Wenn ein mittelständisches Unternehmen gleichzeitig unter die DSGVO und die NIS-2-Meldepflicht fällt, ist die naheliegendste Reaktion, für jedes Thema einen eigenen Berater zu beauftragen. Das ist nachvollziehbar, aber wirtschaftlich selten die beste Lösung: Beide Regelwerke verlangen zu großen Teilen dieselben Grundlagen, nur mit unterschiedlicher Terminologie.
Wer die Doppelpflicht getrennt behandelt, bezahlt am Ende für dieselbe Arbeit zweimal, nur unter zwei verschiedenen Rechnungsnummern.
Executive Summary
Der Ausgangspunkt: zwei Gesetze, eine Datenbasis
Die DSGVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30. NIS-2 verlangt ein Verzeichnis der IT-Systeme und Assets, die für die Erbringung wesentlicher Dienste relevant sind. Beide Verzeichnisse überschneiden sich in der Praxis erheblich, denn ein System, das personenbezogene Daten verarbeitet, ist in aller Regel auch ein System, das für NIS-2 relevant ist.
Wird das getrennt beauftragt, entstehen zwei unabhängige Bestandsaufnahmen, zwei Interviewrunden mit der IT-Abteilung, zwei Dokumentationsformate. Der doppelte Aufwand entsteht nicht, weil die Anforderungen unterschiedlich wären, sondern weil niemand die Überschneidung explizit macht.
Was getrennte Mandate tatsächlich kosten
Beratungshonorare im IT-Compliance-Umfeld liegen für erfahrene Fachkräfte aktuell bei rund 1.500 Euro pro Tag in der obersten Kompetenzstufe, mit rückläufiger Tendenz gegenüber den Vorjahren. Ein typisches DSGVO-Erstprojekt für ein mittelständisches Unternehmen umfasst häufig 8 bis 15 Beratertage, ein vergleichbares NIS-2-Erstprojekt bewegt sich in ähnlicher Größenordnung.
Die Einsparung entsteht nicht durch weniger Beratungsqualität, sondern durch weniger Wiederholung: Ein einmal sauber aufgebautes Verzeichnis von Systemen und Datenflüssen lässt sich auf beide Regelwerke abbilden, statt für jedes einzeln neu erhoben zu werden.
Der wichtigere Punkt: persönliche Haftung nach Artikel 20
Artikel 20 der NIS-2-Richtlinie verpflichtet die Geschäftsleitung persönlich, die Umsetzung angemessener Risikomanagementmaßnahmen zu billigen und zu überwachen. Anders als bei der DSGVO, wo in erster Linie das Unternehmen haftet, richtet sich diese Vorschrift ausdrücklich an die Leitungsorgane selbst.
Für die Geschäftsführung
Wer zwei getrennte Berater beauftragt und beide Ergebnisse nie zusammenführt, trägt am Ende persönlich das Risiko, dass Lücken entstehen, die keiner der beiden Berater in seinem jeweiligen Auftrag gesehen hat.
Genau das ist der eigentliche Grund, weshalb eine gemeinsame Datenbasis mehr ist als eine Kostenfrage: Sie verringert das Risiko, dass eine Lücke zwischen zwei Zuständigkeiten unbemerkt bleibt, für die die Geschäftsführung am Ende persönlich einzustehen hat.
Wann getrennte Mandate trotzdem sinnvoll sind
Nicht jedes Unternehmen profitiert gleich stark. Wenn die DSGVO-Compliance bereits seit Jahren stabil dokumentiert ist und nur die NIS-2-Anforderungen neu hinzukommen, ist ein spezialisiertes NIS-2-Mandat oft der schnellere Weg. Die Zusammenführung lohnt sich vor allem dort, wo beide Themen gleichzeitig neu aufgebaut werden müssen.
BAM-Mapping
| Framework | Kapitel | Überschneidung | Gemeinsames Dokument |
|---|---|---|---|
| DSGVO | Art. 30 | Verzeichnis von Verarbeitungstätigkeiten | Asset- und Datenflussinventar |
| NIS-2 | Art. 21 | Asset-Inventar für Risikomanagement | Asset- und Datenflussinventar |
| NIS-2 | Art. 20 | Persönliche Verantwortung der Geschäftsleitung | Freigabeprotokoll der Geschäftsführung |
Verknüpfte Frameworks: DSGVO · NIS-2
Unsere Empfehlung
Unsere Empfehlung
- Vor der Beauftragung prüfen, welche Nachweise DSGVO und NIS-2 tatsächlich doppelt verlangen
- Eine gemeinsame Bestandsaufnahme von Systemen und Datenflüssen als Grundlage für beide Regelwerke verlangen
- Getrennte Mandate nur dort beauftragen, wo ein Thema bereits stabil dokumentiert ist
- Die Zusammenführung beider Nachweise als eigenen Tagesordnungspunkt in die Geschäftsführung bringen, nicht nur an die IT delegieren
Quellen
- Richtlinie (EU) 2022/2555 (NIS-2), Art. 20 und Art. 21
- Verordnung (EU) 2016/679 (DSGVO), Art. 30 (Verzeichnis von Verarbeitungstätigkeiten)
- CIO.de, "IT-Berater-Tagessätze 2026: Das Ende der Preisrallye", cio.de