Effektive Sicherheits- und Datenschutzrichtlinien beantworten drei Fragen schriftlich: Wer darf auf welche Daten zugreifen, wie werden diese Daten technisch geschützt, und was passiert bei einem Vorfall. Das Pflichtgerüst gibt Artikel 32 DSGVO vor – Verschlüsselung, Zugriffskontrolle, Verfügbarkeit, Wiederherstellbarkeit und eine regelmäßige Überprüfung. Für Betriebe im NIS2-Bereich kommen die zehn Maßnahmen aus § 30 BSIG dazu. Kurz und verständlich muss das Dokument sein, sonst hält sich niemand daran.
Sicherheitsrichtlinie oder Datenschutzrichtlinie: nicht dasselbe
Die beiden Begriffe werden gerne in einen Topf geworfen, meinen aber unterschiedliche Dinge. Die Informationssicherheitsrichtlinie beschreibt, wie ein Unternehmen alle Informationen schützt – also auch Kalkulationen, Quellcode oder Konstruktionspläne ohne jeden Personenbezug. Die Datenschutzrichtlinie regelt speziell den Umgang mit personenbezogenen Daten von Kunden, Beschäftigten und Interessenten und setzt damit die DSGVO um.
In der Praxis überschneiden sich beide stark, denn personenbezogene Daten sind ein Teil der schützenswerten Informationen. Kleinere Betriebe fassen deshalb meist alles in einem Dokument zusammen, größere trennen die internen technischen Regeln von der nach außen sichtbaren Erklärung. Eine Verwechslung ist teuer: Die interne Richtlinie für Mitarbeiter und die öffentliche Datenschutzerklärung auf der Website sind zwei verschiedene Dokumente mit verschiedenen Adressaten. Wer nur Letztere hat, hat gegenüber einer Aufsichtsbehörde nichts vorzuweisen.
Anzeige
Was effektive Sicherheits- und Datenschutzrichtlinien nach Art. 32 DSGVO enthalten müssen
Artikel 32 DSGVO verlangt „technische und organisatorische Maßnahmen“ (kurz: TOM) – einen Mix aus Technik und Verhaltensregeln, der zum Risiko passt. Der Gesetzgeber schreibt bewusst kein Produkt vor; Maßstab sind der Stand der Technik, die Umsetzungskosten und das konkrete Schadensrisiko. Diese sechs Bereiche gehören in jede ernst gemeinte Richtlinie:
- Vertraulichkeit: ein Zugriffs- und Berechtigungskonzept. Wer braucht welche Daten wirklich? Das „Need-to-know“-Prinzip begrenzt Rechte auf das Nötige, statt jedem Konto alles zu geben.
- Verschlüsselung und Pseudonymisierung: verschlüsselte Notebooks und Datenträger, aktuelle TLS-Versionen für den Transport, Pseudonymisierung dort, wo Klardaten nicht gebraucht werden.
- Integrität: Schutz vor unbemerkter Veränderung, etwa durch Protokollierung (Logging) und einen festen Änderungsprozess für Systeme und Berechtigungen.
- Verfügbarkeit und Belastbarkeit: Systeme müssen Störungen und Lastspitzen überstehen – Stichworte Redundanz, unterbrechungsfreie Stromversorgung und ein zweiter Internetzugang für kritische Standorte.
- Wiederherstellbarkeit: ein getestetes Backup-Konzept mit klarer Ansage, wie lange eine Wiederherstellung dauern darf. Ein Backup, das nie zurückgespielt wurde, ist kein Backup, sondern eine Hoffnung.
- Regelmäßige Überprüfung: ein festgelegtes Verfahren, das die Maßnahmen bewertet und an neue Bedrohungen anpasst – mit Datum, Ergebnis und Verantwortlichem.
Diese Punkte sind keine Empfehlung, sondern Gesetzestext. Wer sie nicht erfüllt, riskiert nach DSGVO Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Multi-Faktor-Anmeldung für privilegierte Zugänge und zeitnahe Sicherheitsupdates gelten inzwischen als Stand der Technik; ihr Fehlen lässt sich 2026 kaum noch begründen.
NIS2: Für wen seit Dezember 2025 strengere Regeln gelten
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz hat das BSI-Gesetz neu gefasst; die Neufassung ist am 6. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301) – ohne allgemeine Übergangsfrist. NIS2 steht für die zweite „Network and Information Security“-Richtlinie der EU. Betroffen sind in Deutschland rund 29.500 Unternehmen, also ein Vielfaches der bisherigen KRITIS-Betreiber.
Unterschieden werden zwei Klassen. Besonders wichtige Einrichtungen beginnen bei 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz, wichtige Einrichtungen bei 50 Beschäftigten oder 10 Millionen Euro Umsatz. Entscheidend ist zusätzlich die Branche: Energie, Gesundheit, Verkehr, Wasser, IT-Dienstleister und weitere Sektoren fallen darunter, ein Möbelhaus gleicher Größe nicht. Kleinstbetriebe ohne kritische Funktion bleiben in der Regel außen vor – als Struktur taugt der Maßnahmenkatalog trotzdem für jede Firma.
Stand August 2026: Die Duldungsfrist für die Registrierung ist abgelaufen
Betroffene Einrichtungen müssen sich selbst beim BSI registrieren; von allein passiert das nicht. § 33 BSIG setzt dafür drei Monate ab dem Eintritt der Betroffenheit an, für die bereits erfassten Unternehmen lief diese Frist am 6. März 2026 ab. Weil zu diesem Termin erst rund 11.500 der etwa 29.500 Betriebe registriert waren, kündigte das BSI im Juni 2026 an, verspätete Anmeldungen bis zum 31. Juli 2026 zu dulden.
Dieser Termin ist verstrichen, und er war rechtlich nie eine Fristverlängerung, sondern eine Vollzugskulanz – eine Ankündigung der Behörde, vorerst nicht durchzugreifen. Die gesetzliche Pflicht bestand die ganze Zeit weiter und besteht weiter. Wer bislang nicht registriert ist, holt das jetzt nach, statt auf die nächste Kulanz zu warten: Ein Registrierungsverstoß ist eine Ordnungswidrigkeit, die nach § 65 BSIG mit bis zu 500.000 Euro geahndet werden kann. Für Verstöße gegen die Risikomanagement-Pflichten liegt der Rahmen deutlich höher, bei bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes.
Wichtig für die Richtlinie selbst: Die Meldepflichten hängen nicht an der Registrierung. Sobald ein erheblicher Sicherheitsvorfall bekannt wird, gilt die Kette aus § 32 BSIG – Erstmeldung binnen 24 Stunden, qualifizierte Meldung binnen 72 Stunden. Dieser Meldeweg mit Namen, Telefonnummer und Vertretung gehört ins Dokument, nicht in den Kopf einer einzelnen Person, die im Ernstfall gerade im Urlaub ist.
Die zehn Pflichtbereiche aus § 30 BSIG
Wer unter NIS2 fällt, muss ein Risikomanagement aufbauen, das mindestens diese zehn Bereiche abdeckt:
- Risikoanalyse und Konzepte für die Sicherheit in der Informationstechnik
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette und der eingesetzten Dienstleister
- Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen
- Bewertung, wie wirksam die Maßnahmen tatsächlich sind
- Grundlegende Cyberhygiene und Schulung der Beschäftigten
- Konzepte für Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung von Anlagen
- Multi-Faktor-Authentisierung sowie gesicherte Sprach-, Video- und Textkommunikation
Dazu kommt eine Pflicht, die viele überrascht: Nach § 38 BSIG muss die Geschäftsleitung diese Maßnahmen nicht nur billigen, sondern ihre Umsetzung überwachen und selbst regelmäßig an Schulungen teilnehmen. Diese Schulungspflicht lässt sich nicht an die IT-Abteilung delegieren, und bei schuldhafter Pflichtverletzung haftet die Leitung der Einrichtung gegenüber nach den Regeln ihrer Rechtsform.
In sechs Schritten zur Richtlinie, die auch gelebt wird
Eine Richtlinie scheitert selten am Text, sondern daran, dass niemand sie umsetzt. Dieser Ablauf hat sich bewährt:
- Bestandsaufnahme: Welche Daten verarbeitet der Betrieb, wo liegen sie, wer greift zu, welche Dienstleister hängen mit drin? Ohne dieses Verzeichnis lässt sich kein Schutz planen.
- Risiko bewerten: Welche Daten sind besonders sensibel, welcher Schaden droht bei Verlust, Diebstahl oder Verschlüsselung durch Ransomware? Daraus ergibt sich das angemessene Schutzniveau.
- Maßnahmen festlegen: Den TOM-Katalog konkret machen. Nicht „Daten werden geschützt“, sondern „Notebooks sind mit BitLocker verschlüsselt, administrative Zugänge nur mit Mehr-Faktor-Anmeldung“.
- Verständlich aufschreiben: kurze Sätze, benannte Zuständigkeiten, keine Juristensprache. Was niemand versteht, hält auch niemand ein.
- Bekannt machen und schulen: Das Dokument muss zentral auffindbar sein, beim Onboarding besprochen und danach regelmäßig aufgefrischt werden – mit dokumentierter Teilnahme.
- Überprüfen und aktualisieren: mindestens jährlich und immer nach einem Vorfall oder einer größeren technischen Umstellung. Ein Papier mit Stand 2021 schützt heute nichts mehr.
Aufbau: Welche Kapitel das Dokument braucht
Für den Einstieg reicht eine schlanke Gliederung. Diese neun Kapitel decken die Anforderungen aus Art. 32 DSGVO und § 30 BSIG ab, ohne dass ein 80-Seiten-Werk entsteht:
| Kapitel | Was hineingehört |
|---|---|
| Zweck und Geltungsbereich | Für wen gilt das Dokument – auch für Aushilfen, Externe und Homeoffice? |
| Rollen und Verantwortung | Geschäftsleitung, IT-Verantwortliche, Datenschutzbeauftragte, Vertretungsregelung |
| Datenarten und Einstufung | Welche Daten gelten als vertraulich, intern oder offen |
| Zugriff und Anmeldung | Berechtigungskonzept, Passwortregeln, Mehr-Faktor-Anmeldung, Offboarding |
| Geräte und Software | Update-Pflicht, erlaubte Programme, private Geräte, Wechselmedien |
| Backup und Wiederherstellung | Was wird gesichert, wie oft, wohin, wer testet die Rücksicherung wann |
| Vorfälle und Meldewege | Wer wird wie erreicht, Fristen (24/72 Stunden bei NIS2), Eskalation |
| Schulung und Nachweise | Turnus, Inhalte, Teilnahmedokumentation |
| Prüfung und Versionierung | Version, Datum, Freigabe, nächster Prüftermin |
Drei Stolperfallen, die eine Richtlinie wertlos machen
Muster ohne Bestandsaufnahme. Eine heruntergeladene Vorlage beschreibt einen fremden Betrieb. Steht darin ein VPN-Zugang, den es nicht gibt, und fehlt der Cloud-Speicher, in dem tatsächlich alle Angebote liegen, ist das Dokument im Ernstfall wertlos – gegenüber der Aufsichtsbehörde sogar belastend, weil es die Lücke zwischen Anspruch und Realität dokumentiert.
Kein Nachweis, keine Version. Aufsichtsbehörden und Versicherer fragen nach Nachweisen, nicht nach Absichten. Ohne Versionsnummer, Freigabedatum und Teilnehmerliste der Schulung lässt sich nicht belegen, dass die Regeln zum fraglichen Zeitpunkt galten und bekannt waren. Ein einfaches Änderungsprotokoll auf der letzten Seite erledigt das.
Backup ohne Restore-Test. Der Klassiker aus dem Support-Alltag: Die Sicherung läuft seit Monaten grün durch, doch beim ersten echten Rückspielversuch fehlt die Datenbank, oder das Band ist unlesbar. Ein Restore-Test mit Datum im Protokoll gehört deshalb ausdrücklich in effektive Sicherheits- und Datenschutzrichtlinien – ebenso die Vorgabe, dass mindestens eine Kopie offline oder unveränderbar liegt.
Warum das Thema in der Fachinformatiker-Prüfung sitzt
Sicherheits- und Datenschutzrichtlinien sind ein Dauerbrenner in der IHK-Abschlussprüfung. Gefragt wird selten der Gesetzestext, sondern das Verständnis dahinter: die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit (das CIA-Dreieck), die Abgrenzung technischer von organisatorischen Maßnahmen und der Unterschied zwischen Datenschutz als Schutz personenbezogener Daten und Datensicherheit als Schutz aller Daten.
Wer dafür lernt, sollte zu jedem Schutzziel ein Beispiel parat haben: Verschlüsselung sichert die Vertraulichkeit, Prüfsummen und Protokollierung die Integrität, ein redundantes und getestetes Backup die Verfügbarkeit. Diese Verknüpfung von Konzept und Beispiel unterscheidet auswendig gelernt von verstanden – und sie ist zugleich die Denkweise, mit der effektive Sicherheits- und Datenschutzrichtlinien im Betrieb entstehen.
Rechtsverbindliche Details lassen sich an der Quelle nachlesen: der Gesetzestext zu Art. 32 DSGVO, die Risikomanagement-Pflichten in § 30 BSIG und die Umsetzungshinweise des BSI. Dieser Beitrag ordnet die Pflichten verständlich ein und ersetzt keine Rechtsberatung.
Häufige Fragen
Was gehört in eine Sicherheits- und Datenschutzrichtlinie?
Mindestens die TOM nach Art. 32 DSGVO: Berechtigungskonzept, Verschlüsselung, Backup mit getesteter Wiederherstellung, Maßnahmen für Integrität und Verfügbarkeit sowie eine regelmäßige Überprüfung. Dazu benannte Zuständigkeiten, ein Meldeweg für Vorfälle und eine Versionsangabe mit Freigabedatum.
Was ist der Unterschied zwischen Datenschutz und Datensicherheit?
Datenschutz schützt personenbezogene Daten und setzt die DSGVO um. Datensicherheit schützt alle Daten – auch ohne Personenbezug – technisch und organisatorisch vor Verlust, Diebstahl und Manipulation. Datensicherheit ist das Werkzeug, mit dem Datenschutz erreicht wird.
Ist mein Unternehmen von NIS2 betroffen?
Das neu gefasste BSI-Gesetz gilt seit dem 6. Dezember 2025. Betroffen sind in bestimmten Branchen besonders wichtige Einrichtungen ab 250 Beschäftigten oder 50 Mio. Euro Umsatz und wichtige Einrichtungen ab 50 Beschäftigten oder 10 Mio. Euro Umsatz. Der Sektor entscheidet mit.
Die BSI-Frist am 31. Juli 2026 ist abgelaufen – was gilt jetzt?
Die gesetzliche Registrierungsfrist endete bereits am 6. März 2026; die Verlängerung bis 31. Juli 2026 war nur eine Duldung des BSI. Die Registrierungspflicht besteht unverändert fort und sollte umgehend nachgeholt werden – ein Verstoß kann nach § 65 BSIG bis zu 500.000 Euro kosten.
Wie oft muss eine Sicherheitsrichtlinie überprüft werden?
Art. 32 DSGVO verlangt eine regelmäßige Überprüfung. In der Praxis heißt das mindestens einmal jährlich und zusätzlich nach jedem Sicherheitsvorfall, jeder größeren technischen Änderung und bei neuen gesetzlichen Anforderungen.
