Wir sind ISO-27001-zertifiziert: was ändert sich mit NIS2?

Was ISO 27001 leistet und was nicht

ISO 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie verlangt:

• Etablierung eines ISMS mit definiertem Geltungsbereich
• Strukturierte Risikoanalyse und Risikobehandlung
• Anwendung der Controls aus ISO/IEC 27002 (Annex A der 27001)
• Internes Audit, Management-Review, kontinuierliche Verbesserung
• Externe Zertifizierung durch akkreditierte Stelle, alle 3 Jahre Rezertifizierung, jährliche Überwachungsaudits

Die Version 2022 der ISO 27001 hat den Annex A grundlegend überarbeitet: 93 Controls statt vorher 114, gruppiert in vier Themen (Organisational, People, Physical, Technological). Viele der 93 Controls haben direkte NIS2-Relevanz.

Was ISO 27001 nicht leistet:

• Persönliche Pflichten der Geschäftsleitung (Art. 20 NIS2), ISO verlangt zwar Top-Management-Commitment, aber keine persönliche Haftung
• Gesetzlich konkrete Meldefristen, ISO empfiehlt Meldeprozesse, schreibt aber keine 24-/72-Stunden-Fristen vor
• BSI-Registrierung, eine ISO-Zertifizierung ersetzt nicht die NIS2-Selbstanmeldung beim BSI
• Gesetzlicher Anwendungsbereich, ob die Pflichten greifen, richtet sich nach Einrichtungsart (Anlagen 1 und 2 BSIG) und Größe (§ 28 BSIG); das bildet ISO nicht ab

Annex-A-Mapping: Wo ISO direkt NIS2 erfüllt

Die ISO 27002:2022 Annex-A-Controls in vier Themen-Clustern:

Organisational (37 Controls):

• Information Security Policies (A.5.1) → NIS2 Art. 21 Abs. 2 lit. a) Risikomanagement
• Information Security Roles (A.5.2) → NIS2 Art. 20 Governance
• Threat Intelligence (A.5.7) → NIS2 Art. 21 Abs. 2 lit. b) Vorfalls-Bewältigung
• Information Security in Project Management (A.5.8) → Art. 21 Abs. 2 lit. e) sichere Entwicklung
• Inventory of Information and Other Associated Assets (A.5.9) → indirekt für alle Maßnahmen
• ICT Readiness for Business Continuity (A.5.30) → Art. 21 Abs. 2 lit. c) Business Continuity
• Compliance with Legal Requirements (A.5.31) → indirekt für gesamte NIS2

People (8 Controls):

• Screening (A.6.1) → Art. 21 Abs. 2 lit. i) Personalsicherheit
• Awareness, Education and Training (A.6.3) → Art. 21 Abs. 2 lit. g) Schulung
• Disciplinary Process (A.6.4) → Personalsicherheits-Maßnahmen
• Information Security Event Reporting (A.6.8) → Art. 23 Vorfallsmeldung (intern, noch nicht extern)

Physical (14 Controls):

• Physical Security Perimeters (A.7.1) → keine eigene NIS2-Maßnahme, aber vom gefahrenübergreifenden Ansatz nach Art. 21 Abs. 2 NIS2 erfasst, der auch die physische Umgebung der Systeme schützen soll
• Working in Secure Areas (A.7.6)
• Equipment Maintenance (A.7.13)
• Secure Disposal (A.7.14)

Technological (34 Controls):

• Privileged Access Rights (A.8.2) → Art. 21 Abs. 2 lit. i) Konzepte für die Zugriffskontrolle
• Secure Authentication (A.8.5) und Authentication Information (A.5.17) → Art. 21 Abs. 2 lit. j) Multi-Faktor-Authentifizierung
• Backup of Information (A.8.13) → Business Continuity
• Logging (A.8.15) → Forensische Bereitschaft
• Cryptography (A.8.24) → Art. 21 Abs. 2 lit. h) Verschlüsselung
• Web Filtering (A.8.23)
• Vulnerability Management (A.8.8) → Art. 21 Abs. 2 lit. e) Schwachstellen-Management

Die Auswahl zeigt: Ein großer Teil der Annex-A-Controls lässt sich einer oder mehreren NIS2-Mindestmaßnahmen zuordnen. Damit sind ISO-zertifizierte Unternehmen in der NIS2-Vorbereitung weit vorn; die genaue Zuordnung gehört in die eigene Gap-Analyse.

Was zusätzlich gefordert wird

Drei Bereiche kommen über ISO 27001 hinaus durch NIS2 hinzu:

1. Persönliche Pflichten der Geschäftsleitung (Art. 20 NIS2):

• Genehmigung der Risikomanagement-Maßnahmen durch das Leitungsorgan
• Überwachung der Umsetzung
• Persönliche Teilnahme an Schulungen
• Schulungen auch für Beschäftigte: keine gesetzliche Pflicht, die Mitgliedstaaten sollen Einrichtungen nach Art. 20 Abs. 2 NIS2 aber dazu ermutigen, regelmäßig vergleichbare Schulungen anzubieten
• Haftung für Pflichtverletzungen (Art. 20 Abs. 1 NIS2); in Deutschland haften Geschäftsleitungen der Einrichtung nach den gesellschaftsrechtlichen Regeln (§ 38 Abs. 2 BSIG)

ISO 27001 fordert Top-Management-Commitment und Ressourcen-Bereitstellung, aber keine persönliche Schulungspflicht oder Haftung. Ergänzung: Schulungs-Programm für Geschäftsleitung, dokumentierte Genehmigung des ISMS-Scope und Risk Treatment Plans, persönlich von der Geschäftsleitung gegengezeichnet.

2. Gesetzliche Meldepflichten (Art. 23 NIS2):

• Frühe Erstmeldung spätestens 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall an die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 Nr. 1 BSIG)
• Meldung mit erster Bewertung spätestens nach 72 Stunden (§ 32 Abs. 1 Nr. 2 BSIG)
• Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, bei andauerndem Vorfall zunächst eine Fortschrittsmeldung (§ 32 Abs. 1 Nr. 4, Abs. 2 BSIG)
• Einordnung als „erheblicher Sicherheitsvorfall“ nach § 2 Nr. 11 BSIG; die Einzelheiten des Meldeverfahrens legt das BSI fest (§ 32 Abs. 4 BSIG)

ISO 27001 fordert „angemessene" Meldeprozesse, was angemessen ist, definiert ISO nicht. NIS2 setzt konkrete Fristen. Ergänzung: Erweiterung des Incident-Response-Plans um die externen Meldepflicht-Fristen, BSI-Portal-Zugang einrichten, vorbereitete Templates, Tabletop-Übungen.

3. Zentrale BSI-Registrierung:

• Selbstidentifikation der Betroffenheit
• Registrierung beim BSI spätestens drei Monate nach Eintritt der Betroffenheit (§ 33 Abs. 1 BSIG)
• Änderungen der Angaben unverzüglich, spätestens binnen zwei Wochen nachmelden (§ 33 Abs. 5 BSIG)
• Sektor-Klassifikation

ISO 27001 hat keine vergleichbare Pflicht. Ergänzung: Registrierungs-Vorbereitung als Compliance-Aufgabe, Stammdaten-Aktualisierung als Routineprozess.

BSI IT-Grundschutz als Brücke zu NIS2

Eine Alternative zur reinen ISO 27001 ist die BSI IT-Grundschutz-Zertifizierung auf Basis von ISO 27001. Diese kombiniert die ISO-Norm mit den BSI-Bausteinen und ist in Deutschland besonders gut etabliert.

Vorteile:

• Methodische Nähe zu den Standards, die das BSI als Aufsichtsbehörde selbst herausgibt
• Anwendung der konkreten BSI-Bausteine, die teils detaillierter sind als ISO 27002
• Hohe Glaubwürdigkeit im deutschen Markt

Nachteile:

• Höherer initialer Aufwand als reine ISO 27001
• Konfiguration nur in Deutschland relevant, im internationalen Vertrieb weniger anerkannt als reine ISO

Für Unternehmen mit starkem deutschem Marktbezug kann BSI-IT-Grundschutz die passendere Variante sein, für international agierende Unternehmen eher die reine ISO 27001 mit NIS2-Ergänzung; das hängt vom Einzelfall ab.

Praxis: Von ISO 27001 zur NIS2-Konformität

Detaillierter 12-Wochen-Plan:

Ab Woche 13 läuft die NIS2-Konformität im Regelbetrieb. ISO-27001-Überwachungsaudits können um NIS2-Aspekte erweitert werden.

FAQ

Wird das ISO-Zertifikat im BSI-Audit anerkannt?

Es ist ein wichtiger Nachweis, aber kein Freibrief. Das ISO-Zertifikat allein ersetzt die Prüfung der NIS2-Pflichten nicht, ist aber ein starkes Indiz für die Reife der Sicherheitsorganisation. Wie das BSI Zertifikate im Einzelfall würdigt, ist gesetzlich nicht festgelegt; für Betreiber kritischer Anlagen nennt § 39 Abs. 1 BSIG Zertifizierungen ausdrücklich als eine mögliche Form des Nachweises. Entscheidend ist, dass Geltungsbereich und Maßnahmen die Anforderungen des § 30 BSIG tatsächlich abdecken.

Müssen wir auf ISO 27001:2022 migrieren?

Ja, sofern noch nicht geschehen: Die Übergangsfrist endete am 31. Oktober 2025 (drei Jahre nach Veröffentlichung der 2022er Version); Zertifikate nach ISO 27001:2013 sind seitdem ungültig. Für NIS2 ist die aktuelle Version vorteilhaft, weil sie modernere Themen (Threat Intelligence, Cloud-Sicherheit, Konfigurations-Management) explizit abdeckt. Die Migration sollte mit der NIS2-Vorbereitung verzahnt werden.

Wie wirkt sich BSI-IT-Grundschutz auf den Aufwand aus?

BSI-IT-Grundschutz hat in der Regel einen höheren initialen Aufwand als reine ISO 27001, weil die BSI-Bausteine konkretere Anforderungen enthalten; wie viel mehr, hängt vom Geltungsbereich ab. Im Gegenzug liegt die Methodik nah an den Standards der Aufsichtsbehörde. Für Unternehmen mit Fokus auf deutsche Aufsicht kann Grundschutz über die Gesamtlebensdauer der Zertifizierung die effizientere Variante sein.

Können wir die Implementierungen anderer Standards (TISAX, PCI DSS) nutzen?

Teilweise ja. TISAX (Automobilbranche) und PCI DSS (Karten-Zahlungen) decken Teilbereiche der NIS2-Maßnahmen ab, sind aber sektor-spezifisch fokussiert. Eine Lücken-Analyse pro Standard ist Pflicht-Schritt.

Wie oft ändert sich der NIS2-Pflichten-Katalog?

Für bestimmte digitale Einrichtungen (u. a. Cloud-, Rechenzentrums- und Managed-Service-Anbieter) konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Maßnahmen nach Art. 21 NIS2; einen festen Aktualisierungsturnus gibt es nicht. Hinzu kommen Rechtsverordnungen und Vorgaben des BSI im nationalen Recht. Empfehlung: Änderungen an NIS2, BSIG und BSI-Vorgaben als festen Punkt im jährlichen ISMS-Management-Review prüfen.