Das ist eine der häufigsten Fragen von Unternehmen, die bereits ein ISO-27001-Zertifikat besitzen: „Wenn wir zertifiziert sind, erfüllen wir dann automatisch NIS2?“
Kurze Antwort: nicht automatisch, aber Sie sind den anderen weit voraus. ISO 27001 deckt einen großen Teil dessen ab, was die NIS2-Richtlinie und das neue Gesetz über Informationssicherheit (Amtsblatt der Republik Serbien, Nr. 91/2025) verlangen, doch es gibt konkrete Pflichten, die der Standard nicht vorschreibt. Im Folgenden erklären wir, was Sie bereits haben und was Sie ergänzen müssen.
Hinweis: Wenn Sie wissen möchten, ob ISO 27001 verpflichtend ist, lesen Sie unseren Beitrag Ist ISO 27001 für die NIS2-Compliance verpflichtend? Hier geht es um eine andere Frage: Wenn Sie es bereits haben, ist es dann ausreichend?
Was ISO 27001 bereits abdeckt
NIS2 (Artikel 21) und das neue Gesetz beruhen auf demselben Prinzip wie ISO 27001: dem Risikomanagement. Wenn Sie ein funktionierendes Informationssicherheits-Managementsystem (ISMS) haben, verfügen Sie bereits über:
- eine Methodik zur Risikobewertung und -behandlung,
- Richtlinien zur Informationssicherheit,
- Vorfallmanagement,
- Zugriffskontrolle und Kontenverwaltung,
- Lieferantensicherheit,
- Geschäftskontinuität und Datensicherungen,
- Schulung und Sensibilisierung der Beschäftigten,
- interne Audits und Managementbewertung.
Viele Maßnahmen aus Artikel 21 von NIS2 haben eine Entsprechung in den Controls aus Anhang A von ISO 27001:2022. Deshalb ist ISO 27001 der bestmögliche Ausgangspunkt.
Wo ISO 27001 nicht ausreicht
1. Geltungsbereich des Zertifikats
Ein ISO-27001-Zertifikat gilt nur für den Geltungsbereich, den Sie selbst festgelegt haben, zum Beispiel ein Rechenzentrum oder einen Prozess. NIS2 und das Gesetz gelten für die Organisation als Ganzes, also für alle IKT-Systeme, die den Dienst unterstützen, aufgrund dessen Sie unter das Gesetz fallen. Ist Ihr ISMS eng gefasst, bleiben Pflichten außerhalb davon unabgedeckt.
2. Fristen für die Vorfallmeldung
ISO 27001 verlangt, dass Sie Vorfälle managen, schreibt aber nicht vor, wem und innerhalb welcher Frist Sie sie melden. NIS2 führt strenge Fristen ein: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Auch das neue serbische Gesetz sieht eine Frist von 24 Stunden für die Benachrichtigung der zuständigen Behörden vor. Ihr Vorfallverfahren muss diese Fristen, Kontakte und Kriterien zur Beurteilung der Erheblichkeit eines Vorfalls enthalten.
3. Persönliche Verantwortung der Leitung
ISO 27001 verlangt das „Engagement der Leitung“, NIS2 geht jedoch weiter: Leitungsorgane müssen Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Cybersicherheitsschulungen teilnehmen; zudem können sie für Versäumnisse persönlich haftbar gemacht werden. Diese Pflicht belegt ein Zertifikat allein nicht.
4. Maßnahmen, die nicht optional sind
Bei ISO 27001 wählen Sie Controls anhand der Risikobewertung aus und können einige über die Erklärung zur Anwendbarkeit (SoA) ausschließen. NIS2 nennt manche Maßnahmen ausdrücklich, etwa Multi-Faktor-Authentifizierung, Kryptografie, Sicherheit der Lieferkette und Schwachstellenmanagement. Wenn Sie eine davon ausgeschlossen haben, müssen Sie sie wieder aufnehmen.
5. Nationale Dokumentation und Einstufung
Das neue Gesetz teilt Betreiber in prioritäre und wichtige ein und schreibt eigene verbindliche Dokumente vor, vor allem das Dokument zur Sicherheit des IKT-Systems und das Dokument zur Risikobewertung. ISO-Dokumentation kann als Grundlage dienen, muss aber an die von Gesetz und Durchführungsvorschriften geforderte Form und den geforderten Inhalt angepasst werden.
6. Aufsicht
ISO 27001 wird von einer selbst gewählten Zertifizierungsstelle geprüft. Die Einhaltung des Gesetzes überwacht der Staat, der befugt ist, Maßnahmen und Sanktionen zu verhängen. Ein Zertifikat ist ein guter Nachweis guter Praxis, aber kein Ersatz für die Einhaltung des Gesetzes.
Vergleich auf einen Blick
| Bereich | ISO 27001 | NIS2 / Gesetz |
|---|---|---|
| Risikomanagement | Ja | Ja |
| Geltungsbereich | Legen Sie selbst fest | Gesamte Organisation / Dienst |
| Vorfallmeldung | Interner Prozess | Gesetzliche Fristen (erste Meldung innerhalb von 24 Std.) |
| Verantwortung der Leitung | Engagement der Leitung | Billigung der Maßnahmen, Aufsicht, Schulung, persönliche Haftung |
| Pflichtmaßnahmen (MFA, Lieferkette) | Auf Basis der Risikobewertung | Vorgeschrieben |
| Aufsicht | Zertifizierungsstelle | Staat |
Was tun, wenn Sie bereits ISO 27001 haben
- Prüfen Sie, ob das Gesetz für Sie gilt und in welche Kategorie Sie fallen. Lesen Sie unseren Leitfaden Wer fällt unter die NIS2-Richtlinie?
- Führen Sie eine Gap-Analyse durch: Vergleichen Sie Ihr bestehendes ISMS mit den Anforderungen des Gesetzes und von NIS2.
- Erweitern Sie den Geltungsbereich des ISMS, wenn er nicht alle relevanten Systeme abdeckt.
- Ergänzen Sie Ihr Vorfallverfahren um Fristen, Kontakte und Erheblichkeitskriterien.
- Organisieren Sie Schulungen für die Leitung und dokumentieren Sie, dass die Leitung die Maßnahmen gebilligt hat.
- Erstellen Sie die nach nationalem Recht vorgeschriebenen Dokumente und nutzen Sie dabei die vorhandene ISO-Dokumentation als Grundlage.
Unternehmen mit ISO 27001 erreichen die Compliance in der Regel deutlich schneller und günstiger als solche, die bei null anfangen, weil der Großteil der Arbeit bereits erledigt ist.
Häufige Fragen
Erfüllen wir mit einem ISO-27001-Zertifikat automatisch NIS2?
Nein. Das Zertifikat zeigt, dass Sie ein gutes Informationssicherheits-Managementsystem haben, doch das Gesetz enthält zusätzliche Pflichten, die der Standard nicht abdeckt: Fristen für die Vorfallmeldung, die Verantwortung der Leitung und die nationale Dokumentation.
Müssen wir uns nach ISO 27001 zertifizieren lassen, um das Gesetz einzuhalten?
Nein. Das Gesetz verlangt kein Zertifikat, sondern die Umsetzung der vorgeschriebenen Maßnahmen. ISO 27001 ist dennoch der praktischste Weg, diese Maßnahmen zu organisieren und nachzuweisen. Mehr dazu im Beitrag Ist ISO 27001 für die NIS2-Compliance verpflichtend?
Wie lange dauert die Anpassung, wenn wir bereits ISO 27001 haben?
Das hängt vom Geltungsbereich und der Größe der Organisation ab, in der Regel handelt es sich aber um Wochen oder einige Monate und nicht um ein mehrjähriges Projekt.
Sie haben ISO 27001 und wissen nicht genau, wie viel Ihnen zur Compliance fehlt? Kontaktieren Sie uns für eine Gap-Analyse, und wir sagen Ihnen genau, was zu ergänzen ist.