DSGVO oder NIS2: Was Unternehmen prüfen müssen

Rechtsstand: September 2026

Ein kompromittiertes E-Mail-Postfach, ein verschlüsselter Server oder ein ausgefallenes Kundenportal lösen selten nur ein einzelnes Rechtsproblem aus. Die Frage DSGVO oder NIS2 stellt sich deshalb in der Praxis häufig falsch: Für viele Unternehmen geht es nicht um ein Entweder-oder, sondern um zwei Regelungsbereiche mit unterschiedlichen Zielen, die bei einem IT-Sicherheitsvorfall gleichzeitig relevant sein können.

Die DSGVO schützt personenbezogene Daten. NIS2 richtet den Blick weiter auf die Cybersicherheit von Netz- und Informationssystemen sowie auf die Widerstandsfähigkeit bestimmter Einrichtungen und Sektoren. Wer beide Themen getrennt organisiert, schafft oft doppelte Prozesse, unklare Zuständigkeiten und im Ernstfall vermeidbare Verzögerungen.

DSGVO oder NIS2: Zwei Regelwerke, zwei Ausgangspunkte

Die Datenschutz-Grundverordnung gilt grundsätzlich für Unternehmen, Behörden, Vereine und Selbstständige, sobald sie personenbezogene Daten verarbeiten. Das betrifft etwa Daten von Beschäftigten, Kunden, Lieferanten, Bewerbern oder Website-Besuchern. Im Mittelpunkt stehen Rechtmäßigkeit, Transparenz, Betroffenenrechte und ein angemessenes Schutzniveau für diese Daten.

Die technische und organisatorische Sicherheit ist dabei kein Nebenthema. Nach der DSGVO müssen Verantwortliche Maßnahmen treffen, die dem Risiko angemessen sind. Welche Maßnahmen erforderlich sind, hängt unter anderem von Art, Umfang und Sensibilität der verarbeiteten Daten sowie von den möglichen Folgen eines Sicherheitsvorfalls ab. Ein Handwerksbetrieb mit einer kleinen Kundenkartei steht vor anderen Risiken als ein Unternehmen, das Gesundheitsdaten oder umfangreiche Beschäftigtendaten verarbeitet.

NIS2 ist dagegen eine europäische Cybersicherheitsregelung, die in Deutschland durch nationales Umsetzungsrecht konkretisiert wird. Sie betrifft nicht pauschal jedes Unternehmen. Erfasst sein können insbesondere Einrichtungen in kritischen oder besonders wichtigen Sektoren, sofern die jeweiligen Voraussetzungen erfüllt sind. Dazu können beispielsweise Bereiche wie Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, Produktion bestimmter Güter oder Abfallwirtschaft gehören.

Entscheidend ist daher nicht allein die eigene Branchenbezeichnung. Maßgeblich können auch Unternehmensgröße, Tätigkeitsbereich, Konzernstrukturen, Abhängigkeiten und die konkrete Rolle in einer Lieferkette sein. Gerade mittelständische Unternehmen aus der Region Stuttgart sollten die Betroffenheit nicht nur nach Bauchgefühl beurteilen. Wer als IT-Dienstleister, Softwareanbieter oder Zulieferer tätig ist, kann zudem vertraglich mit NIS2-Anforderungen konfrontiert werden, auch wenn er selbst nicht unmittelbar erfasst ist.

Der wichtigste Unterschied: Datenbezug oder Betriebsfähigkeit

Die DSGVO fragt vor allem: Sind personenbezogene Daten rechtmäßig und angemessen geschützt? NIS2 fragt weiter: Kann die Einrichtung ihre wesentlichen Dienste auch bei Cyberangriffen, Systemstörungen oder Angriffen auf Dienstleister aufrechterhalten und angemessen reagieren?

Das zeigt sich bei einem Angriff auf einen Dateiserver. Werden darauf Personalakten oder Kundendaten gespeichert, kann ein Datenschutzverletzung vorliegen. Dann ist zu prüfen, ob ein Risiko für die betroffenen Personen besteht und ob eine Meldung an die zuständige Datenschutzaufsicht erforderlich ist. Unter bestimmten Voraussetzungen müssen auch Betroffene informiert werden.

Für ein NIS2-betroffenes Unternehmen kann derselbe Angriff zusätzlich ein erheblicher Sicherheitsvorfall sein. Dann stehen nicht nur betroffene Daten, sondern auch Verfügbarkeit, Integrität und Vertraulichkeit der Systeme, die Auswirkungen auf den Betrieb sowie die vorgesehenen Meldewege im Fokus. Eine Datenschutzmeldung ersetzt eine NIS2-bezogene Vorfallmeldung nicht automatisch. Umgekehrt beantwortet eine Cybersicherheitsmeldung nicht die datenschutzrechtlichen Fragen.

Diese Trennung ist praktisch wichtig. In einer Krisensituation muss ein Unternehmen schnell feststellen können, welche Systeme betroffen sind, ob personenbezogene Daten betroffen sind, welche Geschäftsprozesse ausfallen und wer die Kommunikation nach außen freigibt. Ohne vorbereitete Abläufe entstehen genau in den ersten Stunden Informationslücken, die später nur schwer zu schließen sind.

Wo sich DSGVO und NIS2 überschneiden

Trotz der unterschiedlichen Ausgangspunkte verlangen beide Regelwerke keine bloße Papierdokumentation. Sie setzen wirksame Sicherheitsorganisation voraus. Viele Maßnahmen helfen deshalb in beiden Bereichen: klare Zugriffsrechte, Mehr-Faktor-Authentifizierung, regelmäßige Updates, belastbare Datensicherungen, Notfallpläne, Schulungen und ein geregeltes Berechtigungsmanagement.

Der entscheidende Maßstab ist jedoch nicht, möglichst viele technische Produkte einzukaufen. Ein neues Sicherheitstool kann sinnvoll sein, ersetzt aber weder ein sauberes Rollenmodell noch eine nachvollziehbare Risikoanalyse. Besonders häufig fehlen Unternehmen drei Grundlagen: eine aktuelle Übersicht über Systeme und Datenflüsse, verbindliche Verantwortlichkeiten und getestete Abläufe für Sicherheitsvorfälle.

Auch das Lieferantenmanagement gewinnt an Gewicht. Cloud-Anbieter, externe IT-Betreuung, Lohnbuchhaltung, Hosting, Software-as-a-Service und Dienstleister für Fernwartung erhalten oft weitreichenden Zugang zu Daten oder Systemen. Datenschutzrechtlich sind dabei unter anderem die Rollen der Beteiligten und erforderliche Verträge zu prüfen. Unter NIS2-Gesichtspunkten kommt hinzu, ob Sicherheitsrisiken in der Lieferkette angemessen bewertet, gesteuert und überwacht werden.

Es wäre allerdings falsch, jede Datenschutzmaßnahme automatisch als NIS2-konform zu betrachten. Ein Verzeichnis von Verarbeitungstätigkeiten ist hilfreich, bildet aber nicht zwingend die für Cybersicherheit relevante Systemlandschaft ab. Umgekehrt genügt ein IT-Notfallhandbuch nicht, wenn die datenschutzrechtliche Bewertung betroffener Daten und möglicher Meldepflichten offenbleibt.

Welche Pflichten Unternehmen getrennt prüfen sollten

Für die DSGVO sollte jedes Unternehmen nachvollziehen können, welche personenbezogenen Daten es verarbeitet, auf welcher Grundlage dies geschieht und wie diese Daten geschützt werden. Dazu gehören auch Regelungen für Auftragsverarbeiter, Löschkonzepte, Berechtigungen sowie ein Verfahren zur Behandlung von Datenschutzverletzungen.

NIS2-betroffene Einrichtungen müssen darüber hinaus ein strukturiertes Risikomanagement für die Cybersicherheit etablieren. Typischerweise betrifft das die Leitungsebene, technische Schutzmaßnahmen, die Behandlung von Sicherheitsvorfällen, die Wiederherstellung nach Störungen, die Sicherheit von Lieferketten sowie Schulungen. Die Geschäftsleitung kann operative Aufgaben delegieren. Die Verantwortung dafür, dass Cybersicherheit angemessen organisiert wird, bleibt aber nicht folgenlos auf der IT-Abteilung liegen.

Gerade diese Ebene wird oft unterschätzt. Wenn Zuständigkeiten ausschließlich bei einem externen IT-Dienstleister oder einem einzelnen Administrator liegen, fehlt häufig eine belastbare Steuerung durch die Unternehmensleitung. Technische Expertise ist unverzichtbar. Sie muss aber mit Entscheidungen zu Budget, Prioritäten, Risiken und Geschäftsprozessen verbunden werden.

Ein gemeinsamer Prüfungsansatz spart Zeit und schafft Klarheit

Unternehmen müssen Datenschutz und Cybersicherheit nicht in zwei vollständig getrennten Projekten behandeln. Sinnvoll ist ein gemeinsamer Ausgangspunkt, anschließend aber eine rechtlich saubere Trennung der jeweiligen Anforderungen. Die folgenden Schritte bieten eine belastbare erste Orientierung:

• Zunächst sollte geklärt werden, ob das Unternehmen unmittelbar in den Anwendungsbereich von NIS2 fällt. Branchenzuordnung und Mitarbeiterzahl allein reichen dafür nicht immer aus.

• Danach ist eine aktuelle Übersicht über IT-Systeme, Anwendungen, Datenarten, Dienstleister und geschäftskritische Prozesse erforderlich.

• Anschließend sollten Risiken bewertet werden: Was passiert bei Ausfall, unbefugtem Zugriff, Datenverlust oder Manipulation? Welche Folgen hätte dies für Betroffene, Kunden und den laufenden Betrieb?

• Für Sicherheitsvorfälle braucht es einen abgestimmten Ablauf. Er sollte technische Eindämmung, Beweissicherung, interne Eskalation, rechtliche Bewertung und externe Kommunikation verbinden.

• Schließlich sollten Verträge, Schulungen und Dokumentationen überprüft werden. Gerade bei Dienstleistern und Mitarbeitenden entscheidet sich, ob Vorgaben im Alltag tatsächlich umgesetzt werden.

Für Startups und kleinere Unternehmen gilt: Eine unmittelbare NIS2-Betroffenheit ist nicht selbstverständlich. Dennoch erwarten Kunden, Investoren und größere Auftraggeber zunehmend nachvollziehbare Sicherheitsstandards. Wer Datenschutz und Informationssicherheit früh mitdenkt, reduziert spätere Reibungsverluste bei Vertragsverhandlungen, Audits und Wachstumsschritten.

Typische Fehler bei DSGVO und NIS2

Ein verbreiteter Fehler lautet: „Wir haben einen Datenschutzbeauftragten, also ist das Thema erledigt.“ Datenschutzbeauftragte können beraten und kontrollieren, übernehmen aber nicht die gesamte Sicherheitsorganisation eines Unternehmens. Ebenso wenig ersetzt ein externer IT-Dienstleister die Entscheidung der Geschäftsleitung über Risiken und Schutzmaßnahmen.

Problematisch ist auch die Annahme, ein Vorfall sei erst dann relevant, wenn Daten nachweislich veröffentlicht wurden. Bereits ein Verlust der Verfügbarkeit, ein unbefugter Zugriff oder ein Verschlüsselungsangriff kann eine sorgfältige rechtliche und technische Bewertung auslösen. Entscheidend sind die tatsächlichen Umstände, nicht nur die Frage, ob Daten später im Internet auftauchen.

Schließlich sollte die Meldung eines Vorfalls nicht spontan organisiert werden. Unterschiedliche Meldewege, Bewertungsmaßstäbe und zeitliche Anforderungen können parallel bestehen. Ein vorab abgestimmter Prozess verhindert, dass das Unternehmen zu früh, zu spät oder mit unvollständigen Informationen reagiert.

Wer in Fellbach, Stuttgart oder bundesweit klären möchte, ob NIS2-Pflichten greifen und wie Datenschutz, IT-Sicherheit und Verantwortlichkeiten sinnvoll zusammengeführt werden können, sollte die eigene Ausgangslage individuell prüfen lassen. Recht braucht mehr als Beratung: Es braucht klare Zuständigkeiten und Lösungen, die im Betriebsalltag tragen.