NIS2 und DSGVO: Wie beide Vorschriften zusammenwirken

Viele Unternehmen in Deutschland sehen sich gleichzeitig mit zwei zentralen europäischen Regulierungswerken konfrontiert: der NIS-2-Richtlinie und der Datenschutz-Grundverordnung (DSGVO). Beide Vorschriften stellen erhebliche Anforderungen an technische Schutzmaßnahmen und die Reaktion auf Sicherheitsvorfälle – und beide ziehen bei Verstößen empfindliche Bußgelder nach sich. Was viele Compliance-Verantwortliche überrascht: NIS2 und DSGVO sind keine getrennten Parallelwelten, sondern teilen in weiten Bereichen dieselben Ziele und Instrumente. Wer die Gemeinsamkeiten erkennt, kann Doppelarbeit bei der Umsetzung beider Anforderungen deutlich reduzieren. Dieser Beitrag zeigt, wo die Überschneidungen liegen, wo die DSGVO über NIS2 hinausgeht und wie Unternehmen beide Rahmenwerke synergetisch umsetzen können. In Deutschland ist NIS2 durch das NIS2UmsuCG umgesetzt, das das BSI-Gesetz (BSIG) neu gefasst hat; die Pflichten gelten seit dem 6. Dezember 2025. Den übergeordneten Rahmen der NIS2-Richtlinie beschreibt der Artikel zu den NIS2-Grundlagen.

Gemeinsame Grundlagen: Was NIS2 und DSGVO verbindet

Sowohl NIS2 als auch die DSGVO verfolgen das Ziel, digitale Informationen und Systeme vor unbefugtem Zugriff, Verlust und Missbrauch zu schützen. Beide Vorschriften verwenden einen risikobasierten Ansatz: Statt starrer technischer Einzelvorgaben verlangen sie geeignete Maßnahmen, deren Umfang sich am Risiko, am Stand der Technik und an den Umsetzungskosten orientiert. Das BSIG gibt dabei in § 30 Abs. 2 einen Mindestkatalog von Maßnahmenbereichen vor, die DSGVO in Art. 32 Abs. 1 beispielhafte Maßnahmen. Das Verhältnis beider Regelwerke ist ausdrücklich geregelt: Nach Art. 2 Abs. 12 gilt die NIS-2-Richtlinie „unbeschadet der Verordnung (EU) 2016/679“ – sie ergänzt die DSGVO, ohne sie zu ersetzen.

Ein entscheidender Unterschied liegt im Schutzgegenstand: Die DSGVO schützt personenbezogene Daten natürlicher Personen. NIS2 schützt die Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme, Komponenten und Prozesse, die besonders wichtige und wichtige Einrichtungen für die Erbringung ihrer Dienste nutzen (§ 30 Abs. 1 BSIG). In der Praxis überlappen sich beide Schutzbereiche erheblich, denn diese Systeme verarbeiten regelmäßig auch personenbezogene Daten – und Datenschutzverletzungen gehen häufig mit Cybersicherheitsvorfällen einher.

Überschneidungen im Detail

1. Meldepflichten bei Sicherheitsvorfällen

Eines der deutlichsten Konvergenzfelder sind die Meldepflichten bei schwerwiegenden Vorfällen. Beide Regelwerke verlangen eine zeitnahe Meldung an zuständige Behörden – unterscheiden sich jedoch in Fristen, Adressaten und Auslösebedingungen.

Kriterium	NIS2 (Art. 23 / § 32 BSIG)	DSGVO (Art. 33)
Auslöser	Erheblicher Sicherheitsvorfall: schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung oder erhebliche Schäden für Dritte (§ 2 Nr. 11 BSIG)	Verletzung des Schutzes personenbezogener Daten, sofern sie voraussichtlich zu einem Risiko für die Betroffenen führt
Frühe Erstmeldung	Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung (Verdacht auf böswillige Handlung oder grenzüberschreitende Auswirkungen)	— (keine separate Vorabmeldung)
Meldung	Spätestens 72 Stunden nach Kenntniserlangung (erste Bewertung inkl. Schweregrad und Auswirkungen, ggf. Kompromittierungsindikatoren)	Unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden (bei Verspätung mit Begründung)
Zwischenmeldung	Auf Ersuchen des BSI	—
Abschlussmeldung	Spätestens 1 Monat nach der 72-Stunden-Meldung; dauert der Vorfall an, zunächst eine Fortschrittsmeldung	Keine eigene Abschlussmeldung; fehlende Angaben können schrittweise ohne unangemessene weitere Verzögerung nachgereicht werden (Art. 33 Abs. 4)
Adressat	Gemeinsame Meldestelle von BSI und BBK (über das BSI-Portal)	Zuständige Datenschutzaufsichtsbehörde (z. B. BayLDA für nicht-öffentliche Stellen in Bayern)
Betroffene informieren	Keine allgemeine Pflicht; das BSI kann anordnen, die Empfänger der Dienste zu unterrichten (§ 35 Abs. 1 BSIG)	Art. 34 DSGVO: bei voraussichtlich hohem Risiko verpflichtend

Ein Cyberangriff, bei dem Kundendaten abfließen, kann beide Meldepflichten zugleich auslösen – sofern er zugleich ein erheblicher Sicherheitsvorfall im Sinne des BSIG ist. Die Meldungen sind getrennt abzugeben: Die Meldung an die Meldestelle von BSI und BBK ersetzt die Meldung an die Datenschutzaufsicht nicht. Ein koordinierter Prozess, der beide Meldewege abdeckt, ist daher effizienter als zwei getrennte Verfahren. Die Anforderungen der NIS2-Meldepflichten im Detail beschreibt der Leitfaden zu NIS2-Vorfallmeldungen.

2. Technische und organisatorische Maßnahmen (TOMs)

Sowohl NIS2 (Art. 21, in Deutschland § 30 BSIG) als auch die DSGVO (Art. 32) verlangen geeignete technische und organisatorische Maßnahmen zum Schutz von Systemen und Daten. Die Anforderungskataloge überlappen sich dabei erheblich:

• Verschlüsselung: Beide Regelwerke nennen Kryptografie bzw. Verschlüsselung. § 30 Abs. 2 Nr. 8 BSIG verlangt Konzepte und Prozesse für den Einsatz kryptographischer Verfahren (Art. 21 Abs. 2 lit. h NIS2: „Kryptografie und gegebenenfalls Verschlüsselung“); Art. 32 Abs. 1 lit. a DSGVO nennt die Pseudonymisierung und Verschlüsselung personenbezogener Daten als Beispielmaßnahme. Eine pauschale Pflicht, sämtliche Daten zu verschlüsseln, enthält keines der beiden Regelwerke – maßgeblich ist das Risiko.
• Zugangskontrollen: § 30 Abs. 2 Nr. 9 und 10 BSIG nennen Zugriffskontrolle und Lösungen zur Multi-Faktor-Authentifizierung ausdrücklich. Die DSGVO erwähnt MFA nicht ausdrücklich, doch Zugriffsbeschränkungen nach dem Least-Privilege-Prinzip sind typischer Bestandteil der TOMs zur Sicherung der Vertraulichkeit (Art. 32 Abs. 1 lit. b).
• Business Continuity: Backup-Konzepte und Wiederherstellungspläne dienen sowohl § 30 Abs. 2 Nr. 3 BSIG (Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement) als auch Art. 32 Abs. 1 lit. b und c DSGVO (Verfügbarkeit und Belastbarkeit der Systeme, rasche Wiederherstellung der Verfügbarkeit der Daten nach einem Zwischenfall).
• Schulungen und Sicherheitskultur: § 30 Abs. 2 Nr. 7 BSIG verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen; Geschäftsleitungen müssen nach § 38 Abs. 3 BSIG regelmäßig an Schulungen teilnehmen. Die DSGVO zählt die Sensibilisierung und Schulung der an Verarbeitungen beteiligten Beschäftigten zu den Aufgaben des Datenschutzbeauftragten (Art. 39 Abs. 1 lit. b).

3. Risikomanagement

Beide Vorschriften fordern eine dokumentierte Risikobetrachtung als Grundlage für Maßnahmenentscheidungen. Die DSGVO kennt mit der Datenschutz-Folgenabschätzung (DSFA, Art. 35) ein strukturiertes Werkzeug für Verarbeitungen mit voraussichtlich hohem Risiko. § 30 BSIG verlangt Risikomanagementmaßnahmen für die IT-Systeme, Komponenten und Prozesse, die die Einrichtung für ihre Dienste nutzt, einschließlich Konzepten zur Risikoanalyse (Abs. 2 Nr. 1); die Einhaltung ist zu dokumentieren. In der Praxis lässt sich eine gemeinsame Risikobewertungsmethodik – etwa nach ISO 27005 oder BSI IT-Grundschutz – einsetzen, die beide Anforderungen bedienen kann. Einen Überblick über die konkreten NIS2-Sicherheitsanforderungen gibt der Artikel zu den NIS2-Anforderungen.

Ganz deckungsgleich sind die beiden Analysen allerdings nicht: Die DSFA erfasst nur Verarbeitungen personenbezogener Daten und misst Restrisiken am Schaden für die Betroffenen; die NIS2-Durchführungsverordnung (EU) 2024/2690, die für bestimmte digitale Anbieter unmittelbar gilt, verlangt dagegen eine Risikotoleranzschwelle „im Einklang mit der Risikobereitschaft“ der Einrichtung. Wie weit eine vorhandene DSFA für die NIS2-Risikoanalyse trägt, zeigt der Abgleich der zehn Prüfpunkte im Beitrag Datenschutz-Folgenabschätzung oder NIS2-Risikoanalyse?

Wo die DSGVO strengere Anforderungen stellt

NIS2 und DSGVO sind nicht symmetrisch: In mehreren Bereichen geht die DSGVO deutlich über das hinaus, was NIS2 verlangt. Unternehmen, die ausschließlich auf NIS2-Compliance fokussieren, riskieren DSGVO-Lücken.

Betroffenenrechte: Die DSGVO gewährt betroffenen Personen umfassende Rechte auf Auskunft, Berichtigung, Löschung („Recht auf Vergessenwerden“), Einschränkung der Verarbeitung und Datenübertragbarkeit. NIS2 kennt keine vergleichbaren individuellen Rechte. Verantwortliche müssen diese Rechte technisch und organisatorisch umsetzen – unabhängig von ihrer NIS2-Compliance.

Auftragsverarbeitung (Art. 28 DSGVO): Wer personenbezogene Daten durch Dienstleister verarbeiten lässt, muss Auftragsverarbeitungsverträge (AVV) abschließen und nur Auftragsverarbeiter einsetzen, die hinreichende Garantien bieten. NIS2 verlangt Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG), aber ohne die datenschutzrechtliche Spezifik des Auftragsverarbeitungsregimes.

Datenschutz-Folgenabschätzung (DSFA): Bei Verarbeitungen mit voraussichtlich hohem Risiko für natürliche Personen ist vorab eine DSFA verpflichtend. Das BSIG verlangt Konzepte zur Risikoanalyse, schreibt aber kein der DSFA vergleichbares Verfahren vor, das vor einzelnen Verarbeitungsvorgängen durchzuführen wäre.

Bußgelder: Die DSGVO sieht für Verstöße etwa gegen die Verarbeitungsgrundsätze oder die Betroffenenrechte Geldbußen von bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 Prozent des weltweiten Vorjahresumsatzes vor, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5); Verstöße gegen die Sicherheits- und Meldepflichten der Art. 32 bis 34 fallen unter den Rahmen von bis zu 10 Millionen Euro bzw. 2 Prozent (Art. 83 Abs. 4). Das BSIG sieht für Verstöße gegen die zentralen Pflichten Geldbußen von bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen vor; umsatzbezogene Obergrenzen von 2 bzw. 1,4 Prozent gelten nur für Einrichtungen mit mehr als 500 Millionen Euro Gesamtumsatz (§ 65 Abs. 5 bis 7 BSIG). Doppelte Bußgelder für dasselbe Verhalten sind ausgeschlossen: Hat eine Datenschutzaufsichtsbehörde bereits eine Geldbuße nach Art. 58 Abs. 2 lit. i DSGVO verhängt, darf für einen BSIG-Verstoß, der sich aus demselben Verhalten ergibt, keine weitere Geldbuße verhängt werden (§ 65 Abs. 11 BSIG, Art. 35 Abs. 2 NIS2).

Synergiepotenzial: Compliance effizient vereinen

Ein effizienter Weg zu NIS2- und DSGVO-Compliance ist in der Regel kein Parallelbetrieb zweier getrennter Programme, sondern ein integrierter Ansatz, der Gemeinsamkeiten nutzt.

Gemeinsame Risikoanalyse: Entwickeln Sie eine einheitliche Risikoanalysemethodik, die sowohl NIS2-Anforderungen (Systemsicherheit, Verfügbarkeit) als auch DSGVO-Anforderungen (Schutz personenbezogener Daten, DSFA-Trigger) abdeckt. Frameworks wie ISO 27001 oder BSI IT-Grundschutz sind so strukturiert, dass sie als gemeinsame Grundlage dienen können.

Unified Incident Response: Etablieren Sie einen einzigen Incident-Response-Prozess, der bei einem Vorfall systematisch prüft: (1) Liegt ein erheblicher Sicherheitsvorfall vor, der nach § 32 BSIG an die Meldestelle von BSI und BBK zu melden ist? (2) Liegt eine Verletzung des Schutzes personenbezogener Daten vor, die eine Meldung nach Art. 33 DSGVO und gegebenenfalls eine Benachrichtigung der Betroffenen nach Art. 34 DSGVO auslöst? Beide Prozesse können dieselben ersten Schritte teilen – Erkennung, Eindämmung, forensische Sicherung – und erst später in ihre spezifischen Meldewege divergieren. Ein gemeinsames Formular, das beide Meldungen zugleich erfüllt, bietet das BSI nach unserem Kenntnisstand nicht an. Das BSI unterrichtet die Datenschutzaufsicht nur, wenn es im Zuge der Aufsicht feststellt, dass ein BSIG-Verstoß eine nach Art. 33 DSGVO meldepflichtige Datenschutzverletzung zur Folge haben kann (§ 61 Abs. 11 BSIG, Art. 35 Abs. 1 NIS2) – die eigene Meldepflicht des Verantwortlichen bleibt davon unberührt.

Gemeinsame Schulungsmaßnahmen: Schulungen zu Cybersicherheitsbewusstsein und Datenschutzanforderungen lassen sich effizient kombinieren. Mitarbeiter, die verstehen, warum Sicherheitsmaßnahmen (Passwortsicherheit, Phishing-Erkennung, sichere Datenübertragung) sowohl NIS2- als auch DSGVO-Anforderungen dienen, verankern beide Anforderungen erfahrungsgemäß nachhaltiger als bei getrennten Trainings.

Einheitliche Dokumentation: NIS2 und DSGVO verlangen umfangreiche Dokumentation – von Risikobewertungen über Maßnahmenverzeichnisse bis zu Nachweisen für Audits und Behördenprüfungen. Ein gemeinsames Dokumentationssystem, das beide Anforderungen bedient, kann den Verwaltungsaufwand erheblich reduzieren. Eine ISO-27001-Zertifizierung kann bei Prüfungen als Teil der Nachweise sowohl für NIS2- als auch für DSGVO-Zwecke dienen, ersetzt aber keine der beiden Prüfungen vollständig.

Häufig gestellte Fragen

Ersetzt NIS2-Compliance die DSGVO-Compliance?

Nein. NIS2 und DSGVO sind eigenständige Rechtsakte mit unterschiedlichem Schutzgegenstand und eigenen Sanktionsmechanismen. Eine Einrichtung, die die NIS2-Pflichten erfüllt, muss zusätzlich alle DSGVO-Anforderungen erfüllen – insbesondere Betroffenenrechte, Auftragsverarbeitungsverträge und Datenschutz-Folgenabschätzungen. Beide Regelwerke ergänzen sich, ersetzen einander aber nicht.

Welche Behörde ist bei einem Vorfall zu informieren?

Bei einem Vorfall, der sowohl ein erheblicher Sicherheitsvorfall im Sinne des BSIG als auch eine Verletzung des Schutzes personenbezogener Daten ist, sind zwei getrennte Meldungen erforderlich. Die Meldungen nach § 32 BSIG gehen an die gemeinsame Meldestelle von BSI und BBK über das BSI-Portal: frühe Erstmeldung spätestens nach 24 Stunden, Meldung spätestens nach 72 Stunden, Abschlussmeldung spätestens einen Monat nach dieser Meldung. Die Meldung nach Art. 33 DSGVO geht an die zuständige Datenschutzaufsichtsbehörde (für nicht-öffentliche Stellen in Bayern z. B. das Bayerische Landesamt für Datenschutzaufsicht, in anderen Bundesländern die jeweilige Landesdatenschutzbehörde) – unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen.

Wer ist nach NIS2 meldepflichtig, wer nach DSGVO?

Die Meldepflicht nach § 32 BSIG trifft besonders wichtige und wichtige Einrichtungen (§ 28 BSIG) in den Sektoren der Anlagen 1 und 2 BSIG, in der Regel ab mittlerer Unternehmensgröße; für einige Einrichtungsarten gilt sie unabhängig von der Größe. Die Meldepflicht nach Art. 33 DSGVO trifft jeden Verantwortlichen, der personenbezogene Daten verarbeitet – ohne sektorale Beschränkung und ohne Mindestgröße; Auftragsverarbeiter melden Verletzungen unverzüglich dem Verantwortlichen (Art. 33 Abs. 2). Kleine Unternehmen, die nicht unter NIS2 fallen, können dennoch vollumfänglich DSGVO-pflichtig sein.

Hilft ISO 27001 bei beiden Regelwerken?

Ja, in weiten Teilen. ISO 27001 deckt mit seinen Anforderungen an das Informationssicherheitsmanagementsystem (ISMS) viele Anforderungen beider Vorschriften ab: Risikoanalyse, Asset-Management, Zugangskontrollen, Verschlüsselung, Incident-Management und Schulungen. ISO 27001 ist kein vollständiger Compliance-Nachweis für NIS2 (insbesondere Meldepflichten und BSI-Registrierung gehen darüber hinaus) oder DSGVO (insbesondere Betroffenenrechte und DSFA), bietet aber einen bewährten gemeinsamen Nenner für beide Rahmenwerke.

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Datenschutzberatung dar. Die konkrete Anwendbarkeit von NIS2 und DSGVO hängt von Ihrer individuellen Unternehmenssituation ab. Für eine rechtssichere Einschätzung empfehlen wir qualifizierte Rechts- und Datenschutzberatung.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie), insbesondere Art. 2, 21, 23 und 35 — EUR-Lex, Amtsblatt der Europäischen Union
2. Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (DSGVO), insbesondere Art. 5, 28, 32–35, 39 und 83 — EUR-Lex
3. NIS-2-Umsetzung in Deutschland: Informationen und Orientierungshilfen für betroffene Unternehmen — Bundesamt für Sicherheit in der Informationstechnik (BSI)
4. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz – BSIG), insbesondere §§ 2, 30, 32, 35, 38, 61 und 65 — gesetze-im-internet.de, Bundesministerium der Justiz
5. NIS-2-Meldepflicht (Infopaket, u. a. Meldung über das BSI-Portal) — Bundesamt für Sicherheit in der Informationstechnik (BSI)