NIS2 vs. ISO 27001: Reicht Ihr ISMS aus?

Nach Paul Gillet · Aktualisiert 2026-10-17

NIS2 (Richtlinie (EU) 2022/2555) verpflichtet wesentliche und wichtige Einrichtungen in der gesamten EU, Maßnahmen zum Management von Cybersicherheitsrisiken zu ergreifen und erhebliche Vorfälle zu melden. Die Durchführungsverordnung (EU) 2024/2690 der Kommission legt diese Maßnahmen für Anbieter digitaler Infrastruktur und IKT-Dienste (DNS, Cloud, Rechenzentren, Managed Services und Managed Security Services, Online-Plattformen und andere) detailliert fest. Die technischen Umsetzungsleitlinien der ENISA ordnen jede ihrer Anforderungen der ISO/IEC 27001:2022 zu.

Diese Zuordnung erklärt, warum jeder NIS2-Punkt unten als abgedeckt erscheint, wenn Sie bereits ISO 27001 haben: Die ENISA verknüpft jeden Punkt mit bestimmten ISO-Klauseln oder Anhang-A-Maßnahmen. Ein ISO-27001-ISMS ist der direkteste Weg zur technischen NIS2-Bereitschaft, und viele Mitgliedstaaten werten es als starken Nachweis.

Die ENISA stellt jedoch ausdrücklich klar, dass die Umsetzung der zugeordneten Normen „keine Konformität voraussetzt“. NIS2 bringt außerdem Pflichten mit sich, die ISO nicht kennt: Verantwortung und Schulung der Leitungsebene (Artikel 20), Meldung von Vorfällen an Ihr CSIRT oder Ihre Behörde innerhalb fester Fristen (Artikel 23: 24-Stunden-Frühwarnung, 72-Stunden-Meldung, Abschlussbericht innerhalb eines Monats), Registrierung bei Ihrer nationalen Behörde sowie nationale Umsetzungsdetails, die von Land zu Land abweichen.

Beim Übergang von NIS2 zu ISO bleibt die zertifizierbare Managementsystem-Arbeit: Anwendungsbereich, Führung, dokumentierte Informationen, internes Audit und Managementbewertung.

Auf einen Blick

Was ISO 27001 nicht abdeckt

• Meldefristen: ein erprobtes Verfahren, um zu entscheiden, ob ein Vorfall erheblich ist, und innerhalb von 24 und 72 Stunden zu melden, auch außerhalb der Geschäftszeiten.
• Schulung und Haftung der Geschäftsleitung: Artikel 20 verlangt, dass die Leitungsebene geschult wird und die Maßnahmen genehmigt.
• Registrierung bei Ihrer nationalen Behörde.
• Spezifische technische Anforderungen: einige Punkte der Durchführungsverordnung (z. B. zu Kryptografie, Schwachstellenmanagement und Lieferkettensicherheit) sind präskriptiver als die entsprechende Anhang-A-Maßnahme.
• Geltungsbereich: Ein ISO-Zertifikat deckt womöglich nur einen Teil der Organisation ab; NIS2 gilt für die Einrichtung.

ISO 27001 als Grundlage

Wenn Sie zertifiziert sind, führen Sie eine Lückenbewertung auf Basis Ihrer Erklärung zur Anwendbarkeit (Statement of Applicability) gegen den Anhang der Durchführungsverordnung (bzw. Artikel 21 nach Ihrem nationalen Recht) durch, weiten Sie bei Bedarf den ISMS-Geltungsbereich auf die gesamte Einrichtung aus und ergänzen Sie das Meldeverfahren sowie die Schulung der Geschäftsleitung im ISMS, damit sie zusammen mit allem anderen auditiert werden. Compliance festzustellen ist Aufgabe der Behörden, nicht der Zertifizierungsstellen; ein funktionierendes ISMS ist jedoch ein starker Nachweis für wirksame Maßnahmen.

Wer was benötigt

NIS2 ist verpflichtend für wesentliche und wichtige Einrichtungen in den genannten Sektoren, in der Regel für mittelgroße und größere Organisationen mit Tätigkeit in der EU, sowie für einige kleinere Anbieter wie DNS- und Vertrauensdiensteanbieter. ISO 27001 ist freiwillig, wird von Kunden aber oft verlangt. Organisationen, die unter NIS2 fallen und zugleich an Unternehmen verkaufen oder sich um öffentliche Aufträge bewerben, setzen meist beides um: NIS2, weil das Gesetz es verlangt, ISO 27001, weil Kunden ein Zertifikat fordern.

Kosten und Aufwand

Für eine Organisation, die bereits ISO 27001 besitzt, liegt der größte Teil des NIS2-Aufwands in Governance und Prozessen statt in Technik: Schulung und Genehmigung durch die Geschäftsleitung, ein erprobtes Meldeverfahren für erhebliche Vorfälle, in Verträgen festgelegte Sicherheitsanforderungen an Lieferanten, Registrierung und Nachweise, dass die Maßnahmen wirken. Technische Lücken bestehen zwar, sind aber meist enger gefasst: Offenlegung von Schwachstellen, Kryptografievorgaben und spezifische Maßnahmen für die Lieferkette. Für eine Organisation ohne jede Vorarbeit ist der Aufbau eines ISMS nach ISO-Vorbild oft der effizienteste Weg, die Maßnahmen nach Artikel 21 NIS2 zu erfüllen, unabhängig davon, ob anschließend eine Zertifizierung erfolgt.

Zeitplan

Eine ISO-zertifizierte Organisation kann die NIS2-spezifischen Lücken typischerweise in drei bis sechs Monaten schließen: zuerst Registrierung und Schulung der Geschäftsleitung, das Meldeverfahren innerhalb des ersten Quartals, danach Lieferantensicherheit und die spezifischeren technischen Maßnahmen. Unser Plan von ISO 27001 zu NIS2 beschreibt die Reihenfolge im Detail. Ohne ISO sollten Sie die sechs bis zwölf Monate einplanen, die ein erstes ISMS üblicherweise benötigt, wobei Meldewesen und Governance Vorrang haben, weil Aufsichtsbehörden diese zuerst prüfen.

Praxisbeispiel: ein Managed Service Provider

Ein Managed Service Provider in der EU mit 200 Beschäftigten besitzt ISO 27001 für seine Hosting- und Supportdienste. Als Managed Service Provider fällt er unter NIS2, und die detaillierten Maßnahmen der Durchführungsverordnung gelten direkt für ihn.

Die ENISA-Zuordnung zeigt, dass jeder Punkt der Durchführungsverordnung mit einer ISO-Maßnahme verknüpft ist, die bereits betrieben wird. Die Lückenarbeit konzentriert sich daher auf: Ausweitung des ISMS-Geltungsbereichs von zwei Servicelinien auf die gesamte Einrichtung; Schulung des Vorstands und Dokumentation seiner Genehmigung der Maßnahmen; Aufbau eines 24-Stunden-Meldeverfahrens für erhebliche Vorfälle mit Bereitschaft außerhalb der Geschäftszeiten; Ergänzung der eigenen Lieferantenverträge um Sicherheitsanforderungen und Klauseln zur Vorfallmeldung; sowie Veröffentlichung einer koordinierten Richtlinie zur Offenlegung von Schwachstellen. Innerhalb von sechs Monaten kann es seiner nationalen Behörde einen funktionierenden, auditierten Satz von Maßnahmen vorlegen, wobei das ISMS den Wirksamkeitsnachweis liefert, den Artikel 21 Absatz 2 Buchstabe f verlangt.

Häufige Fehler

• Annahme, das Zertifikat kläre alles. Aufsichtsbehörden prüfen die NIS2-Konformität; Zertifizierungsstellen tun das nicht.
• Enger Geltungsbereich belassen. Ein ISO-Geltungsbereich, der nur eine Servicelinie abdeckt, deckt keine einrichtungsweite gesetzliche Pflicht ab.
• Ein Meldeverfahren schreiben, das niemand getestet hat, besonders außerhalb der Geschäftszeiten, wenn die 24-Stunden-Frist am schwierigsten einzuhalten ist.
• Nationales Recht ignorieren. Registrierung, Aufsicht und einige Details unterscheiden sich zwischen den Mitgliedstaaten.
• Die Geschäftsleitung einmal schulen und dann vergessen. Artikel 20 erwartet, dass die Schulung aufrechterhalten wird, nicht eine einzelne Sitzung.

Kernaussagen

• ISO 27001 → NIS2: Die technischen Maßnahmen sind weitgehend abgedeckt; ergänzen Sie Meldeverfahren nach Artikel 23, Schulung der Geschäftsleitung und die nationale Registrierung.
• Prüfen Sie die nationale Umsetzung Ihres Landes: Anforderungen und Aufsichtspraxis unterscheiden sich je Mitgliedstaat.
• Stellen Sie sicher, dass die Sicherheit der Lieferkette (CIR Abschnitt 5) nachgewiesen und nicht nur in Richtlinien beschrieben ist.

Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →