Zwei Regelwerke, ein Ziel
Die DSGVO schützt personenbezogene Daten. NIS2 schützt Netz- und Informationssysteme. Auf den ersten Blick sind das getrennte Welten. In der Praxis betreffen beide Regelwerke dieselben IT-Systeme, dieselben Prozesse und oft dieselben Vorfälle.
Unternehmen, die bereits ein DSGVO-konformes Datenschutzmanagement betreiben, haben einen Vorsprung bei NIS2. Umgekehrt profitiert der Datenschutz von den technischen Sicherheitsmaßnahmen, die NIS2 verlangt. Wer beide Regelwerke isoliert betrachtet, baut doppelte Strukturen auf und verschwendet Ressourcen.
Dieser Artikel zeigt, wo sich DSGVO und NIS2 überschneiden, wo sie sich ergänzen und wo die Unterschiede so groß sind, dass getrennte Prozesse unvermeidbar bleiben.
Meldepflichten: Zwei Fristen, zwei Behörden
Die offensichtlichste Überschneidung betrifft die Meldepflichten. Beide Regelwerke verlangen eine schnelle Reaktion auf Sicherheitsvorfälle — aber an unterschiedliche Stellen.
Die DSGVO (Artikel 33) verlangt eine Meldung an die zuständige Datenschutzaufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten. Zusätzlich müssen betroffene Personen benachrichtigt werden, wenn ein hohes Risiko für ihre Rechte besteht (Artikel 34).
NIS2 (Artikel 23) fordert eine dreistufige Meldung an das BSI: Frühwarnung innerhalb von 24 Stunden, detaillierte Vorfallmeldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.
Ein Ransomware-Angriff, bei dem Kundendaten abfließen, löst beide Meldepflichten gleichzeitig aus. Die Meldung an die Datenschutzbehörde ersetzt nicht die Meldung an das BSI. Und umgekehrt. Wer im Ernstfall erst klären muss, welche Behörde was wann bekommt, verliert wertvolle Stunden.
Praxisempfehlung: Erstellen Sie eine Meldematrix, die für jeden Vorfalltyp zeigt, welche Meldepflichten greifen. Ein Vorfall mit Personenbezug löst DSGVO + NIS2 aus. Ein Vorfall ohne Personenbezug nur NIS2. Ein reiner Datenschutzvorfall ohne Auswirkung auf die Betriebskontinuität nur die DSGVO.
Risikomanagement: Gleicher Ansatz, anderer Fokus
Beide Regelwerke verlangen ein systematisches Risikomanagement. Die DSGVO spricht von „technischen und organisatorischen Maßnahmen" (Artikel 32) und verlangt eine Bewertung der Risiken für die Rechte betroffener Personen. NIS2 (Artikel 21) fordert ein „Konzept für die Risikoanalyse und die Sicherheit von Informationssystemen".
In der Praxis bedeutet das: Beide Regelwerke erwarten eine dokumentierte Risikoanalyse, die Bedrohungen identifiziert, Eintrittswahrscheinlichkeiten bewertet und Gegenmaßnahmen ableitet. Die Methodik ist nahezu identisch. Der Unterschied liegt im Schutzziel:
- DSGVO: Risiken für die Rechte und Freiheiten natürlicher Personen. Fokus auf Vertraulichkeit personenbezogener Daten.
- NIS2: Risiken für die Sicherheit von Netz- und Informationssystemen. Fokus auf Verfügbarkeit, Integrität und Vertraulichkeit der gesamten IT-Infrastruktur.
Ein Unternehmen, das bereits eine DSGVO-konforme Datenschutz-Folgenabschätzung (DSFA) durchführt, hat die Methodik für NIS2 bereits etabliert. Es muss den Scope erweitern: von personenbezogenen Daten auf alle kritischen Systeme. Aber das Framework steht.
Technische Maßnahmen: Ein Satz für beide
Die konkreteste Überschneidung liegt bei den technischen Sicherheitsmaßnahmen. Was die DSGVO in Artikel 32 als „Stand der Technik" beschreibt, listet NIS2 in Artikel 21 detaillierter auf:
- Verschlüsselung: DSGVO nennt sie als Beispielmaßnahme. NIS2 fordert den Einsatz von Kryptografie explizit.
- Zugriffskontrolle: Beide Regelwerke verlangen, dass nur berechtigte Personen auf Systeme und Daten zugreifen.
- Incident Response: Die DSGVO verlangt die Fähigkeit, Sicherheitsvorfälle zu erkennen und zu melden. NIS2 fordert ein vollständiges Incident-Response-Konzept einschließlich Krisenmanagement.
- Backup und Wiederherstellung: Die DSGVO spricht von der „Fähigkeit, die Verfügbarkeit und den Zugang zu personenbezogenen Daten bei einem Zwischenfall rasch wiederherzustellen". NIS2 fordert Business-Continuity-Management und Backup-Strategien.
- Regelmäßige Tests: Artikel 32 DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. NIS2 geht weiter und fordert Konzepte zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen.
Die Konsequenz ist klar: Ein Unternehmen braucht nicht zwei separate Sicherheitsarchitekturen. Wer Verschlüsselung, Zugriffskontrollen und Backup-Konzepte nach Stand der Technik implementiert, erfüllt beide Regelwerke gleichzeitig. Die Dokumentation muss lediglich zeigen, dass die Maßnahmen sowohl den Datenschutz als auch die Netzwerksicherheit abdecken.
Dokumentation und Nachweispflichten
Beide Regelwerke setzen auf Rechenschaftspflicht. Die DSGVO nennt es „Accountability" (Artikel 5 Absatz 2): Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können. NIS2 fordert, dass Sicherheitsmaßnahmen dokumentiert und gegenüber dem BSI nachweisbar sind.
In der Praxis bedeutet das:
- Verzeichnis der Verarbeitungstätigkeiten (DSGVO) und Asset-Register (NIS2) erfassen ähnliche Informationen aus unterschiedlichen Blickwinkeln
- Technische und organisatorische Maßnahmen müssen in beiden Kontexten dokumentiert sein
- Schulungsnachweise für Mitarbeiter sind sowohl für DSGVO-Audits als auch für NIS2-Prüfungen relevant
- Vorfallprotokolle dienen beiden Meldepflichten als Grundlage
Wer ein integriertes Nachweissystem aufbaut, spart erheblichen Aufwand. Ein einziges Dokumentationsframework kann beide Regelwerke bedienen — vorausgesetzt, es ist so strukturiert, dass sowohl die Datenschutzbehörde als auch das BSI die jeweils relevanten Informationen schnell finden.
Wo die Unterschiede bleiben
Trotz aller Überschneidungen gibt es Bereiche, in denen DSGVO und NIS2 grundlegend verschieden sind:
Anwendungsbereich
Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet — vom Einzelunternehmen bis zum Konzern. NIS2 gilt nur für Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in bestimmten Sektoren (Energie, Gesundheit, Transport, digitale Infrastruktur und weitere). Ein Handwerksbetrieb mit 15 Mitarbeitern fällt unter die DSGVO, aber in der Regel nicht unter NIS2.
Betroffenenrechte
Die DSGVO gibt natürlichen Personen umfangreiche Rechte: Auskunft, Löschung, Datenübertragbarkeit, Widerspruch. NIS2 kennt keine vergleichbaren individuellen Rechte. NIS2 schützt Infrastruktur, nicht einzelne Personen.
Aufsichtsbehörden
DSGVO-Aufsicht liegt bei den Landesdatenschutzbehörden (in Deutschland 17 verschiedene). NIS2-Aufsicht liegt beim BSI. Die Behörden haben unterschiedliche Prüfansätze: Datenschutzbehörden prüfen anlassbezogen auf Beschwerden. Das BSI kann proaktive Audits durchführen und Sicherheitsscans veranlassen.
Sanktionen
Die DSGVO droht mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. NIS2 staffelt: bis zu 10 Millionen Euro oder 2 % für wesentliche Einrichtungen, 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen. Zusätzlich ermöglicht NIS2 die persönliche Haftung der Geschäftsführung.
Lieferkette
NIS2 legt besonderen Wert auf die Sicherheit der Lieferkette. Unternehmen müssen Risiken in ihrer Lieferkette bewerten und Sicherheitsanforderungen an Zulieferer stellen. Die DSGVO kennt mit der Auftragsverarbeitung (Artikel 28) ein ähnliches Konzept, beschränkt sich aber auf den Umgang mit personenbezogenen Daten.
Integration statt Doppelarbeit
Unternehmen, die unter beide Regelwerke fallen, sollten kein paralleles Managementsystem aufbauen. Der effizientere Weg:
- Ein Risikomanagement-Framework mit zwei Schutzzielperspektiven (Personenbezug + Systemsicherheit)
- Ein Incident-Response-Prozess mit einer Entscheidungsmatrix, die automatisch die richtigen Meldewege aktiviert
- Ein Dokumentationssystem, das Maßnahmen, Schulungen und Vorfälle so erfasst, dass beide Aufsichtsbehörden bedient werden
- Eine zentrale Verantwortlichkeit — idealerweise ein CISO oder Informationssicherheitsbeauftragter, der mit dem Datenschutzbeauftragten eng zusammenarbeitet
Wer bereits ein ISMS nach ISO 27001 betreibt, hat die beste Ausgangslage. ISO 27001 deckt sowohl die technischen Anforderungen der DSGVO als auch die Sicherheitsanforderungen von NIS2 weitgehend ab. Die ISO-27001-Dokumentation lässt sich mit überschaubarem Aufwand um die spezifischen Nachweise für beide Regelwerke erweitern.
Eine Compliance-Plattform wie Titan kann beide Perspektiven in einem System zusammenführen: Risikobewertungen, Maßnahmenverfolgung, Schulungsnachweise und Vorfallmeldungen — alles an einem Ort, auswertbar für DSGVO-Audits und NIS2-Prüfungen gleichermaßen.