Eine wirksame Sicherheits- und Datenschutzrichtlinie regelt schriftlich, wer im Unternehmen auf welche Daten zugreifen darf, wie diese Daten technisch geschützt werden und was bei einem Vorfall passiert. Das Pflicht-Gerüst gibt Artikel 32 DSGVO vor: Verschlüsselung, Zugriffskontrolle, Verfügbarkeit, Wiederherstellbarkeit und eine regelmäßige Überprüfung. Seit Dezember 2025 kommen für viele Betriebe die NIS2-Pflichten dazu. Eine gute Richtlinie ist kurz, verständlich und im Alltag tatsächlich anwendbar.
Sicherheitsrichtlinie und Datenschutzrichtlinie: nicht dasselbe
Die beiden Begriffe werden oft in einen Topf geworfen, meinen aber unterschiedliche Dinge. Die Informationssicherheitsrichtlinie beschreibt, wie ein Unternehmen alle Informationen schützt – also auch interne Kalkulationen, Quellcode oder Konstruktionspläne, die keinen Personenbezug haben. Die Datenschutzrichtlinie regelt speziell den Umgang mit personenbezogenen Daten von Kunden, Mitarbeitern und Interessenten und setzt die DSGVO um.
In der Praxis überschneiden sie sich stark, denn personenbezogene Daten sind ein Teil der schützenswerten Informationen. Viele kleinere Betriebe fassen beides in einem Dokument zusammen, größere trennen die internen technischen Regeln (Sicherheit) von der nach außen sichtbaren Datenschutzerklärung. Wichtig ist die saubere Unterscheidung zwischen dem internen Regelwerk für Mitarbeiter und der öffentlichen Datenschutzerklärung auf der Website – das ist nicht dasselbe Dokument.
Anzeige
Die Pflichtbestandteile nach Artikel 32 DSGVO
Artikel 32 DSGVO verlangt „technische und organisatorische Maßnahmen“ (kurz: TOM) – also einen Mix aus Technik und Verhaltensregeln, der zum Risiko passt. Maßstab sind der Stand der Technik, die Umsetzungskosten und das konkrete Schadensrisiko. Diese Punkte gehören in jede ernst gemeinte Richtlinie:
- Vertraulichkeit: Zugriffs- und Berechtigungskonzept – wer braucht welche Daten wirklich? Das „Need-to-know“-Prinzip begrenzt Rechte auf das Nötige.
- Verschlüsselung und Pseudonymisierung: verschlüsselte Festplatten und Datenträger, TLS für den Transport, Pseudonymisierung dort, wo Klardaten nicht gebraucht werden.
- Integrität: Schutz vor unbemerkter Veränderung, etwa durch Protokollierung (Logging) und klare Änderungsprozesse.
- Verfügbarkeit und Belastbarkeit: Systeme müssen Lastspitzen und Störungen überstehen – Stichworte Redundanz und unterbrechungsfreie Stromversorgung.
- Wiederherstellbarkeit: ein getestetes Backup-Konzept, das die Daten nach einem Zwischenfall schnell zurückbringt. Ein Backup, das nie zurückgespielt wurde, ist kein Backup.
- Regelmäßige Überprüfung: ein festes Verfahren, das die Maßnahmen evaluiert und an neue Bedrohungen anpasst.
Diese sechs Bereiche sind keine Empfehlung, sondern Gesetzestext. Wer sie nicht erfüllt, riskiert nach DSGVO Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
NIS2: Für wen seit Ende 2025 strengere Regeln gelten
Das deutsche NIS2-Umsetzungsgesetz ist am 5. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301) und betrifft rund 30.000 Unternehmen – also deutlich mehr als die bisherigen KRITIS-Regeln. NIS2 steht für die zweite „Network and Information Security“-Richtlinie der EU und hebt das geforderte Sicherheitsniveau spürbar an.
Betroffen sind zwei Klassen. Besonders wichtige Einrichtungen haben ab 250 Mitarbeitern oder mehr als 50 Millionen Euro Umsatz. Wichtige Einrichtungen beginnen bei 50 Mitarbeitern oder 10 Millionen Euro Umsatz. Maßgeblich ist außerdem die Branche – Energie, Gesundheit, Verkehr, IT-Dienstleister und weitere Sektoren fallen darunter. Kleinst- und Kleinbetriebe ohne kritische Funktion bleiben in der Regel außen vor, sollten die Logik aber als Orientierung nutzen.
Wer betroffen ist, muss laut § 30 des Gesetzes ein Risikomanagement aufbauen, das mindestens diese zehn Bereiche abdeckt:
- Risikoanalyse und Konzepte für die IT-Sicherheit
- Bewältigung von Sicherheitsvorfällen
- Backup-Management und Krisenmanagement (Business Continuity)
- Sicherheit der Lieferkette und der Dienstleister
- Sicherheit bei Entwicklung, Beschaffung und Wartung
- Schwachstellen-Management und Offenlegung
- Bewertung, wie wirksam die Maßnahmen tatsächlich sind
- Schulung und Sensibilisierung der Beschäftigten
- Authentisierung und Zugriffskontrolle (möglichst Mehr-Faktor)
- Sichere Sprach-, Video- und Textkommunikation
Zwei Punkte verschärfen die Lage zusätzlich: Sicherheitsvorfälle müssen binnen 24 Stunden vorläufig und binnen 72 Stunden vollständig gemeldet werden. Und die Geschäftsleitung haftet bei schuldhaften Verstößen persönlich – diese Verantwortung lässt sich nicht an die IT-Abteilung delegieren.
In sechs Schritten zur Richtlinie, die auch gelebt wird
Eine Richtlinie scheitert selten am Text, sondern daran, dass niemand sie umsetzt. Dieser Ablauf hat sich bewährt:
- Bestandsaufnahme: Welche Daten verarbeitet der Betrieb, wo liegen sie, wer greift zu? Ohne dieses Verzeichnis lässt sich kein Schutz planen.
- Risiko bewerten: Welche Daten sind besonders sensibel, welcher Schaden droht bei Verlust oder Diebstahl? Daraus ergibt sich das angemessene Schutzniveau.
- Maßnahmen festlegen: Den TOM-Katalog konkret machen – nicht „Daten werden geschützt“, sondern „Notebooks sind per BitLocker verschlüsselt, Zugriff nur mit Mehr-Faktor-Anmeldung“.
- Verständlich aufschreiben: kurze Sätze, klare Zuständigkeiten, keine Juristensprache. Was niemand versteht, hält auch niemand ein.
- Bekannt machen und schulen: Die Richtlinie muss zentral auffindbar sein und beim Onboarding sowie regelmäßig geschult werden.
- Überprüfen und aktualisieren: mindestens jährlich und immer nach einem Vorfall. Ein Dokument mit Stand 2021 schützt heute nicht mehr.
Häufige Fragen
Was gehört in eine Sicherheits- und Datenschutzrichtlinie?
Mindestens die TOM nach Art. 32 DSGVO: ein Zugriffs- und Berechtigungskonzept, Verschlüsselung, Backup mit Wiederherstellung, Maßnahmen für Integrität und Verfügbarkeit sowie ein Verfahren zur regelmäßigen Überprüfung. Dazu klare Zuständigkeiten und ein Meldeweg für Vorfälle.
Was ist der Unterschied zwischen Datenschutz und Datensicherheit?
Datenschutz schützt personenbezogene Daten und setzt die DSGVO um. Datensicherheit schützt alle Daten – auch ohne Personenbezug – technisch und organisatorisch vor Verlust, Diebstahl oder Manipulation. Datensicherheit ist ein Werkzeug, mit dem Datenschutz erreicht wird.
Ist mein Unternehmen von NIS2 betroffen?
NIS2 gilt seit dem 5. Dezember 2025. Betroffen sind in bestimmten Branchen besonders wichtige Einrichtungen ab 250 Beschäftigten oder 50 Mio. Euro Umsatz und wichtige Einrichtungen ab 50 Beschäftigten oder 10 Mio. Euro Umsatz. Maßgeblich ist immer auch der Sektor.
Wie oft muss eine Sicherheitsrichtlinie überprüft werden?
Art. 32 DSGVO verlangt eine regelmäßige Überprüfung. In der Praxis bedeutet das mindestens einmal jährlich und zusätzlich nach jedem Sicherheitsvorfall, jeder größeren technischen Änderung oder neuen gesetzlichen Anforderung.
Welche Strafen drohen bei fehlenden Schutzmaßnahmen?
Nach DSGVO sind Bußgelder bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes möglich. Unter NIS2 drohen bis zu 10 Mio. Euro oder 2 % Umsatz, und die Geschäftsleitung haftet bei schuldhaften Verstößen persönlich.
Warum das Thema in der Fachinformatiker-Prüfung sitzt
Sicherheits- und Datenschutzrichtlinien sind ein Klassiker in der IHK-Abschlussprüfung der Fachinformatiker. Geprüft wird selten der reine Gesetzestext, sondern das Verständnis dahinter: die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit (das sogenannte CIA-Dreieck), die Abgrenzung von technischen zu organisatorischen Maßnahmen und der Unterschied zwischen Datenschutz (Schutz personenbezogener Daten) und Datensicherheit (Schutz aller Daten gegen technische Risiken).
Wer für die Prüfung lernt, sollte zu jedem Schutzziel ein konkretes Beispiel nennen können: Verschlüsselung sichert die Vertraulichkeit, Prüfsummen und Logging die Integrität, ein redundantes Backup die Verfügbarkeit. Genau diese Verknüpfung von Konzept und Beispiel macht den Unterschied zwischen auswendig gelernt und verstanden.
Rechtsverbindliche Details lassen sich direkt an der Quelle nachlesen – etwa im Gesetzestext zu Art. 32 DSGVO und in den Umsetzungshinweisen des BSI. Dieser Beitrag ersetzt keine Rechtsberatung, sondern ordnet die Pflichten verständlich ein.
