Drei Regelwerke. Ein Rahmen.
DSGVO, NIS-2 und EU AI Act einzeln zu behandeln heißt, dreimal zu bauen. Zusammen gedacht, baue ich einmal, und Sie nutzen es dreimal.
4–6 Wochen
Drei Regelwerke einzeln behandelt, kein gemeinsamer Rahmen
Zusammengeführter Compliance-Rahmen, dokumentiert
Geschäftsführung + Compliance + IT-Leitung
Drei Regelwerke, drei Berater, drei Rechnungen. Oder einmal richtig gedacht.
Vier Anzeichen, dass Sie gerade dreifach zahlen.
- DSGVO, NIS-2 und EU AI Act landen als drei getrennte Baustellen auf Ihrem Tisch.
- Für jedes Regelwerk gibt es ein eigenes Angebot, einen eigenen Berater, einen eigenen Kostenposten.
- Sie ahnen, dass sich vieles überschneidet — aber niemand denkt die drei zusammen.
- Die Frage „Was zuerst?“ beantwortet bisher keiner.
Was unterscheidet
DSGVO, NIS-2 und EU AI Act?
Die DSGVO schützt personenbezogene Daten. NIS-2 verlangt Cyber-Sicherheit von Unternehmen in wichtigen Sektoren. Der EU AI Act regelt den Einsatz von KI nach ihrem Risiko. In der Praxis überschneiden sich viele Prozesse und Pflichten.
DSGVO
Datenschutz-Grundverordnung
Schutz personenbezogener Daten.
- Verzeichnis der Verarbeitungstätigkeiten
- Rechtsgrundlagen, Auftragsverarbeitung, AVV
- Betroffenenrechte (Auskunft, Löschung, Widerspruch)
- Meldepflicht bei Datenpannen (72 h)
NIS-2
Network Information Security 2
Cyber-Sicherheit für kritische und wichtige Sektoren.
- Risikomanagement-Maßnahmen (Art. 21)
- Geschäftsleitung haftet persönlich
- Meldepflicht bei Sicherheitsvorfällen (24 h)
- Lieferketten-Sicherheit nachweisen
- Registrierung beim BSI — Frist am 06.03.2026 abgelaufen
EU AI Act
Verordnung 2024/1689
Risikobasierte Regulierung von KI-Systemen.
- Klassifizierung in 4 Risikoklassen
- KI-Kompetenz im Unternehmen Pflicht
- Hochrisiko: Doku, Aufsicht, Konformität
- Kennzeichnung von Chatbots, Deepfakes
Die drei Regelwerke im Vergleich
| DSGVO | NIS-2 | EU AI Act | |
|---|---|---|---|
| Schützt | personenbezogene Daten | Netz- und Informationssysteme von Einrichtungen in wichtigen Sektoren | Menschen und Organisationen vor Risiken durch KI |
| Betrifft | jedes Unternehmen, das personenbezogene Daten verarbeitet | wichtige Einrichtungen ab 50 Beschäftigten oder mit mehr als 10 Mio. € Umsatz und 10 Mio. € Bilanzsumme, besonders wichtige ab 250 Beschäftigten oder mit mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme, jeweils in 18 Sektoren | Anbieter und Betreiber von KI-Systemen, Pflichten nach Risikoklasse |
| Gilt seit | 25.05.2018 | 06.12.2025, ohne Übergangsfrist | 01.08.2024, gestaffelt bis 02.08.2028 |
| Kernpflichten | Rechtsgrundlage für jede Verarbeitung, Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Betroffenenrechte | Risikomanagement (§ 30 BSIG), Registrierung beim BSI (Frist 06.03.2026 abgelaufen), Schulung der Geschäftsleitung (§ 38 BSIG) | KI-Kompetenz (Art. 4), Transparenz (Art. 50), Hochrisiko-Pflichten ab 02.12.2027 |
| Meldung bei Vorfällen | Datenpanne möglichst binnen 72 Stunden an die Aufsichtsbehörde (Art. 33) | Frühwarnung binnen 24 Stunden, Vorfallsbericht binnen 72 Stunden, Abschlussbericht nach einem Monat (§ 32 BSIG) | schwerwiegende Vorfälle bei Hochrisiko-KI, Meldung durch den Anbieter an die Marktüberwachung (Art. 73) |
| Verantwortung | das Unternehmen als Verantwortlicher | Die Geschäftsleitung haftet persönlich (§ 38 BSIG). | Anbieter oder Betreiber. Bei Hochrisiko-KI kann ein Betreiber selbst zum Anbieter werden (Art. 25). |
| Bußgeld bis | 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist (Art. 83 Abs. 5) | 10 Mio. € oder 2 % bzw. 7 Mio. € oder 1,4 % des weltweiten Umsatzes, je nach Einrichtung | 35 Mio. € oder 7 % bei verbotenen Praktiken, sonst 15 Mio. € oder 3 %. Für KMU gilt jeweils der niedrigere Betrag (Art. 99). |
| Aufsicht | Landesdatenschutzbehörde, in NRW die LDI NRW | BSI | nationale Marktüberwachungsbehörden |
Stand: 10/2026. Quellen: DSGVO, Verordnung (EU) 2016/679 · BSI-Gesetz (BSIG) · Verordnung (EU) 2024/1689 · Änderungsverordnung (EU) 2026/1744
Was Sie einmal aufbauen —
und dreifach nutzen.
Sechs Felder, in denen DSGVO, NIS-2 und AI Act dieselbe Substanz fordern. Wer hier strukturiert investiert, erfüllt drei Pflichten gleichzeitig.
Verzeichnisse pflegen
Eine systematische Liste — egal ob Verarbeitungstätigkeiten (DSGVO), kritische Dienste (NIS-2) oder KI-Systeme (AI Act). Gleiche Logik, gleiches Werkzeug.
DSGVO · NIS-2 · AI Act
Risiko-Methodik
Ob Datenschutz-Folgenabschätzung, Cyber-Risiko-Analyse oder KI-Risikoklassifizierung — eine gemeinsame Methodik spart Doppelarbeit und macht Risiken vergleichbar.
DSGVO · NIS-2 · AI Act
Rollen & Verantwortung
Datenschutzbeauftragte, Informationssicherheitsbeauftragte, KI-Beauftragte — oder eine integrierte Compliance-Funktion. KMU-Realität: oft eine Person, klar geregelt.
DSGVO · NIS-2 · AI Act
Lieferanten-Steuerung
AVV (DSGVO), Lieferketten-Nachweise (NIS-2), KI-Komponenten in Drittsoftware (AI Act). Eine Lieferanten-Risiko-Matrix bedient alle drei.
DSGVO · NIS-2 · AI Act
Schulung & Awareness
Pflicht in allen drei Regelwerken. Ein integriertes Schulungsprogramm vermittelt Datenschutz, Cyber-Hygiene und KI-Kompetenz im selben Kontext.
DSGVO · NIS-2 · AI Act
Vorfallsbearbeitung
Datenpanne (72 h), Sicherheitsvorfall (24 h), KI-Fehlfunktion (unverzüglich). Ein Incident-Response-Prozess für alle drei — mit unterschiedlichen Eskalationspfaden.
DSGVO · NIS-2 · AI Act
Was in der Praxis
schiefläuft.
Drei Tools, drei Ablagen, drei Verantwortliche
Die Datenschutz-Beauftragte pflegt ihr Excel, der IT-Leiter ein anderes, die KI-Verantwortliche fängt von vorne an. Niemand sieht das Ganze. Aufwand verdreifacht, Substanz halbiert.
Compliance erst nach dem ersten Audit
Aufgewacht wird, wenn der Wirtschaftsprüfer fragt oder ein Großkunde Nachweise verlangt. Dann muss in 4 Wochen geschehen, was 18 Monate Vorlauf gebraucht hätte.
Externe Dienstleister außen vor
Hosting, IT-Service-Provider, SaaS-Tools mit KI-Komponenten — nicht eingebunden, nicht vertraglich geregelt. Im Vorfall stellt sich heraus: Pflichten nicht erfüllbar, weil Lieferanten nicht mitspielen.
Pflichten erfüllen statt Substanz aufbauen
Eine Datenschutz-Erklärung copy-paste, ein Sicherheitskonzept als PDF, eine KI-Leitlinie aus dem Internet. Compliance auf dem Papier — ohne dass es im Betrieb gelebt wird. Das wird im Ernstfall sichtbar.
Ein gemeinsamer Startplan
in vier Schritten.
-
01
Bestandsaufnahme
Was haben Sie heute? DSGVO-Verzeichnis vorhanden? NIS-2-Selbsteinstufung gemacht? KI-Inventar gepflegt? Eine ehrliche Standortbestimmung über alle drei.
Liefert: dokumentierter Status quo
-
02
Schnittmengen identifizieren
Wo sind Pflichten gleich oder ähnlich? Welche Systeme sind in mehr als einem Regelwerk relevant? Schnittmengen-Karte mit Prioritäten.
Liefert: Schnittmengen-Inventar
-
03
Gemeinsame Basis aufbauen
Eine integrierte Architektur: ein Verzeichnis, eine Risiko-Methodik, eine Schulungsreihe, eine Vorfalls-Logik — statt drei Parallelwelten.
Liefert: Compliance-Architektur
-
04
Pflichten gestaffelt erfüllen
DSGVO ist Pflicht. NIS-2-Pflichten greifen bereits, die Registrierungsfrist ist abgelaufen. Beim AI Act gelten die Transparenzpflichten seit August 2026, die Hochrisiko-Pflichten erst ab Dezember 2027. Reihenfolge nach echtem Risiko, nicht nach Frist-Druck.
Liefert: rollierender Maßnahmenplan
Was danach zusammenpasst.
Ein gemeinsamer Rahmen
DSGVO, NIS-2 und AI Act in einer Logik — statt drei Silos.
Priorisierter Maßnahmenplan
Was zuerst Pflicht ist, was warten kann — am Risiko geordnet.
Nachweisbare Sorgfalt
Dokumentiert und prüffest, wenn Aufsicht oder Kunde fragt.
Was Entscheider
am häufigsten fragen.
01 Sind wir überhaupt von NIS-2 betroffen? +
Direkt: Ja, wenn Sie 50 MA oder 10 Mio. € Umsatz haben und in einem der 18 NIS-2-Sektoren tätig sind. Indirekt: auch wenn Sie Zulieferer eines NIS-2-Pflichtigen sind — Ihre Großkunden werden Nachweise verlangen. Klärung in einer Stunde.
02 Reicht es nicht, die DSGVO sauber zu haben? +
Nein. Die DSGVO regelt Daten, NIS-2 regelt Sicherheit, der AI Act regelt KI-Entscheidungen. Sie können in der DSGVO sauber sein und gleichzeitig NIS-2-Pflichten verletzen — etwa weil ein Sicherheitsvorfall nicht binnen 24 h gemeldet wurde. Drei Logiken, drei Fristen.
03 Was kostet eine zusammengeführte Compliance-Architektur? +
Bestandsaufnahme über alle drei: 2–4 Termine. Aufbau der gemeinsamen Basis: abhängig vom Reifegrad — typisch 3–6 Monate begleitend. Wer bei Null startet, braucht länger; wer schon DSGVO-Strukturen hat, baut darauf auf.
04 Brauchen wir drei verschiedene Beauftragte? +
Pflicht ist nur der Datenschutzbeauftragte (DSGVO). Bei NIS-2 haftet die Geschäftsleitung persönlich; ein dedizierter Informationssicherheitsbeauftragter ist sinnvoll. AI-Act: KI-Kompetenz ist Pflicht, ein KI-Beauftragter nicht. KMU-Praxis: oft eine integrierte Rolle.
05 Was ist die größte Falle? +
Aufbau in Silos. Wenn Sie für jedes Regelwerk separat ein Werkzeug, eine Methodik und eine Verantwortliche aufbauen, multiplizieren sich Kosten und Aufwand — und im Vorfall reden die drei Systeme nicht miteinander. Genau dafür gibt es die gemeinsame Logik.
06 Wann sollten wir anfangen? +
Heute, wenn Sie noch nichts haben. In drei Monaten, wenn Sie bei DSGVO sauber sind und nur NIS-2 / AI Act fehlen. Was Sie nicht tun sollten: warten, bis ein Audit, ein Vorfall oder ein Großkunde es erzwingt — dann sind die Optionen viel teurer.
Eine ehrliche Compliance-Standortbestimmung —
über alle drei Regelwerke.
Kostenfreies Erstgespräch. 20 Minuten. Danach wissen wir beide, ob die Triade-Logik bei Ihnen Substanz hätte.