ISO 27001 vs. NIS2: Was ISO abdeckt, Punkt für Punkt

Die eigene Zuordnung der ENISA verknüpft jede technische Maßnahme der NIS2-Durchführungsverordnung mit ISO 27001. Warum reicht ein ISO-Zertifikat dann nicht aus? Die Antwort liegt in dem, was die Zuordnung nicht abdeckt.

Wenn Sie ein ISO-27001-Zertifikat besitzen und NIS2 für Sie gilt, lautet die erste Frage, wie viel der Arbeit bereits erledigt ist. Die gute Nachricht: Die ENISA, die Cybersicherheitsagentur der EU, hat den größten Teil davon bereits beantwortet. Ihre Umsetzungsleitlinien ordnen jeden Punkt der NIS2-Durchführungsverordnung ISO-27001-Klauseln oder Annex-A-Maßnahmen zu.

So sieht diese Zuordnung im Einzelnen aus, Anforderung für Anforderung, sowie die Teile von NIS2, die sie nicht berührt.

Die Kernzahl

Von den 49 NIS2-Anforderungspunkte sind 49 (100%) auf etwas in ISO 27001 zugeordnet, 0 sind nur lose verwandt und 0 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Jeder der Anforderungspunkte im Anhang der Durchführungsverordnung (EU) 2024/2690 lässt sich einem Element in ISO 27001 zuordnen. Diese Verknüpfungen stammen aus der eigenen Zuordnungstabelle der ENISA und nicht aus unserer Einschätzung; deshalb sind sie als Crosswalk gekennzeichnet.

Jeder NIS2-Punkt und sein ISO-Gegenstück

NIS2	Anforderung	Abgleich	ISO 27001
1.1	Policy on the security of network and information systems	Crosswalk	A.5.1 A.5.37 Clause 5.2 A.5.4
1.2	Roles, responsibilities and authorities	Crosswalk	A.5.2 A.5.4 A.5.3 Clause 5.3
2.1	Risk management framework	Crosswalk	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3 A.5.7
2.2	Compliance monitoring	Crosswalk	A.5.31 Clause 9.1 A.5.36 A.5.35
2.3	Independent review of information and network security	Crosswalk	A.5.31 A.5.36 Clause 9.1 A.5.35
3.1	Incident handling policy	Crosswalk	A.5.24 A.5.25 A.5.26
3.2	Monitoring and logging	Crosswalk	A.5.25 A.8.15 A.8.16 A.8.17
3.3	Event reporting	Crosswalk	A.5.5 A.6.8
3.4	Event assessment and classification	Crosswalk	A.5.25 A.8.16
3.5	Incident response	Crosswalk	A.5.24 A.5.25 A.5.26 A.5.28
3.6	Post-incident reviews	Crosswalk	A.5.27 Clause 10.1
4.1	Business continuity and disaster recovery plan	Crosswalk	A.5.29 A.5.30 A.8.14
4.2	Backup management	Crosswalk	A.5.30 A.8.13 A.8.14
4.3	Crisis management	Crosswalk	A.5.26 A.5.29 A.5.30 A.8.14
5.1	Supply chain security policy	Crosswalk	A.5.19 A.5.20 A.5.21 A.5.22
5.2	Directory of suppliers and service providers	Crosswalk	A.5.19 A.5.20 A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Crosswalk	A.5.19 A.5.20 A.5.21 A.5.22
6.2	Secure development life cycle	Crosswalk	A.8.25 A.8.26 A.8.28 A.8.29
6.3	Configuration management	Crosswalk	A.8.9
6.4	Change management, repairs and maintenance	Crosswalk	A.7.13 A.8.32 Clause 6.3 Clause 8.1
6.5	Security testing	Crosswalk	A.8.8 A.8.29 A.8.33 A.8.34
6.6	Security patch management	Crosswalk	A.8.8 A.8.31 A.8.32
6.7	Network security	Crosswalk	A.8.20 A.8.21 A.8.22 A.8.16
6.8	Network segmentation	Crosswalk	A.5.15 A.8.5 A.8.20 A.8.21
6.9	Protection against malicious and unauthorised software	Crosswalk	A.5.14 A.8.19 A.8.1 A.8.7
6.10	Vulnerability handling and disclosure	Crosswalk	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Crosswalk	Clause 6.1.1 Clause 6.1.3 Clause 6.2 Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	Crosswalk	A.6.3 Clause 7.3 A.8.7
8.2	Security training	Crosswalk	A.6.3 Clause 7.3 Clause 7.2
9.1	Cryptography	Crosswalk	A.8.24 A.5.31
10.1	Human resources security	Crosswalk	A.6.2 A.6.3 Clause 7.1 Clause 7.2
10.2	Verification of Background	Crosswalk	A.6.1 A.6.4 A.8.16
10.3	Termination or change of employment procedures	Crosswalk	A.6.5
10.4	Disciplinary process	Crosswalk	A.6.1 A.6.4 A.8.16 A.5.28
11.1	Access control policy	Crosswalk	A.5.15 A.5.16 A.5.18 A.8.3
11.2	Management of access rights	Crosswalk	A.5.15 A.5.16 A.5.18 A.8.3
11.3	Privileged accounts and system administration accounts	Crosswalk	A.8.2 A.8.18
11.4	Administration systems	Crosswalk	A.8.2 A.8.18
11.5	Identification	Crosswalk	A.5.15 A.5.16 A.5.18 A.8.3
11.6	Authentication	Crosswalk	A.5.15 A.8.5 A.8.22 A.5.17
11.7	Multi-factor authentication	Crosswalk	A.8.5
12.1	Asset classification	Crosswalk	A.5.12 A.5.13 A.5.9
12.2	Handling of assets	Crosswalk	A.5.14 A.8.10 A.8.11 A.5.9
12.3	Removable media policy	Crosswalk	A.5.14 A.8.10 A.8.11 A.8.12
12.4	Asset inventory	Crosswalk	A.5.9 A.5.11 A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	Crosswalk	A.5.11 A.5.18 A.8.24
13.1	Supporting utilities	Crosswalk	A.7.1 A.7.2 A.7.3 A.7.4
13.2	Protection against physical and environmental threats	Crosswalk	A.7.1 A.7.2 A.7.3 A.7.4
13.3	Perimeter and physical access control	Crosswalk	A.7.1 A.7.2 A.7.3 A.7.4

Lesen Sie die Tabelle als „wo in Ihrem ISMS nachzuschauen ist“, nicht als „bereits erledigt“. Eine Zuordnung besagt, dass die ISO-Maßnahme denselben Gegenstand adressiert. Ob Ihre Umsetzung den NIS2-Punkt erfüllt, hängt davon ab, wie Sie die Maßnahme umgesetzt haben, und vom Detailgrad des NIS2-Texts, der oft konkreter ist als Annex A.

Was ISO 27001 nicht abdeckt

Die Durchführungsverordnung behandelt die Risikomanagementmaßnahmen nach Artikel 21. NIS2 selbst verlangt mehr, und nichts davon ist in ISO 27001 enthalten:

Fristen für die Meldung von Sicherheitsvorfällen (Artikel 23): eine Frühwarnung an das CSIRT oder die zuständige Behörde innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. ISO 27001 verlangt ein Vorfallmanagement, keine behördliche Meldung nach festen Fristen.
Verantwortung der Leitung (Artikel 20): Die Geschäftsleitung muss die Maßnahmen genehmigen, sie überwachen und an Schulungen teilnehmen; sie kann persönlich haftbar gemacht werden. Klausel 5 von ISO verlangt das Engagement der Führung, was schwächer ist.
Registrierung bei Ihrer nationalen Behörde sowie deren Aufsicht.
Geltungsbereich: Ein ISO-Zertifikat kann nur einen Teil einer Organisation abdecken. NIS2 gilt für die Einrichtung als Ganzes.

Einige Punkte des Anhangs gehen zudem über die passende ISO-Maßnahme hinaus. Beispiele sind Sicherheit der Lieferkette, Umgang mit Schwachstellen und deren Offenlegung sowie Kryptografie: Die ISO-Maßnahme existiert, doch NIS2 legt mehr fest.

Die Gegenrichtung: was NIS2 bei ISO auslässt

Von den 123 ISO 27001-Anhang-A-Maßnahmen und ISMS-Klauseln sind 104 (85%) auf etwas in NIS2 zugeordnet, 13 sind nur lose verwandt und 6 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Die ISO-Anforderungen ohne NIS2-Zuordnung betreffen die Mechanik des Managementsystems:

ISO 27001	Anforderung	Abgleich	NIS2
Clause 4.3	Determining the scope of the ISMS	Keine Zuordnung in unseren Daten	—
Clause 5.1	Leadership and commitment	Keine Zuordnung in unseren Daten	—
Clause 7.5.1	General	Keine Zuordnung in unseren Daten	—
Clause 7.5.2	Creating and updating	Keine Zuordnung in unseren Daten	—
Clause 7.5.3	Control of documented information	Keine Zuordnung in unseren Daten	—
Clause 10.2	Nonconformity and corrective action	Keine Zuordnung in unseren Daten	—

NIS2 verlangt nicht, dass Sie ein zertifizierbares Managementsystem betreiben. Daher haben ISMS-Geltungsbereich, Dokumentenlenkung und formale Korrekturmaßnahmen kein direktes Gegenstück. Das wirkt in beide Richtungen. Eine Organisation, die NIS2 von Grund auf umsetzt, braucht sie nicht. Ein ISMS liefert aber den stärksten Nachweis, dass Ihre Maßnahmen wirksam sind, was Artikel 21 Absatz 2 Buchstabe f ausdrücklich verlangt.

Fotografie eines Klemmbretts mit einer teilweise abgehakten Checkliste, das auf einem Stapel gehefteter Dokumente auf einem Besprechungstisch liegt — Eine Zuordnung ist eine Checkliste, wo man nachsehen muss, kein Nachweis der Konformität.

Was zu tun ist, wenn Sie ISO 27001 besitzen

Prüfen Sie Ihren Anwendungsbereich nach dem nationalen Recht jedes Landes, in dem Sie tätig sind, und registrieren Sie sich, wo erforderlich.
Prüfen Sie den Geltungsbereich Ihres Zertifikats: Es sollte die gesamte Einrichtung abdecken, nicht nur einen Dienst oder Standort.
Führen Sie den Abgleich durch, ausgehend von Ihrer Erklärung zur Anwendbarkeit (Statement of Applicability) bis zu den oben genannten Anhangpunkten; unser Lückenbericht ISO 27001 → NIS2 exportiert ihn als Tracker.
Ergänzen Sie, was ISO nicht abdeckt, im ISMS: das Meldeverfahren mit seinen 24- und 72-Stunden-Fristen, Schulungen der Leitung und die Registrierung. Wenn Sie diese im ISMS verankern, prüfen auch Ihre internen Audits und Überwachungsaudits sie.
Vertiefen Sie die Maßnahmen dort, wo NIS2 konkreter ist, beginnend mit der Sicherheit der Lieferkette und dem Umgang mit Schwachstellen.

Für das Gesamtbild lesen Sie unseren NIS2-Leitfaden und den vollständigen Vergleich ISO 27001 vs. NIS2.

Fragen

Macht Sie eine ISO-27001-Zertifizierung automatisch NIS2-konform?

Nein. Sie deckt den größten Teil der technischen und organisatorischen Maßnahmen ab, doch NIS2 ergänzt Fristen für die Meldung von Vorfällen, Schulungs- und Verantwortungspflichten der Leitung, die Registrierung bei der nationalen Behörde sowie einige Anforderungen, die konkreter sind als Annex A. Über die Konformität entscheiden die nationalen Behörden, nicht die Zertifizierungsstellen.

Was ist die NIS2-Durchführungsverordnung?

Die Durchführungsverordnung (EU) 2024/2690 der Kommission legt die Maßnahmen nach Artikel 21 NIS2 im Detail fest für DNS-Diensteanbieter, TLD-Registries, Anbieter von Cloud-Computing- und Rechenzentrumsdiensten, verwaltete (Sicherheits-)Dienstleister, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter.

Datenstand 2026-10-27: Die Zahlen in diesem Beitrag werden aus dem aktuellen Crosswalk berechnet und aktualisieren sich, sobald dieser geändert wird. Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Keine Compliance-Beratung.

Was ISO 27001 in NIS2 abdeckt, Punkt für Punkt