NIS2 vs. ISO 27001: Unterschiede, Gemeinsamkeiten und Strategien zur Harmonisierung

Zuletzt geprüft: Oktober 2026. Für Einrichtungen in Deutschland ist das BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG (BGBl. 2025 I Nr. 301, in Kraft seit 6. Dezember 2025) maßgeblich, insbesondere die §§ 30, 32, 33 und 38 BSIG. Weitere Grundlagen: die Richtlinie (EU) 2022/2555 (NIS2), ISO/IEC 27001:2022 einschließlich Änderung 1:2024, die Durchführungsverordnung (EU) 2024/2690 der Kommission (verbindlich nur für elf Einrichtungsarten), die technischen Umsetzungsleitlinien der ENISA (Juni 2025) und das BSI-Infopaket „ISO/IEC 27001 im Kontext NIS-2/BSIG“.

Wenn Ihre Organisation bereits über eine ISO 27001-Zertifizierung verfügt, stellen Sie genau die richtige Frage: Wie viel von NIS2 decken wir bereits ab, und wo liegen die Lücken? Die Antwort ist ermutigend, aber nicht pauschal: Nach Einschätzung des BSI weisen die Inhalte einer ISO 27001-Zertifizierung „große Schnittmengen“ mit den Anforderungen aus § 30 BSIG auf und können den Umsetzungsaufwand „deutlich reduzieren“ [6]. Eine belastbare Prozentzahl für diese Überschneidung gibt es nicht. Die verbleibenden Lücken umfassen zudem einige der folgenreichsten Pflichten: die Fristen für die Meldung erheblicher Sicherheitsvorfälle (§ 32 BSIG), die Registrierung beim BSI (§ 33 BSIG) sowie die Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung (§ 38 BSIG) — gesetzliche Pflichten, die ISO 27001 als freiwilliger Managementsystem-Standard nicht regelt [1] [6].

Wenn Sie hingegen nicht über eine ISO 27001-Zertifizierung verfügen und die NIS2-Compliance von Grund auf aufbauen, fragen Sie sich möglicherweise, ob Sie die ISO-Zertifizierung als Grundlage anstreben sollten. Vorweg: Eine Zertifizierung nach ISO/IEC 27001 ist laut BSI keine Voraussetzung zur Erfüllung der Anforderungen aus dem BSIG; das BSI schreibt keine bestimmte Norm vor [6]. Für viele Einrichtungen ist ein ISMS nach ISO 27001 dennoch ein naheliegender Weg, denn § 30 Abs. 2 BSIG verlangt, dass die Maßnahmen den Stand der Technik einhalten und „die einschlägigen europäischen und internationalen Normen berücksichtigen“ sollen [1]. ISO 27001 liefert den strukturierten Rahmen für ein Informationssicherheits-Managementsystem (ISMS), den das Gesetz selbst nicht im Detail beschreibt.

Dieser Leitfaden vergleicht beide Rahmenwerke auf Klausel- und Control-Ebene — dort, wo sie übereinstimmen, wo sie voneinander abweichen und wie sich die Lücken schließen lassen. Wenn Sie als CISO, Compliance-Manager oder Berater die NIS2-Implementierung verantworten, dient er als Ausgangspunkt für Ihr eigenes Mapping.

NIS2 und ISO 27001 im Überblick

Bevor wir in den detaillierten Vergleich einsteigen, ist es hilfreich zu verstehen, was jedes Rahmenwerk ist und was es nicht ist. Sie verfolgen grundlegend unterschiedliche Zwecke, was sowohl die Überschneidungen als auch die Lücken erklärt.

Ein Begriff aus der Tabelle unten lohnt vorab eine Klärung: Die ISO/IEC 27001 ist ein Standard für Informationssicherheits-Managementsysteme — ein Wort, das im BSI-Gesetz kein einziges Mal vorkommt, obwohl § 30 BSIG zentrale Funktionen eines solchen Systems verlangt, etwa die Dokumentation der Maßnahmen (Absatz 1 Satz 3) und Konzepte zur Bewertung ihrer Wirksamkeit (Absatz 2 Nr. 6). Woraus ein solches System besteht und welcher Mindestpfad ohne Vollausbau trägt, erklärt unser Leitfaden Was ist ein ISMS?.

Aspekt	NIS2 (Richtlinie 2022/2555, in Deutschland BSIG)	ISO/IEC 27001:2022
Was es ist	EU-Cybersicherheitsrecht — eine Richtlinie, die von den Mitgliedstaaten in nationales Recht umgesetzt werden muss; in Deutschland durch das NIS2UmsuCG, das das BSI-Gesetz neu gefasst hat	Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS) — veröffentlicht von ISO und IEC
Rechtsstatus	Verbindlich für besonders wichtige und wichtige Einrichtungen; in Deutschland gelten die Pflichten des BSIG seit dem 6. Dezember 2025. Verstöße können Bußgelder und Aufsichtsmaßnahmen nach sich ziehen	Freiwillig. Organisationen entscheiden sich für eine Zertifizierung. Keine Bußgelder bei fehlender Zertifizierung
Anwendungsbereich	Sektorbezogen: 18 Sektoren nach Anhang I und II der Richtlinie (in Deutschland Anlagen 1 und 2 BSIG). Größenschwellen nach § 28 BSIG, in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. EUR Jahresumsatz und Jahresbilanzsumme; für einige Einrichtungsarten gelten größenunabhängige Regeln	Universell: jede Organisation, jeder Sektor, jede Größe kann das Rahmenwerk implementieren und sich zertifizieren lassen
Schwerpunkt	Cybersicherheit von Einrichtungen, deren Dienste für Wirtschaft und Gesellschaft in der EU besonders wichtig sind	Aufbau, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems
Durchsetzung	In Deutschland beaufsichtigt das BSI die Einrichtungen (§§ 61, 62 BSIG). Bußgelder nach § 65 BSIG bis zu 10 Mio. EUR (besonders wichtige) bzw. 7 Mio. EUR (wichtige Einrichtungen); die umsatzbezogenen Obergrenzen von 2 % bzw. 1,4 % des weltweiten Jahresumsatzes greifen nur bei mehr als 500 Mio. EUR Umsatz	Zertifizierungsstellen prüfen die Konformität. Ein Nichtbestehen führt zum Verlust des Zertifikats, nicht zu rechtlichen Sanktionen
Meldung von Sicherheitsvorfällen	Meldung erheblicher Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK: frühe Erstmeldung binnen 24 h, Meldung binnen 72 h, Abschlussmeldung spätestens einen Monat nach der Meldung (§ 32 BSIG)	Erfordert Verfahren für das Incident Management, schreibt jedoch keine gesetzlichen Meldefristen oder externe Benachrichtigung vor
Management-Verantwortlichkeit	§ 38 BSIG: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach Gesellschaftsrecht	Clause 5 (Führung): Das Top-Management muss sein Engagement nachweisen; eine gesetzliche Haftung folgt daraus nicht
Aktuelle Version	Richtlinie vom 14. Dezember 2022, Umsetzungsfrist bis 17. Oktober 2024; in Deutschland umgesetzt durch das NIS2UmsuCG (in Kraft seit 6. Dezember 2025)	ISO/IEC 27001:2022 (dritte Ausgabe, Oktober 2022), ergänzt durch Änderung 1:2024 (Klimawandel, Februar 2024); die Übergangsfrist für Zertifikate nach ISO/IEC 27001:2013 endete am 31. Oktober 2025

Der grundlegende Unterschied: NIS2 bzw. das BSIG legt fest, was Einrichtungen tun müssen (und sanktioniert Verstöße). ISO 27001 beschreibt, wie das Managementsystem aufgebaut wird, das dies gewährleistet (und bestätigt die Umsetzung durch ein Zertifikat). Beide ergänzen sich, stehen nicht im Wettbewerb — und eine effiziente Compliance-Strategie nutzt beide Rahmenwerke [1] [2] [3].

Zur aktuellen ISO-Fassung: ISO/IEC 27001:2022 enthält in Anhang A 93 Controls, gegliedert in vier Themen — organisatorische (A.5), personenbezogene (A.6), physische (A.7) und technologische Controls (A.8). Die Vorgängerfassung von 2013 enthielt 114 Controls in 14 Abschnitten [7]. Die Übergangsfrist nach IAF MD 26 endete am 31. Oktober 2025; Zertifikate nach der Fassung von 2013 sind seitdem nicht mehr gültig [7]. Mit der Änderung 1:2024 (Februar 2024) wurde in die Abschnitte 4.1 und 4.2 ergänzt, dass der Klimawandel als möglicherweise relevantes Thema zu berücksichtigen ist. ISO und IAF werten dies als Klarstellung; ein förmliches Übergangsprogramm oder ein neues Zertifikat ist dafür nicht erforderlich [3] [8].

Wo sie übereinstimmen: Das gemeinsame Fundament

Die Überschneidung zwischen NIS2 und ISO 27001 ist erheblich und gut dokumentiert. Das BSI hat die zehn Mindestmaßnahmen des § 30 Abs. 2 BSIG auf ISO/IEC 27001:2022 abgebildet [6], und die technischen Umsetzungsleitlinien der ENISA ordnen jeder Anforderung der Durchführungsverordnung (EU) 2024/2690 die einschlägigen ISO 27001-Anforderungen zu [5]. Beide betonen allerdings: Das Mapping ist kein Maßstab für Gleichwertigkeit. Die ENISA weist ausdrücklich darauf hin, dass es nicht bewertet, ob die zugeordneten Anforderungen die Vorgaben der Verordnung vollständig abdecken [5].

Die Übereinstimmung ist in folgenden Bereichen am stärksten ausgeprägt:

• Risikomanagement. Beide Rahmenwerke basieren auf risikobasierten Ansätzen zur Informationssicherheit. § 30 Abs. 2 Nr. 1 BSIG fordert „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“, was auf ISO 27001 Clause 6.1 (Maßnahmen zur Behandlung von Risiken) und 8.2–8.3 (Durchführung von Risikobewertung und -behandlung) abbildbar ist. Wenn Ihre ISMS-Risikobewertungsmethodik ausgereift ist, ist Ihr NIS2-Risikomanagement-Fundament weitgehend vorhanden.
• Incident Management. § 30 Abs. 2 Nr. 2 BSIG verlangt die Bewältigung von Sicherheitsvorfällen. Die ISO 27001 Annex A-Kontrollen 5.24–5.28 (Incident Management) und 6.8 (Meldung von Informationssicherheitsereignissen) decken dieselben Bereiche ab, wenn es darum geht, Verfahren zur Erkennung, Analyse und Reaktion auf Sicherheitsvorfälle zu etablieren.
• Business Continuity. § 30 Abs. 2 Nr. 3 BSIG korrespondiert mit ISO 27001 Annex A-Kontrollen 5.29–5.30 (Informationssicherheit bei Störungen, IKT-Bereitschaft für Business Continuity) und 8.13–8.14 (Backups und Redundanz). Beide erfordern dokumentierte Kontinuitätspläne und Backup-Verfahren.
• Lieferkettensicherheit. § 30 Abs. 2 Nr. 4 BSIG korrespondiert mit ISO 27001 Annex A-Kontrollen 5.19–5.22 (Lieferantenbeziehungen) sowie 5.23 (Cloud-Dienste) und 8.30 (ausgelagerte Entwicklung). Beide erfordern die Bewertung und das Management von Sicherheitsrisiken durch Drittanbieter.
• Zugangssteuerung. § 30 Abs. 2 Nr. 9 BSIG korrespondiert mit ISO 27001 Annex A-Kontrollen 5.15–5.18 (Zugangssteuerung und Identitätsmanagement) sowie 8.2, 8.3 und 8.5 (privilegierte Zugriffsrechte, Zugriffsbeschränkung, sichere Authentifizierung). Beide verlangen dokumentierte Konzepte für die Vergabe und Kontrolle von Zugriffsrechten.
• Kryptographie. § 30 Abs. 2 Nr. 8 BSIG korrespondiert mit ISO 27001 Annex A-Kontrolle 8.24 (Einsatz von Kryptographie). Beide erfordern Regeln, wann und wie Verschlüsselung eingesetzt wird.
• Asset-Management. § 30 Abs. 2 Nr. 9 BSIG verlangt Konzepte für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen; das ist auf ISO 27001 Annex A-Kontrollen 5.9–5.13 (Inventar, zulässige Nutzung, Rückgabe, Klassifizierung und Kennzeichnung von Werten) abbildbar.
• Personalsicherheit und Schulungen. § 30 Abs. 2 Nr. 7 und Nr. 9 BSIG korrespondieren mit ISO 27001 Annex A-Kontrollen 6.1–6.6 (Personalsicherheits-Lebenszyklus), insbesondere 6.3 (Sensibilisierung und Schulung).

Diese Überschneidung erklärt, warum ISO 27001 vielfach als naheliegendes Ausgangsrahmenwerk für die NIS2-Compliance gilt. Sie bauen nicht von null auf — Sie erweitern ein bestehendes System, um zusätzliche gesetzliche Anforderungen zu erfüllen [6].

Wesentliche Erkenntnis: Die Überschneidung betrifft vor allem Sicherheitskontrollen. Die Lücken liegen in rechtlichen und Governance-Prozessen — der Meldung von Vorfällen an Behörden, der Registrierung, den gesetzlichen Pflichten der Geschäftsleitung — sowie in Fragen des Geltungsbereichs und der Risikobehandlung, die ISO 27001 als universeller Standard der Organisation selbst überlässt.

Sechs wesentliche Unterschiede zwischen NIS2 und ISO 27001

Das Verständnis der Überschneidungen gibt Ihnen Sicherheit. Das Verständnis der Unterschiede zeigt Ihnen, worauf Sie Ihre Bemühungen zur Schließung von Lücken konzentrieren sollten. Diese sechs Bereiche stellen die bedeutendsten Abweichungen dar:

1. Fristen für die Meldung von Sicherheitsvorfällen

Dies ist die mit Abstand größte operative Lücke. ISO 27001 erfordert, dass Sie über Incident-Management-Verfahren (Annex A 5.24–5.28) verfügen und Ereignisse intern melden — legt jedoch keine gesetzlichen Fristen für externe Meldungen fest. § 32 BSIG (Umsetzung von Art. 23 NIS2) sieht für erhebliche Sicherheitsvorfälle ein mehrstufiges Meldeverfahren an die gemeinsame Meldestelle von BSI und BBK vor [1]:

Stufe	Anforderung nach § 32 BSIG	ISO 27001-Äquivalent
Frühe Erstmeldung	Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall; mit Angabe, ob ein rechtswidriger oder böswilliger Hintergrund oder grenzüberschreitende Auswirkungen vermutet werden	Kein Äquivalent
Meldung des Sicherheitsvorfalls	Unverzüglich, spätestens 72 Stunden nach Kenntniserlangung; mit erster Bewertung einschließlich Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren	Kein Äquivalent
Abschlussmeldung	Spätestens einen Monat nach der Meldung des Sicherheitsvorfalls, u. a. mit Ursache und Abhilfemaßnahmen; dauert der Vorfall noch an, zunächst eine Fortschrittsmeldung	Kein Äquivalent

Wenn Ihre Organisation über ISO 27001 verfügt, aber noch nie Vorfälle innerhalb eines 24-Stunden-Fensters extern gemeldet hat, ist dies eine der dringlichsten Implementierungsprioritäten. Hilfreich sind definierte Eskalationspfade, vorbereitete Meldevorlagen und ein eingerichteter Zugang zum BSI-Portal, über das Meldungen abgegeben werden. Eine vollständige Darstellung der Meldeanforderungen finden Sie in unserem NIS2-Leitfaden zur Meldung von Sicherheitsvorfällen.

2. Management-Verantwortlichkeit und Haftung

ISO 27001 Clause 5 verlangt vom Top-Management, „Führung und Verpflichtung“ für das ISMS zu zeigen. Dies ist eine Governance-Anforderung — das Management muss die Richtung vorgeben, Ressourcen bereitstellen und die Leistung überprüfen. Sie hat jedoch keine rechtlichen Konsequenzen, wenn dies nicht befolgt wird. Das schlimmste Ergebnis ist eine Nichtkonformität bei einem Zertifizierungsaudit.

§ 38 BSIG (Umsetzung von Art. 20 NIS2) geht weiter. Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind verpflichtet [1]:

• die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen (§ 38 Abs. 1)
• regelmäßig an Schulungen teilzunehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können (§ 38 Abs. 3)

Verletzt die Geschäftsleitung diese Pflichten schuldhaft, haftet sie der Einrichtung für den entstandenen Schaden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform (§ 38 Abs. 2). Anders als Art. 20 der Richtlinie, der eine „Billigung“ der Maßnahmen durch die Leitungsorgane vorsieht [2], spricht das BSIG von Umsetzung und Überwachung. Ein vorübergehendes Tätigkeitsverbot für unzuverlässige Geschäftsleitungen ist nach § 61 Abs. 9 BSIG nur bei besonders wichtigen Einrichtungen und nur als letztes Mittel möglich, wenn Anordnungen des BSI trotz Fristsetzung nicht befolgt werden; ausgesprochen wird es von der zuständigen Aufsichtsbehörde [1]. Mehr dazu in unserem Beitrag zur Geschäftsführerhaftung.

Damit wird Cybersicherheit von einer IT-Governance-Angelegenheit zu einer gesetzlichen Leitungsaufgabe. Ihre ISMS-Managementbewertung (ISO 27001 Clause 9.3) ist ein guter Ausgangspunkt; für den Nachweis der Pflichten aus § 38 BSIG empfiehlt es sich jedoch, Leitungsbeschlüsse, Schulungsnachweise und das laufende Berichtswesen an die Geschäftsleitung gesondert zu dokumentieren [1] [6].

3. Tiefe der Lieferkettensicherheit

Beide Rahmenwerke befassen sich mit der Lieferantensicherheit. ISO 27001 Annex A 5.19–5.22 verlangt, dass Sie Lieferantenrisiken bewerten, Sicherheitsanforderungen in Verträgen festlegen und die Leistungen der Lieferanten überwachen. Dies stellt eine solide Basisabdeckung dar.

§ 30 Abs. 2 Nr. 4 BSIG verlangt die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ [1]. Für die elf Einrichtungsarten, für die die Durchführungsverordnung (EU) 2024/2690 gilt (u. a. Cloud-, Rechenzentrums- und Managed-Service-Anbieter), konkretisiert deren Anhang Nummer 5 die Anforderungen [4]:

• ein aktuelles Verzeichnis der direkten Anbieter und Diensteanbieter mit Kontaktstellen und den jeweils bereitgestellten IKT-Produkten, -Diensten und -Prozessen (Nr. 5.2)
• Auswahlkriterien für Anbieter, die u. a. deren Cybersicherheitsverfahren einschließlich der Sicherheit ihrer Entwicklungsprozesse berücksichtigen (Nr. 5.1.2)
• soweit angemessen vertragliche Sicherheitsanforderungen in Leistungsvereinbarungen (Nr. 5.1.4)
• soweit anwendbar die Berücksichtigung der Ergebnisse koordinierter Risikobewertungen kritischer Lieferketten auf EU-Ebene nach Art. 22 NIS2 (Nr. 5.1.3)

Für alle übrigen Einrichtungen ist die Durchführungsverordnung nicht verbindlich, kann aber als Orientierung dienen. Wenn Ihr ISO 27001-Lieferantenmanagement auf Vertragsklauseln und jährliche Fragebögen beschränkt ist, lohnt sich eine Ausweitung: Das BSI nennt eine „erweiterte Lieferkettenbetrachtung“ ausdrücklich als typischen Ergänzungsbedarf zertifizierter Einrichtungen [6]. Implementierungsdetails finden Sie in unserem Leitfaden zur Lieferkettensicherheit.

4. Krisenmanagement

ISO 27001 deckt die Business-Continuity-Planung (Annex A 5.29–5.30) mit Fokus auf die Kontinuität von IKT-Diensten ab. § 30 Abs. 2 Nr. 3 BSIG nennt neben Backup-Management und Wiederherstellung ausdrücklich das Krisenmanagement [1]. Für die von der Durchführungsverordnung erfassten Einrichtungen konkretisiert deren Anhang Nummer 4.3 dies [4]:

• ein festgelegtes Krisenmanagementverfahren mit Rollen und Verantwortlichkeiten, geeigneten Kommunikationsmitteln zu den zuständigen Behörden und Maßnahmen zur Aufrechterhaltung der Sicherheit in Krisensituationen (Nr. 4.3.1–4.3.2)
• ein Verfahren für den Umgang mit Informationen von CSIRTs oder Behörden über Vorfälle, Schwachstellen und Bedrohungen (Nr. 4.3.3)
• Tests des Krisenmanagementplans in geplanten Zeitabständen oder nach erheblichen Sicherheitsvorfällen (Nr. 4.3.4)

ISO 27001 kennt kein eigenständiges Krisenmanagement-Control; die ENISA verweist für Nummer 4.3 auf die verwandten Controls A.5.26, A.5.29 und A.5.30 [5]. Der Unterschied ist bedeutsam: Business Continuity stellt sicher, dass Ihre IT-Dienste wiederhergestellt werden. Krisenmanagement stellt sicher, dass Ihre Organisation handlungsfähig bleibt, einschließlich der Stakeholder-Kommunikation, behördlicher Meldungen und des Umgangs mit Reputationsrisiken.

5. Verantwortliche Person und Governance-Struktur

Für die von der Durchführungsverordnung erfassten Einrichtungen verlangt Anhang Nummer 1.2.3: „Mindestens eine Person muss gegenüber den Leitungsorganen direkt für Fragen der Sicherheit von Netz- und Informationssystemen verantwortlich sein.“ [4] ISO 27001 Clause 5.3 verlangt zwar, dass das Top-Management Verantwortlichkeiten und Befugnisse zuweist, einschließlich der Berichterstattung über die ISMS-Leistung an das Top-Management; eine bestimmte Organisationsstruktur schreibt die Norm aber nicht vor. Die ENISA ordnet Nummer 1.2 entsprechend Clause 5.3 und A.5.2–A.5.4 zu [5].

Relevant ist dies für Organisationen, in denen die Informationssicherheit über die IT berichtet, die wiederum einem COO oder CTO unterstellt ist, ohne direkten Zugang zur Geschäftsleitung. Für Einrichtungen außerhalb des Anwendungsbereichs der Durchführungsverordnung enthält das BSIG keine vergleichbare Vorgabe; ein direkter Berichtsweg erleichtert aber die Überwachungspflicht der Geschäftsleitung nach § 38 Abs. 1 BSIG.

6. Sektorspezifische und rechtliche Anforderungen

ISO 27001 ist bewusst sektorunabhängig — das ist seine Stärke als universeller Standard und zugleich seine Einschränkung für die regulatorische Compliance. Das BSIG enthält mehrere rechtliche Anforderungen ohne ISO-Äquivalent [1]:

• Registrierung der Einrichtung beim BSI nach § 33 BSIG — spätestens drei Monate, nachdem eine Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt; für Bestandsfälle war dies der 6. März 2026. Änderungen der Angaben sind binnen zwei Wochen zu melden (§ 33 Abs. 5)
• Bußgeldrahmen nach § 65 BSIG mit Geldbußen bis zu 10 Mio. EUR für besonders wichtige und bis zu 7 Mio. EUR für wichtige Einrichtungen (umsatzbezogene Obergrenzen nur bei mehr als 500 Mio. EUR Umsatz)
• Aufsichts- und Nachweispflichten gegenüber dem BSI nach §§ 61, 62 BSIG, für Betreiber kritischer Anlagen zusätzlich die regelmäßige Nachweispflicht nach § 39 BSIG
• Branchenspezifische Sicherheitsstandards, die besonders wichtige Einrichtungen und ihre Verbände nach § 30 Abs. 8 BSIG vorschlagen und vom BSI auf Eignung feststellen lassen können; zudem kann per Rechtsverordnung vorgeschrieben werden, dass bestimmte IKT-Produkte nur mit europäischer Cybersicherheitszertifizierung verwendet werden dürfen (§ 30 Abs. 6)

Dies sind keine Sicherheitskontrollen — es sind rechtliche Compliance-Prozesse. Kein noch so hoher ISO 27001-Reifegrad wird sie abdecken; sie erfordern separate rechtliche und regulatorische Arbeitsstränge.

Controls-Mapping: § 30 BSIG (Art. 21 NIS2) zu ISO 27001

Diese Tabelle bildet die zehn Mindestmaßnahmen nach § 30 Abs. 2 Satz 2 Nr. 1–10 BSIG (entsprechend Art. 21 Abs. 2 Buchst. a–j NIS2) auf die entsprechenden ISO 27001:2022-Klauseln und Annex A-Kontrollen ab. Die Zuordnung der Controls folgt dem Mapping des BSI, das auf einer Auswertung der ENISA und der NIS-Kooperationsgruppe beruht und nach Aussage des BSI „rein informativen Charakter“ hat [5] [6]. Die Spalte „Abdeckung“ ist unsere redaktionelle Einschätzung. Verwenden Sie die Tabelle als Ausgangspunkt für Ihre Gap-Analyse.

Maßnahme nach § 30 Abs. 2 BSIG	ISO 27001-Mapping (Auswahl)	Abdeckung	Hinweise zu Lücken
Nr. 1 Konzepte zur Risikoanalyse und Sicherheit in der Informationstechnik	Clause 5.2, 6.1 (inkl. 6.1.2, 6.1.3), 8.2–8.3, 9.2–9.3; Annex A 5.1–5.4 (Richtlinien, Rollen), 5.7, 5.31, 5.35–5.36	Hoch	ISO deckt Risikobewertungsmethodik und Richtlinienrahmen ab. Das BSIG lässt aber keine pauschale Risikoakzeptanz oder keinen pauschalen Risikotransfer zu (BSI); hinzu kommen Umsetzungs- und Überwachungspflicht der Geschäftsleitung nach § 38 BSIG
Nr. 2 Bewältigung von Sicherheitsvorfällen	Annex A 5.24–5.28 (Incident Management), A 6.8 (Ereignismeldung), A 8.15–8.17 (Protokollierung, Überwachung, Zeitsynchronisation)	Teilweise	ISO deckt interne Incident-Prozesse ab. Keine gesetzlichen Meldefristen (24 h/72 h/1 Monat nach § 32 BSIG) — die größte einzelne Lücke
Nr. 3 Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung, Krisenmanagement	Annex A 5.26, 5.29–5.30 (Störungen, IKT-Kontinuität), A 7.11 (Versorgungseinrichtungen), A 8.13–8.14 (Backups, Redundanz)	Teilweise	ISO deckt IT-Kontinuität ab. Krisenmanagement wird im BSIG ausdrücklich genannt, in ISO 27001 aber nicht als eigenes Control geregelt
Nr. 4 Sicherheit der Lieferkette	Annex A 5.19–5.22 (Lieferantenbeziehungen), A 8.30 (ausgelagerte Entwicklung)	Teilweise	ISO deckt vertragliche Kontrollen ab. Für CIR-Einrichtungen zusätzlich Lieferantenverzeichnis, Auswahlkriterien und Berücksichtigung koordinierter EU-Risikobewertungen (Anhang Nr. 5)
Nr. 5 Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Management und Offenlegung von Schwachstellen	Clause 6.3, 8.1; Annex A 5.21, 5.23, 7.13, 8.7–8.9, 8.16, 8.20, 8.22, 8.25, 8.29, 8.31–8.34	Hoch	Starke Übereinstimmung beim Schwachstellenmanagement (A 8.8). Das BSIG nennt zusätzlich die Offenlegung von Schwachstellen ausdrücklich
Nr. 6 Konzepte und Verfahren zur Bewertung der Wirksamkeit	Clause 6.2, 9.1 (Überwachung und Messung), 9.3 (Managementbewertung); ergänzend 9.2 (internes Audit), A 5.35–5.36	Hoch	Die ISO-Klauseln zu Messung, internem Audit und Managementbewertung stimmen gut mit der Wirksamkeitsbewertung überein
Nr. 7 Grundlegende Schulungen und Sensibilisierungsmaßnahmen	Clause 7.2 (Kompetenz), 7.3 (Bewusstsein), Annex A 6.3 (Sensibilisierung und Schulung), A 8.7	Hoch	Gute Übereinstimmung. Die Schulungspflicht der Geschäftsleitung ist gesondert in § 38 Abs. 3 BSIG geregelt
Nr. 8 Konzepte und Prozesse für den Einsatz kryptographischer Verfahren	Annex A 8.24 (Einsatz von Kryptographie), A 5.31 (rechtliche Anforderungen)	Hoch	Starke Übereinstimmung auf Richtlinienebene. Für CIR-Einrichtungen verlangt Anhang Nr. 9.2 ausdrücklich die Festlegung kryptografischer Maßnahmen auch für gespeicherte und übermittelte Daten
Nr. 9 Sicherheit des Personals, Zugriffskontrolle, Verwaltung von IKT-Systemen, -Produkten und -Prozessen	Clause 7.1–7.2; Annex A 5.9–5.18 (Werte, Zugangssteuerung, Identitäten), A 6.1–6.5 (Personalsicherheit), A 7.1–7.2, 7.4, 7.7, 7.10, A 8.2–8.3, 8.5, 8.18, 8.21	Hoch	Umfassende Übereinstimmung; privilegierte Zugriffsrechte sind in A 8.2 geregelt. Für CIR-Einrichtungen konkretisiert Anhang Nr. 11.3 das Management privilegierter Konten und Systemverwaltungskonten
Nr. 10 Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, ggf. gesicherte Notfallkommunikation	Annex A 5.15–5.18, 7.2, 8.2–8.3, 8.5 (sichere Authentifizierung), 8.18, 8.21	Teilweise	ISO verlangt sichere Authentifizierung, ohne MFA zwingend vorzuschreiben. Das BSIG nennt MFA oder kontinuierliche Authentifizierung sowie gesicherte (Notfall-)Kommunikation ausdrücklich als Mindestmaßnahmen, deren Umfang sich nach der Verhältnismäßigkeit (§ 30 Abs. 1 BSIG) richtet

Hinweise zur Tabelle: „Hoch“ bedeutet, dass Ihre vorhandenen ISO 27001-Kontrollen die technischen Anforderungen wahrscheinlich mit geringfügigen Anpassungen erfüllen. „Teilweise“ bedeutet, dass über das von ISO 27001 Geforderte hinaus erheblicher zusätzlicher Aufwand erforderlich ist. Das BSI betont: Die Umsetzung der zugeordneten ISO-Anforderungen führt nicht automatisch dazu, dass die Anforderungen des BSIG vollständig erfüllt werden [6].

CIR 2024/2690 zu ISO 27001: Detailliertes Mapping

Die Durchführungsverordnung (EU) 2024/2690 (CIR) legt die technischen und methodischen Anforderungen an die Maßnahmen nach Art. 21 Abs. 2 NIS2 fest — allerdings nur für elf Einrichtungsarten: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und Content Delivery Networks, Managed Service Provider und Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen sozialer Netzwerke sowie Vertrauensdiensteanbieter. Für diese Einrichtungsarten hat sie nach § 30 Abs. 3 BSIG Vorrang [1] [4]. Ihr Anhang gliedert die Anforderungen in 13 Nummern. Für alle anderen Einrichtungen ist sie nicht verbindlich, aber eine nützliche Orientierung. Die folgende Tabelle fasst das Mapping der ENISA (Mapping-Tabelle zu den technischen Umsetzungsleitlinien, Version 1.2) zusammen [5]:

CIR-Anhang Nr.	Thema	ISO 27001-Anforderungen laut ENISA-Mapping	Besonderheiten der CIR
1	Konzept für die Sicherheit von Netz- und Informationssystemen; Rollen und Verantwortlichkeiten	Clause 5.2, 5.3, 9.3; A 5.1–5.4, A 5.36	Nr. 1.1.2: Überprüfung des Konzepts durch die Leitungsorgane mindestens jährlich; Nr. 1.2.3: eine Person direkt gegenüber den Leitungsorganen verantwortlich
2	Konzept für das Risikomanagement; Compliance-Überwachung; unabhängige Überprüfung	Clause 6.1, 6.2, 8.2, 8.3, 9.2, 10.1; A 5.7, 5.19–5.21, 5.31, 5.35, 5.36, 8.34	Nr. 2.1.1: Ergebnisse der Risikobewertung und Restrisiken werden von den Leitungsorganen oder rechenschaftspflichtigen Personen akzeptiert
3	Bewältigung von Sicherheitsvorfällen	A 5.24–5.28, 6.8, 8.15–8.17	Nr. 3.5.3: Kommunikationspläne für Meldungen an CSIRTs bzw. Behörden; Nr. 3.5.5: regelmäßige Tests der Reaktionsverfahren
4	Betriebskontinuitäts- und Krisenmanagement	A 5.26, 5.29, 5.30, 8.13, 8.14	Nr. 4.3.1–4.3.4: eigenes Krisenmanagementverfahren mit Behördenkommunikation und Tests
5	Sicherheit der Lieferkette	A 5.19–5.22, 8.30	Nr. 5.1.3: Ergebnisse koordinierter EU-Risikobewertungen berücksichtigen; Nr. 5.2: Verzeichnis der direkten Anbieter
6	Erwerb, Entwicklung und Wartung (u. a. Konfigurations-, Änderungs- und Patch-Management, Netzsegmentierung, Schwachstellen)	Clause 6.3, 8.1; A 5.21, 5.23, 5.32, 7.13, 8.7–8.9, 8.16, 8.20, 8.22, 8.25, 8.29, 8.31–8.34	Nr. 6.10: Behandlung und Offenlegung von Schwachstellen
7	Bewertung der Wirksamkeit	Clause 6.2, 9.1, 9.3	Weitgehend übereinstimmend
8	Cyberhygiene und Schulungen	Clause 7.2, 7.3; A 6.3, 8.7	Weitgehend übereinstimmend
9	Kryptografie	A 5.31, 8.24	Nr. 9.2: kryptografische Maßnahmen auch für gespeicherte und übermittelte Daten festlegen
10	Sicherheit des Personals	Clause 7.1, 7.2; A 6.1–6.5	Weitgehend übereinstimmend
11	Zugriffskontrolle (inkl. privilegierter Konten und MFA)	A 5.3, 5.15–5.18, 7.2, 8.2, 8.3, 8.5, 8.18, 8.21	Nr. 11.3: eigene Konten für Systemverwaltung; Nr. 11.7: MFA oder kontinuierliche Authentifizierung, soweit angemessen
12	Anlagen- und Wertemanagement	A 5.9–5.14, 5.18, 7.7, 7.10, 8.24	Weitgehend übereinstimmend
13	Sicherheit des Umfelds und physische Sicherheit	A 7.1–7.5, 7.11	Weitgehend übereinstimmend

Wichtig für die Einordnung: Die ENISA schreibt ausdrücklich, das Mapping solle nicht als Maßstab für Gleichwertigkeit zwischen Standards verstanden werden; es verweise lediglich auf einschlägige Anforderungen, „ohne zu bewerten, ob diese die Anforderungen der Verordnung vollständig abdecken“ [5]. Die Mapping-Tabelle ist rechtlich nicht verbindlich und hat beratenden Charakter. Die fett markierten Besonderheiten sind die Bereiche, in denen CIR-Einrichtungen typischerweise über ihr ISO-ISMS hinaus nacharbeiten sollten.

Die Lücke: Was ISO 27001 nicht abdeckt

Auf Grundlage der Mapping-Analyse und des BSI-Infopakets zu ISO/IEC 27001 sind dies die Anforderungen, die eine nach ISO 27001 zertifizierte Organisation in der Regel gesondert umsetzen sollte. Sie sind überproportional wichtig, weil sie das höchste rechtliche Risiko tragen [1] [6]. Wer dafür externe Hilfe sucht, findet in unserer Übersicht der ISO-27001-Berater Anbieter nach Bundesland.

Kritische Lücken (höchste Priorität)

Lückenbereich	Anforderung nach BSIG	Warum ISO 27001 sie nicht abdeckt	Erforderliche Maßnahmen
Meldung an Behörden	Frühe Erstmeldung binnen 24 h, Meldung binnen 72 h, Abschlussmeldung einen Monat nach der Meldung an die gemeinsame Meldestelle von BSI und BBK (§ 32 BSIG)	ISO verlangt internes Incident Management, aber keine gesetzlichen Meldefristen	Dreistufigen Meldeprozess mit Vorlagen, Eskalationswegen und Zugang zum BSI-Portal aufbauen; Tischübungen durchführen
Registrierung	Registrierung beim BSI spätestens drei Monate nach Eintritt der Betroffenheit; Bestandsfälle bis 6. März 2026 (§ 33 BSIG)	ISO ist eine freiwillige Zertifizierung — ein behördliches Registrierungskonzept gibt es nicht	Registrierungsstatus prüfen; noch nicht registrierte Einrichtungen sind verpflichtet, dies unverzüglich nachzuholen. Änderungen binnen zwei Wochen melden
Pflichten der Geschäftsleitung	Umsetzung und Überwachung der Risikomanagementmaßnahmen, regelmäßige Schulungen; Haftung gegenüber der Einrichtung nach Gesellschaftsrecht (§ 38 BSIG)	ISO verlangt „Führung und Verpflichtung“, knüpft daran aber keine gesetzlichen Folgen	Regelmäßiges Berichtswesen an die Geschäftsleitung einrichten; Beschlüsse und Schulungsteilnahmen dokumentieren

Erhebliche Lücken (hohe Priorität)

Lückenbereich	Anforderung	Erforderliche Maßnahmen
Geltungsbereich (Scope)	Der ISO-Scope ist frei wählbar und kann auf Bereiche oder Standorte beschränkt sein; das BSIG verlangt die Maßnahmen für den gesamten relevanten Einrichtungsbetrieb (BSI)	Prüfen, ob der ISMS-Scope alle relevanten Geschäftsprozesse und Systeme umfasst; ggf. erweitern
Risikobehandlung	ISO erlaubt Risikoakzeptanz und Risikotransfer; nach BSI ist eine pauschale Akzeptanz oder ein pauschaler Transfer unter dem BSIG ausgeschlossen	Bestehende Risikoakzeptanzen überprüfen und Entscheidungen nachvollziehbar begründen
Krisenmanagement	§ 30 Abs. 2 Nr. 3 BSIG; für CIR-Einrichtungen Anhang Nr. 4.3.1–4.3.4	Krisenmanagementplan mit Rollen, Eskalation, Behördenkommunikation und regelmäßigen Tests erstellen
Lieferkette	§ 30 Abs. 2 Nr. 4 BSIG; für CIR-Einrichtungen Lieferantenverzeichnis (Nr. 5.2) und Auswahlkriterien (Nr. 5.1.2)	Lieferantenregister mit Kritikalitätsbewertung aufbauen; Sicherheitsanforderungen nach Kritikalität staffeln
MFA und gesicherte Kommunikation	§ 30 Abs. 2 Nr. 10 BSIG; für CIR-Einrichtungen Anhang Nr. 11.7	MFA risikobasiert, insbesondere für administrative und Fernzugriffe, einführen; gesicherte Kommunikations- und Notfallkommunikationswege festlegen
Verantwortliche Person (nur CIR-Einrichtungen)	Anhang Nr. 1.2.3: mindestens eine Person direkt gegenüber den Leitungsorganen verantwortlich	Berichtslinie prüfen und ggf. anpassen

Dokumentations- und Nachweislücken

Über einzelne Controls hinaus verlangt das BSIG, dass Einrichtungen die Einhaltung ihrer Pflichten aus § 30 dokumentieren (§ 30 Abs. 1 Satz 3 BSIG) [1]. Das BSI nennt als mögliche Nachweise u. a. interne Richtlinien, Handlungsanweisungen, Schulungsnachweise, Auditberichte und Zertifizierungen [6]. Bei der Aufsicht kommt es darauf an, was das BSI verlangt:

• Besonders wichtige Einrichtungen: Das BSI kann Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§ 61 Abs. 1 BSIG) und frühestens drei Jahre nach Inkrafttreten des Gesetzes Nachweise über die Erfüllung der Pflichten verlangen (§ 61 Abs. 3 BSIG) [1].
• Wichtige Einrichtungen: Das BSI kann die Einhaltung überprüfen, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden (§ 62 BSIG) [1].
• Betreiber kritischer Anlagen: Sie weisen die Umsetzung der Maßnahmen alle drei Jahre „durch Sicherheitsaudits, Prüfungen oder Zertifizierungen“ nach; das BSI legt den ersten Zeitpunkt fest und kann Anforderungen an die Geeignetheit der Nachweise bestimmen (§ 39 Abs. 1 und 2 BSIG) [1].

Ein ISO 27001-Zertifikat ist ein starker Beleg für ein funktionierendes ISMS, hat aber keine gesetzliche Vermutungswirkung. Das BSI stellt klar, dass eine ISO/IEC 27001-Zertifizierung die bei Aufsichtsmaßnahmen geprüften Anforderungen „nur unvollständig bzw. gar nicht beantworten“ kann und daher „nicht als Nachweis der NIS-2-Konformität betrachtet werden“ kann [6]. Die Aussage „Wir sind ISO 27001-zertifiziert“ allein beantwortet eine Prüfung also nicht.

Wie Sie sich ausrichten: Eine praktische Roadmap

Ob Sie von einem bestehenden ISO 27001-ISMS ausgehen oder beide Rahmenwerke gemeinsam angehen — diese Reihenfolge hat sich als effizient erwiesen:

Wenn Sie bereits über ISO 27001 verfügen

1. Formale Gap-Analyse durchführen. Nutzen Sie die Mapping-Tabellen oben. Gehen Sie jede Mindestmaßnahme nach § 30 Abs. 2 BSIG (und, falls Ihre Einrichtung erfasst ist, jede CIR-Nummer) durch und markieren Sie, welche ISO 27001-Controls bereits umgesetzt sind. Prüfen Sie dabei Scope und Risikoakzeptanzen. Die NIS2-Checkliste bietet dafür ein strukturiertes Format.
2. Die Meldelücke zuerst schließen. Die 24-Stunden-Frist wartet nicht auf Ihr Implementierungsprogramm. Bauen Sie den dreistufigen Prozess auf, richten Sie den Zugang zum BSI-Portal ein und führen Sie mindestens eine Tischübung durch.
3. Registrierung prüfen. Falls noch nicht geschehen, ist die Registrierung beim BSI unverzüglich nachzuholen; die Frist für Bestandsfälle ist am 6. März 2026 abgelaufen.
4. Die Rolle der Geschäftsleitung verankern. Regelmäßige Berichte an die Geschäftsleitung, dokumentierte Entscheidungen zu Maßnahmen und Restrisiken sowie Schulungen nach § 38 Abs. 3 BSIG — alles nachvollziehbar dokumentiert.
5. Lieferkettenmanagement ausweiten. Lieferantenverzeichnis mit Kritikalitätsbewertung aufbauen, Vertragsklauseln für kritische Lieferanten stärken und Überwachungsmechanismen über jährliche Fragebögen hinaus etablieren.
6. Verbleibende technische Lücken schließen. MFA einführen, wo noch nicht vorhanden (siehe MFA-Anforderungen), einen vom IT-Notfallmanagement getrennten Krisenmanagementplan entwickeln und gesicherte Notfallkommunikation festlegen.

Wenn Sie bei null beginnen

1. Ein ISMS als Fundament aufbauen. Das BSI empfiehlt die Implementierung eines ISMS mithilfe bestehender Standards, etwa ISO 27001:2022 oder BSI-Standard 200-1 [6]. ISO 27001 liefert die Managementsystem-Struktur, die Risikomethodik und die 93 Annex A-Controls, die einen großen Teil der Maßnahmen nach § 30 BSIG abdecken.
2. BSIG-Pflichten von Anfang an integrieren. Bauen Sie bei jedem Control-Bereich die gesetzlichen Ergänzungen gleich mit auf: Meldeprozesse beim Incident Management, Krisenmanagement bei der Business Continuity, ein Lieferantenverzeichnis bei den Lieferantenkontrollen — und einen Scope, der den gesamten relevanten Einrichtungsbetrieb umfasst.
3. Eine Zertifizierung erwägen. Eine ISO 27001-Zertifizierung ist für die NIS2-Compliance nicht erforderlich. Sie bietet aber eine unabhängige Bestätigung Ihrer Sicherheitskontrollen und kann Teil Ihrer Dokumentation gegenüber dem BSI sein — ohne die gesetzlichen Pflichten zu ersetzen.

Unser Leitfaden zu den NIS2-Anforderungen erläutert die zehn Mindestmaßnahmen im Detail, und unsere NIS2-Vorlagen bieten Richtlinien- und Verfahrensdokumente, die sich an § 30 BSIG und der Control-Struktur der ISO 27001 orientieren.

Häufig gestellte Fragen

Bedeutet eine ISO 27001-Zertifizierung, dass eine Einrichtung NIS2-konform ist?

Nein. Das BSI stellt klar, dass eine Zertifizierung nach ISO/IEC 27001 nicht automatisch bedeutet, dass ein Unternehmen NIS2-konform ist oder sämtliche Anforderungen nach § 30 BSIG erfüllt. Gründe sind u. a. der frei wählbare Geltungsbereich des ISMS, die in ISO 27001 zulässige Risikoakzeptanz und das Fehlen gesetzlicher Pflichten wie der Meldepflicht (§ 32 BSIG), der Registrierung (§ 33 BSIG) und der Pflichten der Geschäftsleitung (§ 38 BSIG) [6].

Erkennt das BSI ein ISO 27001-Zertifikat als Nachweis an?

Nicht als Nachweis der NIS2-Konformität. Das BSI schreibt, eine ISO/IEC 27001-Zertifizierung könne die bei Aufsichtsmaßnahmen nach §§ 61, 62 BSIG geprüften Anforderungen nur unvollständig beantworten und daher nicht als Nachweis der NIS-2-Konformität betrachtet werden [6]. Zertifikate und Auditberichte können aber Teil der Dokumentation nach § 30 Abs. 1 Satz 3 BSIG sein. Betreiber kritischer Anlagen erbringen ihren Nachweis nach § 39 BSIG alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen, wobei das BSI Anforderungen an die Geeignetheit der Nachweise festlegen kann [1].

Sollte eine Einrichtung ISO 27001 einführen, bevor sie mit NIS2 beginnt?

Eine Pflicht dazu gibt es nicht; das BSI schreibt keine bestimmte Norm vor [6]. Wenn noch kein ISMS besteht, ist ein ISMS nach ISO 27001 (oder nach BSI-Standard 200-1) aber oft ein effizienter Weg, weil es die Managementsystem-Struktur und viele der in § 30 BSIG geforderten Maßnahmen liefert. Die BSIG-spezifischen Prozesse lassen sich während der Einführung gleich mit aufbauen, statt sie als separates Projekt zu behandeln.

Was ist die größte Lücke zwischen ISO 27001 und NIS2?

Die Meldepflicht nach § 32 BSIG: frühe Erstmeldung spätestens 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, Meldung spätestens nach 72 Stunden und Abschlussmeldung spätestens einen Monat nach der Meldung. ISO 27001 verlangt interne Incident-Management-Verfahren, aber keine gesetzlichen Meldefristen gegenüber Behörden. Ebenfalls ohne ISO-Entsprechung ist die Registrierung beim BSI nach § 33 BSIG [1].

Wie groß ist die Überschneidung zwischen NIS2 und ISO 27001?

Eine belastbare Prozentzahl gibt es nicht. Das BSI spricht von „großen Schnittmengen“ zwischen den Inhalten einer ISO 27001-Zertifizierung und den Anforderungen aus § 30 BSIG, insbesondere bei Risikoanalyse, Risikobehandlung, Richtlinien, Incident Response, Zugriffssteuerung, Kryptographie und Lieferantenmanagement [6]. Die ENISA betont, dass ihr Mapping kein Maßstab für Gleichwertigkeit ist [5].

Empfiehlt die ENISA ISO 27001 für die NIS2-Compliance?

Die technischen Umsetzungsleitlinien der ENISA (Version 1.0, Juni 2025) ordnen jede Anforderung der Durchführungsverordnung (EU) 2024/2690 unter anderem ISO/IEC 27001:2022, dem NIST Cybersecurity Framework 2.0, ETSI EN 319 401 und CEN/TS 18026 zu. Die Leitlinien sind ausdrücklich standardneutral formuliert; die Wahl der Standards überlässt die ENISA den Einrichtungen, und das Mapping ist nicht als Gleichwertigkeit zu verstehen [5].

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die Anforderungen können je nach Einrichtungsart und Sektor abweichen. Bitte lassen Sie sich für Ihre konkrete Situation von einer qualifizierten Rechts- oder Compliance-Beratung unterstützen.

Quellen

1. BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, insbesondere §§ 28, 30, 32, 33, 38, 39, 61, 62 und 65 — gesetze-im-internet.de
2. Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), insbesondere Art. 20, 21, 23 und 41 — Volltext (ELI/EUR-Lex)
3. ISO/IEC 27001:2022 und ISO/IEC 27001:2022/Amd 1:2024 (Climate action changes) — International Organization for Standardization, Normseite ISO/IEC 27001:2022 und Normseite Amd 1:2024
4. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 — Volltext (ELI/EUR-Lex)
5. ENISA: NIS2 Technical Implementation Guidance, Version 1.0 (Juni 2025), mit Mapping-Tabelle Version 1.2 — ENISA-Publikationen
6. BSI: #nis2know-Infopaket „ISO/IEC 27001 im Kontext NIS-2/BSIG“ — bsi.bund.de
7. IAF MD 26:2023 (Transition Requirements for ISO/IEC 27001:2022) — zusammengefasst in der Mitteilung NF38 der irischen Akkreditierungsstelle INAB, INAB (PDF), und als Leitfaden JIP-IMAC226-2.0 der japanischen Akkreditierungsstelle ISMS-AC, ISMS-AC (PDF)
8. IAF-ISO Joint Communiqué on Addition of Climate Change Considerations to MSS (Februar 2024) — iaf.nu (PDF)