Integriertes Managementsystem: NIS2, DSGVO und AI Act verbinden

NIS2, Datenschutz-Grundverordnung (DSGVO) und AI Act verlangen jeweils Risikoanalysen, Prozesse für Vorfälle, geschulte Beschäftigte und belastbare Nachweise. Wer jede Vorgabe isoliert umsetzt, baut drei Risikomethoden, drei Schulungsprogramme und drei Dokumentationsstränge auf. Ein integriertes Managementsystem für NIS2, DSGVO und AI Act verbindet die gemeinsamen Bausteine in einem Steuerungsrahmen.

Integration heißt aber nicht Gleichsetzung. Die drei Rechtsakte schützen unterschiedliche Güter, richten sich an unterschiedliche Adressaten und kennen eigene Meldewege und Fristen. Dieser Beitrag richtet sich an Geschäftsführung, Informationssicherheits- und Datenschutzverantwortliche. Er zeigt, was sich sinnvoll bündeln lässt und welche Unterschiede bestehen bleiben müssen.

Warum ein integriertes Managementsystem für NIS2, DSGVO und AI Act sinnvoll ist

Die Überschneidungen sind kein Zufall. Alle drei Rechtsakte folgen einem risikobasierten Ansatz: Maßnahmen sollen dem Risiko angemessen sein, und ihre Umsetzung muss nachvollziehbar sein. Damit greifen sie auf dieselben Grundfunktionen einer Organisation zurück.

Ohne Integration entstehen typische Reibungsverluste: Dieselbe Cloud-Anwendung wird für das ISMS, das Verzeichnis von Verarbeitungstätigkeiten und das KI-Register dreimal unterschiedlich beschrieben. Ein Sicherheitsvorfall wird vom IT-Team bearbeitet, ohne dass der Datenschutz rechtzeitig davon erfährt. Die Geschäftsleitung erhält drei Berichte mit drei verschiedenen Risikoskalen.

Ein gemeinsamer Rahmen löst das nicht automatisch. Er schafft aber die Voraussetzung, dass Informationen einmal erhoben und mehrfach genutzt werden.

Was NIS2, DSGVO und AI Act unterscheidet

Bevor Prozesse zusammengelegt werden, sollten die Unterschiede klar sein. Die folgende Übersicht ist vereinfacht und ersetzt nicht die Prüfung des Einzelfalls.

	NIS2 (BSIG)	DSGVO	AI Act
Schutzgut	Sicherheit und Verfügbarkeit von IT-Systemen und Diensten der Einrichtung	Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten	Gesundheit, Sicherheit und Grundrechte beim Einsatz von KI
Adressaten	wichtige und besonders wichtige Einrichtungen nach § 28 BSIG (Sektor und Größe)	alle Verantwortlichen und Auftragsverarbeiter	Anbieter, Betreiber und weitere Akteure, Pflichten nach Rolle und Risikoklasse
Meldeweg und Frist	Meldestelle von BSI und BBK, 24 h / 72 h / 1 Monat (§ 32 BSIG)	zuständige Datenschutz-Aufsichtsbehörde, unverzüglich und möglichst binnen 72 h, außer bei voraussichtlich keinem Risiko für Betroffene (Art. 33 DSGVO)	bei Hochrisiko-KI: Betreiber informieren bei schwerwiegenden Vorfällen unverzüglich zuerst den Anbieter, dann Einführer oder Händler und die Marktüberwachungsbehörde (Art. 26 Abs. 5), anwendbar ab 2. Dezember 2027 bzw. 2. August 2028
Aufsicht in Deutschland	BSI	Datenschutz-Aufsichtsbehörden von Bund und Ländern	Bundesnetzagentur als zentrale Marktüberwachung (KI-MIG), BaFin für Finanzbereich

Daraus folgt: Ein Vorfall kann gleichzeitig unter mehrere Meldepflichten fallen, mit unterschiedlichen Empfängern und Inhalten. Und ein Risiko, das für die Informationssicherheit gering ist, kann für die Rechte betroffener Personen hoch sein. Ein gemeinsamer Prozess muss diese Perspektiven abbilden, nicht zu einer verschmelzen.

Gemeinsame Prozesse und gemeinsame Risiken

Bewährt hat sich, die Bausteine zu bündeln, die alle drei Rechtsakte voraussetzen, und an definierten Stellen in die jeweilige Spezialprüfung abzuzweigen.

Ein Risikoprozess, mehrere Bewertungsperspektiven

Eine gemeinsame Methode für Identifikation, Bewertung und Behandlung von Risiken spart viel Aufwand. Entscheidend ist, dass sie mehrere Auswirkungsdimensionen kennt: Auswirkungen auf das Unternehmen und seine Dienste (NIS2), auf betroffene Personen (DSGVO, etwa als Grundlage für eine Datenschutz-Folgenabschätzung nach Art. 35) und auf Gesundheit, Sicherheit und Grundrechte (AI Act). Die Bewertung erfolgt dann je Perspektive, der Prozess bleibt derselbe.

Ein Inventar mit Querverweisen

Asset-Verzeichnis, Verzeichnis von Verarbeitungstätigkeiten und KI-Register müssen nicht dasselbe Dokument sein. Sie sollten aber aufeinander verweisen, damit eine Anwendung überall gleich benannt ist und Änderungen nicht nur an einer Stelle ankommen.

Ein Vorfallprozess mit Meldeweiche

Ein gemeinsamer Prozess zur Vorfallbearbeitung sollte früh drei Fragen stellen: Ist der Vorfall nach § 32 BSIG erheblich? Sind personenbezogene Daten betroffen? Ist ein KI-System beteiligt, für das besondere Pflichten gelten? Je nach Antwort laufen die Meldungen parallel, mit eigenen Fristen.

Lieferanten, Schulungen, Dokumentenlenkung

Auch Lieferantenmanagement (Lieferkettensicherheit nach § 30 BSIG, Auftragsverarbeitung nach Art. 28 DSGVO, Prüfung von KI-Anbietern), Schulungen (Leitungsschulung nach § 38 Abs. 3 BSIG, KI-Kompetenz nach Art. 4 AI Act, Datenschutzsensibilisierung) und die Lenkung von Dokumenten lassen sich gemeinsam organisieren. Die Inhalte unterscheiden sich, Planung, Durchführung und Nachweis können einheitlich laufen.

Nachweise einmal erzeugen, mehrfach nutzen

Alle drei Rechtsakte verlangen, dass Maßnahmen nachvollziehbar sind: § 30 BSIG fordert die Dokumentation der Risikomanagementmaßnahmen, die DSGVO die Rechenschaftspflicht des Verantwortlichen (Art. 5 Abs. 2), der AI Act etwa von Betreibern von Hochrisiko-KI, automatisch erzeugte Protokolle mindestens sechs Monate aufzubewahren (Art. 26 Abs. 6) und die menschliche Aufsicht kompetenten, geschulten und befugten Personen zu übertragen (Art. 26 Abs. 2). Ein gemeinsames Nachweisverzeichnis ordnet jedem Dokument zu, welche Anforderungen es abdeckt. Eine Zugriffsrichtlinie kann so gleichzeitig als Nachweis für die Zugriffskontrolle nach § 30 BSIG und für technische und organisatorische Maßnahmen nach Art. 32 DSGVO dienen.

Ein Managementsystem als Rahmen

Den organisatorischen Rahmen liefert häufig ein Managementsystem nach einer etablierten Norm, etwa ein ISMS nach ISO/IEC 27001. Es bringt Zyklen für Planung, Umsetzung, Prüfung und Verbesserung mit, in die sich Datenschutz- und KI-Anforderungen einhängen lassen. Wichtig dabei: Eine Norm ersetzt keine gesetzliche Pflicht. Sie ist ein Werkzeug, um Pflichten strukturiert umzusetzen und nachzuweisen.

Rollen und Verantwortlichkeiten klar trennen

Integration darf Rollen nicht vermischen, die gesetzlich unterschiedlich angelegt sind. Der Datenschutzbeauftragte hat nach Art. 39 DSGVO vor allem beratende und überwachende Aufgaben; andere Aufgaben darf er nach Art. 38 Abs. 6 DSGVO nur übernehmen, wenn sie zu keinem Interessenkonflikt führen. Die Informationssicherheit verantwortet dagegen häufig selbst Maßnahmen. Für KI empfiehlt sich eine benannte Zuständigkeit, die nicht zwingend eine neue Stelle sein muss.

Gemeinsam ist allen drei Bereichen die Verantwortung der Leitung. Für NIS2 verlangt § 38 BSIG ausdrücklich, dass die Geschäftsleitung die Maßnahmen umsetzt und überwacht. Ein gemeinsames Gremium oder ein regelmäßiger, gebündelter Bericht an die Leitung ist deshalb ein naheliegender Integrationspunkt.

Ein Beispiel zur Veranschaulichung

Ein mittelständischer IT-Dienstleister mit 120 Beschäftigten hat nach eigener Prüfung festgestellt, dass er als wichtige Einrichtung unter NIS2 fällt. Er verarbeitet Kundendaten im Auftrag und setzt im Support einen KI-Assistenten ein, der Tickets vorsortiert und Antwortentwürfe erstellt.

Isoliert betrachtet entstünden ein ISMS-Projekt, ein Datenschutzprojekt und eine KI-Richtlinie, jeweils mit eigener Risikoliste. Integriert sieht es so aus: Der KI-Assistent wird einmal inventarisiert und mit Verarbeitungsverzeichnis und Asset-Liste verknüpft. Die Risikoanalyse bewertet ihn aus allen drei Perspektiven. Der Vorfallprozess enthält eine Prüffrage, ob der Assistent beteiligt war. Die Schulung deckt Informationssicherheit, Datenschutz und KI-Kompetenz in abgestimmten Modulen ab.

Die rechtlichen Unterschiede bleiben dabei erhalten. Ob der Assistent etwa unter die Transparenzpflichten nach Art. 50 AI Act fällt, wird gesondert geprüft. Der Aufwand sinkt, weil die Grundlagen nur einmal geschaffen werden.

Was Sie jetzt tun können

1. Anforderungen sammeln: Welche Rechtsakte gelten tatsächlich für Ihr Unternehmen? Nicht jedes Unternehmen fällt unter NIS2 oder betreibt Hochrisiko-KI.
2. Bestand aufnehmen: Welche Prozesse, Verzeichnisse und Rollen gibt es bereits, und wo laufen sie parallel?
3. Gemeinsame Risikomethode festlegen, mit getrennten Auswirkungsdimensionen.
4. Vorfallprozess um eine Meldeweiche ergänzen und alle Fristen in einer Übersicht hinterlegen.
5. Inventare verknüpfen: Assets, Verarbeitungstätigkeiten und KI-Systeme mit einheitlicher Benennung.
6. Leitungsbericht bündeln: ein regelmäßiger Bericht mit einheitlicher Risikoskala.

Als Rahmen eignet sich häufig ein bestehendes oder neu aufzubauendes ISMS. Wie das konkret aussehen kann, zeigt die Seite zum Aufbau eines ISMS nach ISO/IEC 27001. Für die KI-spezifischen Anforderungen gibt es zusätzlich Unterstützung zur KI-Governance und zum EU AI Act.

Vertiefend: Die Pflichten nach NIS2 erläutert der Beitrag NIS2 für Unternehmen, den Überblick über alle Rechtsakte gibt die EU-Digitalregulierung im Überblick. Wie die Managementsystem-Normen technisch zusammenspielen, beschreibt KI-Managementsystem und ISMS.

Fazit

Integrierte Governance spart Aufwand, weil Risikoanalyse, Inventar, Vorfallprozess, Schulung und Nachweise nur einmal aufgebaut werden. Sie verlangt aber Disziplin bei den Unterschieden: Schutzgüter, Adressaten, Meldewege und Fristen bleiben je Rechtsakt eigenständig. Ein integriertes Managementsystem ist kein Garant für die Erfüllung aller Pflichten, aber eine solide Grundlage, um sie steuerbar zu machen.

Quellen

• § 28 BSIG, § 32 BSIG und § 38 BSIG, Bundesministerium der Justiz
• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), EUR-Lex
• DSGVO – BDSG: Texte und Erläuterungen, BfDI
• Regulatory framework for AI, Europäische Kommission
• Article 26 Obligations of deployers of high-risk AI systems, AI Act Service Desk, Europäische Kommission
• Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), Bundesministerium der Justiz