NIS2 und ISO 27001: Reicht die Zertifizierung?
Nein, nicht automatisch. Ein ISMS nach ISO/IEC 27001 deckt bei umfassender Umsetzung einen großen Teil der Maßnahmen ab, die § 30 BSIG verlangt, und ist deshalb ein tragfähiges Fundament für NIS2. Das BSI stellt aber klar, dass eine Zertifizierung nicht sämtliche gesetzlichen Anforderungen erfüllt: Der Geltungsbereich muss die gesamte Einrichtung erfassen, Risiken dürfen nicht beliebig akzeptiert werden, und Registrierung, Meldefristen sowie die Pflichten der Geschäftsleitung kommen hinzu.
Unsere Empfehlung lautet deshalb: ein Mapping durchführen. Nach unserer Erfahrung deckt ein umgesetztes ISMS nach ISO 27001 auf diese Weise in der Regel 90 bis 95 % der NIS2-Anforderungen ab. Die restlichen offenen Punkte arbeiten Sie danach gezielt ab, um die NIS2-Konformität herzustellen. Wie das geht, zeigt dieser Artikel. Den Überblick über alle NIS2-Pflichten finden Sie auf der Seite NIS2 Beratung.
Was das BSI zu ISO 27001 und NIS2 sagt
Das BSI hat im April 2026 einen One-Pager zu ISO/IEC 27001 im Kontext NIS-2/BSIG veröffentlicht. Die Kernaussagen:
- Eine ISO-27001-Zertifizierung kann ein tragfähiges Fundament sein und deckt bei umfassender Umsetzung regelmäßig einen großen Teil der Maßnahmen nach § 30 BSIG ab.
- Sie erfüllt aber nicht automatisch sämtliche gesetzlichen Anforderungen.
- Der Umsetzungsweg ist frei. Die Verantwortung für das gesetzlich geforderte Sicherheitsniveau liegt vollständig bei der Unternehmensleitung.
Als Handlungsempfehlung nennt das BSI: Betroffenheit prüfen, Umsetzungsgrad bewerten, Lücken systematisch schließen, Managementverantwortung dokumentieren und die Nachweisfähigkeit gegenüber dem BSI sicherstellen.
Auf seiner Infoseite zu NIS-2 und ISO 27001 wird das BSI noch deutlicher:
- Ein ISO-27001-Zertifikat kann nicht als Nachweis der NIS-2-Konformität im Sinne des § 61 BSIG dienen, weil es die Anforderungen der §§ 30, 31, 32 und 38 BSIG nur unvollständig oder gar nicht abdeckt.
- Es ist aber eine strukturierte Ausgangsbasis, die den Aufwand für NIS2 deutlich senken kann.
- Bereits zertifizierten Unternehmen empfiehlt das BSI, den Geltungsbereich zu prüfen, eine Gap-Analyse gegen § 30 BSIG durchzuführen und fehlende Elemente zu ergänzen.
Wo ISO 27001 NIS2 abdeckt
Der größte Vorteil von ISO 27001 liegt nicht in einzelnen Controls, sondern im Managementsystem. Genau das fehlt vielen Unternehmen, die NIS2 mit Einzelmaßnahmen umsetzen wollen:
| ISO/IEC 27001:2022 | Nutzen für NIS2 |
|---|---|
| Kap. 4: Kontext und Geltungsbereich | rechtliche Anforderungen wie das BSIG werden systematisch erfasst |
| Kap. 5: Führung | Rolle der Geschäftsleitung, Leitlinie, Verantwortlichkeiten |
| Kap. 6 und 8: Risikobeurteilung und Risikobehandlung | Grundlage für "geeignet, verhältnismäßig, wirksam" nach § 30 Abs. 1 BSIG |
| Erklärung zur Anwendbarkeit | begründete Auswahl der Maßnahmen, prüfbar |
| Kap. 7.5: dokumentierte Information | erfüllt die Dokumentationspflicht nach § 30 Abs. 1 Satz 3 BSIG |
| Kap. 9: interne Audits, Managementbewertung | Bewertung der Wirksamkeit (§ 30 Abs. 2 Nr. 6 BSIG), Überwachung durch die Geschäftsleitung |
| Kap. 10: Verbesserung | Anpassung an neue Risiken und den Stand der Technik |
Mapping: § 30 BSIG und ISO 27001 im Detail
Mit einem Mapping ordnen Sie jede Mindestmaßnahme nach § 30 Abs. 2 BSIG den vorhandenen Kapiteln und Controls Ihres ISMS zu. So sehen Sie schnell, was bereits abgedeckt ist und welche Punkte offen bleiben.
- 90 bis 95 % der NIS2-Anforderungen deckt ein umgesetztes ISMS nach ISO 27001 nach unserer Erfahrung über das Mapping ab
Das BSI stellt auf seiner Infoseite ebenfalls ein vereinfachtes Mapping der zehn Mindestmaßnahmen auf ISO/IEC 27001:2022 bereit. Es beruht auf einer Auswertung der ENISA und der NIS Cooperation Group und hat informativen Charakter. Eine Prozentzahl zur Abdeckung nennt das BSI nicht. Welche Controls dahinterstehen, zeigt der Überblick über den Anhang A der ISO 27001, die Maßnahmen im Einzelnen finden Sie in der NIS2-Checkliste. Unsere Übersicht mit Hinweisen, worauf Sie für NIS2 achten sollten:
| § 30 Abs. 2 BSIG | ISO/IEC 27001:2022 (Auswahl) | Worauf Sie für NIS2 achten sollten |
|---|---|---|
| Nr. 1 Risikoanalyse, Sicherheitskonzepte | Kap. 6.1, 8.2, A.5.1 | Risikoanalyse für alle Dienste der Einrichtung, gefahrenübergreifend |
| Nr. 2 Bewältigung von Sicherheitsvorfällen | A.5.24 bis A.5.28 | Kriterien für "erheblich" und Meldefristen 24 h / 72 h / 1 Monat ergänzen |
| Nr. 3 Aufrechterhaltung des Betriebs | A.5.29, A.5.30, A.8.13, A.8.14 | Krisenmanagement und Notfallkommunikation ausdrücklich regeln |
| Nr. 4 Lieferkette | A.5.19 bis A.5.23 | unmittelbare Anbieter und Dienstleister vollständig erfassen |
| Nr. 5 Erwerb, Entwicklung, Wartung, Schwachstellen | A.8.8, A.8.25 bis A.8.29 | Umgang mit gemeldeten Schwachstellen und Offenlegung |
| Nr. 6 Bewertung der Wirksamkeit | Kap. 9, A.5.35 | Ergebnisse an die Geschäftsleitung berichten, Überwachung dokumentieren |
| Nr. 7 Schulung und Sensibilisierung | Kap. 7.2, 7.3, A.6.3 | Geschäftsleitungsschulung nach § 38 Abs. 3 BSIG ist zusätzlich |
| Nr. 8 Kryptografie | A.8.24 | Stand der Technik regelmäßig prüfen |
| Nr. 9 Personal, Zugriffskontrolle, Anlagen | A.5.9, A.5.15 bis A.5.18, A.6.1 bis A.6.6, A.8.2 | Berechtigungen regelmäßig rezertifizieren |
| Nr. 10 MFA, gesicherte Kommunikation | A.8.5, A.5.14 | gesicherte Notfallkommunikation ausdrücklich vorsehen |
Für bestimmte digitale Anbieter, etwa Cloud-Dienste, Rechenzentren und Managed Service Provider, gelten zusätzlich die detaillierten Vorgaben der Durchführungsverordnung (EU) 2024/2690. Sie gehen dem allgemeinen Katalog vor und sollten im Mapping gesondert berücksichtigt werden.
Die fünf Lücken zwischen ISO 27001 und NIS2
1. Geltungsbereich
Bei ISO 27001 legt das Unternehmen den Geltungsbereich selbst fest, etwa nur ein Rechenzentrum oder eine Produktlinie. § 30 BSIG verlangt dagegen Maßnahmen für die gesamte regulierte Einrichtung und alle Systeme, die sie für ihre Dienste nutzt. Ein eng gefasstes Zertifikat deckt NIS2 also nur teilweise ab.
2. Risikoakzeptanz
ISO 27001 erlaubt, Risiken zu akzeptieren oder zu übertragen, etwa auf eine Versicherung. Laut BSI sind pauschale Risikoakzeptanz und Risikotransfer nach dem BSIG ausgeschlossen. Akzeptieren dürfen Sie nur Risiken, die für Ihre Dienste nicht relevant sind. Entscheidungen für oder gegen Maßnahmen müssen nachvollziehbar und prüffähig begründet sein.
3. Registrierung
Die Registrierung beim BSI nach § 33 BSIG ist kein Bestandteil der Norm. Sie muss zusätzlich erfolgen. Details im Artikel NIS2-Registrierung beim BSI.
4. Meldefristen
ISO 27001 verlangt ein Vorfallmanagement, aber keine Meldung an Behörden. Die Fristen nach § 32 BSIG (24 Stunden, 72 Stunden, ein Monat) und die Kriterien für einen erheblichen Sicherheitsvorfall müssen ergänzt werden. Mehr im Artikel NIS2-Meldepflichten.
5. Geschäftsleitung und Schulung
ISO 27001 verlangt Führung und Engagement der obersten Leitung. Das BSIG geht weiter: Umsetzungs- und Überwachungspflicht, Haftung nach Gesellschaftsrecht und eine regelmäßige Schulungspflicht für alle Mitglieder der Geschäftsleitung (§ 38 BSIG). Mehr im Artikel NIS2 und die Geschäftsleitung.
So erweitern Sie ein bestehendes ISMS auf NIS2
- Betroffenheit und Kategorie klären besonders wichtige oder wichtige Einrichtung? Siehe NIS2-Betroffenheit prüfen.
- Geltungsbereich prüfen Umfasst das ISMS alle Dienste, Standorte und Systeme der regulierten Einrichtung? Falls nicht, erweitern.
- BSIG als rechtliche Anforderung aufnehmen in Kontext und interessierten Parteien (Kap. 4), mit Verweis auf die konkreten Paragrafen.
- Mapping und Erklärung zur Anwendbarkeit ergänzen jede Mindestmaßnahme nach § 30 Abs. 2 BSIG einem oder mehreren Controls zuordnen und Lücken schließen.
- Risikoakzeptanzkriterien überarbeiten mit Blick auf die Anforderungen des BSIG.
- Meldeprozess erweitern Bewertungskriterien, Fristen, Zuständigkeiten, Vorlagen, Übung.
- Geschäftsleitung einbinden Berichtswege, protokollierte Entscheidungen, Schulungsplan mit Nachweisen.
- Registrierung durchführen, falls noch nicht geschehen.
- Internes Audit und Managementbewertung um die BSIG-Anforderungen erweitern.
Noch kein ISMS? So gehen Sie vor
Wer bei null anfängt, sollte NIS2 und ISO 27001 nicht nacheinander, sondern gemeinsam angehen: Das ISMS wird von Beginn an mit dem BSIG als rechtlicher Anforderung, einem Geltungsbereich für die gesamte Einrichtung und den Meldefristen aufgebaut. Ob am Ende eine Zertifizierung steht, ist eine eigene Entscheidung: Für NIS2 ist die ISO-27001-Zertifizierung nicht verpflichtend. Ein ISMS nach ISO 27001 ohne Zertifikat spart einiges an Kosten, etwa für Zertifizierungs- und Überwachungsaudits. Kunden oder Versicherer verlangen aber teilweise ein Zertifikat, das sollten Sie im Detail prüfen. Wann ein ISMS ohne Zertifikat genügt, zeigt der Artikel ISO 27001 Zertifizierung.
Je nach Anwendungsfall kann auch ein ISMS ohne Zertifizierung oder eine Umsetzung nach BSI IT-Grundschutz der passendere Weg sein, etwa für kleinere wichtige Einrichtungen. Prüfen Sie außerdem, ob es für Ihre Branche einen branchenspezifischen Sicherheitsstandard (B3S) gibt: Besonders wichtige Einrichtungen und ihre Branchenverbände können solche Standards vorschlagen, das BSI stellt ihre Eignung fest (§ 30 Abs. 8 BSIG). Ein B3S ergänzt das ISMS um konkrete Branchenanforderungen, eine Pflicht zur Anwendung besteht nicht. Den Fahrplan zum ISMS und die Zusammenarbeitsmodelle beschreibt die Seite ISO 27001 Beratung.
So unterstützt Sie die SDG
- Betroffenheitsanalyse gemeinsam mit Juristen aus unserem Team
- Mapping eines bestehenden ISMS gegen § 30 BSIG mit priorisiertem Maßnahmenplan für die offenen Punkte, bis zur NIS2-Konformität
- Aufbau eines ISMS nach ISO 27001 mit integrierten NIS2-Anforderungen, als Rundum-sorglos-Paket oder klassische Beratung
- Meldeprozess und Geschäftsleitungsschulung nach BSIG
- Externer Informationssicherheitsbeauftragter, der ISMS und NIS2-Pflichten dauerhaft steuert: externer ISB
- Friendly Audit als Generalprobe vor Zertifizierungs- oder Aufsichtsprüfungen
Häufige Fragen zu NIS2 und ISO 27001
Reicht eine ISO-27001-Zertifizierung für NIS2?
Nicht automatisch. Laut BSI deckt sie bei umfassender Umsetzung einen großen Teil der Maßnahmen nach § 30 BSIG ab, erfüllt aber nicht sämtliche Anforderungen. Ergänzt werden müssen insbesondere ein Geltungsbereich für die gesamte Einrichtung, Registrierung, Meldefristen und die Pflichten der Geschäftsleitung.
Ist ISO 27001 für NIS2 Pflicht?
Nein. Das BSIG schreibt keinen bestimmten Standard vor und lässt den Umsetzungsweg frei. Es verlangt aber, einschlägige Normen zu berücksichtigen. ISO 27001 ist dafür die naheliegende Grundlage.
Warum reicht ein ISO-27001-Zertifikat mit kleinem Geltungsbereich nicht?
Weil § 30 BSIG Maßnahmen für die gesamte regulierte Einrichtung und alle Systeme verlangt, die sie für ihre Dienste nutzt. Ein Zertifikat, das nur einen Standort oder eine Abteilung abdeckt, lässt den Rest der Einrichtung offen.
Was fehlt in ISO 27001 im Vergleich zu NIS2?
Nach Aussage des BSI vor allem die Registrierungspflicht, die gesetzlichen Meldefristen, die Verantwortung der Geschäftsleitung und deren Schulungspflicht. Zudem erlaubt ISO 27001 eine weitergehende Risikoakzeptanz als das BSIG.
Erkennt das BSI ISO-27001-Zertifikate als Nachweis an?
Nicht als Nachweis der NIS-2-Konformität. Laut BSI kann ein ISO-27001-Zertifikat nicht als Nachweis im Sinne des § 61 BSIG dienen, weil es die Anforderungen der §§ 30, 31, 32 und 38 BSIG nur unvollständig oder gar nicht abdeckt. Als Ausgangsbasis bleibt es wertvoll.
Sollte ich erst NIS2 umsetzen und dann ISO 27001?
Besser beides gemeinsam. Ein ISMS, das von Beginn an das BSIG als rechtliche Anforderung berücksichtigt, vermeidet doppelte Arbeit. Ob anschließend zertifiziert wird, lässt sich separat entscheiden.
Wie viel von NIS2 deckt ISO 27001 ab?
Das BSI nennt keine Prozentzahl. Nach unserer Erfahrung deckt ein umgesetztes ISMS nach ISO 27001 in der Regel 90 bis 95 Prozent der NIS2-Anforderungen ab. Wir empfehlen deshalb ein Mapping gegen § 30 BSIG. Die restlichen offenen Punkte, etwa Registrierung, Meldefristen und Pflichten der Geschäftsleitung, arbeiten Sie danach gezielt ab.
Quellen: BSI: ISO/IEC 27001 im Kontext NIS-2/BSIG (Version 1.0, 01.04.2026), BSI: NIS-2 und ISO 27001 (Infopaket mit Mapping), § 30 BSIG, ISO/IEC 27001:2022
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.