NIS2 vs. ISO 27001 vs. DSGVO – wo überschneiden sich die Pflichten wirklich?

Ein häufiges Missverständnis: NIS2, ISO 27001 und DSGVO seien drei separate Baustellen, die jeweils von vorne angegangen werden müssen. In der Praxis ist das Gegenteil der Fall – wer eine der drei ernsthaft umsetzt, hat einen erheblichen Teil der beiden anderen bereits mitbearbeitet. Dieses Whitepaper ordnet ein, was jedes Regelwerk eigentlich verlangt, wo die Überschneidungen liegen, und wo tatsächlich eigenständige Anforderungen bestehen bleiben.

Die drei Regelwerke in einem Satz

NIS2/BSIG ist eine EU-Richtlinie (in Deutschland als BSIG umgesetzt), die von bestimmten Sektoren organisatorische und technische Mindestmaßnahmen zur Cybersicherheit sowie Meldepflichten bei Vorfällen verlangt. ISO 27001 ist eine internationale Norm für Informationssicherheits-Managementsysteme, freiwillig zertifizierbar, aber zunehmend als Nachweis gegenüber Kunden und Aufsichtsbehörden genutzt. DSGVO ist EU-weites Datenschutzrecht, das für praktisch jedes Unternehmen mit personenbezogenen Daten gilt – unabhängig von Sektor oder Größe.

Wo sich die Anforderungen fast eins zu eins decken

Zugriffskontrolle ist in allen drei Regelwerken zentral: NIS2 verlangt sie als eigene Maßnahmenkategorie, ISO 27001 widmet ihr mehrere Controls im Annex A, die DSGVO fordert sie implizit über den Grundsatz der "Integrität und Vertraulichkeit" (Art. 5 Abs. 1 lit. f). Wer ein rollenbasiertes Zugriffskonzept mit Multi-Faktor-Authentifizierung einführt, erfüllt damit relevante Anforderungen aller drei Regelwerke gleichzeitig – nicht dreimal separat.

Ähnliches gilt für Verschlüsselung, Vorfallsmanagement und die Dokumentation von Risikoanalysen: Eine einmal sauber aufgesetzte Risikoanalyse mit dokumentierten Maßnahmen lässt sich für NIS2-Zwecke, als Baustein einer ISO-27001-SoA und als Nachweis "geeigneter technischer und organisatorischer Maßnahmen" nach Art. 32 DSGVO gleichermaßen verwenden.

Wo die Regelwerke tatsächlich eigenständig bleiben

Trotz der Überschneidungen gibt es Bereiche, die sich nicht wechselseitig abdecken. Die DSGVO verlangt spezifische Betroffenenrechte (Auskunft, Löschung, Datenübertragbarkeit), die weder NIS2 noch ISO 27001 kennen. NIS2 hat eine eigenständige, sektorspezifische Betroffenheitsprüfung und konkrete, kurze Meldefristen (24/72 Stunden), die es in dieser Form bei der DSGVO (72 Stunden, aber ohne die 24-Stunden-Vorwarnung) und bei ISO 27001 (keine gesetzliche Meldefrist, nur interne Prozessanforderung) nicht identisch gibt. ISO 27001 wiederum verlangt ein vollständiges Managementsystem mit definierten Rollen, internem Audit und Management-Review – ein prozessualer Rahmen, den weder NIS2 noch DSGVO in dieser Tiefe vorschreiben.

Eine Beispielrechnung: 8 gemeinsame, jeweils 2 bis 3 eigenständige Anforderungsbereiche

Grob vereinfacht lassen sich die Kernanforderungen aller drei Regelwerke in etwa acht gemeinsame Themenblöcke bündeln (Zugriffskontrolle, Verschlüsselung, Risikomanagement, Vorfallsmanagement, Schulung, Lieferantenmanagement, Dokumentation, Kontinuitätsplanung) plus jeweils zwei bis drei eigenständige Anforderungen pro Regelwerk (z. B. Betroffenenrechte bei der DSGVO, Managementsystem-Struktur bei ISO 27001, sektorspezifische Meldefristen bei NIS2). Wer die acht gemeinsamen Themenblöcke solide umsetzt, hat den größten Teil der Arbeit für alle drei Regelwerke gleichzeitig erledigt – die verbleibenden spezifischen Anforderungen sind deutlich kleinere, gezieltere Ergänzungen.

Was das für die Reihenfolge bedeutet

Für ein Unternehmen, das bei null anfängt, ergibt sich daraus eine klare Priorisierung: zuerst die gemeinsame Basis aufbauen (unabhängig davon, welches Regelwerk formal zuerst greift), dann regelwerkspezifisch ergänzen. Das vermeidet die häufigste Ineffizienz in der Praxis – drei separate Berater oder Tools für drei Regelwerke zu beauftragen, die im Kern zu 70 Prozent dieselben Fragen stellen.