NIS2 und DSGVO: denselben Vorfall an zwei Behörden melden

Die 72 Stunden der beiden Gesetze sehen gleich aus, beginnen aber nicht immer zur selben Zeit: NIS2 zählt ab der Kenntnisnahme des erheblichen Sicherheitsvorfalls, die DSGVO ab dem Bekanntwerden der Datenschutzverletzung. Letzteres erfährst du vielleicht erst später, wenn die Analyse zeigt, dass der Angreifer eine Datenbank erreicht hat.

Die beiden Prüfungen sind getrennt, und jede kann mit Ja oder Nein ausgehen. Ein paar typische Fälle für eine Einrichtung im Anwendungsbereich von NIS2:

Die Leitlinien 9/2022 des EDSA erklären mit Beispielen, wie du das Risiko einer Verletzung bewertest, auch bei Ransomware und Verlust der Verfügbarkeit.

Die Richtlinie verbindet die beiden Systeme: Stellt eine NIS2-Behörde fest, dass ein Verstoß eine Datenschutzverletzung nach sich ziehen kann, informiert sie die Datenschutzaufsicht; und verhängt die Datenschutzaufsicht für dieses Verhalten eine Geldbuße nach der DSGVO, verhängt die NIS2-Behörde keine weitere (Artikel 35). Deine eigene Meldung an die eine oder die andere ersetzt das nicht. Erwägungsgrund 106 ermutigt die Mitgliedstaaten, eine zentrale Anlaufstelle für beide Meldungen anzubieten; im November 2025 hat die Kommission eine EU-weite zentrale Meldestelle vorgeschlagen und, für die DSGVO, Meldungen nur bei hohem Risiko binnen 96 Stunden (Vorschlag „Digital Omnibus“, COM(2025) 837). Im November 2026 ist das noch ein Vorschlag: Es gelten die Regeln auf dieser Seite.

In Deutschland geht die NIS2-Meldung über das BSI-Portal an die gemeinsame Meldestelle von BSI und BBK. Die DSGVO-Meldung geht an die Datenschutzaufsichtsbehörde des Bundeslandes, in dem du deinen Sitz hast; für Bundesbehörden sowie Telekommunikations- und Postdienste ist die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) zuständig. Die meisten Behörden bieten dafür ein Online-Formular an.

Der EDSA führt die Liste aller nationalen Datenschutzbehörden. Die Seite zur Frühwarnung zeigt den Stand der NIS2-Umsetzung in jedem dieser Länder.

Außerhalb der EU: Die DSGVO gilt auch für Unternehmen außerhalb der Union, die Personen in der EU Waren oder Dienstleistungen anbieten (Artikel 3 Abs. 2), und manche lokalen Gesetze haben eigene Fristen. In Brasilien etwa verlangen das LGPD und die Verordnung der ANPD eine Meldung an die ANPD binnen drei Werktagen, wenn ein Vorfall ein relevantes Risiko oder einen relevanten Schaden für die Betroffenen mit sich bringen kann.

1. Eindämmen und sichern: Isolier, was kompromittiert ist, sichere Logs und Kopien vor dem Aufräumen und beginne ein Vorfallprotokoll mit Uhrzeiten in UTC.
2. Halte den Zeitpunkt der Kenntnisnahme fest, getrennt für den erheblichen Sicherheitsvorfall und für die Datenschutzverletzung: Sie starten die beiden Fristen.
3. Triff zwei Entscheidungen, schriftlich: Ist es ein erheblicher Sicherheitsvorfall (NIS2)? Ist es eine Datenschutzverletzung, und mit welchem Risiko für die Betroffenen (DSGVO)? Notier, wer entschieden hat und warum.
4. Eine Faktenbasis, zwei Meldungen: Dieselbe Zeitleiste speist beide, damit die zwei Behörden keine widersprüchlichen Versionen bekommen.
5. Binnen 24 Stunden: die NIS2-Frühwarnung, wenn der Vorfall erheblich ist.
6. Binnen 72 Stunden: die NIS2-Meldung und, wenn ein Risiko für Personen besteht, die DSGVO-Meldung, mit dem Datenschutzbeauftragten. Bist du bei der DSGVO zu spät, begründe die Verzögerung.
7. Informier die Betroffenen, wenn das Risiko hoch ist (DSGVO Artikel 34), und gegebenenfalls die Empfänger deiner Dienste (NIS2).
8. Bist du Auftragsverarbeiter (etwa eine Agentur, die die Website eines Kunden hostet), informier den Verantwortlichen unverzüglich: Die Meldung ist seine Sache.
9. Binnen eines Monats nach der NIS2-Meldung: der Abschlussbericht, mit Ursache und Maßnahmen.
10. Dokumentier die Verletzung in deinem Verzeichnis, auch wenn du sie nicht gemeldet hast (DSGVO Artikel 33 Abs. 5), und prüf, was du änderst.

Unter Compliance (Pro und AutoMode) erstellt InfraFence aus der Zeitleiste deiner Server sowohl die NIS2-Meldungen (Frühwarnung, Meldung des Sicherheitsvorfalls, Abschlussbericht) als auch eine Bewertung nach Art. 33 DSGVO. Dieser Entwurf wägt ab, ob personenbezogene Daten betroffen sind oder sein könnten, mit den Hinweisen dafür und dagegen, bewertet das Risiko und ob eine Meldung an die Behörde und eine Benachrichtigung der Betroffenen geboten erscheinen, und bereitet die Angaben nach Artikel 33 Abs. 3 und die Dokumentation nach Artikel 33 Abs. 5 vor.

Die Fakten kommen für jeden Entwurf aus derselben Zeitleiste: Angriffe, Sperren, SSH-Logins, geänderte Dateien, Malware-Funde und die getroffenen Maßnahmen. Was der Agent nicht wissen kann, etwa welche personenbezogenen Daten deine Anwendungen enthalten, wie viele Personen betroffen sind und wer dein Datenschutzbeauftragter ist, bleibt als Platzhalter zum Ausfüllen. Entwürfe werden versioniert und lassen sich als Markdown herunterladen oder als PDF drucken. Für den Entwurf werden die Zeitleiste und deine Notizen an einen externen Textgenerierungsdienst gesendet, und die Seite sagt dir das. Siehe Monats- und NIS2-Berichte.

Es entscheidet nicht, ob eine Datenschutzverletzung oder ein erheblicher Sicherheitsvorfall vorliegt, und es schickt nichts an eine Behörde. Die Entwürfe sind keine Rechtsberatung.

• Verordnung (EU) 2016/679 (DSGVO) auf EUR-Lex: Artikel 3, 4 Nr. 12, 33, 34, 55 und 56.
• Richtlinie (EU) 2022/2555 (NIS2) auf EUR-Lex: Artikel 23 und 35, Erwägungsgrund 106.
• EDSA-Leitlinien 9/2022 für die Meldung von Verletzungen des Schutzes personenbezogener Daten.
• Mitglieder des EDSA: die nationalen Datenschutzbehörden.
• BSI, NIS-2-Meldepflicht.
• Vorschlag „Digital Omnibus“, COM(2025) 837 auf EUR-Lex.