Die Umsetzung der Risikomanagementmaßnahmen nach der NIS-2-Richtlinie und dem BSIG als Umsetzungsgesetz scheint für viele betroffene Organisationen im ersten Moment herausfordernd. Dies liegt häufig daran, dass die eher abstrakt wirkenden Vorgaben wie z.B. „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen“ Organisationen abschrecken, da nicht auf Anhieb erkennbar ist, was konkret zu tun ist.

Allerdings kann bei der Umsetzung oftmals auf bereits bestehende Konzepte zurückgegriffen werden. Viele Organisationen haben beispielsweise technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO oder IT-Sicherheitsmaßnahmen in Bezug auf Unternehmensdaten und IT-Strukturen bereits umgesetzt, um ihre Pflichten nach der DSGVO und anderen Gesetzen zu erfüllen. Auch wenn die NIS-2-Richtlinie und die DSGVO unterschiedliche Schutzzwecke verfolgen, kann in der Praxis zu einem gewissen Grad auf die bereits nach Art. 32 DSGVO implementierten Vorkehrungen aufgebaut werden. NIS-2 und das BSIG verlangen also gerade nicht, dass Organisationen alles „neu“ erstellen und aufbauen. Vielmehr sollten Synergien genutzt werden, um den Umsetzungsaufwand zu reduzieren.

Dies betrifft z.B. die Verschlüsselung und Kryptographie. Nach § 30 Abs. 2 Nr. 8 BSIG müssen besonders wichtige und wichtige Einrichtungen Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren haben. Die Verschlüsselung ist auch nach Art. 32 Abs. 1 lit. a Alt. 2 DSGVO zu berücksichtigen, indem personenbezogene Daten z.B. bei der Speicherung und der Übermittlung angemessen zu verschlüsseln sind, um das Gewährleistungsziel der Vertraulichkeit zu erfüllen. Dabei sind z.B. die technischen Richtlinien des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu berücksichtigen, die ebenso für § 30 Abs. 2 Nr. 8 BSIG gelten. Denn auch diese Vorschrift bezweckt den Schutz von sensiblen Daten vor unbefugtem Zugriff.

Auch bei der Anforderung, nach § 30 Abs. 2 Nr. 3 BSIG den Betrieb durch Maßnahmen aufrechtzuerhalten, wie Backup-Management und die Wiederherstellung nach einem Notfall und Krisenmanagement, gibt es Ähnlichkeiten zu Maßnahmen nach der DSGVO. Zum einen ist nach Art. 32 Abs. 1 lit. b Var. 3 DSGVO die Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen. Damit ist vor allem die Resilienz der zur Verarbeitung personenbezogener verwendeten Systeme gemeint. Zum anderen nennt Art. 32 Abs. 1 lit. c DSGVO die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Insgesamt lässt sich auch hier auf bereits vorhandene Konzepte aufbauen, die schon im Rahmen von Art. 32 DSGVO umzusetzen sind: Für die Verfügbarkeit personenbezogener Daten ist eine kontinuierliche Sicherung im Rahmen eines Informationssicherheits-Managementsystems (ISMS) sowie ein Notfallplan erforderlich. Auch hierzu gibt es Empfehlungen des BSI.

Zwar enthält § 30 Abs. 2 BSIG auch Vorgaben, die sich in der DSGVO nicht wiederfinden. Dazu gehören etwa Maßnahmen zur Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG). Allerdings ist auch die Umsetzung dieser Vorgabe handhabbar. Die Gesetzesbegründung zum BSIG weist hierfür u.a. auf den Abschluss vertraglicher Vereinbarungen mit Zulieferern und Dienstleistern im Hinblick auf Risikomanagementmaßnahmen hin und empfiehlt zudem die Durchführung von External Attack Surface (EAS) Scans. Ein weiteres Beispiel sind grundlegende Schulungen und Sensibilisierungsmaßnahmen zur IT-Sicherheit (§ 30 Abs. 2 Nr. 7 BSIG). Diese unterscheiden sich zwar inhaltlich von Schulungen zur DSGVO (nach Art. 39 Abs. 1 lit. b DSGVO soll der Datenschutzbeauftragte Mitarbeiter schulen). Allerdings kann auch hier auf bestehende unternehmerische Prozesse für die Umsetzung aufgesetzt werden.

Fazit

Viele Organisationen schrecken derzeit vor der Umsetzung der Vorgaben aus der NIS-2-Richtlinie und dem BSIG zurück, ohne konkret geprüft zu haben, ob sie ggf. mit bestehenden TOM aus der DSGVO schon einige Anforderungen erfüllen – und wie groß der Umsetzungsaufwand überhaupt wäre. Unsere Beispiele zeigen, dass nicht alle Risikomanagementmaßnahmen neu gedacht werden müssen, sondern dass einiges schon aufgrund der Erfüllung von Art. 32 DSGVO vorhanden sein wird oder zumindest in Ansätzen vorliegt. Ein Rückgriff auf die nach Art. 32 getroffenen TOM allein reicht zwar nicht aus, da die Maßnahmen des BSIG deutlich umfangreicher sind. Die TOM nach der DSGVO können jedoch als Grundstein für die weiteren Maßnahmen genutzt werden. Vor dem Hintergrund, dass die in § 30 Abs. 2 BSIG genannten zehn Mindestmaßnahmen zum Risikomanagement bereits seit dem 6. Dezember 2025 gelten, sollte die Umsetzung schnellstmöglich sichergestellt werden, um die Compliance im Hinblick auf das Thema NIS-2 ausreichend umzusetzen. Wie die Maßnahmen im Einzelnen erfüllt werden können und wo sich auf bereits getroffene Maßnahmen nach der DSGVO oder anderen Gesetzen aufbauen lässt, haben wir bereits evaluiert. Bei Interesse melden Sie sich bitte gern bei uns unter info@piltz.legal.