Von ISO 27001 zu NIS2: praxisnaher Plan zur Lückenschließung

Für eine Organisation, die bereits nach ISO 27001 zertifiziert ist, ist NIS2 größtenteils eine Erweiterung. Die Zuordnung der ENISA verknüpft jede technische Maßnahme der NIS2-Durchführungsverordnung mit ISO 27001, und unsere Punkt-für-Punkt-Analyse zeigt, wie. Doch „zugeordnet“ heißt nicht „erledigt“, und genau die Teile, die ISO nicht abdeckt, prüfen Aufsichtsbehörden zuerst. Dies ist die Reihenfolge, der wir folgen würden.

Von den 49 NIS2-Anforderungspunkte sind 49 (100%) auf etwas in ISO 27001 zugeordnet, 0 sind nur lose verwandt und 0 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Phase 1: bestätigen und registrieren (Wochen 1 bis 4)

1. Geltungsbereich und Einstufung bestätigen nach dem nationalen Recht jedes EU-Landes, in dem Sie Dienste erbringen: Sektor, Größe, wesentlich oder wichtig.
2. Registrieren Sie sich, sofern erforderlich, bei der zuständigen Behörde. Fristen und Formate unterscheiden sich je Land.
3. Geltungsbereiche abgleichen: Ihr ISO-Zertifikat deckt womöglich nur einen Teil der Organisation ab; NIS2 gilt für die Einrichtung als Ganzes. Planen Sie, den Geltungsbereich des ISMS zu erweitern.

Phase 2: Governance (Monate 1 bis 2)

1. Die Leitungsebene briefen zu ihren Pflichten nach Artikel 20: Maßnahmen genehmigen, sie überwachen und Schulungen absolvieren. Genehmigung und Schulung dokumentieren.
2. NIS2 in das ISMS aufnehmen: als rechtliche Anforderung auflisten (A.5.31), in die Risikobewertung einbeziehen und NIS2-Verweise in die Erklärung zur Anwendbarkeit aufnehmen.

Phase 3: Meldung (Monate 1 bis 3)

1. Das Verfahren für die Meldung erheblicher Sicherheitsvorfälle aufbauen: Wer entscheidet über die Erheblichkeit, wer meldet an das CSIRT oder die Behörde, und wie Sie die Frist von 24 Stunden für die Frühwarnung, 72 Stunden für die Meldung und einen Monat für den Abschlussbericht einhalten. Unser Beitrag zu dem Aufbau dieses Verfahrens behandelt es Schritt für Schritt.
2. Testen Sie es, auch außerhalb der Geschäftszeiten.

Phase 4: technische Maßnahmen vertiefen (Monate 2 bis 6)

1. Den Anforderungsvergleich Punkt für Punkt durchführen mit dem Lückenbericht ISO 27001 → NIS2 und jeden Punkt als erfüllt, teilweise erfüllt oder nicht erfüllt markieren.
2. Die üblichen Lücken priorisieren: Sicherheit der Lieferkette (Kriterien für Lieferanten und Vertragsbedingungen), Umgang mit Schwachstellen und koordinierte Offenlegung, Kryptografierichtlinie und Bewertung der Wirksamkeit (Artikel 21 Absatz 2 Buchstabe f).
3. Die NIS2-Details in bestehende ISO-Maßnahmen einarbeiten, statt parallele neue zu schaffen.

Phase 5: Wirksamkeit nachweisen (laufend)

1. NIS2 in das interne Audit und in die Managementbewertung einbeziehen.
2. Nachweise der Wirksamkeit aufbewahren: Kennzahlen, Testergebnisse und Auditfeststellungen, denn Aufsichtsbehörden verlangen den Nachweis, dass Maßnahmen funktionieren, nicht nur dass sie existieren.
3. Nationale Leitlinien beobachten: Behörden veröffentlichen weiterhin Erwartungen und Vorlagen.

Wer macht was

Ein Plan dieser Art braucht mehr als den ISMS-Manager:

• Die Leitungsebene: genehmigt die Maßnahmen, absolviert Schulungen und erhält regelmäßige Berichte.
• Recht oder Compliance: bestätigt den Geltungsbereich nach nationalem Recht, übernimmt die Registrierung und verfolgt nationale Leitlinien.
• Security Operations: verantwortet das Meldeverfahren, die Entscheidung über die Erheblichkeit und die Übungen.
• Einkauf: bringt Kriterien zur Lieferantenauswahl und Sicherheitsklauseln in die Verträge ein.
• Engineering und IT: schließen technische Lücken wie Offenlegung von Schwachstellen, Kryptografie und Kennzahlen zur Wirksamkeit.
• Der ISMS-Manager: koordiniert, hält die Zuordnung und Nachweise aktuell und führt das interne Audit durch.

Diese Rollen von Anfang an zu benennen, vermeidet den häufigsten Fehler: ein NIS2-Programm, das vollständig vom Sicherheitsteam geführt wird und weder seine eigenen Maßnahmen genehmigen noch Einkaufsverträge umschreiben kann.

Wichtigste Erkenntnisse

• Für ISO-zertifizierte Organisationen ist NIS2 eine Erweiterung, kein neues Programm.
• Beginnen Sie mit Geltungsbereich, Registrierung, Leitungspflichten und Meldung.
• Vertiefen Sie danach Lieferkette, Umgang mit Schwachstellen und Kryptografie.

Die zu vermeidende Falle

NIS2 als reine Dokumentenübung zu behandeln. ISO-zertifizierte Organisationen haben die Richtlinien oft schon; Aufsichtsbehörden werden fragen, ob das Meldeverfahren um 2 Uhr nachts funktioniert, ob die Leitung tatsächlich geschult wurde und ob Lieferantenanforderungen in echten Verträgen stehen. Dort zuerst ansetzen.

Für das Gesamtbild siehe den NIS2-Leitfaden und den Vergleich ISO 27001 vs. NIS2.

Fragen

Wie lange dauert der Weg von ISO 27001 zu NIS2?

Das hängt von Geltungsbereich und den festgestellten Lücken ab. Da sich die meisten technischen Maßnahmen zuordnen lassen, besteht die Arbeit vor allem aus Governance, Meldung, Lieferantensicherheit und der Vertiefung einzelner Maßnahmen. Sie dauert oft Monate statt eines neuen, mehrjährigen Programms.

Muss ich ISO 27001 für NIS2 neu zertifizieren?

Nein. Die Einhaltung von NIS2 wird von Ihrer nationalen Behörde beurteilt, nicht von einer Zertifizierungsstelle. Wenn Sie die NIS2-Anforderungen in das ISMS aufnehmen, prüfen Ihre bestehenden Audits diese ebenfalls.

Ist die Zuordnung der ENISA verbindlich?

Nein. Die Zuordnung der ENISA von der Durchführungsverordnung zu ISO 27001 und NIST CSF 2.0 ist eine Orientierungshilfe. Die nationalen Behörden entscheiden nach nationalem Recht über die Einhaltung.