Wie fülle ich die Frage zur Datensparsamkeit bei personenbezogenen Daten aus

Datenminimierung hängt von der Zugriffskontrollrichtlinie ab, nicht von Verschlüsselung

Datenminimierung selbst ist nicht als separate Maßnahme in Artikel 21 Absatz 2 NIS2 aufgeführt — diese zehn Maßnahmen befassen sich mit Risikomanagement, Vorfallbehandlung, Geschäftskontinuität und Zugriffskontrolle, nicht mit den DSGVO-Grundsätzen der Datenerfassung. Dennoch taucht die Frage häufig in derselben Fragebogen auf, weil Kunden ihre NIS2- und Datenschutzprüfungen kombinieren. Der Beleg, der dazu passt, ist nicht ein DSGVO-Verarbeitungsverzeichnis, sondern die Zugriffskontrollrichtlinie: wer auf welche Daten zugreifen darf, und ist dies auf das beschränkt, was für die Funktion erforderlich ist. Dies schließt an die Zugriffskontrollrichtlinie einschließlich der Verwaltung von Betriebsmitteln an — wenn dort rollengestützte Zugriffe und das "Need-to-Know"-Prinzip vorgesehen sind, ist das oft ausreichende Begründung für ein "ja".

Haben Sie keine separate Datenminimierungsrichtlinie nach DSGVO, aber ein ISO-27001-Zertifikat, ist Annex A eine stärkere Karte als Sie denken: die Steuerungsmaßnahmen zu Zugriffsbeschränkung und Informationsklassifizierung decken Datenminimierung implizit ab, ohne dass Sie das Wort selbst verwenden müssen. Verweisen Sie in diesem Fall auf das ISO 27001-Zertifikat und lassen Sie das System die Antwort daran koppeln. Haben Sie keines von beidem, antworten Sie nicht automatisch mit "ja" — geben Sie ein, was tatsächlich zutrifft, auch wenn das "nein, noch in Planung" ist.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 NIS2 nennt Zugriffskontrollrichtlinien und Verwaltung von Betriebsmitteln als zwei der zehn erforderlichen Maßnahmen, ohne Datenminimierung als Begrifflichkeit zu verwenden; ISO/IEC 27001 Annex A führt dies weiter aus über Steuerungsmaßnahmen für Zugriffsbeschränkung und Informationsklassifizierung, und das Cybersicherheitsgesetz übernimmt den NIS2-Text eins zu eins, sobald dieses am 15. August 2026 in Kraft tritt.