Reicht ISO 27001 für NIS2?
Was das Zertifikat abdeckt und was nicht
Viele Unternehmen mit ISO-27001-Zertifikat fühlen sich bei NIS2 sicher. Zu Recht ist das eine starke Basis. Aber NIS2 verlangt mehr als ein gutes ISMS. Hier ist die ehrliche Abgrenzung.
ISO 27001 ist die international anerkannte Norm für Informationssicherheits-Managementsysteme. Wer sie erfüllt, hat einen großen Teil der Hausaufgaben gemacht. Die ehrliche Antwort auf die Titelfrage lautet trotzdem: ein gutes Fundament, aber kein Freifahrtschein.
Was ISO 27001 für NIS2 schon leistet
Das Herzstück von NIS2 sind die Risikomanagementmaßnahmen nach § 30 BSIG: Risikoanalyse, technische und organisatorische Maßnahmen, Notfall- und Backup-Management, Lieferkettensicherheit, Zugriffskontrolle, Kryptografie und mehr. Genau hier ist ISO 27001 stark. Ein gelebtes ISMS deckt einen Großteil dieser Anforderungen bereits ab und liefert obendrein die Dokumentation und den kontinuierlichen Verbesserungsprozess, den NIS2 erwartet. ISO 27001 ist deshalb die ideale Brücke in die NIS2-Konformität.
Wo NIS2 über ISO 27001 hinausgeht
Vier Punkte deckt ein ISO-Zertifikat nicht automatisch ab, weil sie gesetzliche Pflichten und keine Norm-Controls sind:
- Meldepflichten (§ 32): die gestaffelte Meldung an das BSI, beginnend mit der Erstmeldung binnen 24 Stunden. Das ist eine gesetzliche Frist, kein ISMS-Control.
- Registrierung beim BSI: betroffene Einrichtungen müssen sich aktiv registrieren. Das verlangt keine ISO-Norm.
- Geschäftsleitung (§ 38): persönliche Verantwortung, Haftung und eine eigene Schulungspflicht der Leitung. ISO 27001 adressiert das Management, aber nicht diese gesetzliche Personenpflicht.
- Geltungsbereich: Ein ISO-Zertifikat gilt für einen definierten Scope, der bewusst eng gefasst sein kann. NIS2 betrifft das Unternehmen als Ganzes.
Die trügerische Sicherheit
Genau hier entsteht das Risiko: Wer „wir sind ISO-zertifiziert" mit „wir sind NIS2-konform" gleichsetzt, übersieht die gesetzlichen Pflichten und den Scope. Im Prüfungs- oder Schadensfall hilft das Zertifikat dann nur teilweise. Die ehrliche Einordnung schützt Sie also vor einer falschen Annahme.
Der pragmatische Weg
Haben Sie bereits ISO 27001, ist der Weg zu NIS2 kurz: Sie ergänzen gezielt die gesetzlichen Pflichten (Meldeprozess, Registrierung, GL-Schulung, Haftungsnachweis) und prüfen den Scope. Haben Sie noch kein ISMS, bauen Sie es am besten gleich NIS2-orientiert auf. Beides lässt sich schlank gestalten.
Das Wichtigste in Kürze
- ISO 27001 deckt weite Teile von § 30 BSIG ab und ist die ideale Brücke.
- Nicht abgedeckt: Meldepflicht (§ 32), BSI-Registrierung, GL-Pflichten (§ 38), Scope.
- „ISO-zertifiziert" ist nicht gleich „NIS2-konform".
- Mit ISO im Rücken ist der Rest schnell ergänzt.
Häufige Fragen
Reicht eine ISO-27001-Zertifizierung für NIS2 aus?
Nicht automatisch. ISO 27001 deckt einen großen Teil der Maßnahmen nach § 30 BSIG ab und ist eine starke Basis, aber NIS2 verlangt zusätzlich Meldepflichten, BSI-Registrierung, die Schulungspflicht der Geschäftsleitung und greift auf das ganze Unternehmen.
Was deckt ISO 27001 für NIS2 schon ab?
Vor allem das ISMS selbst: Risikomanagement, technische und organisatorische Maßnahmen, Dokumentation und kontinuierliche Verbesserung. Das entspricht weiten Teilen von § 30 BSIG.
Was fehlt trotz ISO 27001 für NIS2?
Vor allem die gesetzlichen Pflichten: 24-Stunden-Meldepflicht (§ 32), Registrierung beim BSI, Schulungspflicht und persönliche Haftung der Geschäftsleitung (§ 38) sowie der oft engere Geltungsbereich des Zertifikats.
Mehr zu unserem Weg zur Zertifizierung unter ISO 27001 in 4 Wochen, mehr zur Pflichtenseite unter NIS2-Compliance.
Dieser Beitrag dient der Orientierung und ist keine Rechtsberatung.