DSGVO und NIS2: Zwei Behörden, zwei Fristen, ein Prozess
Ein Ransomware-Angriff mit Datenabfluss löst zwei Meldepflichten gleichzeitig aus: die Datenpanne nach Art. 33 DSGVO an die Datenschutzaufsicht und den erheblichen Sicherheitsvorfall nach § 32 BSIG an das BSI. Beide haben eigene Fristen, Empfänger und Inhalte. Diese Seite zeigt, wer was meldet und wie ein einziger Prozess beide Pflichten abdeckt.
- 72 h DSGVO-Meldung an die Datenschutzaufsicht
- 24 Stunden NIS2-Erstmeldung an das BSI
- 2 Behörden, die nicht untereinander weiterleiten
- 1 Prozess, der beide Pflichten prüft
Was wann an wen gemeldet wird
Fünf Meldungen aus zwei Rechtsgrundlagen. Die Tabelle ist die Grundlage für den Zeitplan im Vorfall.
| Meldung | Auslöser | Empfänger | Frist | Inhalt in Kürze |
|---|---|---|---|---|
| Art. 33 DSGVO | Verletzung des Schutzes personenbezogener Daten, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen | Zuständige Datenschutzaufsichtsbehörde | Unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden; bei Verspätung mit Begründung | Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, Kontakt des Datenschutzbeauftragten, wahrscheinliche Folgen, Maßnahmen |
| Art. 34 DSGVO | Die Verletzung hat voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge | Die betroffenen Personen | Unverzüglich | In klarer Sprache: was passiert ist, wahrscheinliche Folgen, ergriffene Maßnahmen, Kontaktstelle |
| § 32 BSIG, Erstmeldung | Erheblicher Sicherheitsvorfall | BSI, über das Melde- und Informationsportal | Unverzüglich, spätestens 24 Stunden nach Kenntnis | Vorliegen des Vorfalls, Verdacht auf rechtswidrige oder böswillige Handlung, mögliche grenzüberschreitende Auswirkungen |
| § 32 BSIG, Meldung | Fortsetzung der Erstmeldung | BSI | Spätestens 72 Stunden nach Kenntnis | Bestätigung oder Aktualisierung, erste Bewertung von Schweregrad und Auswirkungen, Kompromittierungsindikatoren |
| § 32 BSIG, Abschlussmeldung | Abschluss des Meldeverfahrens | BSI | Spätestens 1 Monat nach der 72-Stunden-Meldung | Ausführliche Beschreibung, Ursache, Abhilfemaßnahmen, grenzüberschreitende Auswirkungen; bei andauerndem Vorfall Fortschrittsbericht |
Dazu kommen ohne gesetzliche Frist, aber mit Vertrag: die Unterrichtung der Empfänger Ihrer Dienste nach dem BSIG, Ihr Cyberversicherer, vertraglich zugesagte Kundeninformationen und gegebenenfalls eine Strafanzeige. Alle Wege gehören in denselben Zeitplan.
Wer meldet was
Zwei Meldungen heißen nicht zwei Teams. Es heißt eine Lagebeurteilung, die von zwei Fachrollen ergänzt wird, und eine Freigabe für beides.
- NIS2
Meldeverantwortliche der Einrichtung
Benannte Personen mit Vertretung, deren Kontaktdaten beim BSI registriert sind. Sie bewerten die Erheblichkeit, setzen Erstmeldung, 72-Stunden-Meldung und Abschlussmeldung ab und halten die Fristen. Sie sind die Stelle, die den Gesamtvorfall koordiniert.
- DSGVO
Verantwortlicher, beraten durch den Datenschutzbeauftragten
Meldender ist der Verantwortliche im Sinne der DSGVO, also Ihr Unternehmen. Der Datenschutzbeauftragte prüft, ob eine Datenpanne vorliegt und ob ein hohes Risiko für Betroffene besteht, formuliert die Meldung mit und ist als Kontakt in der Meldung genannt.
- Freigabe
Geschäftsleitung
Gibt beide Meldungen nach einem vorab festgelegten Verfahren frei, das auch nachts funktioniert. Sie trägt die Verantwortung für die Organisation des Meldeprozesses. Inhaltlich prüft sie vor allem eines: Beschreiben beide Meldungen denselben Sachverhalt?
- Kommunikation
Betroffene, Kunden, Empfänger
Die Benachrichtigung Betroffener nach Art. 34 DSGVO und die Unterrichtung der Empfänger Ihrer Dienste nach dem BSIG sind Kommunikationsaufgaben. Textbausteine vorbereiten, mit Datenschutz und Recht abstimmen, über einen Kanal versenden.
Beide Pflichten in einem Ablauf
Der Fehler ist nicht, eine Pflicht zu vergessen. Der Fehler ist, zwei getrennte Prozesse zu haben, die im Vorfall nicht voneinander wissen. So sieht ein gemeinsamer Ablauf aus.
-
Ein Eingang, eine Uhrzeit
Jeder Vorfall läuft über dieselbe Meldestelle ein. Die Uhrzeit der Kenntnis wird einmal festgehalten und gilt als Startpunkt für beide Fristen. Wer die Kenntnis für die DSGVO anders datiert als für NIS2, hat später ein Erklärungsproblem.
-
Zwei Fragen in der Erstbewertung
Ist der Vorfall erheblich im Sinne von § 32 BSIG? Sind personenbezogene Daten betroffen? Beide Fragen stehen auf demselben Bewertungsbogen. Die Antworten bestimmen, welche Uhren laufen.
- Erheblich, keine Daten: nur NIS2
- Daten, nicht erheblich: nur DSGVO
- Beides: beide Verfahren parallel
-
Fristen in einem Zeitplan
Ein Zeitstrahl ab Kenntnis: 24 Stunden NIS2-Erstmeldung, 72 Stunden DSGVO-Meldung und NIS2-Meldung, dann Betroffene und Empfänger, 1 Monat Abschlussmeldung. Ein Verantwortlicher hält den Zeitstrahl, das Incident-Team arbeitet.
-
Ein Sachverhalt, zwei Formulare
Beide Meldungen werden aus derselben Sachverhaltsbeschreibung abgeleitet. Was an das BSI geht, darf der Datenschutzaufsicht nicht widersprechen. Abweichende Zahlen, Zeitpunkte oder Ursachen zwischen den Meldungen sind der häufigste vermeidbare Fehler.
-
Betroffene und Empfänger informieren
Wenn ein hohes Risiko für Betroffene besteht, Benachrichtigung nach Art. 34 DSGVO. Wenn Empfänger Ihrer Dienste beeinträchtigt sein können, Unterrichtung nach dem BSIG. Beide Texte aus denselben Bausteinen, abgestimmt mit Datenschutz und Recht.
-
Dokumentation und Abschluss
Die DSGVO verlangt, jede Verletzung zu dokumentieren, auch nicht gemeldete. Das BSIG verlangt die Abschlussmeldung. Eine gemeinsame Vorfallsakte mit Bewertungen, Meldungen, Sendebestätigungen und Lessons Learned deckt beides ab und ist zugleich Nachweis für § 30 BSIG.
Welche Pflicht in welchem Fall greift
Vier typische Vorfälle und welche Uhren sie starten. Die Einordnung hängt vom Einzelfall und Ihren Schwellenwerten ab.
| Vorfall | NIS2 (§ 32 BSIG) | DSGVO (Art. 33/34) | Anmerkung |
|---|---|---|---|
| Ransomware verschlüsselt Fileserver mit Personal- und Kundendaten | Ja, erheblich | Ja, Verfügbarkeit und ggf. Vertraulichkeit betroffen | Beide Verfahren parallel. Ob Daten abgeflossen sind, muss die 72-Stunden-Meldung und die Bewertung für Art. 34 klären. |
| DDoS-Angriff, Kundenportal einen Tag nicht erreichbar, kein Datenzugriff | Je nach Schwellenwert | In der Regel nein | Kein Zugriff auf personenbezogene Daten, also meist keine Datenpanne. NIS2-Bewertung nach Ihren Schwellenwerten. |
| E-Mail mit Gehaltsliste an falschen Empfänger | Nein | Ja, Risikobewertung entscheidet über Aufsicht und Betroffene | Typische Datenpanne ohne erheblichen Sicherheitsvorfall. Trotzdem im selben Prozess bewerten und dokumentieren. |
| Kompromittierter Mailserver, Angreifer hatte Zugriff auf Postfächer | Im Zweifel ja | Ja, sehr wahrscheinlich | Postfächer enthalten fast immer personenbezogene Daten. Erstmeldung mit 'Verdacht', DSGVO-Meldung binnen 72 Stunden, Betroffenenkreis parallel ermitteln. |
Woran parallele Meldungen scheitern
Vier Muster aus der Praxis, die sich mit einem gemeinsamen Prozess vermeiden lassen.
-
72 Stunden für alles
Die DSGVO-Frist ist bekannt, die NIS2-Erstmeldung binnen 24 Stunden nicht. Wer den Datenschutzprozess kopiert und das BSI als zweiten Empfänger einträgt, verpasst die erste NIS2-Frist um zwei Tage.
-
Zwei Sachverhalte
Die IT beschreibt dem BSI einen Angriff über eine Schwachstelle, der Datenschutz beschreibt der Aufsicht einen Bedienfehler. Beide Behörden können ihre Meldungen vergleichen. Eine Sachverhaltsbeschreibung, zwei Adressaten.
-
Eine Pflicht übersehen
Das Incident-Team behandelt den Ausfall, niemand fragt nach personenbezogenen Daten. Oder: Der Datenschutz meldet die Panne, niemand bewertet die Erheblichkeit. Die zwei Fragen gehören auf einen Bewertungsbogen.
-
Dienstleister melden lassen
Weder die Meldung an das BSI noch die an die Datenschutzaufsicht kann an den Dienstleister delegiert werden. Er informiert, Sie melden. Dafür braucht er vertragliche Reaktionszeiten von Stunden, nicht Tagen.
Zu DSGVO und NIS2
Ersetzt die NIS2-Meldung an das BSI die DSGVO-Meldung?
Nein. Beide Pflichten stehen nebeneinander und haben unterschiedliche Empfänger, Fristen und Inhalte. Das BSI leitet Ihre Meldung nicht an die Datenschutzaufsicht weiter, und die Datenschutzaufsicht nicht an das BSI. Wer beide Pflichten hat, meldet zweimal.
Warum reicht es nicht, bei beiden Behörden die 72 Stunden einzuhalten?
Weil die NIS2-Erstmeldung binnen 24 Stunden fällig ist, nicht binnen 72. Die 72 Stunden gelten für die DSGVO-Meldung an die Aufsicht und für die zweite NIS2-Stufe. Wer beide Verfahren gedanklich auf 72 Stunden legt, verpasst die erste NIS2-Frist um zwei Tage.
Muss jede Datenpanne auch an das BSI gemeldet werden?
Nein. Meldepflichtig nach § 32 BSIG sind nur erhebliche Sicherheitsvorfälle. Ein versehentlich an den falschen Empfänger geschicktes Dokument kann eine meldepflichtige Datenpanne sein, ist aber selten ein erheblicher Sicherheitsvorfall. Umgekehrt ist ein Produktionsstillstand ohne Datenzugriff ein NIS2-Fall, aber keine Datenpanne.
Unser Auftragsverarbeiter hatte den Vorfall. Wer meldet an die Datenschutzaufsicht?
Der Verantwortliche, also Sie. Der Auftragsverarbeiter muss Sie nach Art. 33 Abs. 2 DSGVO unverzüglich informieren, die Meldung an die Aufsicht bleibt Ihre Aufgabe. Dasselbe Prinzip gilt für NIS2: Der Dienstleister informiert, die Einrichtung meldet. Beides gehört in den Vertrag mit Reaktionszeiten.
Wer im Unternehmen sollte beide Meldungen koordinieren?
Eine Person, die den Gesamtvorfall im Blick hat, meist der Meldeverantwortliche oder die Leitung des Incident-Teams. Datenschutzbeauftragte beraten und prüfen die DSGVO-Seite, sind aber nicht die Meldenden. Entscheidend ist, dass beide Meldungen denselben Sachverhalt beschreiben und von derselben Stelle freigegeben werden.
Vertiefung zur Meldepflicht
-
Wann ist ein Vorfall erheblich?
Die zwei gesetzlichen Kriterien, Beispiele und ein Entscheidungsbaum, der die Frage in einer Stunde beantwortet.
-
Inhalte der Erstmeldung
Die drei Angaben, die binnen 24 Stunden an das BSI gehen, was Sie weglassen dürfen und eine Checkliste vor dem Absenden.
-
Meldepflicht im Überblick
Die drei Stufen, die Meldewege und unser Angebot für einen Meldeprozess in vier Wochen auf der Startseite.
Marcel Rieger
Ein Meldeprozess für beide Pflichten
Im kostenlosen Erstgespräch prüfen wir, ob Ihr Datenschutz- und Ihr Incident-Prozess im Vorfall zusammenfinden, und zeigen, wie ein gemeinsamer Bewertungsbogen und Zeitplan aussehen.
- Bewertungsbogen mit beiden Fragen
- Zeitstrahl für alle Fristen ab Kenntnis
- Abgestimmte Vorlagen für BSI, Aufsicht und Betroffene
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen