Schriftliche Frage 35 von Max Lucks (BÜNDNIS 90/DIE GRÜNEN): Welche Überschneidungen sieht die Bundesregierung zwischen der Datenschutzgrundverordnung (DSGVO) und der Richtlinie (EU) 2022/2555 des Euro…

Schriftliche Frage 35 von Max Lucks (BÜNDNIS 90/DIE GRÜNEN): Welche Überschneidungen sieht die Bundesregierung zwischen der Datenschutzgrundverordnung (DSGVO) und der Richtlinie (EU) 2022/2555 des Euro… Frage 35 (Max Lucks, BÜNDNIS 90/DIE GRÜNEN): Welche Überschneidungen sieht die Bundesregierung zwischen der Datenschutzgrundverordnung (DSGVO) und der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie), und welche Möglichkeiten zum Abbau von Bürokratie sieht die Bundesregierung durch Einführung der NIS-2- Richtlinie in das nationale Recht? Antwort der Parlamentarischen Staatssekretärin Daniela Ludwig vom 12. Oktober 2026: Die Datenschutzgrundverordnung (DSGVO) und die NIS-2-Richtlinie unterscheiden sich in Rechtsnatur, Schutzzielen und Regelungsgehalt grundsätzlich: Während die DSGVO den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum Gegenstand hat, verlangt die NIS-2-Richtlinie von den Mitgliedstaaten, Maßnahmenzur Sicherstellung eines hohen gemeinsamen Cybersicherheitsniveaus in der EU festzulegen, hat also im Kern den Schutz von Netz- und Informationssystemen kritischer Einrichtungen zum Ziel. Überschneidungen und damit mögliche Synergien können sich in der Praxis zwar in Bezug auf die nach den jeweiligen Rechtsakten bzw. deren nationale Umsetzungsgesetzen zu erfüllenden Pflichten ergeben, soweit deren Anwendungsbereiche sich überschneiden. So sind Verantwortliche und Auftragsverarbeiter beispielweise nach Artikel 32 DSGVO dazu verpflichtet, geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu treffen, während Artikel 21 NIS-2-Richtlinie den Mitgliedstaaten auferlegt, wesentliche und wichtige Einrichtungen zu verpflichten, geeignete und verhältnismäßige technische, operative Maßnahmen zur Verhinderung bzw. Minimierung von Risiken für die Sicherheit ihrer Netz- und Informationssysteme zu ergreifen. Im Hinblick auf die unterschiedlichen Schutzgüter sind die Anforderungen jedoch nicht deckungsgleich und bleiben damit parallel bzw. kumulativ zu beachten. Entsprechend gilt gemäß Artikel 2 Absatz 12 und 14 NIS-2-Richtlinie die Richtlinie unbeschadet der DSGVO und erfolgt die Verarbeitung personenbezogener Daten für die Zwecke der Richtlinie im Einklang mit der DSGVO. Nach Artikel 288 Absatz 3 Vertrag über die Arbeitsweise der Europäischen Union (AEUV) sind Richtlinien für jeden Mitgliedstaat, an den sie gerichtet sind, hinsichtlich des zu erreichenden Ziels verbindlich. Artikel 5 der NIS-2-Richtlinie sieht jedoch lediglich eine Mindestharmonisierung des Cybersicherheitsniveaus der Europäischen Union vor. Die Mitgliedstaaten werden daher nicht daran gehindert, strengere nationale Bestimmungen zu erlassen oder beizubehalten, sofern diese Bestimmungen mit den Pflichten der Mitgliedstaaten nach dem Unionsrecht im Einklang stehen. Im Sinne einer bürokratiearmen Richtlinienumsetzung wurden die Vorgaben der NIS-2-Richtlinie mit dem am 6. Dezember 2025 in Kraft getretenen Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung im Bereich der Wirtschaft 1:1 umgesetzt.