NIS-2

Die Vorschriften zur Umsetzung der EU-Richtlinie NIS 2 (Network and Information Security 2) verpflichten Einrichtungen, umfangreiche Maßnahmen zur IT-Sicherheit zu ergreifen. Diese gehen zwangsläufig mit einer Verarbeitung personenbezogener Daten von Beschäftigten und Dritten ­einher. Es stellt sich die Frage, welche Rechtsgrundlage die Datenverarbeitung zum Zweck der Cybersicherheit erlaubt.

Unternehmen pflegen dieselben Informationen häufig mehrfach: im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, im IT-Asset-Inventar und künftig zusätzlich in Übersichten zu eingesetzten KI-Systemen. Für Datenschutzbeauftragte bedeutet das vor allem eines: hoher Abstimmungsaufwand und die Gefahr widersprüchlicher Dokumentationen. Ein gemeinsames Inventar kann Doppelarbeit vermeiden, ohne die unterschiedlichen rechtlichen Anforderungen zu vermischen.

Ein gemeinsames Inventar für Verarbeitungstätigkeiten, IT-Assets und KI-Systeme reduziert Doppelarbeit und widersprüchliche Dokumentationen – unsere Checkliste zeigt, wie sich die unterschiedlichen Anforderungen sinnvoll zusammenführen lassen.

Mit der Umsetzung der Cybersicherheitsrichtlinie NIS 2 kann es zu einer Ausweitung der Systemprotokollierung kommen. Das muss aber nicht zum gläsernen Nutzer führen. Nicht zuletzt fordert auch der Datenschutz Maßnahmen im Bereich Protokollierung.

Ist das Datenschutzkonzept im Bereich Protokollierung auf die neuen und erweiterten Logging-Einsätze ausgedehnt, die NIS 2 erfordert? Diese und weitere Fragen beantworten Sie mit unserer Checkliste – jetzt herunterladen und die erweiterten Anforderungen durch NIS 2 an Logging abdecken.

Die Umsetzung der NIS-2-Vorgaben erfordert, sich mit den neuen Pflichten des BSI-Gesetzes (BSIG) auseinanderzusetzen. Den ersten Schritt stellt die Prüfung der Betroffenheit dar. Wir zeigen anhand eines Beispiels: Was müssen Sie prüfen, um entscheiden zu können, ob Sie als NIS-2-relevantes Unternehmen gelten oder nicht?

Das NIS-2-Umsetzungsgesetz erweitert den Kreis der betroffenen Unternehmen deutlich. Wer unter das Gesetz fällt, muss erhebliche Sicherheitsmaßnahmen nachweisen können. Viele dieser Maßnahmen weisen eine Schnittmenge mit dem Datenschutz auf.

Eine Fülle neuer Regelungen tritt 2026 in Kraft oder ist nach Übergangsfristen anzuwenden. Datenschutzbeauftragte und Verantwortliche benötigen einen schnellen Überblick über die Vorschriften, die für sie oder das Unternehmen wichtig sind, um entsprechende Prozesse zu implementieren und Risiken zu minimieren.

Die Umsetzung der NIS-2-Richtlinie erweitert das Supply Chain Risk ­Management (SCRM) um IT-Sicherheitsrisiken aus der Lieferkette. Auch Datenschutzrisiken sollten Teil des SCRM sein. Einkauf und Risiko­management im Unternehmen benötigen dazu eine Aufklärung.

Die steigende Zahl an Attacken auf und über die Lieferkette macht deutlich: Sind die IT-Systeme eines Lieferanten unzureichend geschützt, kann sich dies auf die ganze Supply Chain auswirken (Supply Chain ­Attacks). Das hat meist auch Folgen für den Datenschutz. Aber woher weiß ein Unternehmen, ob es unsichere Lieferanten hat?