NIS-2 und ISO 27001
NIS2 und ISO 27001 im Vergleich: was ein ISO-27001-ISMS für NIS-2 bereits leistet, wo nach BSI Lücken bleiben und wie Sie beides sinnvoll verbinden.
Viele Unternehmen fragen sich, ob eine Zertifizierung nach ISO 27001 für NIS-2 genügt. Die kurze Antwort des BSI zum Verhältnis von NIS-2 und ISO 27001: Sie ist ein tragfähiges Fundament und deckt bei umfassender Umsetzung einen großen Teil der geforderten Maßnahmen ab, erfüllt aber nicht automatisch alle gesetzlichen Pflichten.
Wo ISO 27001 hilft
Ein Managementsystem nach ISO 27001 bringt Risikoanalyse, Richtlinien, Zuständigkeiten, Schulungen, Lieferantensteuerung, Notfallvorsorge und regelmäßige Überprüfung bereits mit. Diese Bausteine verlangt NIS-2 ebenfalls. Wer zertifiziert ist, hat deshalb einen klaren Vorsprung, weil Strukturen und Dokumentation schon vorhanden sind.
Wo Lücken bleiben
Drei Punkte sind typisch: Erstens darf der Geltungsbereich eines ISO-Systems frei gewählt werden, NIS-2 gilt aber für das ganze Unternehmen. Zweitens erlaubt ISO 27001, Risiken bewusst zu akzeptieren, das Gesetz verlangt dagegen wirksame Schutzmaßnahmen. Drittens sind Registrierung, Meldefristen, Pflichten und Schulung der Geschäftsleitung nicht Teil der Norm.
Der nächste Schritt
Wenn Sie ISO 27001 bereits nutzen: Prüfen Sie Geltungsbereich und Risikoakzeptanzen und ergänzen Sie die NIS-2-spezifischen Pflichten. Wenn nicht: Eine Zertifizierung ist für NIS-2 nicht vorgeschrieben, kann aber ein sinnvoller Weg sein, die Umsetzung nachweisbar zu machen.
Ausgangslage
NIS-2 schreibt keinen bestimmten Standard vor. § 30 Abs. 2 BSIG verlangt Maßnahmen nach dem Stand der Technik unter Berücksichtigung einschlägiger europäischer und internationaler Normen. ISO/IEC 27001 ist die international verbreitetste Norm für Informationssicherheits-Managementsysteme und liegt deshalb als Grundlage nahe. Laut BSI-FAQ können Zertifizierungen nach ISO/IEC 27001 oder IT-Grundschutz als Nachweis dienen, ersetzen aber nicht die gesetzlichen Anforderungen.
Was das BSI zu NIS2 und ISO 27001 sagt
In einem Onepager vom April 2026 fasst das BSI das Verhältnis zusammen:
- Eine Zertifizierung nach ISO/IEC 27001 kann ein tragfähiges Fundament sein und deckt bei umfassender Umsetzung regelmäßig einen großen Teil der Maßnahmen nach § 30 BSIG ab.
- Mit einer Zertifizierung sind nicht automatisch alle gesetzlichen Anforderungen erfüllt.
- Der Scope eines ISMS ist frei definierbar, § 30 BSIG verlangt Maßnahmen für die gesamte regulierte Einrichtung.
- ISO/IEC 27001 erlaubt Risikoakzeptanz oder Risikotransfer, das BSIG fordert angemessene, wirksame und verhältnismäßige Schutzmaßnahmen.
- Registrierungspflichten, Meldefristen, Geschäftsleitungsverantwortung und Schulungspflichten sind nicht originärer Bestandteil der Norm.
- Die Wahl des Umsetzungswegs ist frei, die Verantwortung für das gesetzlich geforderte Niveau liegt bei der Unternehmensleitung.
Gegenüberstellung: § 30 BSIG und ISO 27001
Die folgende Zuordnung ist eine Orientierung, kein amtliches Mapping:
| Bereich nach § 30 Abs. 2 BSIG | Entsprechung in ISO/IEC 27001:2022 |
|---|---|
| Risikoanalyse, Sicherheitskonzepte | Kapitel 6 (Planung, Risikobeurteilung und -behandlung), Richtlinien in Anhang A 5 |
| Bewältigung von Sicherheitsvorfällen | Anhang-A-Controls zum Vorfallmanagement (Themengruppe organisatorisch) |
| Betriebskontinuität, Backup, Krisenmanagement | Controls zu IKT-Bereitschaft für Business Continuity und Datensicherung |
| Lieferkette | Controls zu Lieferantenbeziehungen und IKT-Lieferkette |
| Erwerb, Entwicklung, Wartung, Schwachstellen | Controls zu sicherer Entwicklung und technischem Schwachstellenmanagement |
| Wirksamkeitsbewertung | Kapitel 9 (Überwachung, interne Audits, Managementbewertung) |
| Schulung und Sensibilisierung | Kapitel 7.2 und 7.3 sowie Control zu Sensibilisierung und Schulung |
| Kryptografie | Control zum Einsatz von Kryptografie |
| Personal, Zugriff, Asset Management | Controls zu Personal, Zugangssteuerung und Inventar |
| MFA, gesicherte Kommunikation | Controls zu sicherer Authentisierung und Informationsübertragung, aber MFA nicht ausdrücklich zwingend |
Die typischen Lücken im Detail
Geltungsbereich
Viele ISO-Zertifikate umfassen nur einen Standort, ein Rechenzentrum oder einen Geschäftsbereich. Für NIS-2 müssen Sie prüfen, ob alle Teile der regulierten Einrichtung abgedeckt sind, auch Verwaltung, Nebenstandorte und ausgelagerte Dienste.
Risikoakzeptanz
In einem ISO-ISMS kann die Leitung Risiken nach dokumentierter Abwägung akzeptieren. Gegenüber dem BSI müssen Sie zeigen, dass die Maßnahmen für die zehn Bereiche angemessen und wirksam sind. Prüfen Sie deshalb Ihre Risikoakzeptanzen kritisch, besonders bei Themen, die das Gesetz ausdrücklich nennt, etwa Multi-Faktor-Authentifizierung.
Gesetzliche Prozesse
Registrierung im BSI-Portal, die Meldefristen 24 Stunden, 72 Stunden und ein Monat, die Überwachungs- und Schulungspflicht der Geschäftsleitung nach § 38 BSIG und die Pflege der Registrierungsdaten sind zusätzlich einzurichten. Das lässt sich gut in vorhandene ISMS-Prozesse integrieren, zum Beispiel im Vorfallmanagement und in der Managementbewertung.
ISO 27001 auf Basis von IT-Grundschutz
In Deutschland gibt es neben der nativen ISO-27001-Zertifizierung die ISO-27001-Zertifizierung auf Basis von IT-Grundschutz, die das BSI selbst erteilt. Sie verbindet die Anforderungen der Norm mit den konkreten Anforderungen der IT-Grundschutz-Bausteine. Für NIS-2 gilt dasselbe wie für die native Variante: gute Grundlage, aber die gesetzlichen Zusatzpflichten bleiben.
Vorgehen bei der Gap-Analyse
Eine Gap-Analyse zwischen bestehendem ISMS und NIS-2 lässt sich in vier Schritten erledigen:
- Scope vergleichen: Welche Standorte, Gesellschaften, Prozesse und Dienste gehören zur regulierten Einrichtung, und welche davon liegen außerhalb des Zertifikats?
- Zehn Bereiche abgleichen: Für jeden Bereich nach § 30 Abs. 2 BSIG die vorhandenen Controls, Richtlinien und Nachweise zuordnen und Lücken markieren.
- Risikoakzeptanzen prüfen: Akzeptierte Risiken in gesetzlich genannten Bereichen erneut bewerten und gegebenenfalls Maßnahmen nachziehen.
- Gesetzliche Prozesse ergänzen: Registrierung, Meldeweg mit Fristen, Pflege der Registrierungsdaten, Berichte an die Geschäftsleitung und deren Schulung in die bestehenden ISMS-Prozesse aufnehmen.
Das Ergebnis ist ein überschaubarer Maßnahmenplan, der in die nächste Managementbewertung einfließt. Der externe Auditor prüft weiterhin die Norm; die Erfüllung des BSIG müssen Sie selbst sicherstellen.
Empfehlung
- Bereits zertifiziert: Gap-Analyse zwischen Zertifikats-Scope und Einrichtung, Abgleich der zehn Bereiche, Meldeprozess und Geschäftsleitungsschulung ergänzen, Registrierung prüfen.
- Noch kein ISMS: NIS-2 erfordert kein Zertifikat. Entscheidend ist die nachweisbare Umsetzung. Wer ohnehin ein Zertifikat für Kunden oder Ausschreibungen braucht, kann beides in einem Projekt verbinden.
Häufige Fragen
Reicht eine ISO-27001-Zertifizierung für NIS-2?
Nicht automatisch. Nach Einschätzung des BSI deckt sie einen großen Teil der Maßnahmen ab, aber Geltungsbereich, Risikoakzeptanzen und gesetzliche Pflichten wie Registrierung, Meldefristen und Geschäftsleitungsschulung müssen gesondert geprüft werden.
Ist eine ISO-27001-Zertifizierung für NIS-2 Pflicht?
Nein. Das BSIG schreibt keine Zertifizierung vor. Einrichtungen müssen die Umsetzung der Maßnahmen dokumentieren und auf Anforderung nachweisen; ein Zertifikat kann dabei als Nachweis helfen.