NIS2-Leitfaden · 9 Min.
DSGVO vs. NIS2: Überschneidungen, Unterschiede und wann ein Vorfall beide auslöst
DSGVO und NIS2 berühren beide die Sicherheit und drohen beide mit hohen Bußgeldern, daher werden sie verwechselt, aber sie schützen Unterschiedliches und unterstehen unterschiedlichen Behörden. Das Risiko ist nicht, das Falsche zu wählen, sondern zu übersehen, dass ein einziger Vorfall beide auslösen kann, mit unterschiedlichen Fristen. Dieser Leitfaden zieht die Grenze, zeigt die Überschneidungen, erklärt das Zusammenspiel (Zusammenarbeit und kein doppeltes Bußgeld) und gibt eine klare Antwort für Teams, die Kunden unter beiden bedienen.
Die wichtigsten Punkte
- Die DSGVO schützt personenbezogene Daten und gilt für nahezu jede Organisation; NIS2 schützt die Cyberresilienz und gilt nur für benannte wesentliche und wichtige Einrichtungen.
- Ein Vorfall kann zwei Meldungen erfordern: eine 72-Stunden-Meldung an Ihre Datenschutzbehörde (DSGVO Art. 33) und eine 24-/72-Stunden-/Ein-Monats-Meldung an Ihr CSIRT (NIS2 Art. 23).
- Sie sind auf Verzahnung angelegt: Behörden kooperieren (NIS2 Art. 35) und für dieselbe Handlung wird nicht zweimal sanktioniert, aber Sie bewerten und melden weiterhin nach jeder, wo sie greift.
Was jede regelt
DSGVO und NIS2 sind beides EU-Rechtsakte, die die Sicherheit berühren, und sie werden verwechselt, aber sie schützen Unterschiedliches. Die DSGVO schützt personenbezogene Daten; NIS2 schützt die Kontinuität und Sicherheit wesentlicher Dienste. Eine Organisation kann ohne Weiteres beiden zugleich unterliegen.
Die sauberste Abgrenzung: Die DSGVO fragt „schützen Sie die personenbezogenen Daten von Menschen?“ und gilt für nahezu jede Organisation, die solche Daten verarbeitet. NIS2 fragt „ist Ihre Organisation betriebs- und cyberresilient?“ und gilt nur für benannte wesentliche und wichtige Einrichtungen in bestimmten Sektoren.
DSGVO: personenbezogene Daten, fast alle
Verordnung (EU) 2016/679, anwendbar seit 2018. Regelt die Verarbeitung personenbezogener Daten durch Verantwortliche und Auftragsverarbeiter: Rechtsgrundlage, Betroffenenrechte und Sicherheit der Verarbeitung (Art. 32). Durchgesetzt durch die Datenschutzbehörden.
NIS2: Cybersicherheit, benannte Einrichtungen
Richtlinie (EU) 2022/2555, in nationales Recht umgesetzt (Frist 17. Oktober 2024). Regelt das Cybersicherheits-Risikomanagement (Art. 21) und die Vorfallmeldung (Art. 23) für wesentliche und wichtige Einrichtungen. Durchgesetzt durch nationale Cybersicherheitsbehörden und CSIRTs.
Die Falle: ein Vorfall, zwei Meldungen
Ein einziger Vorfall kann beide Regime auslösen: an unterschiedliche Behörden, mit unterschiedlichen Fristen. Kennen Sie beide:
Betrifft ein Sicherheitsvorfall personenbezogene Daten, melden Sie ihn Ihrer Datenschutzbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen.
Handelt es sich um einen erheblichen Vorfall, senden Sie Ihrem CSIRT eine 24-Stunden-Frühwarnung, eine 72-Stunden-Meldung und einen Abschlussbericht binnen eines Monats.
Ein Ransomware-Angriff, der personenbezogene Daten verschlüsselt, ist gleichzeitig ein erheblicher NIS2-Vorfall und eine DSGVO-Datenschutzverletzung: zwei Meldungen, zwei Behörden, zwei Fristen.
Wo sie sich überschneiden
Setzen Sie eines gut um, und Teile des anderen folgen. Beide verlangen:
- Sicherheit der Verarbeitung / Risikomanagementmaßnahmen: verhältnismäßige technische und organisatorische Kontrollen.
- Vorfall- bzw. Verletzungsmeldung zu festgelegten Fristen, mit Dokumentation des Geschehens und der Reaktion.
- Verantwortlichkeit: die Leitung muss sie tragen, und beide Regime drohen mit erheblichen Bußgeldern.
- Aufzeichnungen und Nachweise. Sie müssen nachweisen, nicht nur behaupten, dass Kontrollen bestehen und wirken.
- Drittparteienabsicherung: DSGVO über Auftragsverarbeitungsverträge (Art. 28), NIS2 über Lieferkettensicherheit (Art. 21 Abs. 2 Buchst. d).
Das Zusammenspiel: Kooperation und kein doppeltes Bußgeld
NIS2 wurde so geschrieben, dass es mit der DSGVO verzahnt, nicht dupliziert. Nach NIS2 Artikel 35 muss eine Cybersicherheitsbehörde, die erfährt, dass ein Vorfall bei einer Einrichtung eine nach DSGVO Art. 33 meldepflichtige Datenschutzverletzung umfassen kann, die Datenschutzbehörde unverzüglich informieren. Die beiden Behörden kooperieren und tauschen Informationen aus.
Entscheidend: Für dieselbe Handlung wird nicht zweimal sanktioniert. Verhängt eine Datenschutzbehörde ein DSGVO-Bußgeld für einen Verstoß, darf die NIS2-Behörde nicht zusätzlich ein NIS2-Bußgeld (Art. 34) für dieselbe Handlung verhängen. Das ist jedoch ein Schutz vor Doppelbestrafung für eine Handlung. Es verschmilzt die beiden Pflichten nicht. Sie bewerten, dokumentieren und melden weiterhin nach jedem Regime, wo es greift.
Welche Pflichten greifen, hängt vom Sachverhalt ab: waren personenbezogene Daten betroffen, und sind Sie eine wesentliche oder wichtige Einrichtung? Bestätigen Sie die Einzelheiten bei Ihrer Datenschutzbehörde, Ihrer nationalen Cybersicherheitsbehörde und mit fachkundiger Beratung.
Welche gilt für Sie?
Die meisten Organisationen unterliegen einer; viele beiden:
Sie verarbeiten personenbezogene Daten, sind aber keine wesentliche/wichtige Einrichtung
Die DSGVO gilt; NIS2 gilt nicht unmittelbar: die Lieferketten-Sorgfaltsprüfung eines NIS2-Kunden kann Sie jedoch über Ihre Verträge erreichen.
Sie sind eine wesentliche/wichtige Einrichtung mit wenig personenbezogenen Daten
NIS2 gilt vollumfänglich; die DSGVO gilt für die personenbezogenen Daten, die Sie verarbeiten (Beschäftigte, Kunden).
Sie unterliegen beiden (der häufige Fall)
Betreiben Sie einen Vorfallreaktionsprozess, der beide Fristen erfüllt: Datenschutzbehörde binnen 72 h bei Datenschutzverletzungen, CSIRT auf der 24-h-/72-h-/Ein-Monats-Spur bei erheblichen Vorfällen.
Sie sind Lieferant oder Auftragsverarbeiter
Erwarten Sie sowohl DSGVO-Auftragsverarbeiterklauseln (Art. 28) als auch NIS2-Lieferkettenprüfung (Art. 21 Abs. 2 Buchst. d) Ihrer Kunden: Fragebögen, Nachweisanforderungen und kontinuierliches Monitoring.
Quellen: Verordnung (EU) 2016/679 (DSGVO) und Richtlinie (EU) 2022/2555 (NIS2), insbesondere Art. 35 zum Zusammenspiel mit der DSGVO. Bestätigen Sie, wie beide auf Ihre Situation zutreffen, bei Ihrer Datenschutzbehörde und Ihrer nationalen Cybersicherheitsbehörde.
Wie norppa.io hilft
Beide Regime erwarten inzwischen kontinuierliche, nachweisgestützte Sicherheit über Ihre Lieferanten und Auftragsverarbeiter: DSGVO über die Auftragsverarbeiteraufsicht (Art. 28), NIS2 über die Lieferkettensicherheit (Art. 21 Abs. 2 Buchst. d). norppa.io überwacht jede Lieferanten-Domain täglich an mehr als hundert Kontrollpunkten, wobei jeder Befund dem betroffenen NIS2-Artikel zugeordnet und für Ihre Aufzeichnungen exportierbar ist.
Selbstbewertungsfragebögen erfassen die Vertrags- und Prozesskontrollen, die weder eine Datenschutzbehörde noch ein Cybersicherheitsprüfer von außen sieht, und jede Antwort wird neben das aktuelle technische Profil gestellt: sodass Sie, ob die Frage aus Datenschutz- oder NIS2-Sicht kommt, aktuelle, bestätigte Nachweise statt Behauptungen zeigen können.