Worin unterscheiden sich Meldepflichten nach NIS2 und DSGVO?

Alexander Brütsch · 22 Okt. 2026

NIS2-Meldepflichten und DSGVO-Meldepflichten unterscheiden sich grundlegend in ihrem Auslöser, ihren Fristen und ihren Adressaten. Die DSGVO greift bei Verletzungen des Schutzes personenbezogener Daten, während NIS2 auf Sicherheitsvorfälle abzielt, die den Betrieb kritischer oder wichtiger Einrichtungen beeinträchtigen. Die folgenden Abschnitte klären die konkreten Unterschiede und zeigen, wann beide Regelwerke gleichzeitig gelten.

Welche Vorfälle müssen nach NIS2 gemeldet werden?

Nach NIS2 müssen Einrichtungen Sicherheitsvorfälle melden, die erhebliche Auswirkungen auf ihre Dienste haben. Ein Vorfall gilt als erheblich, wenn er den Betrieb schwerwiegend stört, zu erheblichen finanziellen Schäden führt oder andere Einrichtungen und Personen spürbar beeinträchtigt. Ob personenbezogene Daten betroffen sind, spielt dabei keine Rolle.

Konkret kommen als meldepflichtige Ereignisse in Frage: erfolgreiche Ransomware-Angriffe, die den Betrieb lahmlegen, DDoS-Attacken mit spürbarer Dienstunterbrechung, kompromittierte Systeme in der Lieferkette oder der Ausfall sicherheitskritischer Infrastruktur. Die Beurteilung, ob ein Vorfall die Erheblichkeitsschwelle überschreitet, liegt zunächst beim betroffenen Unternehmen selbst. Das setzt voraus, dass interne Bewertungsprozesse und klare Kriterien vorhanden sind, bevor ein Vorfall eintritt.

NIS2 gilt für Einrichtungen in bestimmten Sektoren, darunter Energie, Transport, Gesundheit, digitale Infrastruktur und viele weitere. Wer nicht sicher ist, ob sein Unternehmen betroffen ist, sollte zunächst eine NIS2-Betroffenheitsprüfung durchführen lassen.

Was löst eine Meldepflicht nach DSGVO aus?

Eine Meldepflicht nach DSGVO entsteht, wenn eine Verletzung des Schutzes personenbezogener Daten vorliegt, also wenn Daten unbefugt offengelegt, verändert, gelöscht oder unzugänglich gemacht werden. Nicht jeder Datenverlust ist automatisch meldepflichtig: Die Pflicht greift nur, wenn der Vorfall voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Typische Auslöser sind versehentlich versendete E-Mails mit personenbezogenen Daten, gestohlene Laptops ohne Verschlüsselung, Datenbankzugriffe durch unbefugte Dritte oder Ransomware, die Angreifern Zugang zu personenbezogenen Daten verschafft hat. Wenn das Risiko für Betroffene als hoch eingestuft wird, müssen zusätzlich die betroffenen Personen selbst informiert werden. Bei einem geringen Risiko kann eine Meldung an die Aufsichtsbehörde entfallen, der Vorfall muss aber intern dokumentiert werden.

Wie unterscheiden sich die Meldefristen von NIS2 und DSGVO?

NIS2 schreibt ein dreistufiges Meldeverfahren vor, das deutlich schneller greift als die DSGVO-Frist. Die DSGVO verlangt eine Meldung an die zuständige Datenschutzbehörde innerhalb von 72 Stunden nach Bekanntwerden der Verletzung, sofern ein Risiko für Betroffene besteht.

Das NIS2-Meldeverfahren läuft in drei Schritten:

Frühwarnung: innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Vorfalls
Erste Meldung: innerhalb von 72 Stunden mit einer ersten Bewertung des Vorfalls, seiner Schwere und möglicher grenzüberschreitender Auswirkungen
Abschlussbericht: spätestens einen Monat nach der ersten Meldung mit vollständiger Analyse, Ursachen und ergriffenen Maßnahmen

Der entscheidende Unterschied liegt in der 24-Stunden-Frühwarnung, die NIS2 verlangt und die DSGVO nicht kennt. Unternehmen, die unter beide Regelwerke fallen, müssen ihre internen Prozesse so aufstellen, dass sie beide Fristen parallel einhalten können.

An wen werden Vorfälle nach NIS2 und DSGVO gemeldet?

NIS2-Meldungen gehen an die national zuständige Behörde, in Deutschland in der Regel das Bundesamt für Sicherheit in der Informationstechnik (BSI). DSGVO-Meldungen richten sich an die zuständige Datenschutzaufsichtsbehörde, in Deutschland je nach Bundesland und Art des Verantwortlichen entweder an eine Landesdatenschutzbehörde oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI).

Wenn ein Vorfall sowohl NIS2- als auch DSGVO-relevant ist, laufen die Meldungen also an zwei verschiedene Behörden. Das ist kein Wahlrecht, sondern eine parallele Pflicht. Beide Behörden haben unterschiedliche Zuständigkeiten, Bewertungsmaßstäbe und Folgeprozesse. Eine Meldung an das BSI ersetzt die DSGVO-Meldung nicht und umgekehrt.

Wann greift NIS2 und wann die DSGVO oder beide gleichzeitig?

NIS2 greift, wenn ein Unternehmen zu den betroffenen Einrichtungen gehört und ein erheblicher Sicherheitsvorfall den Betrieb beeinträchtigt. Die DSGVO greift, wenn personenbezogene Daten von einer Verletzung betroffen sind, unabhängig davon, ob das Unternehmen unter NIS2 fällt. Beide Regelwerke können gleichzeitig gelten, wenn ein Vorfall sowohl den Betrieb stört als auch personenbezogene Daten kompromittiert.

Ein Ransomware-Angriff auf ein Krankenhaus ist ein typisches Beispiel: Er unterbricht den Betrieb (NIS2) und verschafft Angreifern möglicherweise Zugang zu Patientendaten (DSGVO). Umgekehrt kann ein gestohlenes Notebook mit Kundendaten ausschließlich eine DSGVO-Meldepflicht auslösen, wenn das Unternehmen nicht unter NIS2 fällt oder der Vorfall keine erhebliche Betriebsstörung verursacht.

Für NIS2-betroffene Unternehmen empfiehlt sich ein einheitlicher Incident-Response-Prozess, der von Anfang an beide Regelwerke berücksichtigt und klar definiert, welche Kriterien welche Meldepflicht auslösen.

Welche Sanktionen drohen bei versäumten Meldungen?

Bei Verstößen gegen die NIS2-Meldepflichten drohen Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen gelten niedrigere Obergrenzen von 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Die DSGVO sieht bei Meldepflichtverstößen Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes vor.

Neben den Bußgeldern können Aufsichtsbehörden bei NIS2 auch Anordnungen zur Behebung von Mängeln erteilen, Tätigkeiten vorübergehend untersagen oder bei schwerwiegenden Verstößen die persönliche Haftung von Geschäftsführern geltend machen. Das ist ein wesentlicher Unterschied zur DSGVO, die eine direkte persönliche Haftung der Unternehmensleitung nicht in gleicher Weise vorsieht.

Versäumte Meldungen gelten dabei nicht nur als Formalfehler. Behörden werten sie als Indiz dafür, dass ein Unternehmen seine Sicherheitslage nicht ausreichend im Blick hat, was die Bewertung im Gesamtverfahren verschlechtert.

Wie UBESAFE bei NIS2-Meldepflichten unterstützt

Meldeprozesse funktionieren nur dann zuverlässig, wenn die technischen und organisatorischen Voraussetzungen bereits vor einem Vorfall vorliegen. UBESAFE begleitet Unternehmen dabei vollständig:

Betroffenheitsanalyse und Bewertung, ob und in welchem Umfang NIS2 gilt
Aufbau klarer Meldeprozesse mit definierten Eskalationsstufen und Verantwortlichkeiten
Technische Maßnahmen wie 24/7-Monitoring, SIEM und Schwachstellen-Scans, die Vorfälle frühzeitig erkennbar machen
Dokumentation und Nachweisführung, die im Meldeverfahren und gegenüber Behörden standhalten
Kontinuierliche Überprüfung und Anpassung durch einen Managed Service, der NIS2-Konformität dauerhaft sicherstellt

Ob als vollumfängliches Paket oder als gezielte Ergänzung bestehender Strukturen: UBESAFE bietet einen kostenlosen Erst-Audit an, um den aktuellen Stand zu bewerten und den konkreten Handlungsbedarf zu identifizieren.