Die NIS2-Richtlinie (Network and Information Security Directive 2) wurde von der EU verabschiedet, doch eine Umsetzung in deutsches Recht steht weiterhin aus. Dennoch sollten Unternehmen sich bereits mit den neuen Anforderungen auseinandersetzen.
Die Richtlinie verschärft die Vorgaben zur Cybersicherheit, insbesondere für Unternehmen aus kritischen Sektoren wie Energie, Verkehr, Gesundheitswesen oder digitale Dienste. Da IT-Sicherheit und Datenschutz eng zusammenhängen, ergeben sich auch neue Herausforderungen für die DSGVO-Compliance.
Schnittstellen zwischen NIS2 und der DSGVO
NIS2 und die DSGVO haben viele Überschneidungen, aber auch klare Unterschiede:
-
Geltungsbereich: Die DSGVO schützt personenbezogene Daten, während NIS2 den Fokus auf IT-Sicherheit und Netzwerke legt.
-
Pflichten für Unternehmen: Während die DSGVO eine sichere Verarbeitung personenbezogener Daten fordert, verlangt NIS2 umfangreiche Maßnahmen zur IT-Sicherheit für alle relevanten Systeme.
-
Meldepflichten: Unternehmen müssen sowohl Datenschutzverletzungen als auch schwerwiegende Sicherheitsvorfälle melden. Die Meldefristen in NIS2 sind mit 24 Stunden noch strenger als in der DSGVO (72 Stunden).
Welche Unternehmen sind betroffen?
Die NIS2-Richtlinie betrifft eine Vielzahl von Unternehmen, darunter:
-
Kritische Infrastruktur (Energie, Transport, Finanzwesen, Gesundheitssektor)
-
Digitale Dienstleister (Cloud-Services, Rechenzentren, Internetanbieter)
-
Öffentliche Verwaltung und große Mittelständler
Viele Unternehmen, die bisher nicht unter NIS1 fielen, sind jetzt ebenfalls betroffen. Dies erfordert eine Neubewertung der IT- und Datenschutzmaßnahmen.
Handlungsempfehlungen für Unternehmen
Um sich auf NIS2 vorzubereiten und Datenschutzkonflikte zu vermeiden, sollten Unternehmen:
-
Eine Risikoanalyse durchführen – Welche IT-Systeme sind betroffen? Wo gibt es Überschneidungen mit der DSGVO?
-
Meldeprozesse überarbeiten – Wie lassen sich Datenschutz- und NIS2-Vorfälle effizient managen?
-
Technische und organisatorische Maßnahmen (TOMs) anpassen – Verschärfte IT-Sicherheitsmaßnahmen und Zugriffskontrollen einführen.
-
Verantwortlichkeiten klären – Wer ist für IT-Sicherheit und Datenschutz zuständig? Zusammenarbeit zwischen CISO und Datenschutzbeauftragtem stärken.
-
Schulungen für Mitarbeiter anbieten – Sensibilisierung für NIS2-Pflichten und datenschutzkonforme Umsetzung.