Zwei Standards, ein Ziel: Informationssicherheit
ISO 27001 ist ein internationaler Standard für Informationssicherheits-Managementsysteme (ISMS), den Unternehmen freiwillig implementieren und zertifizieren lassen können. NIS2 (umgesetzt als NIS2UmsuCG/BSIG) ist eine gesetzliche Pflicht für betroffene Unternehmen — keine freiwillige Zertifizierung.
Die zentrale Frage für viele Mittelständler: Reicht unsere bestehende ISO 27001 Zertifizierung für NIS2? Die kurze Antwort: Sie gibt Ihnen einen erheblichen Vorsprung, ersetzt aber nicht die vollständige NIS2-Compliance.
Wo sich die Anforderungen überschneiden (~70-80%)
Die zehn Maßnahmenbereiche des §30 BSIG decken sich zu etwa 70-80% mit den Anforderungen der ISO 27001: Risikoanalyse und Sicherheitskonzepte (ISO 27001: Clause 6.1, A.5), Zugangskontrollen und Authentifizierung (ISO 27001: A.9), Kryptografie-Konzepte (ISO 27001: A.10), Personalsicherheit (ISO 27001: A.7), Lieferantensicherheit (ISO 27001: A.15), und Bewertung der Wirksamkeit (ISO 27001: Clause 9).
Unternehmen mit einer aktiven ISO 27001 Zertifizierung haben diese Bereiche bereits systematisch abgedeckt. Das spart erheblich Zeit und Kosten bei der NIS2-Umsetzung.
Wo NIS2 über ISO 27001 hinausgeht
Es gibt vier wesentliche Bereiche, in denen NIS2 Anforderungen stellt, die über ISO 27001 hinausgehen:
Erstens, die Meldepflichten (§32 BSIG): NIS2 schreibt verbindliche Meldefristen vor (24h/72h/30 Tage). ISO 27001 empfiehlt Incident Management, definiert aber keine behördlichen Meldefristen.
Zweitens, die persönliche Geschäftsführerhaftung (§38 BSIG): Die Geschäftsleitung haftet persönlich und nicht delegierbar für die Umsetzung. ISO 27001 spricht von "Management Commitment", aber ohne persönliche Haftungskomponente.
Drittens, die BSI-Registrierung (§33 BSIG): Betroffene Unternehmen müssen sich aktiv beim BSI registrieren und eine Kontaktstelle benennen. Kein ISO-Äquivalent.
Viertens, die Nachweispflicht (§39 BSIG): Unternehmen müssen die Umsetzung ihrer Maßnahmen gegenüber dem BSI nachweisen können. Bei ISO 27001 erfolgt die Prüfung durch den Zertifizierer — bei NIS2 durch die Aufsichtsbehörde.
Ist eine ISO 27001 Zertifizierung für NIS2 erforderlich?
Nein. Eine ISO 27001 Zertifizierung ist keine gesetzliche Voraussetzung für NIS2-Compliance. Das BSIG verlangt die Umsetzung der in §30 genannten Maßnahmen — nicht eine spezifische Zertifizierung.
Allerdings erkennt §30 Abs. 10 BSIG an, dass Unternehmen durch die Implementierung anerkannter Standards (wie ISO 27001) die Einhaltung der Anforderungen nachweisen können. Eine ISO 27001 Zertifizierung kann also als Nachweisinstrument dienen.
Praktische Empfehlung
Für Unternehmen mit bestehender ISO 27001: Nutzen Sie Ihr ISMS als Fundament und ergänzen Sie die NIS2-spezifischen Anforderungen (Meldepflichten, BSI-Registrierung, Geschäftsführerhaftung, Nachweispflicht). Der Mehraufwand ist überschaubar.
Für Unternehmen ohne ISO 27001: Bauen Sie ein ISMS-Grundgerüst auf, das die §30 BSIG Anforderungen erfüllt. Sie können sich später für eine ISO 27001 Zertifizierung entscheiden — aber die NIS2-Pflichten haben Vorrang, da sie gesetzlich und nicht freiwillig sind.
KONFORM baut immer auf vorhandenen Strukturen auf, statt bei Null zu beginnen. Wenn Sie bereits ein ISMS, eine ISO-Zertifizierung oder andere Sicherheitsmaßnahmen haben, integrieren wir die NIS2-Anforderungen nahtlos.
Brauchen Sie Unterstützung bei der Umsetzung?
KONFORM begleitet Sie von der Ersteinschätzung bis zur vollständigen Compliance — persönlich und zum Festpreis.