In Beratungsgesprächen mit Unternehmen taucht oft die Frage auf, ob eine Zertifizierung nach der ISO/IEC 27001 ausreicht, um die Anforderungen von NIS-2 abzudecken. ISO/IEC 27001 und NIS-2 verfolgen ähnliche Ziele, unterscheiden sich jedoch trotzdem in den konkreten Pflichten, die sie auferlegen. Wer die Unterschiede kennt, kann gezielt handeln und vermeidet sowohl unnötige Doppelarbeit als auch gefährliche Compliance-Lücken.
Zwei unterschiedliche Regelwerke – ein gemeinsames Ziel
Die ISO/IEC 27001 ist ein international anerkannter Standard für Informationssicherheits-Managementsysteme (ISMS). Sie beschreibt, wie Organisationen Informationssicherheitsrisiken systematisch identifizieren, bewerten und behandeln sollen. Die Zertifizierung ist, sofern gesetzlich nicht anders vorgeschrieben, freiwillig und wird durch unabhängige Zertifizierungsstellen vergeben. Sie dient häufig als Nachweis gegenüber Kunden, Partnern oder im Rahmen von Ausschreibungen – sowie zunehmend als Beleg für die Erfüllung gesetzlicher Anforderungen.
Die NIS-2-Richtlinie ist eine EU-Richtlinie zur Stärkung der Cybersicherheit in verschiedenen Sektoren. In Deutschland wurde sie durch das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ (NIS-2-Umsetzungsgesetz) und die Novellierung des BSI-Gesetzes (BSIG) in nationales Recht umgesetzt (wir berichteten). NIS-2 ist daher keine freiwillige Norm, sondern gesetzliche Pflicht für betroffene Einrichtungen mit konkreten Anforderungen und bei Verstößen drohenden Bußgeldern sowie persönlicher Haftung der Geschäftsführung (wir berichteten hier und hier).
Trotz dieser Unterschiede verfolgen beide Regelwerke dasselbe übergeordnete Ziel, nämlich eine strukturierte, nachweisbare und kontinuierlich verbesserte Informationssicherheit. Das schafft erhebliche inhaltliche Überschneidungen und genau dort liegt der strategische Hebel für Unternehmen.
Was die ISO/IEC 27001 bereits leistet
Wer ernsthaft ein ISMS nach ISO/IEC 27001 betreibt, hat damit bereits ein strukturiertes Risikomanagement, dokumentierte Sicherheitsrichtlinien, etablierte Incident-Response-Prozesse, ein funktionierendes Lieferantenmanagement und einen kontinuierliche Verbesserungsprozesse implementiert. Das sind keine Kleinigkeiten. Diese Struktur bildet eine optimale Ausgangsbasis, um NIS-2- Konformität effizient erreichen zu können.
Wo die ISO/IEC 27001 nicht ausreicht – die verbleibenden Lücken
Es gibt Bereiche, in denen ISO/IEC 27001 allein nicht ausreicht, um die gesetzlichen Anforderungen des BSIG zu erfüllen. Diese Lücken sind klar abgrenzbar und sollten gezielt geschlossen werden.
a. Anwendungsbereich (Scope)
Die ISO/IEC 27001 erlaubt es Organisationen, den Anwendungsbereich ihres ISMS selbst zu definieren. In der Praxis können Unternehmen diesen „Scope“ auf einzelne Abteilungen, Prozesse, Standorte oder Systeme beschränken. Das BSIG verlangt jedoch die Umsetzung der Risikomanagementmaßnahmen für den gesamten relevanten Einrichtungsbetrieb (vgl. Bundesamt für Sicherheit in der Informationstechnik (BSI)). Eine bestehende Zertifizierung mit eingeschränktem Scope deckt diese Anforderung daher nicht vollständig ab.
b. Registrierungspflicht beim BSI
NIS-2 verlangt, dass besonders wichtige und wichtige Einrichtungen sich beim BSI registrieren (§ 33 BSIG). Die ISO/IEC 27001 kennt keine Registrierungspflicht gegenüber staatlichen Stellen.
c. Gesetzliche Meldepflichten
Die ISO/IEC 27001 stellt Anforderungen an strukturierte Incident-Management-Prozesse, kennt aber keine gesetzlich vorgeschriebenen Meldepflichten gegenüber Behörden oder Kunden. NIS-2 verpflichtet wiederum betroffene Einrichtungen zu einer Erstmeldung beim BSI innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls sowie zu einer qualifizierten Folgemeldung innerhalb von 72 Stunden. Wer den eigenen Incident-Response-Prozess bisher allein auf ISO/IEC 27001 aufgebaut hat, muss Strukturen für diese Meldepflichten explizit ergänzen und dokumentieren.
d. Persönliche Haftung der Geschäftsleitung und Schulungspflicht
Die ISO/IEC 27001 adressiert die Unternehmensführung im Rahmen der Leadership-Anforderungen (Kap. 5), begründet aber keine persönliche Haftung einzelner Personen. NIS-2 macht die Geschäftsleitung persönlich verantwortlich für die Umsetzung der Risikomanagementmaßnahmen und schreibt zudem Schulungspflichten für die Leitungsebene vor (§ 38 BSIG). Diese Verantwortung muss in der Governance der Organisation explizit verankert werden. Das BSI hat dazu die Handreichung „Schulung für Geschäftsleitungen“ veröffentlicht, die im April 2026 aktualisiert wurde.
e. Eine ISO/IEC 27001-Zertifizierung als Nachweis nach § 61 BSIG?
§ 61 BSIG regelt die Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen und § 62 BSIG entsprechend für wichtige Einrichtungen. Im Rahmen dieser Vorgaben kann das BSI u. a. Audits anordnen und die Vorlage von Nachweisen fordern, insbesondere zur Erfüllung der Pflichten aus §§ 30 und 31 BSIG (Risikomanagementmaßnahmen), § 32 BSIG (Meldepflichten) sowie § 38 BSIG (Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen). Eine ISO/IEC 27001-Zertifizierung kann diese Anforderungen nur unvollständig beantworten. Sie ist daher nicht als vollständiger Nachweis der NIS-2-Konformität gegenüber dem BSI geeignet.
Das BSI selbst macht deutlich, dass eine ISO/IEC 27001-Zertifizierung ein wertvolles Fundament ist, aber kein Ersatz für die Erfüllung der gesetzlichen Pflichten.
Das BSI schreibt auch keine bestimmte Norm vor. Einrichtungen sind grundsätzlich frei in der Wahl, wie sie die gesetzlichen Anforderungen umsetzen, solange die gesetzlichen Pflichten tatsächlich erfüllt werden.
Fazit
Wer ein solides ISMS nach ISO/IEC 27001 betreibt, hat einen erheblichen Teil der NIS‑2-Arbeit bereits erledigt und startet mit einem strukturellen Vorsprung. Die Überschneidungen in den Bereichen Risikomanagement, Incident Response, Business Continuity, Lieferkettensicherheit und Schulungen sind substanziell.
Gleichzeitig darf die Differenz nicht unterschätzt werden. Gesetzliche Meldepflichten mit engen Fristen, die Registrierung beim BSI, die persönliche Haftung der Geschäftsleitung und ein unternehmensweiter Anwendungsbereich sind Anforderungen, die über die nativen Anforderungen der ISO/IEC 27001 hinausgehen und gezielt adressiert werden müssen.
Die entscheidende Botschaft lautet: Eine ISO/IEC 27001-Zertifizierung ist kein NIS-2-Freifahrtschein. Wer die verbleibenden Lücken mit einer strukturierten Gap-Analyse identifiziert und schließt, erreicht NIS-2-Konformität ohne unnötige Doppelarbeit und mit einem Managementsystem, das langfristig trägt.
Die folgende Tabelle stellt die zentralen NIS-2-Anforderungen den entsprechenden Maßnahmen der ISO/IEC 27001 gegenüber:
NIS-2-Anforderungen | ISO/IEC 27001 | Abweichung? |
Risikoanalyse | Kap. 6 + A 5.7 | nein |
Incident Handling | A 24 – 28, A 6.8 | ja (Meldefristen) |
Business Continuity Management | A 5.29 – 30, A 8.14 | z. T. (NIS-2 verlangt Tests, Übungen) |
Lieferantenmanagement | A 5.19 – 23 | nein |
Zugangskontrolle | A 5.15 – 18 | z. T. MFA-Pflicht / kontinuierliche Authentisierung |
Schulung Geschäftsleitung | Kap. 7.2 | ja (NIS-2 ist spezifischer) |
Kryptografie | A 8.24 | z. T. (NIS-2 verlangt Konzept) |
Anwendungsbereich | Kap. 4.3 | ja (komplettes Unternehmen) |
Registrierung BSI | – | ja |
Haftung der Geschäftsleitung | – | ja |
Weitere Informationen rund um das Thema ISMS und NIS-2 finden Sie hier: https://www.dsn-group.de/informationssicherheit/isms
Wenn Sie mehr Blogbeiträge zu NIS-2 lesen wollen, klicken Sie hier.
Keine Kommentare