NIS-2 und ISO 27001: Ersetzt das eine das andere?
ISO 27001 hilft erheblich bei der NIS-2-Umsetzung — ersetzt sie aber nicht. Wo sich beide decken, wo NIS-2 darüber hinausgeht und wie Sie doppelte Arbeit vermeiden.
„Wir sind ISO-27001-zertifiziert — dann sind wir doch NIS-2-konform?” Die Frage ist verständlich, die Antwort lautet: zu einem großen Teil ja, aber nicht automatisch. Wer die Unterschiede kennt, spart doppelte Arbeit — und vermeidet die Lücken, die ein Zertifikat allein nicht schließt.
Was beides gemeinsam haben
ISO 27001 und NIS-2 verfolgen denselben Kern: ein risikobasiertes Managementsystem für Informationssicherheit mit Verantwortung der Leitung, definierten Prozessen und kontinuierlicher Verbesserung. Die zehn Mindestmaßnahmen aus Art. 21 — Risikoanalyse, Incident Handling, Business Continuity, Lieferkette, Zugriffskontrolle, Kryptografie, Schulungen — finden sich nahezu vollständig in den Controls der ISO 27001 (Annex A) wieder. Ein gelebtes ISMS ist deshalb das beste Fundament, das man für NIS-2 haben kann: Die inhaltliche Überdeckung ist hoch.
Wo NIS-2 über die ISO hinausgeht
1. NIS-2 ist Gesetz, ISO ist freiwillig. Die Richtlinie bzw. das NIS2UmsuCG gilt unabhängig davon, ob Sie zertifiziert sind — mit Bußgeldern und Aufsicht statt Auditbericht.
2. Registrierungspflicht. ISO kennt keine Behördenregistrierung; NIS-2 verlangt die aktive Registrierung beim BSI.
3. Gesetzliche Meldefristen. Das ISMS verlangt Incident-Management — aber die konkreten 24h/72h/1-Monat-Meldungen an das BSI mit definierten Inhalten sind NIS-2-spezifisch und müssen im Prozess explizit verankert sein.
4. Persönliche Pflichten der Geschäftsleitung. NIS-2 adressiert die Leitung direkt: billigen, überwachen, schulen — mit persönlicher Verantwortung. Das geht über die Management-Verantwortung der ISO hinaus.
5. Geltungsbereich. Ein ISO-Zertifikat gilt für den definierten Scope — der ist in der Praxis oft schmaler als das, was NIS-2 erfasst (z. B. nur das Rechenzentrum, nicht die Produktions-OT). NIS-2 fragt nicht nach Ihrem Scope-Dokument.
Und umgekehrt: NIS-2 ohne ISO?
Genauso möglich. NIS-2 verlangt kein Zertifikat, sondern wirksame, nachweisbare Maßnahmen. Für viele Mittelständler ist der pragmatische Weg: NIS-2-Anforderungen direkt umsetzen, sauber dokumentieren — und erst dann über eine Zertifizierung nachdenken, wenn Kunden oder Ausschreibungen sie verlangen. Die Zertifizierung ist dann ein kleiner Zusatzschritt, kein neues Projekt.
Praktisches Vorgehen für Zertifizierte
- Mapping statt Neuaufbau: Art.-21-Katalog gegen Ihr ISMS spiegeln — die meisten Punkte sind grün.
- Die NIS-2-Spezifika ergänzen: BSI-Registrierung, Meldekette mit Fristen, Schulung der Geschäftsleitung, ggf. Scope-Erweiterung.
- Nachweise bündeln: vorhandene ISMS-Dokumentation als NIS-2-Nachweis nutzen — einmal pflegen, zweimal verwenden.
Kurz: ISO 27001 ist die halbe Miete und ein starker Beschleuniger — die NIS-2-Pflichten gelten trotzdem. Ob sie für Ihr Unternehmen greifen, klären Sie in zwei Minuten: zum kostenlosen Betroffenheits-Check.
Dieser Beitrag bietet eine erste Orientierung und ersetzt keine Rechtsberatung.