NIS2 Meldepflicht und DSGVO: ein Vorfall, zwei Uhren

Samstag, 02:10 Uhr. Der Dateiserver Ihres Kunden, eines mittelständischen Maschinenbauers aus Baden-Württemberg, beginnt Dateien zu verschlüsseln. Um 08:00 Uhr wissen Sie dreierlei: Der Angreifer ist im Netz, auf dem Server liegen Personaldaten, und die Uhr läuft seit dem Moment, in dem Sie Kenntnis erlangt haben. Die NIS2-Frühwarnung an das BSI ist binnen 24 Stunden fällig. Die DSGVO-Meldung an die Datenschutzaufsicht folgt wahrscheinlich binnen 72 Stunden. Zwei Behörden, zwei Formate, und keine Meldung ersetzt die andere.

Das ist das Doppelmeldeproblem. Es landet zuerst beim MSP, denn der MSP hält meist die Logs.

NIS2 Meldepflicht und DSGVO: zwei Regime, ein Vorfall

NIS2 (Richtlinie (EU) 2022/2555) schützt die Kontinuität und Sicherheit von Diensten. Die DSGVO (Verordnung (EU) 2016/679) schützt Menschen, deren personenbezogene Daten offengelegt werden. Ein Vorfall kann beides verletzen.

Artikel 23 NIS2 sieht für einen erheblichen Sicherheitsvorfall drei Schritte vor: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis, eine Vorfallmeldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens einen Monat nach dieser Meldung. Artikel 33 DSGVO verlangt eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Artikel 34 DSGVO ergänzt die Benachrichtigung der Betroffenen bei hohem Risiko.

Die beiden Uhren starten oft im selben Moment. Sie laufen nicht gleichzeitig ab. Die 24-Stunden-Frühwarnung nach NIS2 ist zuerst fällig, also geht sie zuerst raus.

Eine Meldung genügt nie für beide

Eine Meldung an das BSI erfüllt die DSGVO-Pflicht nicht. Eine DSGVO-Meldung startet oder stoppt die NIS2-Kaskade nicht. Empfänger, Auslöser und Inhalt unterscheiden sich. Die NIS2-Meldung fragt nach betrieblichen Auswirkungen und technischen Indikatoren. Die DSGVO-Meldung fragt nach Datenkategorien, Zahl der Betroffenen und den wahrscheinlichen Folgen für sie.

NIS2 sieht die Überschneidung durchaus. Die Erwägungsgründe fordern Zusammenarbeit zwischen den zuständigen Behörden und den Datenschutzbehörden, und Artikel 35 behandelt Verstöße mit Bezug zu personenbezogenen Daten. Diese Zusammenarbeit findet zwischen den Behörden statt. Sie verkürzt die Arbeit Ihres Kunden nicht.

Der Zeitplan bei einem Vorfall mit personenbezogenen Daten

Behandeln Sie die ersten 72 Stunden als eine Operation mit zwei Ergebnissen.

In der Praxis heißt das drei Gewohnheiten:

1. Die NIS2-Frühwarnung zuerst abgeben, auch unvollständig. Sie ist ein Signal, keine fertige Analyse. Schreiben Sie, was Sie wissen, und kennzeichnen Sie, was offen ist. Beim BSI gilt der Grundsatz "Schnelligkeit vor Vollständigkeit".
2. Fakten einmal erfassen. Zeitverlauf, betroffene Systeme, Datenkategorien, geschätzte Zahl Betroffener, Eindämmung. Beide Meldungen nutzen diese Dokumentation.
3. Zweimal bewerten. "Erheblicher Sicherheitsvorfall" nach NIS2 und "Risiko für Betroffene" nach DSGVO sind verschiedene Prüfungen. Ein Vorfall kann die eine bestehen und die andere nicht.

Zur NIS2-Seite im Detail: NIS2-Meldepflicht: die Fristen 24 Stunden, 72 Stunden und ein Monat.

Was das deutsche Recht ergänzt

Die Fristen stammen aus den EU-Texten. Meldeweg und Behörde stammen aus nationalem Recht. In Deutschland gilt die Meldepflicht nach § 32 BSIG in der Fassung des NIS2-Umsetzungsgesetzes, in Kraft seit Dezember 2025. Die Meldung läuft in der Regel über das Melde- und Informationsportal des BSI. Dort bestätigt das BSI den Eingang, eine eingereichte Meldung lässt sich nicht zurückziehen, Korrekturen erfolgen per Folgemeldung. Verantwortlich bleibt das Unternehmen, auch wenn ein Dienstleister die Meldung einreicht. Die Leitung trägt nach § 38 BSIG die Verantwortung dafür, dass Meldeprozesse eingerichtet sind. Die DSGVO-Meldung geht an die zuständige Datenschutzaufsicht, also BfDI oder die Landesbehörde.

Hat der Kunde Standorte in anderen Ländern, läuft die Meldung dort anders:

• Österreich: Das NISG 2026 gilt seit 1. Oktober 2026, die DSGVO-Meldung geht an die Datenschutzbehörde.
• Niederlande: NCSC als CSIRT, DSGVO-Meldung an die Autoriteit Persoonsgegevens.
• Italien: ACN über CSIRT Italia (Artikel 25 D.Lgs. 138/2024), DSGVO-Meldung an den Garante.
• Frankreich und Spanien: kein nationales NIS2-Gesetz in Kraft. Die DSGVO-Meldung an CNIL oder AEPD binnen 72 Stunden gilt trotzdem.

Eine zentrale Meldestelle ist vorgeschlagen, nicht in Kraft

Die Europäische Kommission schlägt im Digital Omnibus eine zentrale Meldestelle vor, betrieben von ENISA, über einen neuen Artikel 23a in NIS2. Berichten vom Juli 2026 zufolge würde die DSGVO-Meldung dabei auf die Schwelle "hohes Risiko" angehoben und die Frist von 72 auf 96 Stunden verlängert. Die Verhandlungen zwischen Parlament und Rat liefen damals noch. Die Meldestelle würde 18 Monate nach Inkrafttreten gelten, verlängerbar auf 24.

Bauen Sie keinen Kundenprozess auf einen Vorschlag. Bauen Sie für das geltende Recht und halten Sie den Prozess modular, damit ein neues Portal einen Schritt ändert und nicht alle.

Was vor dem Vorfall stehen muss

MSPs bekommen die Schuld für späte Meldungen, auch wenn der Kunde die Pflicht trägt. Die Geschäftsleitung des Kunden bleibt verantwortlich. Ihre Aufgabe ist es, die Pflicht ausführbar zu machen.

• Ein Entscheidungsblatt auf einer Seite: Wer entscheidet "erheblich", wer entscheidet "Datenschutzverletzung", wer zeichnet binnen Stunden frei.
• Vorbereitete Kontaktdaten für BSI und Datenschutzaufsicht, bei internationalen Kunden auch für die ausländischen Stellen.
• Eine gemeinsame Vorfalldokumentation mit Feldern, die zu beiden Meldungen passen.
• Eine Regel, dass die Frühwarnung zur 24-Stunden-Marke rausgeht, egal wie weit die Analyse ist.
• Eine schriftliche Begründung, wenn das Team auf eine Meldung verzichtet. Aufsichtsbehörden fragen danach.

Das ist Artikel 21 Absatz 2 Buchstabe b. Unser Leitfaden zur NIS2-Vorfallbewältigung zeigt, warum der Bewältigungsprozess häufiger durch Audits fällt als die Meldung selbst.

Prüfen Sie die Lücke vor dem Anruf am Samstag

Können Sie heute nicht sagen, wer pro Kunde die Frühwarnung abgibt und wer die DSGVO-Meldung, haben Sie die Lücke gefunden. Starten Sie den NIS2 Quick Scan und sehen Sie, wo Vorfallbewältigung und Meldebereitschaft eines Kunden gegenüber den Maßnahmen aus Artikel 21 stehen.

Schreiben Sie danach die beiden Uhren auf, benennen Sie die beiden Verantwortlichen und testen Sie den Prozess einmal, bevor es ernst wird. Das größere MSP-Bild finden Sie in NIS2 für MSPs und MSSPs.