Reicht eine ISO-27001-Zertifizierung für NIS2?
Die kurze Antwort: eine starke Grundlage, aber kein Ersatz. Warum das Zertifikat die gesetzlichen Melde- und Registrierungspflichten nicht abdeckt und wie Sie beides sauber verbinden.
Eine ISO-27001-Zertifizierung ist eine sehr gute Grundlage für NIS2, sie ersetzt die gesetzlichen Pflichten aber nicht. Das gilt besonders für die Meldepflichten bei erheblichen Sicherheitsvorfällen.
Zwei Fragen gehören getrennt: 1. Hat die Organisation ein wirksames ISMS? 2. Erfüllt sie die konkreten Pflichten des BSI-Gesetzes? Das Zertifikat kann die erste Frage für den zertifizierten Geltungsbereich mit Ja beantworten. Die zweite muss gesondert geprüft werden.
Ein Unternehmen mit einem tatsächlich betriebenen ISMS hat bereits viele Strukturen, die auch NIS2 verlangt. Ob das reicht, entscheidet aber nicht das Zertifikat, sondern der Abgleich von Zertifizierungsumfang, Betriebsrealität, gesetzlicher Betroffenheit und Meldeorganisation.
ISO 27001 und NIS2 verfolgen unterschiedliche Zwecke
Die ISO/IEC 27001 ist ein international anerkannter Standard für Informationssicherheits-Managementsysteme (ISMS). Sie beschreibt Anforderungen an Aufbau, Betrieb, Überwachung und fortlaufende Verbesserung eines solchen Managementsystems: Informationssicherheitsrisiken systematisch erkennen, bewerten und behandeln. Die aktuelle Ausgabe ist die ISO/IEC 27001:2022.
NIS2 ist dagegen kein Managementstandard. Die Richtlinie (EU) 2022/2555 verpflichtet bestimmte Unternehmen und öffentliche Einrichtungen zu gesetzlich vorgegebenen Cybersicherheitsmaßnahmen. In Deutschland wurden diese Anforderungen insbesondere durch das neue BSI-Gesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist.
| ISO/IEC 27001 | NIS2 & BSI-Gesetz |
|---|---|
| Internationaler Managementsystem-Standard | Gesetzliche Cybersicherheitsanforderungen |
| Grundsätzlich freiwillige Anwendung und Zertifizierung | Verpflichtend für betroffene Einrichtungen |
| Geltungsbereich wird für das ISMS festgelegt | Anwendungsbereich ergibt sich aus dem Gesetz |
| Risikobasierter Aufbau eines ISMS | Verbindliche Risikomanagement-, Melde-, Registrierungs- und Leitungspflichten |
| Prüfung durch eine Zertifizierungsstelle | Aufsicht und Durchsetzung durch zuständige Behörden |
| Kein gesetzliches Vorfallmeldeverfahren | Gestuftes Meldeverfahren mit festen Fristen |
| Keine allgemeine persönliche Schulungspflicht der Geschäftsleitung | Gesetzliche Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung |
Beide Regelwerke überschneiden sich deutlich, deckungsgleich sind sie aber nicht.
Warum ISO 27001 eine gute Grundlage für NIS2 ist
Ein gut gepflegtes ISMS bringt bereits viele Strukturen mit, die auch NIS2 benötigt:
- dokumentierte Risikoanalysen und klare Verantwortlichkeiten für Informationssicherheit
- Verfahren zur Behandlung von Sicherheitsvorfällen sowie Business-Continuity- und Wiederanlaufplanung
- Lieferanten- und Dienstleistermanagement, Zugriffs-, Berechtigungs- und Kryptografie-Regelungen
- interne Audits, Managementbewertungen und Wirksamkeitskontrollen
Auch § 30 BSI-Gesetz verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, u. a. Risikoanalyse, Vorfallbewältigung, Backup-Management, Krisenmanagement, Lieferkettensicherheit, Schwachstellenmanagement, Wirksamkeitskontrollen, Schulungen, Kryptografie, Zugriffskontrollen und Multi-Faktor-Authentifizierung.
Ein nach ISO 27001 aufgebautes ISMS muss nicht durch ein neues NIS2-System ersetzt werden. Der bessere Weg: das vorhandene ISMS gezielt um die gesetzlichen Anforderungen ergänzen. Das BSI stellt aber ausdrücklich klar, dass eine ISO-27001-Zertifizierung nicht automatisch alle Anforderungen des BSI-Gesetzes erfüllt.
Warum das Zertifikat allein nicht ausreicht
Der Zertifizierungsumfang kann zu klein sein
Ein ISO-27001-Zertifikat gilt nur für den ausgewiesenen Geltungsbereich, etwa ein Rechenzentrum, einen Geschäftsbereich, einzelne Standorte oder bestimmte Dienstleistungen. Die NIS2-Pflichten richten sich dagegen nach den Diensten, Tätigkeiten und IT-Systemen, die für die gesetzlich erfasste Einrichtung relevant sind. Ein Zertifikat für die interne IT-Abteilung reicht nicht zwangsläufig, wenn produktionsnahe Systeme, ausgelagerte IT-Dienste oder wesentliche Geschäftsprozesse außerhalb liegen. Entscheidend ist deshalb nicht nur, ob ein Zertifikat vorliegt, sondern was genau zertifiziert wurde.
Die gesetzliche Betroffenheit besteht unabhängig vom Zertifikat
Ob ein Unternehmen unter NIS2 bzw. das BSI-Gesetz fällt, richtet sich nach Tätigkeit, Sektor, Einrichtungsart und gesetzlichen Größenmerkmalen. Eine Zertifizierung macht weder NIS2-pflichtig, noch befreit sie davon. Die Betroffenheitsprüfung bleibt ein eigener Arbeitsschritt, die maßgeblichen Einrichtungsarten ergeben sich aus § 28 sowie den Anlagen 1 und 2 des BSI-Gesetzes.
ISO 27001 enthält keine NIS2-Meldung an das BSI
Die ISO 27001 verlangt einen geregelten Umgang mit Vorfällen (Erkennung, Bewertung, Reaktion, Dokumentation, Verbesserung). Sie schreibt aber nicht vor, dass ein erheblicher Sicherheitsvorfall innerhalb der deutschen NIS2-Fristen an das BSI gemeldet werden muss. Ebenso wenig regelt sie automatisch:
- wer die gesetzliche Meldeentscheidung trifft und wie die Erheblichkeit nach dem BSI-Gesetz bewertet wird
- welche Informationen in den einzelnen Meldestufen nötig sind und wer sie technisch im BSI-Portal abgibt
- wie Meldeentscheidungen und Fristeinhaltung nachgewiesen werden
Diese Abläufe müssen zusätzlich zum allgemeinen Incident-Management festgelegt werden.
Welche NIS2-Meldefristen gelten?
Nach § 32 BSI-Gesetz müssen besonders wichtige und wichtige Einrichtungen erhebliche Sicherheitsvorfälle gestuft melden. Die Fristen beginnen mit der Kenntniserlangung, nicht erst, wenn alle technischen Ursachen geklärt sind.
Erstmeldung
Unverzüglich, spätestens 24 Std. nach Kenntnis. Insbesondere: Verdacht auf rechtswidrige oder böswillige Handlung? Grenzüberschreitende Auswirkungen möglich?
Ausführliche Meldung
Bestätigt oder aktualisiert die Angaben, erste Bewertung von Schweregrad und Auswirkungen. Soweit vorhanden: Kompromittierungsindikatoren.
Abschlussmeldung
Nach der 72-Std.-Meldung. Dauert der Vorfall noch an, zunächst eine Fortschrittsmeldung.
Das ist für die Praxis entscheidend: Ein Unternehmen kann nicht auf den vollständigen Forensik-Bericht warten. Der interne Prozess muss schon auf Grundlage unvollständiger Informationen eine belastbare Erstbewertung ermöglichen.
Wann ist ein Sicherheitsvorfall erheblich?
Nicht jeder fehlgeschlagene Anmeldeversuch und nicht jede kurze Störung löst eine Meldepflicht aus. Nach § 2 Nummer 11 BSI-Gesetz ist ein Vorfall erheblich, wenn er:
- schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder
- andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Bewertet werden also bereits eingetretene und mögliche Auswirkungen. Für bestimmte digitale Dienste, u. a. Cloud-Anbieter, Rechenzentren, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen und soziale Netzwerke, gelten zusätzlich konkretisierte Schwellenwerte aus der Durchführungsverordnung (EU) 2024/2690; § 30 Abs. 3 BSI-Gesetz räumt diesen Vorgaben Vorrang ein. Ein ISO-27001-Incident-Management muss deshalb um eine rechtliche und ggf. sektorspezifische Erheblichkeitsprüfung ergänzt werden.
Ein Beispiel aus der Praxis
Das Zertifikat hilft, beantwortet aber nicht die NIS2-Fragen
Ein mittelständischer IT-Dienstleister ist für den Betrieb seiner zentralen IT-Plattform zertifiziert. Ein Ransomware-Angriff legt mehrere Kundensysteme zeitweise lahm. Der ISO-Prozess sorgt dafür, dass das Security-Team den Vorfall erfasst, Beweise sichert, Systeme isoliert und den Krisenstab aktiviert. Das ist wertvolle Vorarbeit.
Für NIS2 bleiben aber offen: Ist das Unternehmen nach § 28 als wichtige oder besonders wichtige Einrichtung einzuordnen? Betrifft der Angriff einen maßgeblichen Dienst? Liegt eine schwerwiegende Betriebsstörung vor? Können Kunden erhebliche Schäden erleiden? Wann bestand ausreichende Kenntnis? Wer gibt die Erstmeldung binnen 24 Stunden ab? Das Zertifikat beantwortet das nicht; es kann aber dafür sorgen, dass Informationen, Zuständigkeiten und Eskalationswege bereits vorhanden sind.
Die Rolle der Geschäftsleitung
NIS2 ist ausdrücklich Chefsache. Nach § 38 BSI-Gesetz müssen Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Bei schuldhafter Pflichtverletzung kann eine Haftung gegenüber der eigenen Einrichtung nach den anwendbaren gesellschaftsrechtlichen Regeln entstehen. Zudem müssen die Mitglieder der Geschäftsleitung regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken beurteilen zu können. Ein Zertifikat liefert wichtige Nachweise, nimmt der Leitung aber weder die Verantwortung noch die eigene Befassung mit den Risiken ab.
Das größte Risiko liegt in der Praxis selten in einer fehlenden Richtlinie, sondern in unklaren Zuständigkeiten und Entscheidungswegen. Ein Unternehmen kann ein formal gutes ISMS besitzen und trotzdem keine belastbare Erstmeldung binnen 24 Stunden abgeben, etwa wenn niemand verbindlich über die Erheblichkeit entscheiden darf oder technische Informationen nur beim externen Dienstleister liegen. Die entscheidende Prüfung lautet daher nicht „Haben wir ein Zertifikat?", sondern: Funktioniert unser Informationssicherheitsmanagement auch unter Zeitdruck, über Organisationsgrenzen hinweg und mit unvollständigen Informationen? Am wertvollsten ist ISO 27001, wenn das ISMS als echtes Steuerungsinstrument genutzt wird, nicht nur für Audits und Kundennachweise.
So wird ein ISO-27001-ISMS NIS2-fähig
Keine parallele NIS2-Dokumentation aufbauen: das bestehende System strukturiert ergänzen. Am Anfang steht eine belastbare Betroffenheitsprüfung, danach der Abgleich des gesetzlich relevanten Geltungsbereichs mit dem Zertifizierungsumfang (inkl. ausgelagerter Systeme, Cloud-Dienste, Produktionsumgebungen, Lieferanten und verbundener Unternehmen). Es folgt eine Abweichungsanalyse. Besondere Aufmerksamkeit verdienen:
- Registrierung und Pflege der Unternehmensdaten beim BSI
- Bewertung erheblicher Vorfälle sowie 24-, 72-Stunden-, Abschluss- und Fortschrittsmeldungen
- Erreichbarkeit außerhalb der Geschäftszeiten, Vertretungs- und Eskalationsregelungen
- Unterrichtung betroffener Kunden, Einbindung der Geschäftsleitung, Nachweise über Entscheidungen und Fristeinhaltung sowie Schulungen der Geschäftsleitung
Das BSI stellt für Registrierung und Meldungen ein eigenes Portal bereit, den Zugang nicht erst nach einem Vorfall einrichten. Ein Tabletop-Test zeigt meist schnell, ob Telefonnummern, Vertretungen, Bewertungsmatrizen, Meldeberechtigungen und Informationsquellen tatsächlich funktionieren. Eine Schritt-für-Schritt-Roadmap hilft, die Reihenfolge zu priorisieren.
Die klare Antwort
Eine ISO-27001-Zertifizierung reicht für die NIS2-Meldepflicht nicht aus. Sie kann einen großen Teil der organisatorischen und technischen Grundlage schaffen, ersetzt aber weder die Prüfung der gesetzlichen Betroffenheit noch die BSI-Registrierung, die Bewertung erheblicher Vorfälle oder die fristgerechten Meldungen. Die Frage ist nicht „ISO 27001 oder NIS2". Der tragfähige Ansatz: das bestehende ISMS als operative Grundlage nutzen und gezielt um die gesetzlichen NIS2-Anforderungen ergänzen. Erst wenn Zertifizierungsumfang, Betriebsprozesse, gesetzliche Pflichten und Meldeorganisation zusammenpassen, entsteht ein belastbares Gesamtsystem.
Hinweis: Der Beitrag stellt eine fachliche Einordnung dar und ersetzt keine rechtliche Prüfung des konkreten Unternehmens, seiner Tätigkeiten und seiner Einordnung nach dem BSI-Gesetz.
Häufige Fragen
Ersetzt ISO 27001 die NIS2-Pflichten?
Nein. ISO 27001 ist eine sehr gute Grundlage, deckt aber die gesetzliche Betroffenheitsprüfung, die BSI-Registrierung und die fristgebundenen Meldepflichten nicht ab. Diese müssen zusätzlich zum ISMS geregelt werden.
Welche NIS2-Meldefristen gelten in Deutschland?
Nach § 32 BSI-Gesetz: Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis; ausführliche Meldung binnen 72 Stunden; Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Bei andauerndem Vorfall zunächst eine Fortschrittsmeldung.
Wann ist ein Sicherheitsvorfall „erheblich"?
Nach § 2 Nr. 11 BSI-Gesetz, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat bzw. verursachen kann, oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat bzw. beeinträchtigen kann. Für bestimmte digitale Dienste gelten zusätzliche Schwellenwerte aus der Durchführungsverordnung (EU) 2024/2690.
Reicht ein Zertifikat für die interne IT aus?
Nicht zwangsläufig. Das Zertifikat gilt nur für den ausgewiesenen Geltungsbereich. Liegen produktionsnahe Systeme, ausgelagerte IT-Dienste oder wesentliche Prozesse außerhalb, deckt es den gesetzlich relevanten Bereich nicht ab.
Muss sich auch die Geschäftsleitung mit NIS2 befassen?
Ja. Nach § 38 BSI-Gesetz muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und überwachen und regelmäßig an Schulungen teilnehmen. Bei schuldhafter Pflichtverletzung droht eine Haftung gegenüber der eigenen Einrichtung.
Weiterlesen
Ist Ihr ISMS wirklich NIS2-fähig?
Wir gleichen Zertifizierungsumfang, Betriebsrealität und gesetzliche Pflichten ab und bauen eine belastbare Meldeorganisation auf.