Wer schützt hier eigentlich wen?
Der Unterschied liegt nicht bei den Maßnahmen, sondern beim Schutzziel, und daraus folgen zwei getrennte Meldewege mit zwei Uhren, die gleichzeitig laufen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Zwei Uhren starten beim selben Vorfall, und nur eine steht im Notfallplan
Seit die Pflichten aus NIS2 in Deutschland greifen, sitzen Datenschutz und Informationssicherheit bei denselben Vorfällen am selben Tisch. Ein Verschlüsselungsangriff auf ein Fachverfahren ist beides: eine Verletzung des Schutzes personenbezogener Daten und ein erheblicher Sicherheitsvorfall. Die Meldung an die Datenschutzaufsicht ist nach Artikel 33 Absatz 1 möglichst binnen 72 Stunden fällig, die frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK nach Paragraf 32 BSIG binnen 24 Stunden. Beide Uhren starten mit der Kenntnis, und die schnellere steht in den wenigsten Notfallplänen.
Die zweite Verwechslung betrifft das Zertifikat. Ein Zertifikat nach ISO/IEC 27001 belegt, dass ein Managementsystem in einem festgelegten Geltungsbereich funktioniert. Es belegt nicht, dass ein bestimmtes Produkt sicher ist, und es erfüllt keine gesetzliche Pflicht aus DSGVO oder BSIG. Wenn der Geltungsbereich nur den Rechenzentrumsbetrieb umfasst, sagt das Zertifikat über die Anwendungsentwicklung nichts, und genau diese Einschränkung steht auf dem Dokument, wird aber selten gelesen.
Die dritte Verwechslung ist organisatorisch. Weil die Maßnahmen sich überschneiden, wird die Zuständigkeit oft an eine Stelle gegeben, meist an die IT-Sicherheit. Dann bleibt der Teil liegen, den nur der Datenschutz leisten kann: die Rechte der betroffenen Personen, die Rechtsgrundlagen und die Frage, ob eine Verarbeitung überhaupt stattfinden darf. Verfügbarkeit ist ein Sicherheitsziel und im Datenschutz nur ein Nebenaspekt, Rechtmäßigkeit ist ein Datenschutzziel und in der Informationssicherheit gar keins.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der direkte Vergleich
DSGVO
europäisches Recht, gilt jedem gegenüber, der personenbezogene Daten verarbeitet
NIS2 im BSIG
deutsches Recht, gilt Einrichtungen bestimmter Sektoren ab bestimmten Größen
ISO/IEC 27001
freiwillige Norm für ein Managementsystem, verbindlich nur durch Vertrag oder Ausschreibung
| Entscheidungsfrage | DSGVO | NIS2 im BSIG | ISO/IEC 27001 |
|---|---|---|---|
| Wie viel Handlungsdruck erzeugt das Regelwerk aus sich heraus? | Schwäche Hoch und dauerhaft, weil einzelne Personen ihre Rechte selbst geltend machen. Eine Auskunft, eine Löschanfrage oder eine Beschwerde erzeugt jederzeit eine Frist, ohne dass eine Behörde tätig werden muss. | Kommt darauf an Hoch im Ernstfall, gering im Alltag. Einzelne Personen haben keine eigenen Ansprüche, der Druck entsteht über Registrierung, Nachweise und die Aufsicht des Bundesamts. | Stärke Nur so viel, wie ihr selbst vereinbart habt, plus die Termine des Auditzyklus. Von außen fragt danach niemand, solange kein Vertrag und keine Ausschreibung das Zertifikat verlangt. |
| Wer ist erfasst? | Stärke Jede Stelle, die personenbezogene Daten verarbeitet, ohne Untergrenze. Größe und Branche ändern nur den Umfang der Pflichten, nicht die Anwendbarkeit. | Kommt darauf an Einrichtungen bestimmter Sektoren ab bestimmten Schwellen, dazu einige Einrichtungsarten unabhängig von der Größe. Die Prüfung der eigenen Betroffenheit ist der erste und oft schwierigste Schritt. | Schwäche Niemand von Gesetzes wegen. Verbindlich wird die Norm über Kundenanforderungen, Ausschreibungen und Lieferkettenvorgaben, und genau deshalb kommt sie oft über den Vertrieb ins Haus. |
| Wohin und wie schnell wird ein Vorfall gemeldet? | Kommt darauf an An die zuständige Datenschutzaufsicht, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, sofern ein Risiko besteht. Bei hohem Risiko zusätzlich an die betroffenen Personen. | Schwäche An die gemeinsame Meldestelle von BSI und BBK, in drei Stufen: 24 Stunden, 72 Stunden und ein Monat. Die erste Stufe ist die engste Frist im gesamten Vergleich. | Stärke An niemanden außerhalb. Die Norm verlangt einen geregelten internen Umgang mit Sicherheitsvorfällen, die Fristen setzt ihr selbst und haltet sie in der eigenen Regelung fest. |
| Was trifft die Geschäftsleitung persönlich? | Kommt darauf an Die Verantwortung liegt bei der Stelle, nicht bei einer Person. Bußgelder treffen das Unternehmen, ein Rückgriff läuft über das allgemeine Gesellschaftsrecht. | Schwäche Paragraf 38 BSIG nimmt Leitungspersonen ausdrücklich in die Pflicht, verlangt eine eigene regelmäßige Schulung und lässt sie bei schuldhafter Pflichtverletzung ihrer Einrichtung für den Schaden haften. | Stärke Die Norm verlangt Führung und Verpflichtung der obersten Leitung sowie eine Managementbewertung, knüpft daran aber keine Außenhaftung. |
| Was belegt ein Nachweis nach außen? | Kommt darauf an Die Rechenschaftspflicht verlangt Nachweise, kennt aber kein allgemein anerkanntes Zertifikat. Belegt wird über Verzeichnis, Maßnahmen, Verträge und dokumentierte Entscheidungen. | Kommt darauf an Für bestimmte Einrichtungen sind Nachweise gegenüber dem Bundesamt vorgesehen. Ein Zertifikat ersetzt die gesetzliche Pflicht nicht, kann die Nachweisführung aber erheblich abkürzen. | Stärke Ein Zertifikat einer akkreditierten Stelle für einen benannten Geltungsbereich. Das ist der einzige der drei Wege, der ein Papier liefert, das ein Kunde direkt anerkennen kann. |
| Was passiert bei einem Verstoß? | Schwäche Bußgelder bis zu zwanzig Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes nach Artikel 83 Absatz 5, dazu Schadenersatzansprüche betroffener Personen nach Artikel 82. | Schwäche Bußgelder, aufsichtsbehördliche Anordnungen des Bundesamts und die persönliche Haftung der Leitung gegenüber der eigenen Einrichtung. | Kommt darauf an Abweichungen im Audit, im schlechtesten Fall der Entzug des Zertifikats. Die wirtschaftliche Folge entsteht dort, wo ein Vertrag oder eine Ausschreibung das Zertifikat voraussetzt. |
Wie viel Handlungsdruck erzeugt das Regelwerk aus sich heraus?
Hoch und dauerhaft, weil einzelne Personen ihre Rechte selbst geltend machen. Eine Auskunft, eine Löschanfrage oder eine Beschwerde erzeugt jederzeit eine Frist, ohne dass eine Behörde tätig werden muss.
Hoch im Ernstfall, gering im Alltag. Einzelne Personen haben keine eigenen Ansprüche, der Druck entsteht über Registrierung, Nachweise und die Aufsicht des Bundesamts.
Nur so viel, wie ihr selbst vereinbart habt, plus die Termine des Auditzyklus. Von außen fragt danach niemand, solange kein Vertrag und keine Ausschreibung das Zertifikat verlangt.
Wer ist erfasst?
Jede Stelle, die personenbezogene Daten verarbeitet, ohne Untergrenze. Größe und Branche ändern nur den Umfang der Pflichten, nicht die Anwendbarkeit.
Einrichtungen bestimmter Sektoren ab bestimmten Schwellen, dazu einige Einrichtungsarten unabhängig von der Größe. Die Prüfung der eigenen Betroffenheit ist der erste und oft schwierigste Schritt.
Niemand von Gesetzes wegen. Verbindlich wird die Norm über Kundenanforderungen, Ausschreibungen und Lieferkettenvorgaben, und genau deshalb kommt sie oft über den Vertrieb ins Haus.
Wohin und wie schnell wird ein Vorfall gemeldet?
An die zuständige Datenschutzaufsicht, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, sofern ein Risiko besteht. Bei hohem Risiko zusätzlich an die betroffenen Personen.
An die gemeinsame Meldestelle von BSI und BBK, in drei Stufen: 24 Stunden, 72 Stunden und ein Monat. Die erste Stufe ist die engste Frist im gesamten Vergleich.
An niemanden außerhalb. Die Norm verlangt einen geregelten internen Umgang mit Sicherheitsvorfällen, die Fristen setzt ihr selbst und haltet sie in der eigenen Regelung fest.
Was trifft die Geschäftsleitung persönlich?
Die Verantwortung liegt bei der Stelle, nicht bei einer Person. Bußgelder treffen das Unternehmen, ein Rückgriff läuft über das allgemeine Gesellschaftsrecht.
Paragraf 38 BSIG nimmt Leitungspersonen ausdrücklich in die Pflicht, verlangt eine eigene regelmäßige Schulung und lässt sie bei schuldhafter Pflichtverletzung ihrer Einrichtung für den Schaden haften.
Die Norm verlangt Führung und Verpflichtung der obersten Leitung sowie eine Managementbewertung, knüpft daran aber keine Außenhaftung.
Was belegt ein Nachweis nach außen?
Die Rechenschaftspflicht verlangt Nachweise, kennt aber kein allgemein anerkanntes Zertifikat. Belegt wird über Verzeichnis, Maßnahmen, Verträge und dokumentierte Entscheidungen.
Für bestimmte Einrichtungen sind Nachweise gegenüber dem Bundesamt vorgesehen. Ein Zertifikat ersetzt die gesetzliche Pflicht nicht, kann die Nachweisführung aber erheblich abkürzen.
Ein Zertifikat einer akkreditierten Stelle für einen benannten Geltungsbereich. Das ist der einzige der drei Wege, der ein Papier liefert, das ein Kunde direkt anerkennen kann.
Was passiert bei einem Verstoß?
Bußgelder bis zu zwanzig Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes nach Artikel 83 Absatz 5, dazu Schadenersatzansprüche betroffener Personen nach Artikel 82.
Bußgelder, aufsichtsbehördliche Anordnungen des Bundesamts und die persönliche Haftung der Leitung gegenüber der eigenen Einrichtung.
Abweichungen im Audit, im schlechtesten Fall der Entzug des Zertifikats. Die wirtschaftliche Folge entsteht dort, wo ein Vertrag oder eine Ausschreibung das Zertifikat voraussetzt.
Was passt wann
- Wenn ihr personenbezogene Daten verarbeitet und unterhalb der NIS2-Schwellen liegt
- reicht die DSGVO als Pflicht, und ISO/IEC 27001 wird erst dann zum Thema, wenn ein Kunde danach fragt.
- Wenn ihr in einem erfassten Sektor liegt und die Größenschwellen erreicht
- prüft zuerst die Registrierung nach Paragraf 33 BSIG und baut danach die 24-Stunden-Meldung in euren Notfallplan ein.
- Wenn ihr beide Pflichten habt und ohnehin ein Managementsystem aufbaut
- führt einen Maßnahmenkatalog mit Kennungen und ordnet jeder Maßnahme zu, welche Anforderung sie belegt.
Ein Vorfall, zwei Meldewege, drei Fristen
- 01 Stunde null: Der Vorfall wird bekannt, beide Uhren starten mit dieser Kenntnis.
- 02 Binnen 24 Stunden: frühe Erstmeldung an die gemeinsame Meldestelle nach Paragraf 32 BSIG.
- 03 Binnen 72 Stunden: Meldung an die Datenschutzaufsicht nach Artikel 33 DSGVO.
- 04 Binnen 72 Stunden: Bestätigung und erste Bewertung des Vorfalls für die Meldestelle.
- 05 Bei hohem Risiko: Benachrichtigung der betroffenen Personen nach Artikel 34 DSGVO.
- 06 Binnen eines Monats: Abschlussmeldung an die Meldestelle nach Paragraf 32 BSIG.
Was du danach in der richtigen Schublade ablegst
Die drei Regelwerke lassen sich gemeinsam führen, wenn die Trennung an den richtigen Stellen erhalten bleibt. Was sich zusammenlegen lässt, sind Maßnahmen, Nachweise und ein Teil der Dokumentation. Was getrennt bleiben muss, sind die Meldewege, die Fristen und die Frage nach der Rechtmäßigkeit.
Betroffenheit getrennt feststellen
Die DSGVO gilt jedem gegenüber, der personenbezogene Daten verarbeitet. NIS2 knüpft an Sektor und Größe an: besonders wichtige Einrichtungen ab 250 Beschäftigten oder mehr als fünfzig Millionen Euro Jahresumsatz zusammen mit mehr als 43 Millionen Euro Bilanzsumme, wichtige Einrichtungen ab fünfzig Beschäftigten oder mehr als zehn Millionen Euro bei Umsatz und Bilanzsumme.
Die Registrierungsfrist kennen
Paragraf 33 BSIG verlangt die Registrierung binnen drei Monaten, nachdem eine Einrichtung erstmals oder erneut unter die Pflicht fällt. Die Frist läuft unabhängig davon, ob euch jemand darauf hinweist. Wer bei Inkrafttreten des Gesetzes bereits unter die Pflicht fiel, hätte die Registrierung längst erledigt haben müssen; wer erst durch Wachstum oder eine neue Tätigkeit hineinwächst, muss den Zeitpunkt selbst festhalten, weil die Frist von ihm aus zählt.
Die Meldeketten nebeneinanderlegen
Nach Paragraf 32 BSIG gilt: frühe Erstmeldung binnen 24 Stunden, Bestätigung mit erster Bewertung binnen 72 Stunden, Abschlussmeldung binnen eines Monats. Nach Artikel 33 DSGVO gilt eine Meldung möglichst binnen 72 Stunden, bei hohem Risiko zusätzlich die Benachrichtigung der Betroffenen nach Artikel 34.
Die persönliche Verantwortung der Leitung sehen
Paragraf 38 BSIG verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen, und schreibt eine regelmäßige eigene Schulung vor. Bei schuldhafter Pflichtverletzung haften sie ihrer Einrichtung für den Schaden.
Maßnahmen einmal führen, zweimal nachweisen
Artikel 32 DSGVO verlangt Maßnahmen nach dem Stand der Technik, ISO/IEC 27001 liefert dafür einen geordneten Katalog. Wer die Maßnahmen mit einer Kennung versieht, kann denselben Nachweis für beide Zwecke verwenden, statt zwei Listen zu pflegen.
Den Geltungsbereich zuerst lesen
Bei jedem Zertifikat eines Anbieters ist die erste Frage, welcher Bereich abgedeckt ist und welche Fassung der Norm zugrunde liegt. Ein Zertifikat mit einem eng gezogenen Geltungsbereich ist kein Beleg für die Leistung, die ihr tatsächlich einkauft.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Drei Schutzziele, die man nicht ineinander übersetzen kann
Die DSGVO fragt zuerst, ob eine Verarbeitung überhaupt stattfinden darf. Rechtmäßigkeit, Zweckbindung und Datenminimierung stehen vor jeder technischen Maßnahme. Eine perfekt gesicherte Datenbank mit Daten, für die es keine Rechtsgrundlage gibt, ist ein Datenschutzverstoß und kein Sicherheitsproblem. Artikel 32 kommt erst danach und verlangt Maßnahmen, die dem Risiko für die Rechte und Freiheiten natürlicher Personen angemessen sind.
NIS2 und das BSIG fragen, ob ein Dienst weiterläuft. Der Maßstab ist die Auswirkung auf die Versorgung, nicht auf den Einzelnen. Deshalb steht Verfügbarkeit hier gleichrangig neben Vertraulichkeit, während sie im Datenschutz erst dann Gewicht bekommt, wenn ihr Ausfall die betroffene Person trifft, etwa in der Notaufnahme.
ISO/IEC 27001 fragt, ob die Organisation ihre eigenen Risiken kennt und steuert. Der Maßstab wird von euch gesetzt, in der Risikobewertung und in der Erklärung zur Anwendbarkeit. Das ist die Stärke der Norm, weil sie zu jedem Haus passt, und zugleich ihre Grenze: Ein Risiko, das ihr für tragbar erklärt, bleibt im Managementsystem tragbar, auch wenn es für die betroffenen Personen erheblich ist.
Wer von NIS2 erfasst ist
Die Betroffenheit ergibt sich aus zwei Größen. Die erste ist der Sektor, aufgeführt in den Anlagen zum BSIG, von Energie, Verkehr und Gesundheit über digitale Infrastruktur und IT-Dienstleistungen bis zu Bereichen wie Post, Abfall, Chemie und Lebensmittel. Die zweite ist die Größe. Nach Paragraf 28 BSIG gelten Einrichtungen aus den erfassten Sektoren als besonders wichtig, wenn sie mindestens 250 Beschäftigte haben oder mehr als fünfzig Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme aufweisen. Als wichtig gelten sie ab fünfzig Beschäftigten oder bei mehr als zehn Millionen Euro Umsatz und Bilanzsumme.
Die Zählweise folgt der Empfehlung 2003/361/EG der Kommission zu Kleinstunternehmen sowie kleinen und mittleren Unternehmen. Damit rechnen Anteile an Partnerunternehmen und verbundenen Unternehmen mit hinein, was Konzerntöchter deutlich häufiger über die Schwelle bringt, als eine Betrachtung der einzelnen Gesellschaft vermuten lässt.
Unabhängig von der Größe erfasst sind bestimmte Einrichtungsarten, etwa im Bereich der digitalen Infrastruktur und der Vertrauensdienste. Die Registrierungspflicht nach Paragraf 33 BSIG trifft besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister und verlangt die Registrierung binnen drei Monaten, nachdem die Einrichtung erstmals oder erneut unter diese Kategorien fällt. Die Registrierung läuft über das Portal des Bundesamts und setzt ein Organisationskonto voraus, dessen Einrichtung selbst einige Tage braucht.
Die beiden Meldewege im selben Notfallplan
Der Unterschied in den Fristen ist der wichtigste operative Punkt dieser Seite. Paragraf 32 BSIG verlangt eine frühe Erstmeldung binnen 24 Stunden, in der anzugeben ist, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist. Binnen 72 Stunden folgt eine Meldung, die die Erstangaben bestätigt oder aktualisiert und eine erste Bewertung des Vorfalls samt Schweregrad und Auswirkungen enthält. Binnen eines Monats folgt die Abschlussmeldung, oder, wenn der Vorfall noch andauert, eine Fortschrittsmeldung.
Artikel 33 DSGVO läuft daneben mit seiner eigenen Logik: Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Kommt die Meldung später, ist die Verzögerung zu begründen. Bei voraussichtlich hohem Risiko tritt die Benachrichtigung der betroffenen Personen nach Artikel 34 hinzu.
Praktisch heißt das: Der Notfallplan braucht eine Zeitleiste, die mit der 24-Stunden-Marke beginnt, und eine Person, die die Frage beantwortet, welche der beiden Meldungen fällig ist. In der Regel sind es beide, und die Datenerhebung dafür überschneidet sich stark. Ein gemeinsamer Erfassungsbogen, aus dem beide Meldungen gespeist werden, spart im Ernstfall die Stunden, die sonst mit dem Zusammensuchen derselben Angaben vergehen.
Wo sich die Arbeit tatsächlich zusammenlegen lässt
Bei den Maßnahmen. Artikel 32 DSGVO nennt Pseudonymisierung und Verschlüsselung, die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sicherzustellen, die Wiederherstellbarkeit nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Der Anhang A der ISO/IEC 27001 in der Fassung von 2022 ordnet Maßnahmen in vier Themengruppen: organisatorische, personenbezogene, physische und technologische. Diese Maßnahmen sind dieselben, die Artikel 32 meint, nur geordnet und benannt.
Bei den Verzeichnissen. Das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 und das Inventar der Werte aus dem Managementsystem beschreiben in weiten Teilen dieselben Systeme aus zwei Blickwinkeln. Wer beide getrennt pflegt, pflegt zweimal dieselben Änderungen und hat nach einem Jahr zwei Stände. Eine gemeinsame Quelle mit zwei Auswertungen ist der Aufwand einmal wert.
Bei den Nachweisen. Schulungsnachweise, Zugriffsprüfungen, Protokolle von Wiederherstellungstests und Lieferantenbewertungen zählen für alle drei Regelwerke. Wenn jede Maßnahme eine Kennung trägt und dazu vermerkt ist, welche Anforderung sie belegt, entsteht daraus ohne Zusatzarbeit die Nachweisführung für ein Audit, für eine aufsichtsbehördliche Nachfrage und für einen Kundenfragebogen.
Was ein Zertifikat aussagt und was nicht
Ein Zertifikat nach ISO/IEC 27001 bezieht sich immer auf einen benannten Geltungsbereich und auf die Erklärung zur Anwendbarkeit, in der steht, welche Maßnahmen aus dem Anhang A umgesetzt und welche mit Begründung ausgeschlossen wurden. Beides gehört gelesen, bevor ein Zertifikat als Beleg akzeptiert wird. Ein Anbieter, dessen Geltungsbereich das Rechenzentrum umfasst, hat damit nichts über seine Anwendungsentwicklung oder seinen Support gesagt.
Für den Datenschutz gilt zusätzlich: Ein Zertifikat nach ISO/IEC 27001 ist keine Zertifizierung im Sinne der Artikel 42 und 43 DSGVO und ersetzt weder die Rechenschaftspflicht noch die Prüfung eines Auftragsverarbeiters nach Artikel 28. Es ist ein starkes Indiz dafür, dass ein geordneter Betrieb existiert, und ein guter Ausgangspunkt für gezielte Nachfragen, mehr nicht.
Zu prüfen ist außerdem die Fassung. Die Norm liegt in der Ausgabe von 2022 vor, die Übergangsfrist für Zertifikate nach der älteren Fassung ist abgelaufen. Ein vorgelegtes Zertifikat, das sich noch auf die ältere Ausgabe bezieht, ist entweder abgelaufen oder falsch bezeichnet, und in beiden Fällen ist die Nachfrage berechtigt.
Dazu passende Kurse
Weil die Maßnahmen darunter zu großen Teilen dieselben sind, kannst du bei cmt Datenschutz und Sicherheitsnormen gemeinsam betrachten .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Häufige Fragen
Erfüllt ein Zertifikat nach ISO 27001 die Anforderungen aus Artikel 32 DSGVO?
Müssen wir denselben Vorfall zweimal melden?
Kann die Datenschutzbeauftragte auch die Informationssicherheit verantworten?
Gilt NIS2 auch für uns, wenn wir nur Zulieferer eines betroffenen Unternehmens sind?
Quellen
- Artikel 32, 33, 34, 82 und 83 DSGVO im Volltext
- Paragraf 28 BSIG, besonders wichtige und wichtige Einrichtungen
- Paragraf 32 BSIG, Meldepflichten mit den Fristen von 24 und 72 Stunden
- Paragraf 33 BSIG, Registrierungspflicht binnen drei Monaten
- Paragraf 38 BSIG, Pflichten und Haftung der Geschäftsleitungen
- BSI, NIS-2 und die betroffenen Unternehmen
- ISO/IEC 27001, Informationssicherheits-Managementsysteme
Passt thematisch dazu
Dieselbe Unterscheidung begegnet dir im Servicemanagement wieder, und die Trennung zwischen prüfbarer Anforderung und bloßer Empfehlung macht dort deutlich, warum die eine Seite Organisationen prüft und die andere Personen zertifiziert.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Datenschutz-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Datenschutz und Sicherheit ohne doppelte Arbeit
Bei cmt siehst du, welche Nachweise für beide Seiten zählen und an welchen Stellen die Trennung erhalten bleiben muss.