Ein ISMS nach ISO 27001 deckt die zehn NIS2-Risikomanagementmaßnahmen aus § 30 BSIG weitgehend ab: Jeder gesetzliche Maßnahmenbereich hat direkte Entsprechungen in Normkapiteln oder Anhang-A-Controls. Nicht abgedeckt sind die BSI-Registrierung, die gesetzlichen Meldefristen und die Schulungspflicht der Geschäftsleitung — sie bleiben eigenständige Pflichten. Eine Zertifizierung verlangt NIS2 nicht.
Wer die NIS2-Anforderungen zum ersten Mal liest, hat ein Déjà-vu, wenn er ISO 27001 kennt: Risikoanalyse, Incident Management, Business Continuity, Lieferantensicherheit, Kryptografie — die zehn gesetzlichen Maßnahmenbereiche decken sich fast vollständig mit dem, was die Norm seit Jahren fordert. Das ist die gute Nachricht für alle Betroffenen: Sie müssen das Rad nicht neu erfinden.
Dieser Artikel zeigt im Detail, welche NIS2-Pflicht welchem Normkapitel und welchen Anhang-A-Controls entspricht — als Mapping-Tabelle zum Abarbeiten. Genauso wichtig ist die ehrliche Gegenrechnung: Drei gesetzliche Pflichten deckt auch das beste ISMS nicht automatisch ab, und ob sich ein Zertifikat lohnt und welches, hängt von Ihrer Situation ab. Beides lesen Sie hier ohne Verkaufsprosa.
Warum ISO 27001 der natürliche Rahmen für NIS2 ist
NIS2 schreibt kein bestimmtes Rahmenwerk vor — und schon gar keine Zertifizierung. Das Gesetz verlangt zehn Maßnahmenbereiche, nachweisbar umgesetzt, verhältnismäßig zum Risiko und am Stand der Technik orientiert. Genau dieses Anforderungsprofil erfüllt ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 strukturell:
- Risikobasierte Logik: Beide Regelwerke verlangen, Maßnahmen aus einer dokumentierten Risikobewertung abzuleiten statt Checklisten abzuhaken.
- Nachweisbarkeit: Das ISMS erzwingt dokumentierte Leitlinien, Verantwortlichkeiten und Aufzeichnungen — exakt das Material, das im Kontakt mit der Aufsicht zählt.
- Dauerbetrieb statt Einmalprojekt: Interne Audits und Management-Reviews stellen sicher, dass Maßnahmen gelebt und angepasst werden. NIS2 fordert dieselbe Wirksamkeitsbewertung ausdrücklich.
Die Alternative — die zehn Bereiche einzeln und ohne Systemrahmen abzuarbeiten — funktioniert auf dem Papier, zerfällt aber erfahrungsgemäß nach dem ersten Jahr, weil niemand die Pflege verantwortet. Auch der BSI-IT-Grundschutz ist ein gangbarer Weg; für mittelständische Unternehmen ist ISO 27001 meist der schlankere, international anerkannte Rahmen.
Die Mapping-Tabelle: § 30 BSIG und ISO 27001 im Abgleich
Die Tabelle ordnet jedem gesetzlichen Maßnahmenbereich die wichtigsten Entsprechungen in der ISO 27001:2022 zu — Kapitel des Normtexts und Controls aus Anhang A:
| NIS2-Maßnahme (§ 30 Abs. 2 BSIG) | ISO 27001:2022 — Kapitel / Anhang-A-Controls | Abdeckung |
|---|---|---|
| 1. Konzepte für Risikoanalyse und Sicherheit der Informationssysteme | Kap. 5.2 (Politik), 6.1.2, 8.2 (Risikobeurteilung); A.5.1 (Informationssicherheitspolitik) | Vollständig |
| 2. Bewältigung von Sicherheitsvorfällen | A.5.24–A.5.28 (Incident Management), A.6.8 (Ereignismeldung) | Vollständig — gesetzliche Meldefristen gesondert ergänzen |
| 3. Betriebskontinuität, Backup, Krisenmanagement | A.5.29, A.5.30 (IKT-Bereitschaft), A.8.13 (Backup), A.8.14 (Redundanz) | Vollständig |
| 4. Sicherheit der Lieferkette | A.5.19–A.5.23 (Lieferantenbeziehungen, Cloud-Dienste) | Vollständig |
| 5. Sicherheit bei Erwerb, Entwicklung, Wartung; Schwachstellenmanagement | A.8.8 (Schwachstellen), A.8.9 (Konfiguration), A.8.25–A.8.31 (sichere Entwicklung) | Vollständig |
| 6. Bewertung der Wirksamkeit | Kap. 9.1 (Überwachung), 9.2 (internes Audit), 9.3 (Management-Review) | Vollständig |
| 7. Cyberhygiene und Schulungen | Kap. 7.2, 7.3 (Kompetenz, Bewusstsein); A.6.3 (Awareness-Schulungen) | Vollständig — Geschäftsleiterschulung nach § 38 BSIG gesondert |
| 8. Kryptografie und Verschlüsselung | A.8.24 (Einsatz von Kryptografie) | Vollständig |
| 9. Personalsicherheit, Zugriffskontrolle, Anlagenmanagement | A.6.1–A.6.5 (Personal), A.5.15–A.5.18 (Zugriff), A.5.9–A.5.11 (Assets) | Vollständig |
| 10. Multi-Faktor-Authentifizierung, gesicherte Kommunikation | A.8.5 (sichere Authentifizierung), A.5.14 (Informationsübertragung), A.5.16, A.5.17 (Identitäten, Authentisierungsinformationen) | Weitgehend — MFA und Notfallkommunikation explizit im SoA verankern |
Das Fazit der Tabelle: Es gibt keinen NIS2-Maßnahmenbereich, der im ISMS keinen Anker hätte. Wer ISO 27001 sauber umsetzt und die wenigen Präzisierungen aus der rechten Spalte einarbeitet, erfüllt die inhaltlichen Anforderungen des § 30 BSIG.
Was das ISMS nicht abdeckt: Drei Pflichten bleiben eigenständig
So weit die Deckung reicht — an drei Stellen endet sie. Diese Pflichten stehen im Gesetz, nicht in der Norm, und müssen unabhängig vom ISMS organisiert werden:
- Registrierung beim BSI (§ 33 BSIG): Kein Auditor prüft, ob Sie im BSI-Portal registriert sind. Die Registrierung ist ein Verwaltungsakt, den Sie selbst erledigen müssen — inklusive Aktualisierung bei Änderungen.
- Gesetzliche Meldefristen (§ 32 BSIG): ISO 27001 verlangt ein Incident Management, aber keine 24-Stunden-Frühwarnung an eine Behörde. Die konkreten Fristen, das BSI-Portal als Meldeweg und die Unterrichtung betroffener Dienstempfänger müssen Sie ausdrücklich in Ihre Incident-Response-Prozesse aufnehmen.
- Pflichten der Geschäftsleitung (§ 38 BSIG): Die persönliche Billigungs- und Überwachungspflicht sowie die Schulungspflicht der Leitungsebene sind gesetzlich und nicht delegierbar. Das Management-Review des ISMS ist ein guter Träger für die Überwachungspflicht — die dokumentierte Schulungsteilnahme jedes Geschäftsleitungsmitglieds ersetzt es nicht.
Wer diese drei Punkte als eigene Zeilen in seine NIS2-Umsetzungsliste aufnimmt, hat die Differenz zwischen Norm und Gesetz vollständig erfasst. Der Aufwand ist überschaubar — gefährlich ist nur die Annahme, „mit dem Zertifikat sei alles erledigt“.
NIS2 im bestehenden ISMS verankern: So gehen Sie vor
Für Unternehmen, die bereits ein ISMS betreiben oder gerade aufbauen, lässt sich NIS2 mit vier gezielten Ergänzungen integrieren:
- Kontext und rechtliche Anforderungen: Nehmen Sie das BSIG in Ihr Verzeichnis rechtlicher Verpflichtungen auf (Kapitel 4 der Norm, interessierte Parteien). Damit wird NIS2 automatisch Gegenstand von Audits und Reviews.
- Statement of Applicability: Prüfen Sie, ob MFA, Notfallkommunikation und Lieferkettenanforderungen als anwendbar erklärt und mit konkreten Maßnahmen hinterlegt sind — das sind die Punkte, an denen generische ISMS-Umsetzungen am häufigsten dünn sind.
- Incident-Prozess erweitern: Ergänzen Sie Meldekette, Fristen (24 h / 72 h / 1 Monat), BSI-Portalzugang und die DSGVO-Parallelmeldung. Üben Sie den Ablauf jährlich.
- Geschäftsleitung einbinden: Terminieren Sie die regelmäßige Leitungsschulung, dokumentieren Sie Teilnahmen und lassen Sie die Risikomanagementmaßnahmen förmlich durch die Geschäftsleitung billigen — ein Beschluss im Management-Review genügt, wenn er protokolliert ist.
Der Zusatzaufwand für ein funktionierendes ISMS liegt damit im Bereich weniger Personentage — verglichen mit einem Parallelaufbau „NIS2-Compliance neben dem ISMS“ ist das der mit Abstand wirtschaftlichere Weg.
Zertifikat ja oder nein — und wenn ja, welches?
Zur Einordnung vorab: NIS2 verlangt kein Zertifikat. Die Entscheidung für oder gegen eine Zertifizierung ist eine geschäftliche, keine gesetzliche. Drei Szenarien:
- Kein Zertifikat: Rechtlich ausreichend, wenn die Maßnahmen umgesetzt und dokumentiert sind. Der Nachteil: Gegenüber Kunden und im Aufsichtsfall fehlt der unabhängige Beleg, dass das System tatsächlich funktioniert — jede Lieferantenprüfung beginnt bei null.
- Akkreditiertes Zertifikat: Der stärkste Nachweis. Wo ein ISO-27001-Zertifikat formal gefordert ist — in öffentlichen Ausschreibungen, von Konzern-Einkaufsrichtlinien, in regulierten Branchen —, zählt in aller Regel nur ein Zertifikat einer DAkkS-akkreditierten (oder gleichwertig akkreditierten) Stelle. Dem stehen höhere Kosten und ein formellerer Prozess gegenüber.
- Nicht akkreditiertes Zertifikat: Hier ist Ehrlichkeit geboten: Ein nicht akkreditiertes Zertifikat ist kein gesetzlicher Nachweis und wird in Ausschreibungen, die ein akkreditiertes Zertifikat fordern, nicht anerkannt. Was es leistet: Es erzwingt denselben Systemaufbau, dieselbe externe Prüfung durch einen unabhängigen Auditor und dieselbe jährliche Überwachung — und liefert damit die Systematik und Disziplin, auf die es bei NIS2 inhaltlich ankommt, zu deutlich geringeren Kosten. Für kleine Zulieferer, deren Kunden einen glaubwürdigen Sicherheitsbeleg, aber kein akkreditiertes Zertifikat verlangen, ist das oft der pragmatische Einstieg. Seriöse Anbieter weisen den nicht akkreditierten Status offen auf dem Zertifikat aus.
Die ehrliche Entscheidungsregel: Prüfen Sie zuerst, was Ihre Kunden und Ausschreibungen tatsächlich fordern. Steht dort „akkreditiert“, führt kein Weg daran vorbei. Steht dort „angemessene Informationssicherheit nachweisen“, haben Sie die Wahl — und sollten sie nach Kosten und Nutzen treffen, nicht nach Verkaufsdruck.
Der Weg in der Praxis: Vom Gap zur gelebten Umsetzung
Für ein mittelständisches Unternehmen ohne bestehendes ISMS hat sich dieses Vorgehen bewährt:
- Gap-Analyse (1–2 Wochen): Bestandsaufnahme entlang der Mapping-Tabelle. Ergebnis: eine priorisierte Maßnahmenliste mit Aufwandsschätzung.
- Sofortmaßnahmen (parallel): BSI-Registrierung prüfen beziehungsweise nachholen, MFA aktivieren, Offline-Backup einrichten, Meldekette provisorisch festlegen.
- ISMS-Aufbau (3–6 Monate): Leitlinie, Risikoanalyse, Statement of Applicability, Kernprozesse (Incidents, Lieferanten, Berechtigungen, Schulungen) — bewusst schlank dokumentiert; ein ISMS für 50 Mitarbeitende braucht keine 200 Seiten.
- Probelauf (1–2 Monate): Internes Audit, Management-Review, eine Melde- und eine Wiederherstellungsübung. Hier zeigt sich, ob das System trägt.
- Optional Zertifizierung: Stufe-1- und Stufe-2-Audit durch eine externe Stelle, danach jährliche Überwachungsaudits, die das System dauerhaft wach halten.
Realistischer Gesamtzeitrahmen: sechs bis neun Monate bis zur gelebten Umsetzung, bei guter interner Mitarbeit auch schneller. Entscheidend ist weniger das Tempo als die Verankerung im Alltag — NIS2 ist eine Dauerpflicht, und ein Managementsystem ist bislang das einzige Werkzeug, das Dauerpflichten zuverlässig am Leben hält.
Häufige Fragen
Nicht vollständig. Die zehn Risikomanagementmaßnahmen aus § 30 BSIG deckt ein sauber umgesetztes ISMS weitgehend ab. Drei Pflichten bleiben aber eigenständig: die Registrierung beim BSI, die gesetzlichen Meldefristen von 24 und 72 Stunden samt Abschlussbericht sowie die persönliche Schulungs- und Billigungspflicht der Geschäftsleitung. Diese Punkte müssen Sie zusätzlich organisieren.
Nein. NIS2 schreibt weder eine bestimmte Norm noch eine Zertifizierung vor. Das Gesetz verlangt umgesetzte, nachweisbare Maßnahmen nach Stand der Technik. ISO 27001 ist der verbreitetste Rahmen dafür, weil die Norm dieselben Themen systematisch abdeckt und die geforderte Nachweisbarkeit gleich mitliefert. Auch der BSI-IT-Grundschutz ist ein anerkannter Weg.
Als formaler Nachweis nein: Ein nicht akkreditiertes Zertifikat ist kein gesetzlicher Nachweis und wird nicht anerkannt, wo ausdrücklich ein akkreditiertes Zertifikat gefordert ist — etwa in vielen Ausschreibungen. Was es leistet: Es erzwingt den Aufbau derselben ISMS-Systematik mit externer Prüfung und jährlicher Überwachung, auf die es bei NIS2 inhaltlich ankommt — zu geringeren Kosten. Prüfen Sie daher zuerst, was Ihre Kunden formal verlangen.
Die Controls A.5.19 bis A.5.23 des Anhangs A regeln Lieferantenbeziehungen: Sicherheitsanforderungen an Lieferanten, vertragliche Vereinbarungen, das Management der Lieferkette, die Überwachung von Dienstleistern und die Sicherheit bei Cloud-Diensten. Wer diese Controls mit einem Dienstleisterinventar und risikobasierter Bewertung umsetzt, erfüllt die NIS2-Maßnahme Nummer 4 inhaltlich vollständig.
Wenig, wenn das ISMS gelebt wird: BSIG ins Rechtsverzeichnis aufnehmen, MFA und Notfallkommunikation im Statement of Applicability schärfen, Meldekette mit BSI-Fristen und Portalzugang ergänzen, Geschäftsleiterschulung terminieren und dokumentieren, Registrierung erledigen. In der Praxis sind das wenige Personentage — kein zweites Compliance-Projekt neben dem ISMS.
Das hängt von Größe und Ausgangslage ab. Grob: Der interne Aufbau eines schlanken ISMS kostet vor allem Arbeitszeit über drei bis sechs Monate; externe Begleitung wird häufig mit Tagessätzen im vierstelligen Bereich angeboten. Die Zertifizierung selbst reicht von rund 2.000 Euro pro Jahr im nicht akkreditierten Bereich für Kleinstunternehmen bis zu fünfstelligen Beträgen bei akkreditierten Stellen für größere Organisationen.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT