ISO 27001 und NIS2: was Ihr Zertifikat abdeckt und was noch fehlt
Das Wichtigste in Kürze
- ISO 27001 ist freiwillig und selbst abgegrenzt, NIS2 ist Recht und in Umfang und Pflichten vorgegeben
- Ein funktionierendes ISMS deckt einen großen Teil der Maßnahmen aus Artikel 21 bereits ab
- Drei Bereiche kennt die Norm nicht: Meldefristen, Registrierung und die persönliche Verantwortung der Leitung
- Die häufigste Lücke ist der Geltungsbereich - ein enger ISMS-Scope deckt den regulierten Dienst nicht ab
- Ein Penetrationstest kann beide Nachweise zugleich erbringen, wenn der Bericht die Zuordnung mitliefert
„Wir sind nach ISO 27001 zertifiziert, NIS2 haben wir damit erledigt.“ Dieser Satz fällt in fast jedem Erstgespräch mit einem zertifizierten Unternehmen. Er ist zur Hälfte richtig, und die andere Hälfte ist teuer.
Die Überschneidung zwischen Norm und Richtlinie ist tatsächlich groß - groß genug, um den Aufwand für NIS2 etwa zu halbieren. Sie ist aber nicht vollständig, und die Lücken liegen ausgerechnet dort, wo eine Aufsichtsbehörde zuerst hinsieht.
Der Unterschied in der Natur
Bevor man Anforderungen vergleicht, lohnt der Blick auf die grundverschiedene Bauart:
| ISO/IEC 27001 | NIS2 | |
|---|---|---|
| Was es ist | freiwilliger Standard für ein Managementsystem | geltendes Recht (Richtlinie plus nationale Umsetzung) |
| Geltungsbereich | Sie legen ihn selbst fest | ergibt sich aus Sektor, Größe und erbrachtem Dienst |
| Maßnahmenauswahl | risikobasiert, begründete Nichtanwendung zulässig | Pflichtenkatalog aus Artikel 21, nicht abwählbar |
| Prüfung | Zertifizierungsstelle, Zyklus mit Überwachungsaudits | Aufsichtsbehörde, in Deutschland das BSI |
| Konsequenz bei Verstoß | Abweichung, im Extremfall Verlust des Zertifikats | Bußgeld, Auflagen, Verantwortlichkeit der Leitung |
| Adressat | die Organisation | die Organisation und die Leitungsorgane |
Der wichtigste Satz dieser Tabelle steht in der zweiten Zeile. Bei ISO 27001 entscheiden Sie, was im Geltungsbereich liegt - viele Zertifikate decken einen sorgfältig gewählten Ausschnitt ab. Bei NIS2 entscheidet das der Dienst, den Sie erbringen. Wenn Ihr ISMS-Scope „Rechenzentrumsbetrieb am Standort X“ lautet, Ihr regulierter Dienst aber die gesamte Kundenplattform umfasst, haben Sie ein Zertifikat, das den relevanten Teil nicht abdeckt.
Wo sich beide überschneiden
Der überwiegende Teil der Risikomanagementmaßnahmen aus Artikel 21 Absatz 2 hat eine direkte Entsprechung in der Norm:
| NIS2, Artikel 21 Abs. 2 | Entsprechung in ISO 27001 |
|---|---|
| lit. a) Risikoanalyse und Sicherheitskonzepte | Kapitel 6.1, Risikobewertung und -behandlung |
| lit. b) Bewältigung von Sicherheitsvorfällen | Anhang A 5.24 bis 5.26 |
| lit. c) Geschäftskontinuität und Krisenmanagement | Anhang A 5.29, 5.30 |
| lit. d) Sicherheit der Lieferkette | Anhang A 5.19 bis 5.22 |
| lit. e) Sicherheit bei Erwerb, Entwicklung und Wartung, Schwachstellenmanagement | Anhang A 8.8, 8.25, 8.28 |
| lit. f) Bewertung der Wirksamkeit der Maßnahmen | Anhang A 8.29, Kapitel 9.1 und 9.2 |
| lit. g) Cyberhygiene und Schulungen | Anhang A 6.3 |
| lit. h) Kryptografie | Anhang A 8.24 |
| lit. i) Personalsicherheit, Zugriffskontrolle, Asset-Management | Anhang A 5.9 bis 5.18, 6.1 bis 6.6 |
| lit. j) Mehrfaktor-Authentifizierung, gesicherte Kommunikation | Anhang A 8.5, 8.20, 8.21 |
Wenn Ihr ISMS wirklich lebt - und nicht nur zur Auditwoche - liegt hier bereits der größte Teil der Arbeit hinter Ihnen. Was Sie brauchen, ist keine neue Struktur, sondern eine Zuordnung: dieselben Nachweise, beschriftet mit den Artikelnummern der Richtlinie.
Wo sie auseinandergehen
Drei Bereiche gibt es in der Norm schlicht nicht.
1. Gesetzliche Meldefristen
ISO 27001 verlangt in A 5.24 bis 5.26 einen Prozess zur Bewältigung von Vorfällen - wer bewertet, wer entscheidet, wie wird dokumentiert. Was die Norm nicht kennt, ist eine gesetzliche Frist gegenüber einer Behörde.
NIS2 sieht in Artikel 23 eine dreistufige Kette vor: Frühwarnung binnen 24 Stunden, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Ihr bestehender Vorfallsprozess ist dafür eine gute Grundlage, aber er braucht einen zusätzlichen Zweig: Wer entscheidet innerhalb weniger Stunden, ob ein Vorfall „erheblich“ ist, und wer meldet ihn. Die Details stehen im Artikel NIS2 in Deutschland.
2. Registrierung bei der Aufsicht
Betroffene Einrichtungen müssen sich bei der zuständigen Stelle registrieren - in Deutschland beim BSI. Eine Zertifizierungsstelle kennt diesen Vorgang nicht, weil es ihn im Normenwerk nicht gibt. Das ist eine reine Verwaltungspflicht, und genau deshalb wird sie übersehen.
3. Persönliche Verantwortung der Leitungsorgane
Artikel 20 verpflichtet die Leitungsorgane, die Maßnahmen zu billigen, ihre Umsetzung zu überwachen und an Schulungen teilzunehmen, und sieht eine Verantwortlichkeit für Verstöße vor. ISO 27001 verlangt in Kapitel 5.1 Führung und Verpflichtung - aber adressiert die Organisation, nicht die einzelne Person.
Praktisch heißt das: Die Billigung muss dokumentiert sein und sich auf etwas Prüfbares stützen. Ein Auditbericht des ISMS reicht dafür nicht immer aus, weil er den Zustand des Managementsystems beschreibt und nicht die Widerstandsfähigkeit der Systeme.
Dieser Vergleich ist eine informative Einordnung, keine Rechtsberatung. Ihre konkrete Einstufung, den Umfang Ihrer Pflichten und den Stand der nationalen Umsetzung klären Sie mit dem BSI und mit rechtlicher Beratung.
Der gemeinsame Nenner: Schwachstellenmanagement
Es gibt einen Punkt, an dem beide Regelwerke dasselbe verlangen und an dem beide am häufigsten scheitern.
ISO 27001, Anhang A 8.8 verlangt das Management technischer Schwachstellen: Informationen über Schwachstellen der eingesetzten Systeme sind zu beschaffen, die Exposition ist zu bewerten und es sind geeignete Maßnahmen zu ergreifen. A 8.29 verlangt zusätzlich Sicherheitstests in Entwicklung und Abnahme.
NIS2, Artikel 21 Absatz 2 lit. e) und f) verlangt Schwachstellenmanagement und ein Verfahren, das die Wirksamkeit der Maßnahmen bewertet.
Das ist in beiden Fällen dieselbe Arbeit: laufend Schwachstellen finden und priorisieren und periodisch prüfen, ob die getroffenen Maßnahmen einen Angreifer tatsächlich aufhalten. Ein Penetrationstest mit Bericht, Maßnahmenplan und Retest erzeugt beide Nachweise in einem Durchgang - vorausgesetzt, der Bericht ordnet die Befunde den jeweiligen Anforderungen zu. Genau das liefern unsere Berichte für ISO 27001 und für NIS2.
Wo der Unterschied zwischen einem Scan und einem Test genau liegt, gehen wir im Artikel Schwachstellenscan oder Penetrationstest durch.
Wenn Sie das Zertifikat bereits haben
- Geltungsbereiche abgleichen. Deckt Ihr ISMS-Scope den Dienst ab, der unter NIS2 fällt? Das ist die häufigste und die folgenreichste Lücke.
- Zuordnung erstellen. Eine Tabelle Artikel 21 gegen Anhang A. Für den größten Teil tragen Sie nur die Nummer Ihres bestehenden Nachweises ein.
- Die drei fehlenden Bereiche ergänzen. Meldekette mit 24-Stunden-Frist, Registrierung, dokumentierte Billigung durch die Leitung samt Schulungsnachweis.
- Wirksamkeit prüfen. Der Penetrationstest, den Sie für A 8.29 ohnehin brauchen, deckt lit. f) mit ab, wenn der Bericht es sagt.
Realistischer Aufwand für ein Unternehmen mit lebendem ISMS: einige Wochen, überwiegend Zuordnungsarbeit.
Und wenn Sie es nicht haben
Es gibt keine Zertifizierungspflicht - NIS2 verlangt Maßnahmen, keine Norm. Trotzdem ist Anhang A der pragmatischste verfügbare Bauplan, weil er die Pflichten in umsetzbare Maßnahmen übersetzt, die schon jemand durchdacht hat.
Zwei Wege, beide vertretbar:
- Mit Zertifizierung, wenn Sie den Nachweis ohnehin für Kundenfragebögen und Ausschreibungen brauchen. Der Zertifizierungszyklus umfasst üblicherweise drei Jahre mit jährlichen Überwachungsaudits.
- Ohne Zertifizierung, an Anhang A als Struktur orientiert. Sie sparen das Audit und verlieren das Verkaufsargument.
In beiden Fällen bleibt der technische Teil derselbe, und er ist der Teil, der sich nicht aussitzen lässt: Sie müssen zeigen können, dass die Maßnahmen wirken.
ISO 27001 und NIS2 - häufige Fragen
01Ersetzt eine ISO-27001-Zertifizierung die NIS2-Pflichten?
Nein. ISO 27001 ist ein freiwilliger Standard, NIS2 ist geltendes Recht - ein Zertifikat kann eine gesetzliche Pflicht nicht ersetzen. Die Überschneidung ist allerdings groß: Ein funktionierendes ISMS deckt einen erheblichen Teil der Risikomanagementmaßnahmen aus Artikel 21 bereits ab. Der praktische Wert des Zertifikats liegt darin, dass Sie diesen Teil nachweisen können, statt ihn neu aufbauen zu müssen.
02Welche NIS2-Anforderungen deckt ISO 27001 nicht ab?
Drei Bereiche. Erstens die gesetzlichen Meldefristen: die Norm verlangt einen Vorfallsprozess, aber keine Frühwarnung binnen 24 Stunden an eine Behörde. Zweitens die Registrierungspflicht bei der zuständigen Stelle, die es im Normenwerk nicht gibt. Drittens die persönliche Verantwortung und die Schulungspflicht der Leitungsorgane nach Artikel 20. Hinzu kommt der Geltungsbereich: der ISMS-Scope ist selbst gewählt, der NIS2-Umfang ergibt sich aus dem erbrachten Dienst.
03Reicht ein Penetrationstest für ISO 27001 und NIS2 zugleich?
Ja, wenn der Umfang beide Bezugsrahmen abdeckt und der Bericht die Befunde den jeweiligen Anforderungen zuordnet. Technisch ist es derselbe Test: ISO 27001 verlangt in Anhang A 8.8 Schwachstellenmanagement und in A 8.29 Sicherheitstests, NIS2 verlangt in Artikel 21 Absatz 2 lit. e) und f) im Kern dasselbe. Unterschiedlich ist nur die Beschriftung im Bericht.
04Müssen wir ISO 27001 erlangen, um NIS2 zu erfüllen?
Nein, es gibt keine Zertifizierungspflicht. Die Norm ist aber der etablierteste Weg, die geforderten Maßnahmen strukturiert aufzubauen und ihre Wirksamkeit nachzuweisen, und sie beantwortet zugleich die Sicherheitsfragebögen Ihrer Kunden. Wer nicht zertifizieren will, kann sich an Anhang A als Struktur orientieren, ohne das Audit zu durchlaufen.
05Was ist der wichtigste Unterschied in der Natur beider Regelwerke?
ISO 27001 ist ein Managementsystem: Sie definieren Ihren Geltungsbereich, bewerten Risiken und begründen, welche Maßnahmen Sie umsetzen - eine begründete Nichtanwendung ist zulässig. NIS2 ist Ordnungsrecht: Umfang und Pflichtenkatalog ergeben sich aus Sektor und Größe, nicht aus Ihrer Risikoentscheidung, und eine Nichtanwendung lässt sich nicht wegdokumentieren.
06Wo fangen wir an, wenn wir das Zertifikat bereits haben?
Mit einem Abgleich zwischen Ihrem ISMS-Geltungsbereich und dem Dienst, der unter NIS2 fällt - das ist die häufigste Lücke. Danach die drei Bereiche ergänzen, die die Norm nicht kennt: Meldekette mit 24-Stunden-Frist, Registrierung und dokumentierte Billigung durch die Geschäftsleitung. Den Wirksamkeitsnachweis liefert derselbe Penetrationstest, den Sie für das Zertifikat ohnehin durchführen.
