Deckt die ISO/IEC 27001 die NIS-2-Anforderungen ab?

In Beratungsgesprächen mit Unternehmen taucht regelmäßig die Frage auf, ob eine bestehende Zertifizierung nach ISO/IEC 27001 ausreicht, um die Anforderungen der NIS-2-Richtlinie zu erfüllen. Die Antwort ist differenziert: ISO/IEC 27001 und NIS-2 verfolgen zwar ähnliche Ziele im Bereich der Informationssicherheit, unterscheiden sich jedoch in wichtigen Details erheblich. Wer die Unterschiede kennt, kann gezielt handeln und vermeidet sowohl unnötige Doppelarbeit als auch gefährliche Compliance-Lücken.

Zwei unterschiedliche Regelwerke mit gemeinsamem Ziel

Die ISO/IEC 27001 ist ein international anerkannter Standard für Informationssicherheits-Managementsysteme. Sie beschreibt systematisch, wie Organisationen Informationssicherheitsrisiken identifizieren, bewerten und behandeln sollen. Die Zertifizierung ist grundsätzlich freiwillig und wird durch unabhängige Zertifizierungsstellen vergeben. Sie dient häufig als Nachweis gegenüber Geschäftspartnern, in Ausschreibungen oder als Beleg für die Erfüllung vertraglicher Anforderungen.

Die NIS-2-Richtlinie hingegen ist eine verbindliche EU-Richtlinie zur Stärkung der Cybersicherheit in kritischen Sektoren. In Deutschland wurde sie durch das NIS-2-Umsetzungsgesetz und die Novellierung des BSI-Gesetzes in nationales Recht überführt. NIS-2 ist keine freiwillige Norm, sondern gesetzliche Pflicht für betroffene Einrichtungen. Bei Verstößen drohen erhebliche Bußgelder sowie die persönliche Haftung der Geschäftsführung.

Trotz dieser grundlegenden Unterschiede verfolgen beide Regelwerke dasselbe übergeordnete Ziel: eine strukturierte, nachweisbare und kontinuierlich verbesserte Informationssicherheit. Diese inhaltliche Überschneidung bietet erhebliche Synergieeffekte für Unternehmen, die beide Anforderungen erfüllen müssen.

Was die ISO/IEC 27001 bereits leistet

Unternehmen, die ein ISMS nach ISO/IEC 27001 ernsthaft betreiben, haben bereits wichtige Grundlagen geschaffen. Dazu gehören ein strukturiertes Risikomanagement mit dokumentierten Bewertungsmethoden, umfassende Sicherheitsrichtlinien und Verfahrensanweisungen, etablierte Prozesse für das Incident Response Management, ein funktionierendes Lieferantenmanagement mit Sicherheitsbewertungen sowie kontinuierliche Verbesserungsprozesse durch interne Audits und Management Reviews.

Diese Struktur bildet eine optimale Ausgangsbasis, um NIS-2-Konformität effizient zu erreichen. Der Aufwand für die verbleibenden Anpassungen ist deutlich geringer als ein Aufbau von Grund auf. Dennoch reicht die ISO/IEC 27001 allein nicht aus, um die gesetzlichen Anforderungen vollständig abzudecken.

Wo die ISO/IEC 27001 nicht ausreicht – die konkreten Lücken

Anwendungsbereich und Scope

Die ISO/IEC 27001 erlaubt es Organisationen, den Anwendungsbereich ihres ISMS selbst zu definieren. In der Praxis beschränken Unternehmen diesen Scope häufig auf einzelne Abteilungen, Prozesse, Standorte oder Systeme. Das BSI-Gesetz verlangt jedoch die Umsetzung der Risikomanagementmaßnahmen für den gesamten relevanten Einrichtungsbetrieb. Eine bestehende Zertifizierung mit eingeschränktem Scope deckt diese Anforderung nicht vollständig ab. Hier ist eine Erweiterung des Geltungsbereichs erforderlich.

Registrierungspflicht beim BSI

NIS-2 verpflichtet besonders wichtige und wichtige Einrichtungen zur Registrierung beim Bundesamt für Sicherheit in der Informationstechnik gemäß Paragraph 33 BSIG. Die ISO/IEC 27001 kennt keine vergleichbare Registrierungspflicht gegenüber staatlichen Stellen. Diese administrative Anforderung muss zusätzlich erfüllt werden und ist nicht durch eine Zertifizierung abgedeckt.

Gesetzliche Meldepflichten mit engen Fristen

Die ISO/IEC 27001 fordert strukturierte Incident-Management-Prozesse, kennt aber keine gesetzlich vorgeschriebenen Meldepflichten mit konkreten Fristen. NIS-2 verpflichtet betroffene Einrichtungen zu einer Erstmeldung beim BSI innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls sowie zu einer qualifizierten Folgemeldung innerhalb von 72 Stunden. Unternehmen müssen ihre bestehenden Incident-Response-Prozesse um diese spezifischen Meldewege und Fristen erweitern und dokumentieren.

Persönliche Haftung der Geschäftsleitung

Die ISO/IEC 27001 adressiert die Unternehmensführung im Rahmen der Leadership-Anforderungen, begründet aber keine persönliche Haftung einzelner Personen. NIS-2 macht die Geschäftsleitung persönlich verantwortlich für die Umsetzung der Risikomanagementmaßnahmen und schreibt zudem explizite Schulungspflichten für die Leitungsebene vor. Diese Verantwortung muss in der Governance-Struktur der Organisation verankert werden. Das BSI hat dazu die Handreichung Schulung für Geschäftsleitungen veröffentlicht.

ISO/IEC 27001-Zertifizierung als Nachweis gegenüber dem BSI

Die Paragrafen 61 und 62 BSIG regeln die Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige und wichtige Einrichtungen. Das BSI kann im Rahmen seiner Aufsichtsbefugnisse Audits anordnen und die Vorlage von Nachweisen fordern, insbesondere zur Erfüllung der Pflichten aus den Paragrafen 30 und 31 BSIG zu Risikomanagementmaßnahmen, Paragraph 32 BSIG zu Meldepflichten sowie Paragraph 38 BSIG zu Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitungen.

Eine ISO/IEC 27001-Zertifizierung kann diese Anforderungen nur teilweise beantworten. Sie ist daher nicht als vollständiger Nachweis der NIS-2-Konformität gegenüber dem BSI geeignet. Das BSI selbst stellt klar, dass eine ISO/IEC 27001-Zertifizierung ein wertvolles Fundament darstellt, aber kein Ersatz für die Erfüllung der spezifischen gesetzlichen Pflichten ist. Einrichtungen sind grundsätzlich frei in der Wahl ihrer Umsetzungsmethode, solange die gesetzlichen Pflichten tatsächlich erfüllt werden.

Synergien nutzen, Lücken gezielt schließen

Die nachfolgende Übersicht stellt die zentralen NIS-2-Anforderungen den entsprechenden Maßnahmen der ISO/IEC 27001 gegenüber und zeigt, wo Abweichungen bestehen:

Risikoanalyse: Vollständig durch Kapitel 6 und Anhang 5.7 der ISO/IEC 27001 abgedeckt.

Incident Handling: Grundsätzlich durch Anhang 24 bis 28 und 6.8 abgedeckt, jedoch müssen die spezifischen NIS-2-Meldefristen ergänzt werden.

Business Continuity Management: Weitgehend durch Anhang 5.29 bis 30 und 8.14 abgedeckt, NIS-2 verlangt jedoch explizit regelmäßige Tests und Übungen.

Lieferantenmanagement: Vollständig durch Anhang 5.19 bis 23 abgedeckt.

Zugangskontrolle: Grundsätzlich durch Anhang 5.15 bis 18 abgedeckt, NIS-2 verlangt jedoch explizit Multifaktor-Authentifizierung und kontinuierliche Authentisierungsverfahren.

Schulung der Geschäftsleitung: ISO/IEC 27001 fordert Schulungen in Kapitel 7.2, NIS-2 ist hier jedoch deutlich spezifischer und verpflichtend.

Kryptografie: Grundsätzlich durch Anhang 8.24 abgedeckt, NIS-2 verlangt jedoch ein explizites Kryptografie-Konzept.

Anwendungsbereich: ISO/IEC 27001 erlaubt eingeschränkte Scopes, NIS-2 verlangt die Abdeckung des gesamten relevanten Unternehmensbetriebs.

Registrierung beim BSI: Nicht in ISO/IEC 27001 enthalten, muss zusätzlich erfolgen.

Persönliche Haftung der Geschäftsleitung: Nicht in ISO/IEC 27001 enthalten, muss organisatorisch verankert werden.

Fazit: ISO/IEC 27001 als Fundament, nicht als Freifahrtschein

Wer ein solides ISMS nach ISO/IEC 27001 betreibt, hat einen erheblichen Teil der NIS-2-Arbeit bereits erledigt und startet mit einem strukturellen Vorsprung. Die Überschneidungen in den Bereichen Risikomanagement, Incident Response, Business Continuity, Lieferkettensicherheit und Schulungen sind substanziell und ermöglichen erhebliche Synergieeffekte.

Gleichzeitig darf die verbleibende Differenz nicht unterschätzt werden. Gesetzliche Meldepflichten mit engen Fristen, die Registrierung beim BSI, die persönliche Haftung der Geschäftsleitung und ein unternehmensweiter Anwendungsbereich sind Anforderungen, die über die Anforderungen der ISO/IEC 27001 hinausgehen und gezielt adressiert werden müssen.

Die entscheidende Botschaft lautet: Eine ISO/IEC 27001-Zertifizierung ist kein NIS-2-Freifahrtschein, aber ein exzellentes Fundament. Wer die verbleibenden Lücken mit einer strukturierten Gap-Analyse identifiziert und systematisch schließt, erreicht NIS-2-Konformität effizient und ohne unnötige Doppelarbeit. Das Ergebnis ist ein integriertes Managementsystem, das sowohl den Anforderungen der Zertifizierung als auch den gesetzlichen Pflichten gerecht wird und langfristig Bestand hat.

Sie benötigen Unterstützung bei der Umsetzung von NIS-2 oder möchten prüfen, ob Ihr bestehendes ISMS die gesetzlichen Anforderungen erfüllt? Kontaktieren Sie uns für eine unverbindliche Erstberatung. Weitere Informationen rund um das Thema ISMS und NIS-2 finden Sie unter https://www.dsn-group.de/informationssicherheit/isms.