ISO 27001 und NIS-2: Abdeckung, Unterschiede und verbleibende Lücken
ISO 27001 und NIS-2 richtig einordnen: gemeinsame Themen, zusätzliche gesetzliche Pflichten und ein belastbarer Umsetzungsweg.
ISO/IEC 27001 ist ein starker Managementrahmen für viele technische und organisatorische NIS-2-Themen, ersetzt aber keine rechtliche NIS-2-Prüfung. Betroffenheit, Registrierung, Meldefristen, Geschäftsleitungspflichten und behördliche Nachweise ergeben sich aus dem geltenden Recht und können über den Scope eines ISO-27001-Zertifikats hinausgehen.
Aktueller Rechtsrahmen in Deutschland
Das neue BSI-Gesetz zur Umsetzung von NIS-2 ist am 6. Dezember 2025 in Kraft getreten. Unternehmen sollten daher nicht mehr mit einem bloßen Richtlinienentwurf arbeiten, sondern ihre konkrete Einordnung und Pflichten anhand der aktuellen gesetzlichen Fassung prüfen.
Besonders wichtig ist die Rollenklärung: Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung gilt, hängt von Sektor, Tätigkeit, Größe und weiteren gesetzlichen Kriterien ab.
Wo ISO 27001 eine belastbare Grundlage liefert
- Risikomanagement und dokumentierte Behandlung
- Rollen, Verantwortlichkeiten und Managementbeteiligung
- Lieferanten- und Dienstleistersteuerung
- Incident-Prozesse, Business Continuity und Wiederherstellung
- Schulung und Awareness
- Wirksamkeitsprüfung, internes Audit und Verbesserung
Welche NIS-2-Themen separat geprüft werden müssen
| Thema | Warum ISO 27001 allein nicht genügt |
|---|---|
| Betroffenheit und Registrierung | Sie ergeben sich aus dem Gesetz, nicht aus dem Zertifikat. |
| Meldepflichten | Fristen, Meldewege und Inhalte müssen rechtsspezifisch umgesetzt werden. |
| Geschäftsleitung | Schulungs-, Überwachungs- und Haftungsthemen benötigen eine rechtliche Einordnung. |
| Scope | Der zertifizierte Scope kann kleiner sein als der gesetzlich relevante Bereich. |
| Behördlicher Nachweis | Form, Umfang und zusätzliche Anforderungen richten sich nach dem jeweiligen Verfahren. |
Praktischer Kombinationsweg
Das BSI weist selbst darauf hin, dass ein ISO-27001-Zertifikat bei bestimmten Nachweisen nur unter Rahmenbedingungen nutzbar ist und der relevante Geltungsbereich vollständig erfasst sein muss.
- NIS-2-Betroffenheit belastbar klären
- Gesetzlichen Scope und ISMS-Scope aufeinander abstimmen
- Pflichten-Mapping ohne pauschale Prozentangaben erstellen
- Fehlende Melde-, Registrierungs- und Governance-Prozesse ergänzen
- Nachweise in den normalen ISMS-Betrieb integrieren
- Rechtslage und System regelmäßig gemeinsam überprüfen
Wie Sternberg Consulting unterstützt
Wir unterstützen KMU dabei, den beschriebenen Schritt in ein schlankes, auditfähiges ISMS zu übersetzen. Die ISO-27001-Beratung reicht von Scoping und Gap-Analyse bis zur Auditvorbereitung.
Häufig gestellte Fragen
Macht ISO 27001 automatisch NIS-2-konform?
Nein. Die Norm deckt viele Management- und Sicherheitsprozesse ab, aber gesetzliche Pflichten und der relevante Scope müssen zusätzlich geprüft werden.
Ist eine Zertifizierung gesetzlich vorgeschrieben?
Das hängt vom konkreten Nachweisregime ab. NIS-2 verlangt Sicherheitsmaßnahmen und weitere Pflichten, aber nicht pauschal für jedes betroffene Unternehmen ein ISO-27001-Zertifikat.
Wo sollte die Umsetzung beginnen?
Mit Betroffenheitsprüfung, Scope-Abgleich und einem belastbaren Mapping der gesetzlichen Pflichten gegen bestehende ISMS-Prozesse.