Häufige Fragen zu IT, Datenschutz und Informationssicherheit

Informationssicherheit schützt alle Informationen und damit die Organisation vor Verlust von Vertraulichkeit, Integrität und Verfügbarkeit. Datenschutz schützt Menschen bei der Verarbeitung ihrer personenbezogenen Daten und fragt zuerst, ob eine Verarbeitung überhaupt zulässig ist.

IT-Sicherheit ist der technische Teil und schützt IT-Systeme und digitale Daten. Informationssicherheit umfasst zusätzlich Papier, Wissen von Personen, Prozesse und Organisation.

Eine Zertifizierung ist grundsätzlich freiwillig. Für NIS-2-Einrichtungen sind die Risikomanagementmaßnahmen nach § 30 BSIG aber Pflicht, und ein ISMS nach ISO 27001 ist ein anerkannter Weg, sie umzusetzen und nachzuweisen.

Seit dem 6. Dezember 2025. Das NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301).

In der Regel dann, wenn das Unternehmen einer Einrichtungsart der Anlagen 1 oder 2 des BSIG zuzuordnen ist und mindestens 50 Beschäftigte hat oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme aufweist. Einige Einrichtungsarten sind unabhängig von der Größe erfasst.

Nach § 32 BSIG eine Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung nach einem Monat. Sind personenbezogene Daten betroffen, gilt zusätzlich die 72-Stunden-Frist an die Datenschutzaufsicht nach Art. 33 DSGVO.

In Deutschland in der Regel, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG), sowie unabhängig von der Zahl in den Fällen des Art. 37 DSGVO oder wenn eine Datenschutz-Folgenabschätzung erforderlich ist.

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, zum Beispiel Verschlüsselung, Zugriffsrechte, Datensicherung, Protokollierung, Schulungen und Vertretungsregeln. Sie müssen dem Risiko angemessen sein und regelmäßig auf Wirksamkeit überprüft werden.

In der Regel nicht, weil ein Interessenkonflikt besteht: Der Datenschutzbeauftragte würde Entscheidungen überwachen, die er selbst als IT-Leiter getroffen hat. Art. 38 Abs. 6 DSGVO verlangt, dass andere Aufgaben nicht zu einem Interessenkonflikt führen.

Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen und überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung nach gesellschaftsrechtlichen Regeln für den entstandenen Schaden.

Ja. Bestandsaufnahme, Risikomanagement, Maßnahmenkatalog, Vorfallprozess und Audits lassen sich gemeinsam nutzen. Die ISO/IEC 27701 bietet dafür eine zertifizierbare Erweiterung der ISO/IEC 27001.

Die Plattform MGMSYS bildet ISMS nach ISO 27001, Datenschutz nach DSGVO und NIS-2-Pflichten in einem System ab, verknüpft Risiken, Maßnahmen und Nachweise und ist in Deutschland gehostet.