Reicht ISO 27001 für NIS2-Compliance?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was ISO 27001 abdeckt

ISO/IEC 27001 ist ein internationaler Standard für Informationssicherheits-Management-Systeme (ISMS). Die Version 2022 enthält:

• Klauseln 4-10: Anforderungen an das Management-System (Risiko-Bewertung, Zielsetzung, Wirksamkeitsprüfung, kontinuierliche Verbesserung).
• Annex A: 93 normative Controls in 4 Themen-Clustern (Organisatorische, Personelle, Physische, Technologische Controls).

Der Standard ist ergebnis-orientiert wie NIS2, er schreibt keine konkrete technische Umsetzung vor, sondern verlangt risiko-basierte Auswahl und Wirksamkeits-Nachweis.

Mapping Annex A ↔ Art. 21 NIS2

Art. 21 Abs. 2 NIS2 listet in den Buchstaben a) bis j) zehn Mindestmaßnahmen; in Deutschland setzt § 30 Abs. 2 Satz 2 Nr. 1 bis 10 BSIG sie um. Annex A der ISO 27001:2022 deckt diese überlappend ab:

Das Mapping zeigt: Annex A bietet für jede der zehn Mindestmaßnahmen mindestens ein direkt anwendbares Control. Ein Zertifikat ersetzt aber nicht die Pflicht, die Umsetzung der Maßnahmen nach § 30 Abs. 1 Satz 3 BSIG selbst zu dokumentieren, und deckt die NIS2-spezifischen Pflichten unten nicht ab.

Wo NIS2 über ISO 27001 hinausgeht

Vier Themen-Cluster sind in ISO 27001 nicht oder nur schwach abgedeckt:

1. Meldepflicht nach Art. 23 NIS2

Die gestufte Meldepflicht ist regulatorisch und nicht Teil der ISO: In Deutschland verlangt § 32 Abs. 1 BSIG eine frühe Erstmeldung binnen 24 Stunden und eine Meldung binnen 72 Stunden nach Kenntniserlangung sowie eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, jeweils an die gemeinsame Meldestelle von BSI und BBK. ISO 27001 A.5.24-A.5.28 verlangt zwar einen Incident-Management-Prozess, aber keine spezifischen Behörden-Meldewege. Delta: explizite Meldewege im Incident-Response-Playbook, BSI-Meldeportal-Zugang, Mustertexte für die drei Meldestufen. Mehr im Artikel „Welche Fristen gelten bei NIS2-Incident-Meldungen?".

2. Geschäftsleitungs-Pflichten nach Art. 20 NIS2

Art. 20 NIS2 verlangt, dass die Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. In Deutschland verpflichtet § 38 Abs. 1 BSIG die Geschäftsleitungen, die Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen; nach § 38 Abs. 3 BSIG müssen sie regelmäßig an Schulungen teilnehmen. ISO 27001 verlangt Management-Commitment (Klausel 5), aber keine gesetzliche Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung. Delta: dokumentierte Geschäftsleitungs-Beschlüsse zu den Risikomanagement-Maßnahmen, Teilnahme-Nachweise an Schulungen, regelmäßige dokumentierte Befassung mit dem Umsetzungsstand (ein fester Turnus ist gesetzlich nicht vorgegeben).

3. Sektor-spezifische Anforderungen

Für einige Sektoren gelten statt der BSIG-Pflichten sektorale Regeln: § 28 Abs. 5 BSIG nimmt Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste sowie Betreiber von Energieversorgungsnetzen und Energieanlagen, die den §§ 5c bis 5e EnWG unterliegen, unter anderem von §§ 30 und 32 BSIG aus; § 28 Abs. 6 BSIG tut das für Finanzunternehmen, für die die DORA-Verordnung (EU) 2022/2554 gilt. Daneben können besonders wichtige Einrichtungen und ihre Branchenverbände branchenspezifische Sicherheitsstandards vorschlagen, deren Eignung das BSI feststellt (§ 30 Abs. 8 BSIG). ISO 27001 berücksichtigt diese Sektor-Spezifika nicht. Delta: sektor-spezifischer Anforderungs-Katalog als ergänzendes Konzept.

4. Tätigkeitsuntersagungs-Risiko

Art. 32 Abs. 5 lit. b NIS2 ermöglicht es, Leitungspersonen wesentlicher Einrichtungen die Wahrnehmung von Leitungsaufgaben vorübergehend zu untersagen. In Deutschland regelt das § 61 Abs. 9 Satz 2 Nr. 2 BSIG: Die zuständige Aufsichtsbehörde kann als letztes Mittel unzuverlässigen Geschäftsleitungen besonders wichtiger Einrichtungen die Tätigkeit vorübergehend untersagen, wenn Anordnungen des BSI trotz Fristsetzung nicht befolgt werden. Diese Sanktion ist in ISO 27001 kein Thema. Delta: Awareness auf Leitungs-Ebene, Compliance-Reporting-Strukturen, frühzeitige Eskalation kritischer Findings.

Praxis: ISO 27001 + NIS2-Delta-Konzept

Wer ein ISO-27001-zertifiziertes ISMS hat, adressiert die NIS2-spezifischen Lücken mit drei zusätzlichen Dokumenten:

Dokument 1, NIS2-Meldekette-Playbook: Spezifisches Incident-Response-Sub-Playbook für die NIS2-Meldekette mit Mustertexten für die drei Meldestufen, BSI-Portal-Zugängen, Eskalations-Matrix und jährlicher Tabletop-Übung. Verweist auf die ISO-Incident-Management-Controls A.5.24-A.5.28.

Dokument 2, Geschäftsleitungs-Compliance-Mappe: Beschluss-Buch mit den jährlichen Genehmigungen der Risikomanagement-Maßnahmen, Schulungs-Nachweisen pro Leitungsperson und Reporting-Kalender. Ergänzt die ISO-Klausel 5 (Leadership).

Dokument 3, Sektor-Compliance-Anhang: Spezifisches Konzept, das die sektor-spezifischen Anforderungen (z.B. BNetzA bei Energie) auf die ISO-Controls mappt und die Delta-Maßnahmen benennt.

Mit diesen drei Dokumenten und einem aktiv gepflegten ISMS nach ISO 27001:2022 lässt sich NIS2-Compliance in vielen Fällen darstellen, Audit-Aufwand vorausgesetzt.

Audit-Vorteil bei zertifiziertem ISMS

Ein gültiges ISO-27001-Zertifikat ist kein NIS2-Freibrief, erleichtert aber die Nachweisführung:

• Nachweis für Betreiber kritischer Anlagen: Nach § 39 Abs. 1 BSIG weisen Betreiber kritischer Anlagen die Umsetzung der Maßnahmen dem BSI alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach. Welche Nachweise das BSI als geeignet anerkennt, kann es nach § 39 Abs. 2 BSIG festlegen.
• Dokumentationspflicht: § 30 Abs. 1 Satz 3 BSIG verlangt, die Einhaltung der Risikomanagement-Pflichten zu dokumentieren. Risk-Treatment-Plans, das Statement of Applicability (SoA) und die ISMS-Metriken liefern dafür eine vorhandene, strukturierte Grundlage.
• Normbezug: Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen die einschlägigen europäischen und internationalen Normen berücksichtigen; ISO/IEC 27001 ist eine solche Norm.

Wie tief das BSI im Einzelfall prüft, regelt das Gesetz nicht pauschal; ein Zertifikat begründet keinen Anspruch auf eine verkürzte Prüfung.

Was ISO 27001 nicht leistet: bewusst

Es gibt zwei Bereiche, in denen ISO 27001 strukturell anders gelagert ist als NIS2:

• Zertifikat ist freiwillig, NIS2 ist Pflicht: Ein ISO-Zertifikat ist optional und wird durch akkreditierte Stellen ausgestellt. NIS2 ist regulatorisch und wird durch staatliche Behörden überwacht. Selbst wer kein Zertifikat hat, kann durch ein gleichwertiges System NIS2-konform sein, muss das aber nachweisen können.
• Schwellenwerte sind anders: ISO-Zertifizierung ist größenunabhängig und branchenoffen. Das BSIG erfasst dagegen in der Regel nur Einrichtungen, die einer Einrichtungsart der Anlagen 1 oder 2 BSIG zuzuordnen sind und mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweisen (§ 28 Abs. 2 Nr. 3 BSIG). Unabhängig von der Größe erfasst sind nur bestimmte Einrichtungsarten, etwa Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter sowie Anbieter öffentlich zugänglicher Telekommunikationsdienste (§ 28 Abs. 1 und 2 BSIG). Ein zertifiziertes 30-Personen-Unternehmen fällt also nur dann unter NIS2, wenn es zu einer dieser größenunabhängig erfassten Einrichtungsarten gehört oder einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist und die Umsatz- und Bilanzschwelle überschreitet.

FAQ

Wenn wir ISO-27001-zertifiziert sind: werden wir trotzdem NIS2-geprüft?

Ja. Die ISO-Zertifizierung ersetzt nicht die regulatorische Aufsicht. Ein gültiges Zertifikat erleichtert die Nachweisführung, weil die ISMS-Dokumentation die Dokumentationspflicht nach § 30 Abs. 1 Satz 3 BSIG in weiten Teilen bedient. NIS2-spezifische Pflichten (Meldewege, Geschäftsleitungs-Pflichten) müssen aber eigenständig nachgewiesen werden.

Reicht BSI-IT-Grundschutz alternativ zu ISO 27001?

Als methodische Grundlage ja: § 30 BSIG schreibt keinen bestimmten Standard vor, und das BSI bietet selbst eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz an. Wie bei ISO 27001 gilt: Die Methode ersetzt nicht die NIS2-spezifischen Pflichten wie Meldewege und Geschäftsleitungs-Pflichten. Vorteil: stärker am deutschen Recht und an BSI-Anforderungen orientiert. Nachteil: international weniger anerkannt. Für rein national agierende Einrichtungen ist Grundschutz oft die pragmatischere Wahl.

Sind die NIS2-Delta-Dokumente prüfungs-tauglich oder muss ich neu zertifizieren?

Es gibt aktuell keine eigene NIS2-Zertifizierung. Eine Neuzertifizierung ist gesetzlich nicht vorgeschrieben; entscheidend ist, dass die Maßnahmen umgesetzt und nach § 30 Abs. 1 Satz 3 BSIG dokumentiert sind und die Geschäftsleitung ihre Pflichten nach § 38 BSIG wahrnimmt. Wer eine externe Bestätigung möchte, kann ein freiwilliges NIS2-Self-Assessment-Audit durch einen Wirtschaftsprüfer oder eine akkreditierte Stelle beauftragen, verpflichtend ist es nicht.

Müssen wir die Scope-Definition unseres ISMS für NIS2 anpassen?

Möglicherweise ja. ISO-27001-Scopes sind oft eng gewählt (etwa „Rechenzentrum Frankfurt"), während NIS2 die gesamte regulierte Einrichtung erfasst. Wenn der Scope nicht alle NIS2-relevanten Prozesse und Systeme umfasst, müssen ausgenommene Bereiche separat NIS2-konform gemacht oder der ISO-Scope erweitert werden. Eine Scope-Erweiterung im nächsten Re-Zertifizierungs-Zyklus ist meist günstiger als parallel zwei Systeme zu fahren.

Was passiert bei einem Wechsel von ISO 27001:2013 auf 2022?

Die 2022er-Version hat den Annex A grundlegend umstrukturiert (von 114 auf 93 Controls in 4 Themen-Clustern). Für NIS2-Mapping ist die 2022er-Version vorteilhaft, weil sie thematisch klarer geschnitten ist und neue Controls (Threat Intelligence, ICT-Readiness, Cloud Services) explizit benennt. Die Übergangsfrist nach IAF MD 26 endete am 31.10.2025; Zertifikate nach ISO/IEC 27001:2013 sind seitdem nicht mehr gültig.