NIS2 vs. ISO 27001

Das ISMS nach ISO 27001 ist ein anerkanntes Vehikel zur Umsetzung vieler NIS2-Anforderungen. Die systematische Herangehensweise des Standards — Scoping, Risikobeurteilung, Maßnahmenauswahl, kontinuierliche Verbesserung — deckt sich strukturell mit dem, was das NIS2UmsuCG von betroffenen Einrichtungen erwartet. Organisationen, die bereits nach ISO 27001 zertifiziert sind, haben damit einen Vorsprung: Prozesse für das Risikomanagement, interne Audits und die Managementbewertung sind etabliert.

Dennoch genügt eine ISO-27001-Zertifizierung allein nicht für die NIS2-Konformität. Der Standard lässt erheblichen Spielraum bei der Auswahl der Annex-A-Controls: Eine Organisation kann ISO 27001 zertifiziert sein und trotzdem Controls weglassen, die NIS2 explizit vorschreibt — etwa zur Lieferkettensicherheit (Art. 21 Abs. 2 lit. d NIS2-RL) oder zur Multi-Faktor-Authentifizierung. Die Risikoanalyse nach ISO 27001 ist methodisch flexibel; NIS2 dagegen definiert konkrete Mindestmaßnahmen, die unabhängig vom individuellen Risikoergebnis umgesetzt werden müssen.

Ein weiterer kritischer Unterschied liegt im Prüfungsmodus: ISO 27001 setzt auf Selbstdeklaration und Drittparteien-Audit durch akkreditierte Zertifizierungsstellen. Das Zertifikat bestätigt Konformität zum Zeitpunkt des Audits. NIS2 hingegen unterliegt staatlicher Aufsicht durch das BSI und sektorale Behörden, die jederzeit Nachweise anfordern können und Vor-Ort-Prüfungen durchführen dürfen. Die ISO 27001 -Zertifizierung kann zwar als Nachweis herangezogen werden, entbindet aber nicht von der behördlichen Prüfung.

Hinsichtlich der Meldepflichten besteht eine fundamentale Asymmetrie: ISO 27001 beschreibt interne Incident-Management-Prozesse (Control 5.24–5.28 im Annex A 2022), hat jedoch keine regulatorischen Anforderungen an externe Meldungen. NIS2 schreibt verbindlich vor, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden an das BSI zu melden — unabhängig davon, ob ein ISMS nach ISO 27001 betrieben wird. Organisationen, die ausschließlich auf ISO 27001 ausgerichtet sind, müssen diese Meldekette separat etablieren und in ihre Prozesse integrieren.

Die Sanktionsregelungen illustrieren den grundlegenden Unterschied beider Regelwerke besonders klar. Während ISO 27001 keine staatlichen Strafen kennt und der schlimmste Fall der Verlust des Zertifikats ist, drohen bei NIS2-Verstößen Bußgelder von bis zu EUR 10 Millionen oder zwei Prozent des weltweiten Jahresumsatzes. Für die Geschäftsführung besteht darüber hinaus eine persönliche Haftung (Geschäftsleiterhaftung). Diese Dimension ist für ISO-zertifizierte Unternehmen oft neu und erfordert eine bewusste Auseinandersetzung mit dem Thema Compliance jenseits des bloßen Zertifikatserhalts.

Praktisch empfiehlt sich ein Gap-Analyse-Ansatz: Die vorhandenen ISO-27001-Controls werden systematisch mit den NIS2-Anforderungen aus Art. 21 NIS2-RL und dem NIS2UmsuCG abgeglichen. Dabei zeigen sich typischerweise Lücken in den Bereichen Lieferkettensicherheit, Meldewesen, Kryptografie-Mindeststandards und Governance (Schulungspflichten für das Management). Diese Lücken lassen sich gezielt schließen, ohne das bestehende ISMS grundlegend umzubauen.