Wer NIS-2-pflichtig ist, unterliegt fast immer auch der DSGVO. Beide Regelwerke betreffen häufig dieselben Systeme: ein Kundendatenbank-Server ist zugleich ein NIS-2-relevantes Asset und ein Ort, an dem personenbezogene Daten verarbeitet werden. Trotzdem behandeln viele Unternehmen beide Pflichten getrennt, mit doppelten Registern, doppelten Meldeprozessen und doppeltem Aufwand. Genau in dieser Trennung entstehen die häufigsten Verstöße.

Verstoß 1: Fehlender oder veralteter AVV

Ein IT-Dienstleister, der zugleich NIS-2-relevante Systeme betreut, verarbeitet in aller Regel auch personenbezogene Daten im Auftrag. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird dabei oft beim NIS-2-Onboarding schlicht vergessen, weil er als „Datenschutzthema" und nicht als „Sicherheitsthema" verortet wird. Häufig existiert ein AVV aus früheren Jahren, der die inzwischen erweiterten technischen und organisatorischen Maßnahmen des Dienstleisters gar nicht mehr abbildet. Wie teuer eine mangelhafte Auftragsverarbeiterkontrolle wird, zeigt der aktuelle 34. Tätigkeitsbericht der BfDI: Von den 45 Millionen Euro Bußgeld gegen Vodafone entfielen allein 15 Millionen Euro auf diesen Punkt.

Verstoß 2: Kein VVT, das mit dem Asset-Register verknüpft ist

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO existiert in vielen Unternehmen als eigenständiges Dokument, gepflegt vom Datenschutzbeauftragten, ohne Bezug zum NIS-2-Asset-Inventar der IT. Damit lässt sich eine einfache Frage oft nicht beantworten: Auf welchen NIS-2-kritischen Systemen laufen eigentlich die risikoreichsten Verarbeitungstätigkeiten? Ohne diese Verknüpfung bleibt sowohl die Risikobewertung nach NIS-2 als auch die nach DSGVO unvollständig. Eine aktuelle Studie zu strukturellen Hürden bei der NIS-2-Umsetzung bestätigt dieses Muster empirisch: Silodenken zwischen Fachbereichen zählt zu den einflussreichsten Ursachen dafür, dass Compliance-Vorgaben in der Praxis nicht greifen.

DSGVO VVT DSFA AVV NIS-2 Asset-Register Risikobewertung Meldekette CROSS-DSGVO-OBJEKT Ein Asset, eine Kritikalität, zwei Meldefristen

ABB. 1 · SCHNITTMENGE VON DSGVO UND NIS-2 AM BEISPIEL EINES GEMEINSAMEN ASSETS

Verstoß 3: Verwechselte oder verpasste Meldefristen

DSGVO und NIS-2 verlangen bei einem Vorfall unterschiedliche Meldeketten mit unterschiedlichen Fristen. Nach Art. 33 DSGVO muss eine Datenschutzverletzung binnen 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden, sofern ein Risiko für Betroffene besteht. NIS-2 verlangt bei einem erheblichen Sicherheitsvorfall eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats an das zuständige CSIRT. Beide Fristen laufen parallel, betreffen aber unterschiedliche Stellen und unterschiedliche Inhalte. In der Praxis wird oft nur eine der beiden Meldeketten ausgelöst, meist die vertrautere, während die andere schlicht vergessen wird. Die gesetzliche Grundlage für die 72-Stunden-Frist liefert Art. 33 DSGVO, der genaue Ablauf der NIS-2-Meldung ist auf der Meldepflicht-Seite des BSI dokumentiert. Dass diese Doppelstruktur auch dem Gesetzgeber auffällt, zeigt ein aktueller Fachbeitrag in der Datenschutz und Datensicherheit: Der geplante Digitale Omnibus der EU-Kommission soll die Meldepflichten nach DSGVO, NIS-2, CRA und DORA vereinfachen, bis zur Umsetzung gelten aber weiterhin getrennte Meldewege.

Verstoß 4: Getrennte Risikobewertungen für dasselbe System

Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und die Risikobewertung nach NIS-2 werden in vielen Unternehmen von unterschiedlichen Teams, zu unterschiedlichen Zeitpunkten und mit unterschiedlichen Methoden durchgeführt, selbst wenn beide dasselbe System betreffen. Das Ergebnis sind zwei Risikobewertungen, die zum gleichen System zu unterschiedlichen Einschätzungen kommen und im Ernstfall beide angreifbar sind, weil sie sich gegenseitig widersprechen können. Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko, unabhängig davon, ob parallel bereits eine NIS-2-Risikobewertung für dasselbe System vorliegt.

Verstoß 5: Unklare Verantwortlichkeit zwischen DSB und Geschäftsführung

NIS-2 verortet die Verantwortung für Risikomanagementmaßnahmen ausdrücklich bei der Geschäftsführung. Der Datenschutzbeauftragte ist dagegen eine beratende, weisungsunabhängige Funktion ohne Entscheidungsbefugnis. Wenn beide Rollen nicht klar voneinander abgegrenzt sind, entstehen entweder Doppelstrukturen, die sich gegenseitig blockieren, oder Lücken, weil beide Seiten annehmen, die andere kümmere sich bereits. Das Risiko bleibt dabei nicht abstrakt: Ein aktueller rechtswissenschaftlicher Beitrag zum Regress gegen Geschäftsleiter zeigt, dass Bußgelder nach DSGVO und NIS-2 zunehmend auch die persönliche Haftung der Geschäftsführung berühren, wenn Zuständigkeiten nicht sauber dokumentiert sind.

Stresstest · 10 Minuten

Wie gut sind DSGVO und NIS-2 in Ihrem Unternehmen verzahnt?

Kostenloser Cross-Framework-Stresstest für DSGVO, NIS-2, DORA, CRA und den EU AI Act.

Stresstest starten →

Was das im Ernstfall kostet

Die fünf Verstöße wirken einzeln oft harmlos, weil sie im Alltag selten auffallen. Im Ernstfall, also bei einer Prüfung durch die Datenschutzaufsicht oder nach einem Sicherheitsvorfall, wirken sie zusammen. Ein fehlender AVV wird bei einem Vorfall beim Dienstleister zum eigenständigen Bußgeldtatbestand nach Art. 83 DSGVO, unabhängig davon, ob der Vorfall selbst glimpflich verlief. Eine verpasste 72-Stunden-Meldung nach Art. 33 DSGVO wird nicht dadurch geheilt, dass die NIS-2-Meldekette pünktlich lief, und umgekehrt. Aufsichtsbehörden werten zunehmend beide Register im Zusammenhang, gerade weil sie wissen, dass sich NIS-2-Betroffene und DSGVO-Betroffene in der Praxis stark überschneiden. Die Größenordnung ist kein Einzelfall: Der GDPR Enforcement Tracker Report von CMS beziffert die Gesamtsumme aller in der EU verhängten DSGVO-Bußgelder auf mehr als 5,65 Milliarden Euro, mit fehlender Rechtsgrundlage und unzureichenden technischen Maßnahmen als häufigsten Ursachen.

Checkliste: die fünf Punkte auf einen Blick

  • AVV mit allen IT-Dienstleistern vorhanden, aktuell und deckungsgleich mit den tatsächlich eingesetzten technischen Maßnahmen?
  • VVT und NIS-2-Asset-Register verweisen aufeinander, statt getrennt gepflegt zu werden?
  • Beide Meldeketten, DSGVO Art. 33 und NIS-2, sind dokumentiert, mit klaren Fristen und eindeutiger Zuständigkeit?
  • DSFA und NIS-2-Risikobewertung greifen für gemeinsam genutzte Systeme auf dieselbe Faktenbasis zurück?
  • Verantwortung zwischen Datenschutzbeauftragtem und Geschäftsführung ist schriftlich abgegrenzt, nicht nur stillschweigend vorausgesetzt?

Der Anwendungsfall: ein Objekt statt zwei Register

Alle fünf Verstöße haben dieselbe Ursache: DSGVO und NIS-2 werden als getrennte Systeme geführt, obwohl sie sich an denselben Assets, denselben Risiken und denselben Vorfällen überschneiden. Ein BAM CROSS-DSGVO-Objekt verbindet beide Perspektiven strukturell. Ein Asset trägt eine Kritikalität nach NIS-2 und gleichzeitig eine Verarbeitungstätigkeit nach Art. 30 DSGVO, referenziert denselben AVV wie das Asset-Register, und ein Sicherheitsvorfall löst automatisch beide Meldeketten aus, jede mit ihrer eigenen Frist, aber aus derselben Datenbasis.

Das ersetzt keine rechtliche Prüfung im Einzelfall. Es sorgt aber dafür, dass ein Vorfall nicht deshalb eine Meldefrist reißt, weil zwei Teams parallel arbeiten, ohne voneinander zu wissen.

Quellen