NIS2 vs. DSGVO

Eine der bedeutsamsten Überschneidungen liegt bei den Meldepflichten. Sowohl NIS2 als auch die DSGVO sehen eine 72-Stunden-Meldefrist vor — aber für unterschiedliche Ereignisse. Die DSGVO-Meldung nach Art. 33 bezieht sich auf Verletzungen des Schutzes personenbezogener Daten, die ein Risiko für die betroffenen Personen darstellen. Die NIS2-Meldung bezieht sich auf erhebliche Sicherheitsvorfälle in den Netz- und Informationssystemen — unabhängig davon, ob personenbezogene Daten betroffen sind. Ein großflächiger Ransomware-Angriff auf ein Krankenhaus etwa löst typischerweise beide Meldepflichten gleichzeitig aus: NIS2-Meldung an das BSI und DSGVO-Meldung an die Datenschutzbehörde. Unternehmen müssen beide Meldestrecken parallel aufrechterhalten.

Bei den technischen Maßnahmen gibt es inhaltliche Überschneidungen, aber konzeptionelle Unterschiede. Art. 32 DSGVO fordert technisch-organisatorische Maßnahmen (TOM) zum Schutz personenbezogener Daten — risikobasiert und ohne verbindliche Mindestliste. NIS2 Art. 21 dagegen definiert einen expliziten Katalog von Mindestmaßnahmen für alle betroffenen Einrichtungen, darunter Multi-Faktor-Authentifizierung, Patch-Management und Lieferkettensicherheit. Gut umgesetzte DSGVO-TOMs überlappen erheblich mit NIS2-Anforderungen — Verschlüsselung, Zugriffskontrollen, Incident-Response — aber die Überschneidung ist nicht vollständig. Insbesondere Lieferkettensicherheit und BSI-Meldestrukturen sind NIS2-spezifisch und finden in der DSGVO keine direkte Entsprechung.

Besonders kritisch ist das Risiko von Doppelsanktionen. Die DSGVO sieht Bußgelder von bis zu EUR 20 Millionen oder vier Prozent des weltweiten Jahresumsatzes vor — höher als NIS2 (EUR 10 Mio. / 2 % für besonders wichtige Einrichtungen). Wenn ein Sicherheitsvorfall sowohl gegen DSGVO-Anforderungen verstößt (z.B. unzureichende Verschlüsselung personenbezogener Daten) als auch NIS2-Meldepflichten auslöst (erheblicher Vorfall in kritischer Infrastruktur), können beide Behörden getrennt ermitteln und sanktionieren. In der Praxis koordinieren BSI und Datenschutzbehörden zwar zunehmend, rechtlich bleiben die Verfahren jedoch unabhängig voneinander.

Der Ansatz eines integrierten Compliance-Rahmens empfiehlt sich für Organisationen, die beiden Regelwerken unterliegen. Die Datenschutz-Folgen- abschätzung (DSFA) nach Art. 35 DSGVO und die NIS2-Risikobeurteilung nach Art. 21 NIS2-RL können methodisch zusammengeführt werden: Risikofaktoren, Bewertungsmethodik und Maßnahmenplanung überlappen sich stark. Ebenso lassen sich Incident-Response-Prozesse einheitlich gestalten, die sowohl die NIS2- Meldestrecke an das BSI als auch die DSGVO-Meldestrecke an die Datenschutz-behörde bedienen. Separate Silos für DSGVO-Compliance und NIS2-Compliance führen zu Doppelarbeit und erhöhen das Risiko von Lücken.

Ein häufig übersehener Aspekt ist die unterschiedliche Zeitlichkeit beider Regelwerke. Die DSGVO ist seit Mai 2018 in Kraft und die meisten betroffenen Unternehmen haben belastbare Prozesse etabliert. NIS2 und das NIS2UmsuCG sind jünger und für viele Organisationen noch nicht vollständig umgesetzt. Wer DSGVO-konform operiert, verfügt bereits über relevante Grundlagen: Verzeichnis der Verarbeitungstätigkeiten, Maßnahmen zum Datenschutz-by-Design, etablierte Meldeprozesse. Diese Grundlagen können systematisch in die IT-Sicherheit- und NIS2-Compliance-Struktur integriert werden, anstatt parallel aufgebaut zu werden.