Wenn Sie in der EU leben, bestimmen drei Gesetze, wie schnell ein Unternehmen zugeben muss, dass es gehackt wurde. Ein Vergleich von NIS2, DORA und DSGVO aus dem Jahr 2026 betrachtet den Anwendungsbereich, die 24-Stunden- und 72-Stunden-Fristen für Vorfälle, Bußgelder in einer Bandbreite von 10 Mio. € bis 20 Mio. € und welche Mitgliedstaaten bis November 2026 tätig geworden sind. Dieser Beitrag übersetzt das in einfache Sprache. Die Kurzfassung von NIS2 DORA DSGVO Meldepflicht bei Datenschutzverletzungen: Die Fristen sind eng, die Strafen sind hoch, und die Regeln gelten nicht in jedem Land auf die gleiche Weise.

Was die Meldefristen von NIS2, DORA und DSGVO tatsächlich bedeuten

Die beiden Zahlen, die im Vergleich hervorstechen, sind 24 Stunden und 72 Stunden. Es sind Fristen, die zu laufen beginnen, sobald eine Organisation von einem schwerwiegenden Vorfall Kenntnis erlangt. Sie sind kein Versprechen, dass Sie innerhalb eines Tages oder von drei Tagen informiert werden.

In der Praxis geht es bei diesen Fristen hauptsächlich darum, dass das Unternehmen einen Regulator oder eine Aufsichtsbehörde informiert. Diese frühe Meldung ermöglicht es den Behörden zu erkennen, ob ein Angriff mehrere Organisationen gleichzeitig trifft. Eine kürzere erste Frist (24 Stunden) bedeutet im Allgemeinen eine frühe Vorwarnung, während eine längere Frist (72 Stunden) Zeit für ein vollständigeres Bild des Geschehens lässt. Der Quellenvergleich legt nicht jedes Detail dazu dar, wie jedes Gesetz seine Fristen zuordnet, daher sollten Sie den offiziellen Wortlaut jeder Verordnung oder Ihre nationale Behörde für die genaue Formulierung konsultieren.

Die drei Gesetze decken zudem unterschiedliche Bereiche ab:

  • DSGVO betrifft personenbezogene Daten und gilt für Organisationen, die Daten von Personen in der EU verarbeiten.
  • NIS2 betrifft die Sicherheit von Netz- und Informationssystemen in Sektoren, die als wichtig für die Gesellschaft gelten.
  • DORA betrifft die digitale operationale Resilienz im Finanzsektor.

Aufgrund dieser Überschneidung kann ein einziger Vorfall mehr als ein Gesetz gleichzeitig auslösen. Ein Cyberangriff auf ein Finanzunternehmen, bei dem Kundendaten offengelegt werden, könnte unter allen drei Gesetzen Fragen aufwerfen.

Wann ein Unternehmen Ihnen eine Datenschutzverletzung melden muss: Was das für Sie bedeutet

Hier müssen die Erwartungen angepasst werden. Eine 24-Stunden- oder 72-Stunden-Frist bedeutet nicht, dass Ihr Posteingang am nächsten Tag aufleuchtet. Die erste Meldung geht in der Regel an die Behörden, und die Benachrichtigung der betroffenen Personen ist ein separater Schritt mit eigenen Bedingungen. Diese Bedingungen hängen vom jeweiligen Gesetz und davon ab, wie schwerwiegend das Risiko für Sie ist.

Was Sie vernünftigerweise aus dem Rahmenwerk mitnehmen können:

  • Regulatoren erfahren es zuerst. Gehen Sie davon aus, dass die formale Frist für die Meldung an die Behörde gilt, nicht für eine öffentliche Bekanntmachung.
  • Frühe Meldungen können unvollständig sein. Eine kurze erste Meldung lässt möglicherweise die Ursache, das Ausmaß oder die Frage aus, ob Ihre Daten betroffen waren.
  • Ihre Rechte stammen hauptsächlich aus der DSGVO. Sie ist das Gesetz, das sich auf personenbezogene Daten konzentriert, also dasjenige, das Sie heranziehen sollten, wenn Sie wissen möchten, worauf Sie Anspruch auf Information haben.
  • Der Sektor ist wichtig. Wenn Ihre Bank, ein Zahlungsanbieter oder ein wesentlicher Dienst betroffen ist, können NIS2- oder DORA-Pflichten zusätzlich zur DSGVO gelten.

Nichts davon ersetzt Ihre eigene Vorsicht. Selbst ein gut funktionierendes Meldesystem lässt eine Lücke zwischen einem Vorfall und Ihrer Benachrichtigung, daher ist es hilfreich, Passwörter zu ändern, Multi-Faktor-Authentifizierung zu aktivieren und Ihre Konten auf ungewöhnliche Aktivitäten zu beobachten, sobald Sie von einer Datenschutzverletzung erfahren.

Wie sich die Bußgelder von NIS2, DORA und DSGVO vergleichen lassen

Der Vergleich rahmt die Sanktionen als eine Bandbreite von 10 Mio. € bis 20 Mio. €. Diese Spanne zeigt, wie ernst die Gesetzgeber versäumte Fristen und schwache Sicherheit nehmen. Die nicht rechtzeitige Meldung ist selbst ein Compliance-Verstoß, getrennt von der Datenschutzverletzung.

Eine Einschränkung zur Genauigkeit. Die Quellzusammenfassung gibt die Gesamtbandbreite an, aber keine zeilenweise Aufschlüsselung, welches Gesetz welche Zahl festlegt. Wir werden nicht raten, wie hoch die Beträge pro Gesetz sind, denn Sanktionsstrukturen können unterschiedliche Obergrenzen, Umsatzprozentsätze und nationale Umsetzungswahlmöglichkeiten umfassen. Insbesondere bei DORA können die Details davon abhängen, wie jeder Mitgliedstaat seine Sanktionen festlegt. Wenn Sie genaue Zahlen für ein bestimmtes Gesetz benötigen, lesen Sie die Verordnung selbst oder die Leitlinien Ihrer nationalen Behörde.

Was die Bandbreite Ihnen sagt, ist, dass Regulatoren echte Hebel haben. Für Unternehmen, die mehrere sich überschneidende Pflichten erfüllen müssen, kann ein schlecht gehandhabter Vorfall mehr als ein Compliance-Problem gleichzeitig schaffen.

So prüfen Sie, ob Ihr EU-Land NIS2 und DORA umgesetzt hat

Der Vergleich verfolgt auch, welche EU-Staaten bis November 2026 tätig geworden sind, was eine Erinnerung daran ist, dass EU-Regeln nicht immer überall gleichzeitig in Kraft treten. NIS2 ist eine Richtlinie, daher muss jeder Mitgliedstaat sie in nationales Recht umsetzen, und der Fortschritt kann von Land zu Land unterschiedlich sein. Praktische Möglichkeiten zu prüfen, wo Ihr Land steht:

  1. Suchen Sie die Cybersicherheitsbehörde Ihrer nationalen Regierung. Sie veröffentlicht in der Regel den Status der nationalen NIS2-Gesetzgebung und listet auf, wer sich registrieren oder melden muss.
  2. Schauen Sie bei Ihrer Finanzaufsicht nach. Für DORA ist die nationale Finanzaufsicht die beste Quelle dafür, wie die Regeln auf Banken, Versicherer und Zahlungsunternehmen anzuwenden sind.
  3. Prüfen Sie Ihre Datenschutzbehörde. Für die DSGVO erklärt sie, wie Sie eine Beschwerde einreichen und welche Benachrichtigungsrechte Sie haben.
  4. Lesen Sie die offiziellen EU-Texte. Die Verordnungen und Richtlinien selbst sind das letzte Wort zu Fristen und Anwendungsbereich.

Wenn Ihr Land langsam war, hebt das die DSGVO nicht auf. Sie gilt seit Jahren in der gesamten EU und bleibt Ihr direktestes Werkzeug, wenn personenbezogene Daten offengelegt werden.

Wichtigste Erkenntnisse

NIS2 DORA DSGVO Meldepflicht bei Datenschutzverletzungen zu verstehen, läuft auf einige Punkte hinaus: Die 24-Stunden- und 72-Stunden-Fristen regeln hauptsächlich Meldungen an Regulatoren, die Bußgelder sind erheblich, und die nationale Umsetzung variiert. Nehmen Sie sich diese Woche ein paar Minuten Zeit, um den NIS2- und DORA-Status Ihres eigenen Landes nachzuschlagen und Ihre DSGVO-Rechte auf Information und auf Beschwerde bei Ihrer Datenschutzbehörde zu überprüfen.

Wenn Sie sehen möchten, wie ein Nicht-EU-Regime ähnliche Fragen behandelt, lesen Sie unsere Berichterstattung über den UK Cyber Security Resilience Bill, der kritische Infrastruktur in einen formalen nationalen Rahmen einbezieht und eigene Pflichten zur Meldung von Vorfällen angeht. Der Vergleich mit dem EU-Ansatz zeigt, wie verschiedene Regierungen auf eine schnellere, strukturiertere Offenlegung von Datenschutzverletzungen zusteuern.