt zehn konkrete Maßnahmenkategorien.
In der Praxis decken die NIS2-Artikel-21-Anforderungen die meisten DSGVO-Artikel-32-Anforderungen ab. Wer NIS2 vollständig umsetzt, hat in der Regel auch die technischen und organisatorischen Maßnahmen der DSGVO abgedeckt. Die Umkehrung gilt nicht: DSGVO-Compliance deckt nicht automatisch alle NIS2-Anforderungen ab, weil NIS2 zusätzliche Pflichten wie Behördenregistrierung, Vorfallsmeldung und Management-Schulungen umfasst.
| NIS2 Artikel 21 Maßnahme | DSGVO-Äquivalent | Abdeckung |
|---|---|---|
| Risikoanalyse und Sicherheitsrichtlinien | Art. 32(1)(b), Art. 35 DSFA | Weitgehend deckungsgleich |
| Incident Handling | Art. 33–34 (Datenpannen) | Teilweise (DSGVO nur Datenpannen) |
| Business Continuity und Backup | Art. 32(1)(c) Verfügbarkeit | Deckungsgleich |
| MFA und Zugangskontrolle | Art. 32(1)(b) Zugangskontrollen | Deckungsgleich |
| Behördenregistrierung | Keine Entsprechung | NIS2 exklusiv |
| Management-Haftung (Art. 20) | Begrenzt (Art. 83) | NIS2 geht weiter |
Find out if your company is in scope
Does your organisation fall under Annex I (Essential) or Annex II (Important) entities?
Wann gilt nur NIS2, wann nur DSGVO?
Nicht jeder Vorfall berührt beide Gesetze. Hier sind typische Szenarien:
DDoS-Angriff, der Ihre Website für 6 Stunden offline nimmt, aber keine personenbezogenen Daten betrifft. Meldepflicht nach NIS2 (wenn 'erheblich'), keine DSGVO-Meldepflicht.
Versehentlicher E-Mail-Versand mit personenbezogenen Daten an falsche Empfänger. Keine Auswirkung auf Dienstverfügbarkeit (kein NIS2-Tatbestand), aber DSGVO-Datenpanne.
Ransomware-Verschlüsselung von Patientendaten in einem Krankenhaus. Dienstverfügbarkeit beeinträchtigt (NIS2) und personenbezogene Gesundheitsdaten betroffen (DSGVO).
Hardwarefehler eines internen Servers ohne Datenverlust und ohne Auswirkung auf kritische Dienste. Intern zu beheben, keine externe Meldepflicht.
Eine kombinierte Incident-Response aufbauen
Weil viele Vorfälle beide Gesetze berühren, ist eine getrennte Behandlung ineffizient. Besser ist ein einheitlicher Incident-Response-Prozess, der beide Meldepfade von Anfang an berücksichtigt.
Datenschutzbeauftragter und NIS2: Wer ist zuständig?
Viele Unternehmen haben bereits einen Datenschutzbeauftragten (DSB). NIS2 kennt keine entsprechende Pflichtrolle, aber die Funktion des DSB und eines NIS2-Verantwortlichen (oft CISO oder IT-Sicherheitsbeauftragter) überlappen sich erheblich.
In der Praxis empfiehlt sich folgende Aufteilung: Der DSB übernimmt die DSGVO-Meldepflichten gegenüber der Datenschutzbehörde und die Kommunikation mit betroffenen Personen. Der CISO oder IT-Sicherheitsbeauftragte übernimmt die NIS2-Frühwarnungen gegenüber dem CSIRT und der zuständigen Behörde. Beide arbeiten im selben Incident-Response-Team mit geteiltem Zugriff auf das Vorfall-Log.
Wo stehen Sie bei NIS2 und DSGVO?
Prüfen Sie zunächst, ob NIS2 für Ihr Unternehmen direkt gilt, dann bewerten Sie Ihre Artikel-21-Maßnahmen.