DSGVO und NIS2: der Unterschied, die Überschneidungen und wie Sie einen Vorfall nach beiden Gesetzen behandeln

DSGVO und NIS2 schützen Unterschiedliches. Die DSGVO schützt personenbezogene Daten und die Menschen, die sie beschreiben; NIS2 schützt die Netz- und Informationssysteme hinter wesentlichen und wichtigen Diensten. Krankenhäuser, Ministerien und Cloud-Anbieter fallen meist unter beide. Ein einziger Ransomware-Angriff kann dann eine NIS2-Frühwarnung innerhalb von 24 Stunden und eine DSGVO-Meldung innerhalb von 72 Stunden bedeuten, an zwei verschiedene Behörden.

Dieser Leitfaden behandelt die Unterschiede, wer unter welches Gesetz fällt, Sicherheitspflichten, Meldung, Bußgelder, ein Praxisbeispiel, ein gemeinsames Playbook und eine Checkliste.

	DSGVO, Verordnung (EU) 2016/679	NIS2, Richtlinie (EU) 2022/2555
Schützt	Personenbezogene Daten und die Rechte von Personen	Netz- und Informationssysteme und die Dienste, die darauf laufen
Rechtsform	Verordnung, gilt unmittelbar	Richtlinie, gilt über nationales Recht, das Einzelheiten ergänzen kann
Wer erfasst ist	Verantwortliche und Auftragsverarbeiter personenbezogener Daten (Art. 2, 3)	Einrichtungen aus Anhang I und II ab mittlerer Größe, manche unabhängig von der Größe (Art. 2)
Sicherheitspflicht	Art. 32: Sicherheit, die dem Risiko für Personen angemessen ist	Art. 21: Maßnahmen, die dem Risiko für die Systeme angemessen sind, zehn Mindestmaßnahmen
Was gemeldet wird	Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12)	Erheblicher Sicherheitsvorfall (Art. 23 Abs. 3)
Frist	Unverzüglich, möglichst binnen 72 Stunden (Art. 33)	Frühwarnung 24 Stunden, Meldung 72 Stunden, Abschlussbericht einen Monat später (Art. 23 Abs. 4)
Wer außerdem informiert wird	Betroffene Personen, bei hohem Risiko (Art. 34)	Empfänger der Dienste, soweit angemessen (Art. 23 Abs. 1)
Behörde	Datenschutzaufsichtsbehörde	CSIRT oder zuständige NIS2-Behörde
Höchstbußgelder	10 Mio. EUR oder 2 % bzw. 20 Mio. EUR oder 4 % (Art. 83)	Mindestens 10 Mio. EUR oder 2 % für wesentliche, 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen (Art. 34)

Was ist der Unterschied zwischen DSGVO und NIS2?

Der wichtigste Unterschied ist, wessen Risiko zählt. Artikel 32 DSGVO verlangt Sicherheit, die dem Risiko „für die Rechte und Freiheiten natürlicher Personen“ angemessen ist. Artikel 21 NIS2 verlangt Maßnahmen gegen die Risiken für die Systeme, die Einrichtungen „für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen“. Eine DSGVO-Bewertung fragt, was mit Menschen geschieht, wenn ihre Daten verloren gehen oder offengelegt werden. Eine NIS2-Bewertung fragt, was mit dem Dienst und allen, die von ihm abhängen, geschieht, wenn die Systeme ausfallen. Ein Ausfall ohne personenbezogene Daten betrifft NIS2, nicht die DSGVO.

NIS2 gilt unbeschadet der DSGVO (Art. 2 Abs. 12): Sie schwächt keine Pflicht aus der DSGVO ab. Personenbezogene Daten, die im Rahmen von NIS2 verarbeitet werden, werden gemäß der DSGVO verarbeitet (Art. 2 Abs. 14).

Ein Hinweis zu den Nummern, weil sie oft verwechselt werden: Artikel 21 DSGVO ist das Widerspruchsrecht. Der Sicherheitsartikel der DSGVO ist Artikel 32. In NIS2 ist es Artikel 21.

Wer fällt unter NIS2, unter die DSGVO oder unter beide?

Die DSGVO gilt für Verantwortliche und Auftragsverarbeiter mit Niederlassung in der EU sowie für solche außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten (Art. 3). Fast jede Organisation fällt darunter, und sei es nur wegen ihrer Personalakten.

NIS2 gilt für Einrichtungen einer in Anhang I oder II genannten Art, die nach der EU-Definition für KMU mittlere Unternehmen sind oder darüber liegen (Art. 2 Abs. 1). Manche sind unabhängig von ihrer Größe erfasst, etwa Vertrauensdiensteanbieter und die Zentralregierung (Art. 2 Abs. 2). Der NIS2-Betroffenheitscheck liefert eine erste Antwort.

Fallen öffentliche Verwaltung und Gesundheitswesen unter beide?

Meist ja. Beide verarbeiten personenbezogene Daten, und beide sind Sektoren aus Anhang I der NIS2.

• Öffentliche Verwaltung. Die DSGVO gilt, und eine Behörde muss einen Datenschutzbeauftragten benennen (Art. 37 Abs. 1 Buchst. a). NIS2 erfasst die öffentliche Verwaltung der Zentralregierung unabhängig von ihrer Größe und die der regionalen Ebene nach einer risikobasierten Bewertung (Art. 2 Abs. 2 Buchst. f). Die Mitgliedstaaten können die lokale Ebene hinzunehmen (Art. 2 Abs. 5); nationale Sicherheit, öffentliche Sicherheit, Verteidigung und Strafverfolgung sind ausgenommen (Art. 2 Abs. 7). Nach beiden Gesetzen entscheidet jeder Mitgliedstaat, ob gegen öffentliche Stellen Geldbußen verhängt werden können (Art. 83 Abs. 7 DSGVO, Art. 34 Abs. 7 NIS2).
• Gesundheitswesen. Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), und wer sie als Kerntätigkeit in großem Umfang verarbeitet, muss einen Datenschutzbeauftragten benennen (Art. 37 Abs. 1 Buchst. c). Gesundheitsdienstleister sind eine Einrichtungsart aus Anhang I. Ein Krankenhaus ab mittlerer Größe fällt daher unter NIS2, und ein großes ist eine wesentliche Einrichtung (Art. 3 Abs. 1 Buchst. a). Details zum Sektor finden Sie in NIS2 für Krankenhäuser und Pharma.

Und Cloud-Anbieter?

Anbieter von Cloud-Computing-Diensten sind nach NIS2 eine eigene Einrichtungsart aus Anhang I und nach der DSGVO in der Regel Auftragsverarbeiter. Artikel 28 DSGVO verpflichtet den Auftragsverarbeiter, die Maßnahmen nach Artikel 32 zu ergreifen, bei der Einhaltung der Artikel 32 bis 36 zu unterstützen, Audits zu ermöglichen und weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung in Anspruch zu nehmen. Artikel 21 Abs. 2 Buchst. d und Abs. 3 NIS2 verlangen von einem erfassten Kunden, die Sicherheit gegenüber seinen unmittelbaren Anbietern zu steuern. In der Praxis deckt eine einzige Sicherheitsanlage beides ab.

Wie unterscheiden sich Artikel 32 DSGVO und Artikel 21 NIS2?

Artikel 32 DSGVO nennt „gegebenenfalls“ vier Maßnahmen: Pseudonymisierung und Verschlüsselung; Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit; rasche Wiederherstellung nach einem Zwischenfall; und regelmäßige Überprüfung. Artikel 21 Abs. 2 NIS2 nennt zehn Mindestmaßnahmen, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung, soweit angemessen. Die meisten Controls dienen beiden.

Zwei Dinge unterscheiden sich. Die Reichweite: NIS2 erfasst jedes System, das für den Betrieb des Dienstes genutzt wird, auch Gebäudeleittechnik oder Netze für Medizingeräte ohne personenbezogene Daten. Die DSGVO folgt personenbezogenen Daten, wohin sie auch gehen, einschließlich Papierakten, die in einem Dateisystem gespeichert sind (Art. 2 Abs. 1). Die Governance: Nach NIS2 billigen die Leitungsorgane die Maßnahmen und überwachen ihre Umsetzung, können für Verstöße gegen Artikel 21 verantwortlich gemacht werden und müssen an Schulungen teilnehmen (Art. 20); die DSGVO macht den Verantwortlichen rechenschaftspflichtig (Art. 5 Abs. 2).

Wie unterscheidet sich die Meldung nach DSGVO und NIS2?

Nach der DSGVO wird eine Verletzung des Schutzes personenbezogener Daten gemeldet: eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt (Art. 4 Nr. 12). Der Verantwortliche meldet sie der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Personen. Verspätete Meldungen sind zu begründen (Art. 33 Abs. 1); Informationen können schrittweise nachgereicht werden (Art. 33 Abs. 4). Jede Verletzung wird intern dokumentiert (Art. 33 Abs. 5). Ist das Risiko hoch, werden die betroffenen Personen unverzüglich benachrichtigt (Art. 34), es sei denn, zum Beispiel, eine Verschlüsselung hat die Daten unzugänglich gemacht (Art. 34 Abs. 3 Buchst. a).

Nach NIS2 wird ein erheblicher Sicherheitsvorfall gemeldet: einer, der schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht oder verursachen kann oder anderen erhebliche Schäden zufügt oder zufügen kann (Art. 23 Abs. 3). Die Einrichtung übermittelt ihrem CSIRT oder ihrer zuständigen Behörde innerhalb von 24 Stunden nach Kenntniserlangung eine Frühwarnung, innerhalb von 72 Stunden eine Meldung über den Sicherheitsvorfall und innerhalb eines Monats nach dieser Meldung einen Abschlussbericht (Art. 23 Abs. 4). Einzelheiten: die NIS2-Meldefristen und die Schwelle für erhebliche Sicherheitsvorfälle.

Die Schwellen laufen in entgegengesetzte Richtungen. Nach der DSGVO wird grundsätzlich gemeldet; ausgenommen sind nur Verletzungen, die voraussichtlich zu keinem Risiko führen, und „hohes Risiko“ entscheidet nur darüber, ob Personen benachrichtigt werden. Nach NIS2 wird nur gemeldet, was die Erheblichkeitsschwelle überschreitet.

Vorfall	Erheblich nach NIS2?	Datenschutzverletzung nach DSGVO?	Meldungen
Ransomware verschlüsselt die Patientenakten eines Krankenhauses und stoppt die Aufnahme	Ja	Ja	Beide
Der Brief eines Patienten geht an den falschen Patienten	Fast nie	Ja	DSGVO, außer wenn kein Risiko wahrscheinlich ist
Ein Angriff legt die Aufbereitungsanlage eines Wasserversorgers lahm, keine personenbezogenen Daten betroffen	Ja	Nein	Nur NIS2

Drohen Bußgelder nach NIS2 und DSGVO zugleich?

Nicht für dasselbe Verhalten. Nach der DSGVO können Verstöße gegen die Artikel 25 bis 39, zu denen Sicherheit (Art. 32) und Meldung (Art. 33 und 34) gehören, bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes kosten, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4). Verstöße gegen die Grundsätze des Artikels 5, zu denen „Integrität und Vertraulichkeit“ gehört, können 20 Mio. EUR oder 4 % erreichen (Art. 83 Abs. 5). Ein schweres Sicherheitsversagen kann daher in der oberen Stufe landen.

Für Verstöße gegen Artikel 21 oder 23 NIS2 muss das nationale Recht Höchstbußgelder von mindestens 10 Mio. EUR oder 2 % für wesentliche Einrichtungen vorsehen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen sind es 7 Mio. EUR oder 1,4 % (Art. 34). NIS2 kennt keine 4-%-Stufe; siehe NIS2-Geldbußen.

Artikel 35 verbindet beide:

1. Stellt eine NIS2-Behörde im Rahmen der Aufsicht oder Durchsetzung fest, dass ein Verstoß gegen Artikel 21 oder 23 eine nach der DSGVO meldepflichtige Verletzung des Schutzes personenbezogener Daten zur Folge haben kann, unterrichtet sie unverzüglich die Datenschutzaufsichtsbehörde (Art. 35 Abs. 1).
2. Verhängt die Datenschutzaufsichtsbehörde eine Geldbuße nach Artikel 58 Abs. 2 Buchst. i DSGVO, darf die NIS2-Behörde für einen Verstoß, der auf dasselbe Verhalten zurückgeht, keine Geldbuße nach Artikel 34 verhängen (Art. 35 Abs. 2).
3. Ihre anderen Durchsetzungsmaßnahmen kann sie weiterhin nutzen, etwa Verwarnungen, verbindliche Anweisungen und Anordnungen (Art. 32 Abs. 4 und 5 sowie Art. 33 Abs. 4).

Nach seinem Wortlaut erfasst Artikel 35 Abs. 2 nur dasselbe Verhalten: Man kann vertreten, dass eine verspätete NIS2-Frühwarnung ein eigenständiges Verhalten ist, das ein DSGVO-Bußgeld nicht abdeckt.

Ein Vorfall, zwei Meldungen: ein Praxisbeispiel

Ein Krankenhaus mit 1.200 Beschäftigten: nach NIS2 eine wesentliche Einrichtung und nach der DSGVO Verantwortlicher für Gesundheitsdaten. Die Uhrzeiten dienen der Veranschaulichung.

1. Montag, 08:00 Uhr. Ransomware bestätigt, Neuaufnahmen werden umgeleitet. Kenntnis eines erheblichen Sicherheitsvorfalls: Die NIS2-Frist beginnt.
2. Montag, 13:00 Uhr. Die Forensik stellt fest, dass die Datenbank mit den Patientenakten verschlüsselt ist und dass es in der Nacht zuvor große ausgehende Datenübertragungen gab. Kenntnis einer Verletzung des Schutzes personenbezogener Daten: Die DSGVO-Frist beginnt.
3. Montag, 17:00 Uhr. NIS2-Frühwarnung an das CSIRT: Verdacht auf böswillige Handlung, grenzüberschreitende Auswirkungen unbekannt. Frist war Dienstag, 08:00 Uhr.
4. Dienstag. Gesundheitsdaten und ein wahrscheinlicher Datenabfluss bedeuten ein hohes Risiko: Die Patienten werden benachrichtigt (Art. 34), durch öffentliche Bekanntmachung, wenn Einzelschreiben einen unverhältnismäßigen Aufwand erfordern würden (Art. 34 Abs. 3 Buchst. c). Soweit angemessen, werden die Empfänger der Dienste des Krankenhauses über den erheblichen Sicherheitsvorfall unterrichtet (Art. 23 Abs. 1 NIS2).
5. Mittwoch. DSGVO-Meldung an die Aufsichtsbehörde mit dem bekannten Stand, weitere Angaben folgen. Frist, soweit möglich: Donnerstag, 13:00 Uhr.
6. Donnerstag, bis 08:00 Uhr. NIS2-Meldung über den Sicherheitsvorfall: Schweregrad, Auswirkungen, Kompromittierungsindikatoren.
7. Innerhalb eines Monats danach. NIS2-Abschlussbericht: Grundursache, Abhilfemaßnahmen, grenzüberschreitende Auswirkungen.

Zwei Fristen im Abstand von fünf Stunden, zwei Behörden, ein Sachverhalt. Hätte ein Cloud-Anbieter die Akten gehostet, würde er das Krankenhaus unverzüglich benachrichtigen (Art. 33 Abs. 2 DSGVO) und eigene NIS2-Meldungen abgeben, wenn der Vorfall für seinen Dienst erheblich wäre.

Gemeinsames Playbook für Vorfälle nach NIS2 und DSGVO

GEMEINSAMES PLAYBOOK FÜR VORFÄLLE NACH NIS2 / DSGVO

1. EINE VORFALLSAKTE ANLEGEN
   ID, betroffene Systeme, betroffene Dienste, erster Alarm (UTC)

2. ZWEI FRAGEN STELLEN, ZWEI ZEITSTEMPEL ERFASSEN
   F1 NIS2: erheblicher Sicherheitsvorfall?       J / N / unklar
      schwere Betriebsstörung oder finanzieller Verlust für uns?
      erheblicher Schaden für andere?
      Wenn J: T0 erfassen, Kenntnis nach NIS2
   F2 DSGVO: Datenschutzverletzung?               J / N / unklar
      Daten vernichtet, verloren, verändert, offengelegt, abgerufen?
      welche Kategorien? Gesundheits- oder andere besondere Daten?
      Wenn J: P0 erfassen, Kenntnis nach DSGVO
   Beide Fragen bei jeder Aktualisierung erneut stellen.

3. NIS2-STRANG (verantwortlich: Incident Lead)
   T0 + 24 h     Frühwarnung, CSIRT oder zuständige Behörde
   T0 + 72 h     Meldung über den Sicherheitsvorfall
   auf Ersuchen  Zwischenbericht
   M + 1 Monat   Abschlussbericht (M = Meldung abgegeben)
   bei Bedarf    Empfänger der Dienste informieren

4. DSGVO-STRANG (verantwortlich: DSB oder Datenschutzkoordination)
   P0 + 72 h     Meldung an die Aufsichtsbehörde, soweit möglich,
                 außer bei voraussichtlich keinem Risiko
                 verspätet: begründen; unvollständig: schrittweise
   unverzüglich  betroffene Personen bei hohem Risiko benachrichtigen
   immer         im internen Verzeichnis der Verletzungen dokumentieren
   Auftragsverarbeiter?  Verantwortlichen unverzüglich informieren

5. EIN SACHVERHALT
   Gleiche Chronologie, gleicher Umfang, gleiche Ursache in jeder Meldung.
   Abweichungen zwischen Meldungen schriftlich erklären.

6. ABSCHLUSS
   Lessons Learned, Lücken geschlossen, Risikoregister aktualisiert.

Was lassen NIS2 und DSGVO offen?

Bei beiden Gesetzen läuft die Frist ab dem Zeitpunkt der Kenntnis. Keines sagt, wie Sie Kenntnis erlangen oder wie Sie ihre Fragen rechtzeitig beantworten.

• Zwei Landkarten. NIS2 braucht eine Zuordnung von Systemen zu Diensten und Kunden, die DSGVO eine Zuordnung von Systemen zu Kategorien personenbezogener Daten. In der Praxis führt die IT die eine, der Datenschutzbeauftragte die andere, und sie passen nicht zusammen. Zusammengeführt beantworten sie die Frage „Lagen Gesundheitsdaten auf den verschlüsselten Servern?“ in Minuten.
• Logs. Ob Daten das Netzwerk verlassen haben und ob sie verschlüsselt waren, entscheidet darüber, ob Personen benachrichtigt werden müssen. Dafür braucht es abfragbare Logs, die lange genug aufbewahrt werden, und eine Verschlüsselung, die Sie nachweisen können.
• Ein Control-Set. Verschlüsselung, Zugriffskontrolle, MFA, Patching und getestete Wiederherstellungen dienen Artikel 32 und Artikel 21 zugleich. Erheben Sie die Nachweise einmal und ordnen Sie sie zweimal zu. Ein ISMS enthält das meiste davon bereits: siehe ISO 27001 und NIS2.

Die CloudSoul-Plattform, eine automatisierte Plattform mit Human-in-the-Loop-Expertise, erhebt diese Nachweise laufend, führt eine Vorfallsakte für beide Stränge und überlässt die Entscheidungen über Erheblichkeit und Risiko einem Menschen. Das Gesamtprogramm finden Sie auf der Seite zur NIS2-Compliance.

Checkliste für NIS2 und DSGVO

• Führen Sie ein Inventar, das Systeme den Diensten und den Kategorien personenbezogener Daten zuordnet.
• Benennen Sie eine Leitung für Sicherheitsvorfälle und eine für Datenschutzverletzungen, jeweils mit einer Vertretung, die auch außerhalb der Geschäftszeiten erreichbar ist.
• Erfassen Sie bei jedem Vorfall die Zeitpunkte der Kenntnis nach NIS2 und nach der DSGVO getrennt.
• Bereiten Sie Vorlagen für die Frühwarnung, die DSGVO-Meldung und die Benachrichtigung der betroffenen Personen vor, und testen Sie beide Meldewege.
• Legen Sie die Meldepflichten von Auftragsverarbeitern und Lieferanten in Stunden vertraglich fest.
• Weisen Sie einen einzigen Satz von Controls sowohl für Artikel 32 als auch für Artikel 21 nach.
• Spielen Sie mindestens einmal im Jahr einen Vorfall durch beide Stränge durch.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Artikel 2, 3, 4, 5, 9, 21, 28, 32, 33, 34, 37, 58 und 83, EUR-Lex.
• Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 20, 21, 23, 32, 33, 34 und 35 und Anhang I, EUR-Lex.

Häufige Fragen