Commvault: DSGVO und NIS2 gehen Hand in Hand

(Auszug aus der Pressemitteilung)

Autor dieses Fachartikels: Ricardo José Garrido Reichelt, Principal Security Technologist EMEA, Office of the CTO, Commvault

Sieben Jahre ist es her, dass die DSGVO in Kraft getreten ist. Damit startete 2018 der Trend, IT-Prozesse strenger zu regulieren. Mit NIS2 führt die EU diesen Kurs resolut weiter, die Bundesregierung arbeitet an der Umsetzung und hat erst jüngst einen Referentenentwurf des BMI von Ende Juni 2025 bekanntgegeben. Auch wenn offen ist, wie NIS2 hierzulande ein Gesetz wird, das Ziel ist bereits klar: Die Infrastrukturen und digitalen Prozesse in Unternehmen sollen widerstandsfähiger sein. Ein langer Weg und Vorarbeit lohnen sich. Wer die Maßgaben der DSGVO schon jetzt entschlossen und zielstrebig verfolgt hat, um Datensicherheit und Datenschutz zu berücksichtigen, hat es leichter, wenn NIS2 auf die Agenda rückt.

Um die Konsequenzen erfolgreicher Angriffe souveräner abzufedern und effektiver zu beseitigen, muss Cybersicherheit eine größere Rolle spielen. Der Nachholbedarf ist enorm angesichts der kontinuierlichen Cyberattacken der jüngsten Zeit, die Datenverluste, große Schäden und sogar Totalausfälle verursachen, auch große Unternehmen treffen und in Einzelfällen sogar in ein Insolvenzverfahren treiben.

Muss Strafe erst sein?

Immerhin: Dank DSGVO verwenden Datenschutzverantwortliche in der Wirtschaft personenbezogene Daten inzwischen mit mehr Bedacht – nicht zuletzt, da Verstöße zu einer kostspieligen Angelegenheit geworden sind. Seit die DSGVO in Kraft getreten ist, verhängten Richter laut der GDPR Fines and Data Breach Survey der Wirtschaftskanzlei DLA Piper Sanktionen in einer Höhe von insgesamt 5,88 Milliarden Euro – in Deutschland waren es allein 2024 über 89,1 Millionen Euro.

Um NIS2 zum Durchbruch zu verhelfen, planen die Verantwortlichen ein entsprechendes Bußgeldkonzept. Darüber hinaus sollen Unternehmensinhaber und Geschäftsführer mit ihrem privaten Besitz bürgen. Deshalb arbeiten manche Organisationen bereits seit einiger Zeit an der NIS-Compliance und haben sich externe Hilfe ins Boot geholt. Experten von KPMG wissen, dass Unternehmen mit verschiedensten Schwierigkeiten zu kämpfen haben, da die Vorschrift viel Raum für Interpretation lässt und nur für ein individuelles Unternehmensumfeld zu realisieren ist. Zu sehr kommt es auf Details an: Welche Organe sind verantwortlich? Wie geht man mit Meldepflichten bei Angriffen um? Wer stellt im Ernstfall die für den Betrieb notwendigen Technologien, Werkzeuge und Ressourcen bereit?

Neue Pflichten durch NIS2

NIS2 legt strengere Maßstäbe an, Vorfälle zu melden. Haben Unternehmen bei Verstößen gegen die DSGVO 72 Stunden Zeit, fordern die NIS2-Vorgaben die Information des Bundesamtes für Sicherheit in der Informationstechnik (BSI) über gravierende Cybersicherheitsvorfälle innerhalb eines Tages. Notwendige Abläufe sollten also seit dem Inkrafttreten der DSGVO vorhanden sein. Wer aber die einschlägigen Nachrichtenwege schon vordefiniert hat, tut sich jetzt leichter, diese noch weiter zu beschleunigen.

Gleichermaßen wichtig ist es aber zu wissen, welche Informationen über einen Schaden bereitzustellen sind. Dafür sind automatisierte Prozesse nötig, mit denen IT-Verantwortliche nachvollziehen können, welche Daten im Unternehmen überhaupt vorhanden sind. Die zweite Frage, die es zu beantworten gilt, lautet: Welche Informationen sind für die NIS2-Compliance zu kategorisieren.

Nur wer unverzüglich in die Analyse des Schadens übergehen kann, kann die knappe Meldepflicht einhalten und relevante sowie notwendige Informationen wahrheitsgetreu liefern.

Gefahren im Voraus begrenzen

Während die DSGVO eine Datenschutz-Folgenabschätzung (DSFA) für Hochrisikoverarbeitungen beansprucht, erwartet NIS2 ein Risikomanagement für die IT-Infrastruktur, wie etwa Risikoanalysen und Strategien für die Beständigkeit der Arbeitsabläufe. Dafür können Unternehmen für die DSGVO implementierte Analyseprozesse verwenden und gleichermaßen ausbauen.

Verantwortliche für die IT-Sicherheit sollten etwa ihren Datenbestand auf Gefahren überprüfen. Damit sie ihre produktive IT dabei möglichst wenig beeinträchtigen, rentiert es sich, Sicherungskopien zu überprüfen. Auch hier lassen sich Auffälligkeiten als Alarmzeichen eines beginnenden Angriffs bereits frühzeitig erkennen und unterbinden.

NIS2 ruft aber auch das kontinuierliche Testen der Recovery von Systemen und Daten auf die Agenda. Das Training der Interaktion aller Mitwirkenden kann hierfür in einem digitalen Cleanroom als einer wirklichkeitsgetreuen Teststruktur anhand der relevanten Assets erfolgen. Ergebnis ist ein realistisches Zeugnis der Recovery-Strategie und ihrer Abläufe.

Essenziel ist es zudem, auch während eines erfolgreichen Angriffs arbeitsfähig zu bleiben – oder es so schnell wie möglich wieder zu werden. Ein Minimum-Viabel-Company-Ansatz hilft, im Vorfeld genau zu bestimmen, welche Prozesse, Anwendungen und Umgebungen für den Notbetrieb unentbehrlich sind. Im Idealfall treffen die Verantwortlichen in jeder Abteilung eine für ihre spezifischen IT- und Geschäftsprozesse relevante Entscheidung. Ein daraus resultierendes, an einem separaten Ort manipulationsgeschützt gesichertes Notfallpaket ist dann die Basis, um Daten, Applikationen und Systeme in einem digitalen Reinraum sauber wiederherzustellen. Gemeinsam arbeiten IT-Ops und Sec-Ops daran, die Produktions-IT gehärtet neu aufzuspielen – und parallel den Angriff, betroffene Informationen sowie die ausgenutzten und existierenden Hintertüren zu untersuchen und zu schließen.

DSGVO als Vorarbeit für NIS2

Viele Prozesse, die IT-Verantwortliche aus Anlass der DSGVO etabliert haben, lassen sich auch für die NIS2-Compliance weiterführen:

Weiterentwickeln der Governance-Organisation: Die DSGVO hat den Datenschutzbeauftragten und andere Governance-Strukturen eingeführt. Nun verlangt NIS2 eindeutige Zuständigkeiten für Cybersicherheit, so verpflichtend die Position eines Chief Information Security Officers (CISO) oder vergleichbarer Funktionsträger. Unternehmen können die im Rahmen der DSGVO etablierten Governance-Strukturen adaptieren oder ausbauen.
Sichereitsmaßnahmen weiterführen: Die DSGVO fordert unter anderem Standards zu Pseudonymisierung, Verschlüsselung, Authentifikation und Zugangskontrolle. NIS2 erwartet vergleichbare, aber eher operativ eingestellte Cybersicherheitschecks. Viele der DSGVO-Sicherheitskontrollen realisieren die NIS2-Vorgaben vollständig oder zumindest zum Teil. So genügt es häufig schon, vorhandene IT-Sicherheitsmaßnahmen auszubauen.
Umfassende Dokumentation der Arbeit mit personenbezogenen Daten: DSGVO-Meldungen müssen dokumentieren, wie Unternehmen Daten verarbeiten und Datenschutz-Folgebewertungen liefern. NIS2 verlangt Belege über Vorfallreaktionen, Sicherheitsrichtlinien und Auditergebnisse. Verantwortliche für die Datensicherheit können die für eine DSGVO-Compliance aufgebauten zentralisierten Dokumentationssysteme zum Zweck der NIS2-Konformität weiterbenutzen und ausbauen.

Regelübergreifende Widerstandsfähigkeit

Verantwortliche haben mit NIS2 viel zu tun. Doch wer sich bereits für die DSGVO gut aufgestellt hat, kann sich jetzt die erbrachten Vorarbeiten zunutze machen. NIS2 bietet eine große Chance, dass das Sicherheitslevel insgesamt ansteigt. Wer seine Cyberresilienz dadurch stärkt, erarbeitet sich zudem einen klaren Wettbewerbsvorteil. Bisher sind Cyberangriffe Alltag. NIS2-Compliance mit geprüften und getesteten Strukturen und Prozessen kann es erreichen, echte Cyberresilienz zur Gewohnheit zu machen.

Ricardo José Garrido Reichelt, Principal Security Technologist EMEA, Office of the CTO (Commvault)