· 2 Min. Lesezeit

NIS-2 und ISO 27001: Ersetzt das eine das andere?

ISO 27001 hilft erheblich bei der NIS-2-Umsetzung — ersetzt sie aber nicht. Wo sich beide decken, wo NIS-2 darüber hinausgeht und wie Sie doppelte Arbeit vermeiden.

ISO 27001RisikomanagementCompliance

„Wir sind ISO-27001-zertifiziert — dann sind wir doch NIS-2-konform?” Die Frage ist verständlich, die Antwort lautet: zu einem großen Teil ja, aber nicht automatisch. Wer die Unterschiede kennt, spart doppelte Arbeit — und vermeidet die Lücken, die ein Zertifikat allein nicht schließt.

Was beides gemeinsam haben

ISO 27001 und NIS-2 verfolgen denselben Kern: ein risikobasiertes Managementsystem für Informationssicherheit mit Verantwortung der Leitung, definierten Prozessen und kontinuierlicher Verbesserung. Die zehn Mindestmaßnahmen aus Art. 21 — Risikoanalyse, Incident Handling, Business Continuity, Lieferkette, Zugriffskontrolle, Kryptografie, Schulungen — finden sich nahezu vollständig in den Controls der ISO 27001 (Annex A) wieder. Ein gelebtes ISMS ist deshalb das beste Fundament, das man für NIS-2 haben kann: Die inhaltliche Überdeckung ist hoch.

Wo NIS-2 über die ISO hinausgeht

1. NIS-2 ist Gesetz, ISO ist freiwillig. Die Richtlinie bzw. das NIS2UmsuCG gilt unabhängig davon, ob Sie zertifiziert sind — mit Bußgeldern und Aufsicht statt Auditbericht.

2. Registrierungspflicht. ISO kennt keine Behördenregistrierung; NIS-2 verlangt die aktive Registrierung beim BSI.

3. Gesetzliche Meldefristen. Das ISMS verlangt Incident-Management — aber die konkreten 24h/72h/1-Monat-Meldungen an das BSI mit definierten Inhalten sind NIS-2-spezifisch und müssen im Prozess explizit verankert sein.

4. Persönliche Pflichten der Geschäftsleitung. NIS-2 adressiert die Leitung direkt: billigen, überwachen, schulen — mit persönlicher Verantwortung. Das geht über die Management-Verantwortung der ISO hinaus.

5. Geltungsbereich. Ein ISO-Zertifikat gilt für den definierten Scope — der ist in der Praxis oft schmaler als das, was NIS-2 erfasst (z. B. nur das Rechenzentrum, nicht die Produktions-OT). NIS-2 fragt nicht nach Ihrem Scope-Dokument.

Und umgekehrt: NIS-2 ohne ISO?

Genauso möglich. NIS-2 verlangt kein Zertifikat, sondern wirksame, nachweisbare Maßnahmen. Für viele Mittelständler ist der pragmatische Weg: NIS-2-Anforderungen direkt umsetzen, sauber dokumentieren — und erst dann über eine Zertifizierung nachdenken, wenn Kunden oder Ausschreibungen sie verlangen. Die Zertifizierung ist dann ein kleiner Zusatzschritt, kein neues Projekt.

Praktisches Vorgehen für Zertifizierte

  1. Mapping statt Neuaufbau: Art.-21-Katalog gegen Ihr ISMS spiegeln — die meisten Punkte sind grün.
  2. Die NIS-2-Spezifika ergänzen: BSI-Registrierung, Meldekette mit Fristen, Schulung der Geschäftsleitung, ggf. Scope-Erweiterung.
  3. Nachweise bündeln: vorhandene ISMS-Dokumentation als NIS-2-Nachweis nutzen — einmal pflegen, zweimal verwenden.

Kurz: ISO 27001 ist die halbe Miete und ein starker Beschleuniger — die NIS-2-Pflichten gelten trotzdem. Ob sie für Ihr Unternehmen greifen, klären Sie in zwei Minuten: zum kostenlosen Betroffenheits-Check.

Dieser Beitrag bietet eine erste Orientierung und ersetzt keine Rechtsberatung.