NIS-2 in Belgien und ISO 27001 im Vergleich

Ein belgisches Unternehmen hält sein Zertifikat hoch und erklärt zufrieden: „Belgien erkennt ISO 27001 doch ausdrücklich an. Dann sind wir mit NIS-2 vollständig durch.“

Das ist für diesen Vergleich ein ungewöhnlich guter Ausgangspunkt. Denn anders als in vielen anderen EU-Staaten ist die Antwort nicht einfach nur: „Nein.“

Die korrekte Antwort lautet: Fast – wenn das Zertifikat die belgischen Zusatzbedingungen erfüllt. Aber eben nur fast.

Belgien hat die ISO 27001 tatsächlich ausdrücklich in sein System der Konformitätsbewertung aufgenommen. Wesentliche Einrichtungen können mit einer passenden Zertifizierung eine Vermutung der Konformität mit den gesetzlichen Cybersicherheitsmaßnahmen erreichen. Das ist ein ziemlich kräftiger Brückenschlag zwischen Managementsystemnorm und Gesetz.

Nur endet diese Brücke nicht direkt vor dem Schild „Alles erledigt“. Der Zertifizierungsumfang muss zur gesamten betroffenen juristischen Person passen. Die Anwendbarkeitserklärung muss alle gesetzlichen Mindestmaßnahmen abdecken. Die Zertifizierungsstelle muss die belgischen Voraussetzungen erfüllen. Und Pflichten wie Registrierung, Vorfallmeldungen und Verantwortung der Leitung verschwinden dadurch nicht.

Belgien serviert ISO 27001 also nicht bloß als hübsche Beilage. Die Norm darf auf den Hauptteller – aber sie ist noch nicht das vollständige Menü.

Die kurze Antwort

ISO 27001 passt sehr gut zum belgischen NIS2-Gesetz. Belgien erkennt eine passende Zertifizierung sogar ausdrücklich als möglichen Konformitätsnachweis an. Ein beliebiges ISO 27001-Zertifikat erfüllt das Gesetz dennoch nicht automatisch.

Entscheidend sind insbesondere diese Punkte:

• Das belgische NIS2-Gesetz gilt grundsätzlich für die gesamte betroffene juristische Person.
• Der Zertifizierungs-Scope und die Anwendbarkeitserklärung müssen denselben Bereich abdecken.
• Die Zertifizierung muss sämtliche gesetzlichen Mindestmaßnahmen zum Management von Cybersicherheitsrisiken erfassen.
• Die Zertifizierungsstelle muss akkreditiert und vom belgischen Zentrum für Cybersicherheit zugelassen sein.
• Registrierung, gesetzliche Vorfallmeldungen und Pflichten des Leitungsorgans bleiben zusätzlich bestehen.
• Für wesentliche Einrichtungen ist eine regelmäßige Konformitätsbewertung verpflichtend; wichtige Einrichtungen werden grundsätzlich anlassbezogen beaufsichtigt.

Das macht Belgien zu einem besonders interessanten Fall: Hier ist ISO 27001 mehr als nur ein gutes Fundament. Unter den richtigen Bedingungen wird das Zertifikat Teil des gesetzlichen Nachweissystems.

Welches belgische NIS-2-Gesetz meinen wir?

Belgien hat die NIS-2-Richtlinie mit dem Gesetz vom 26. April 2024 zur Schaffung eines Rahmens für die Cybersicherheit von Netz- und Informationssystemen von allgemeinem Interesse für die öffentliche Sicherheit umgesetzt. Das belgische NIS2-Gesetz trat am 18. Oktober 2024 in Kraft.

Hinzu kommt der Königliche Erlass vom 9. Juni 2024. Er konkretisiert unter anderem die regelmäßige Konformitätsbewertung und die Anforderungen an die dafür eingesetzten Konformitätsbewertungsstellen.

Das Zentrum für Cybersicherheit Belgien, kurz CCB, ist nationale Cybersicherheitsbehörde und nationales CSIRT. Es stellt außerdem umfangreiche Erläuterungen, FAQ und Hilfsmittel bereit.

Dieser Vergleich hat den Stand 14. August 2026. Gerade beim belgischen Modell lohnt sich ein Blick auf den aktuellen Stand: Fristen, zugelassene Stellen, technische Rahmenwerke und behördliche Vorgaben können sich weiterentwickeln.

Wer fällt in Belgien unter NIS-2?

Das belgische Gesetz unterscheidet wesentliche Einrichtungen und wichtige Einrichtungen. Für die Betroffenheit sind grundsätzlich zwei Fragen entscheidend:

1. Erbringt die Organisation in der EU eine Dienstleistung aus einem der in den gesetzlichen Anhängen genannten Sektoren?
2. Erreicht sie die maßgebliche Unternehmensgröße?

Als grobe Einstiegsschwelle nennt das CCB mindestens 50 Vollzeitbeschäftigte oder einen Jahresumsatz beziehungsweise eine Jahresbilanzsumme von mehr als 10 Millionen Euro. Je nach Sektor, Einrichtungsart und Größe erfolgt anschließend die Einordnung als wesentliche oder wichtige Einrichtung.

Die erfassten Bereiche reichen von Energie, Verkehr, Gesundheit, Wasser und digitaler Infrastruktur bis zu Postdiensten, Abfallwirtschaft, Chemie, Lebensmitteln, produzierendem Gewerbe, digitalen Anbietern und Forschung. Dazu kommen Ausnahmen, Sondertatbestände und Einrichtungen, die unabhängig von ihrer Größe erfasst werden können.

Wer bei „Wir haben nur 47 Leute“ bereits zufrieden den Deckel zuklappt, rechnet möglicherweise zu früh. Verbundene Unternehmen, Finanzkennzahlen, konkrete Dienstleistungen und gesetzliche Sonderfälle gehören ebenfalls in die Prüfung. Das CCB bietet dazu einen Scope-Test an.

Betroffene Organisationen mussten sich grundsätzlich bis zum 18. März 2025 registrieren. Wer erst später in den Anwendungsbereich hineinwächst oder eine bisherige Einordnung ändern muss, hat die Registrierung beziehungsweise Änderung natürlich trotzdem vorzunehmen. Eine abgelaufene Erstfrist verwandelt eine fortbestehende Pflicht nicht in belgische Folklore.

Was regelt ISO 27001?

ISO 27001 beschreibt ein Informationssicherheitsmanagementsystem. Das Unternehmen legt seinen Kontext und Geltungsbereich fest, bewertet Informationssicherheitsrisiken, plant deren Behandlung, weist Rollen und Ressourcen zu, setzt Maßnahmen um, prüft deren Wirksamkeit und verbessert das System fortlaufend.

Eine akkreditierte Zertifizierungsstelle kann bestätigen, dass dieses ISMS die Anforderungen der Norm erfüllt. Wie der Weg dorthin typischerweise aussieht, erklären wir in sieben Schritten zum ISO 27001-Zertifikat.

Die Norm und das belgische Gesetz sprechen daher über viele derselben Themen. Das belgische Recht beantwortet aber zusätzliche Fragen: Wer ist gesetzlich betroffen? Wo muss man sich registrieren? Welche Vorfälle sind wann zu melden? Wie wird beaufsichtigt? Und unter welchen Bedingungen darf ein Zertifikat als gesetzlicher Konformitätsnachweis dienen?

NIS-2 Belgien und ISO 27001: das Mapping

Die folgende Tabelle ordnet die wichtigsten belgischen Pflichten naheliegenden ISO-Anforderungen zu. Sie ist eine Orientierung – kein Zertifikat für das Zertifikat.

Die Anwendbarkeitserklärung spielt in Belgien eine besonders wichtige Rolle. Sie muss erkennen lassen, dass die gesetzlichen Mindestmaßnahmen tatsächlich abgedeckt sind. Ein Zertifikat mit einer SoA, aus der genau die unbequemen Themen herauspurzeln, erzeugt keine Konformitätsvermutung durch reine Papiermagie.

Wo passen das belgische NIS2-Gesetz und ISO 27001 besonders gut zusammen?

Risikomanagement und angemessene Maßnahmen

Das belgische Gesetz verlangt angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen. Dazu gehören unter anderem Risikoanalyse, Sicherheitsrichtlinien, Incident Management, Business Continuity, Lieferkettensicherheit, sichere Entwicklung, Wirksamkeitsbewertung, Cyberhygiene, Kryptografie, Personal- und Zugriffssicherheit sowie Mehrfaktorauthentifizierung.

Das passt sehr gut zum Risikomanagement nach ISO 27001 und zu den Controls in Anhang A. Beide Ansätze wollen keine wahllose Einkaufsliste für Sicherheitstechnik, sondern Maßnahmen, die zu Risiken, Größe und Tätigkeit der Organisation passen.

Führung und Verantwortung

Das Leitungsorgan muss die Maßnahmen zum Management von Cybersicherheitsrisiken genehmigen und ihre Umsetzung überwachen. Seine Mitglieder müssen außerdem Schulungen erhalten, damit sie Risiken und Maßnahmen beurteilen können.

Auch ISO 27001 verlangt Führung, Verantwortlichkeit, Ressourcen und Management Attention. Der belgische Gesetzgeber macht allerdings noch deutlicher, dass sich die Geschäftsführung nicht hinter dem ISB, der IT oder einem engagierten Praktikanten verstecken kann. Informationssicherheit ist Leitungsaufgabe – auch wenn die operative Arbeit selbstverständlich verteilt wird.

Vorfälle, BCM und Wiederherstellung

Die ISO-Controls zu Incident Management, Aufrechterhaltung der Informationssicherheit bei Störungen, ICT-Readiness und Backups bilden eine sehr gute Grundlage. Ein funktionierender Prozess für Informationssicherheitsvorfälle sorgt dafür, dass Vorfälle erkannt, bewertet, eingedämmt, dokumentiert und nachbereitet werden.

Das belgische Gesetz setzt darauf die gesetzliche Meldemechanik. Und genau dort liegt eine der Grenzen des Zertifikats.

Lieferkette, Assets und sichere Entwicklung

Lieferanten, Cloud-Dienste, Entwicklungsprozesse, Schwachstellen, Berechtigungen, Geräte und Informationen tauchen auf beiden Seiten auf. Wer diese Themen bereits in einem belastbaren ISMS steuert, hat einen großen Teil der Arbeit erledigt.

Belastbar bedeutet allerdings mehr als: „Wir haben dazu bestimmt irgendwo eine Richtlinie.“ Prozesse müssen funktionieren, Zuständigkeiten müssen klar sein und Nachweise müssen zeigen, dass nicht nur die Word-Datei, sondern auch das Unternehmen mitmacht.

Die belgische Besonderheit: ISO 27001 als gesetzlicher Nachweisweg

Für wesentliche Einrichtungen ist in Belgien eine regelmäßige Konformitätsbewertung verpflichtend. Nach den offiziellen FAQ des CCB bestehen dafür drei Wege:

1. eine CyFun®-Zertifizierung durch eine zugelassene Konformitätsbewertungsstelle;
2. eine ISO/IEC 27001-Zertifizierung durch eine entsprechend akkreditierte und vom CCB zugelassene Konformitätsbewertungsstelle;
3. eine Inspektion durch den Inspektionsdienst des CCB oder eine sektorale Inspektionsstelle.

Wichtige Einrichtungen unterliegen grundsätzlich einer nachträglichen, anlassbezogenen Aufsicht. Sie müssen sich nicht regelmäßig bewerten lassen, können aber freiwillig denselben Nachweisweg wählen.

Eine passende Zertifizierung begründet eine Vermutung der Konformität mit den gesetzlichen Cybersicherheitsmaßnahmen – bis zum Beweis des Gegenteils. Das ist stark, aber kein Unverwundbarkeitsstern. Das CCB kann weiterhin prüfen, insbesondere nach Vorfällen oder bei Anhaltspunkten für Verstöße.

Nicht jedes ISO 27001-Zertifikat reicht

Das CCB nennt drei entscheidende Bedingungen:

• Scope: Das belgische NIS2-Gesetz gilt grundsätzlich für die gesamte betroffene juristische Person. Der Zertifizierungsumfang muss diese gesamte Einrichtung abdecken – nicht nur ein schmuckes Produkt, eine Abteilung oder den Standort mit der besten Kaffeemaschine.
• Anwendbarkeitserklärung: Die SoA muss alle gesetzlichen Mindestmaßnahmen zum Management von Cybersicherheitsrisiken erfassen.
• Zertifizierungsstelle: Das Zertifikat muss von einer geeigneten akkreditierten und vom CCB zugelassenen Konformitätsbewertungsstelle stammen.

Auch das Zertifikat einer Muttergesellschaft rettet eine belgische Tochter nicht automatisch. Das Gesetz betrachtet einzelne juristische Personen. Eine gruppenweite Zertifizierung kann funktionieren, wenn die betroffenen Gesellschaften und Anforderungen tatsächlich im Rahmen einer geeigneten Multi-Site-Zertifizierung umfasst sind.

Für wesentliche Einrichtungen hat das CCB zudem konkrete Übergangsanforderungen veröffentlicht: Wer den ISO-Weg gewählt hat, musste bis zum 18. April 2026 unter anderem den geplanten Zertifizierungsumfang, die Anwendbarkeitserklärung und den jüngsten Bericht des Internen Audits einreichen. Die vollständige Zertifizierung soll bis 18. April 2027 abgeschlossen sein.

Wo ist das belgische NIS2-Gesetz genauer als ISO 27001?

Registrierung

ISO 27001 kennt kein belgisches NIS-2-Register. Betroffene Einrichtungen müssen sich beim CCB über Safeonweb@Work registrieren und Änderungen relevanter Angaben fristgerecht melden.

Gesetzliche Vorfallmeldungen

Bei erheblichen Vorfällen gilt grundsätzlich:

• spätestens innerhalb von 24 Stunden eine Frühwarnung;
• spätestens innerhalb von 72 Stunden eine Vorfallmeldung;
• auf Anforderung ein Zwischenbericht;
• grundsätzlich innerhalb eines Monats nach der Vorfallmeldung ein Abschlussbericht.

Für Vertrauensdienste gelten bei der 72-Stunden-Stufe Besonderheiten. Für bestimmte digitale Anbieter konkretisiert die EU-Durchführungsverordnung 2024/2690 zusätzlich, wann ein Vorfall als erheblich gilt.

ISO 27001 verlangt, dass Vorfälle gemanagt und Meldepflichten berücksichtigt werden. Sie bestimmt aber weder das belgische Portal noch diese gesetzlichen Fristen. Eine Richtlinie mit dem Satz „Wir melden zeitnah“ beeindruckt eine 24-Stunden-Uhr nur mäßig.

Persönliche Pflichten der Leitung

Das belgische Recht verpflichtet das Leitungsorgan ausdrücklich zur Genehmigung und Überwachung der Maßnahmen. Mitglieder müssen Schulungen durchlaufen. Das Gesetz enthält außerdem Haftungs- und Durchsetzungsregelungen, die deutlich über die Managementsystemanforderungen der ISO 27001 hinausgehen.

Aufsicht und Sanktionen

Wesentliche Einrichtungen werden grundsätzlich auch proaktiv beaufsichtigt. Bei wichtigen Einrichtungen erfolgt die Aufsicht regelmäßig erst nach einem Vorfall oder bei Hinweisen auf Verstöße. Behörden können Nachweise, Audits, Sicherheitsprüfungen und Abhilfemaßnahmen verlangen.

Bei Verstößen kommen abgestufte Verwaltungsmaßnahmen und Geldbußen in Betracht. Für wesentliche Einrichtungen können die Höchstbeträge bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes erreichen; für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent.

Ein Zertifizierungsauditor bewertet das ISMS für eine Zertifizierungsentscheidung. Das CCB überwacht die Einhaltung eines Gesetzes. Dass beide gelegentlich dieselbe Richtlinie sehen möchten, macht sie nicht zu derselben Veranstaltung.

Wo geht ISO 27001 weiter als das belgische NIS-2-Recht?

Der vollständige Managementsystem-Zyklus

ISO 27001 verlangt Kontextanalyse, interessierte Parteien, Ziele, Kompetenz, Kommunikation, Dokumentenlenkung, Überwachung, Messung, Interne Audits, Managementbewertungen, Korrekturmaßnahmen und fortlaufende Verbesserung. Das macht aus Sicherheitsmaßnahmen ein dauerhaft steuerbares System.

Das belgische Recht verlangt ebenfalls Risikomanagement und Wirksamkeit. Die ISO beschreibt den organisatorischen Kreislauf jedoch umfassender. Wer ihn ernsthaft betreibt, kann neue gesetzliche, vertragliche und technische Anforderungen sauber aufnehmen, statt bei jeder Änderung ein weiteres Inseldokument zu gründen.

Mehr als die unmittelbar gesetzlich erfassten Systeme

ISO 27001 kann bewusst breiter angelegt werden als das gesetzliche Minimum. Sie berücksichtigt auch vertragliche Anforderungen, Erwartungen interessierter Parteien und selbst gesetzte Vorgaben. Unser Artikel zu rechtlichen und vertraglichen Anforderungen zeigt, wie solche Pflichten in einem ISMS gelenkt werden.

Das ist gerade für internationale Gruppen praktisch: Das ISMS kann das gemeinsame Betriebssystem bilden. Die belgischen NIS-2-Pflichten werden darin als konkreter Rechtssatz mit Verantwortlichen, Prozessen und Nachweisen verankert.

Reicht ein ISO 27001-Zertifikat für NIS-2 in Belgien?

Für die gesetzlichen Cybersicherheitsmaßnahmen kann eine passende ISO 27001-Zertifizierung in Belgien eine Vermutung der Konformität begründen. Für sämtliche Pflichten des NIS2-Gesetzes reicht das Zertifikat allein dennoch nicht.

Prüfen Sie mindestens:

1. Ist die richtige belgische juristische Person zertifiziert?
2. Deckt der Scope die gesamte betroffene Einrichtung ab?
3. Enthält die Anwendbarkeitserklärung alle gesetzlichen Mindestmaßnahmen?
4. Stammt das Zertifikat von einer akkreditierten und vom CCB zugelassenen Stelle?
5. Sind Registrierung und Änderungsmeldungen erledigt?
6. Funktioniert der Prozess für 24- und 72-Stunden-Meldungen tatsächlich?
7. Hat die Leitung die Maßnahmen genehmigt, überwacht und die erforderliche Schulung erhalten?
8. Sind die aktuellen Fristen der belgischen Konformitätsbewertung eingehalten?

Wenn nur die Urkunde an der Wand stimmt, aber Scope, SoA und Meldeprozess nicht, haben Sie kein Compliance-System. Sie haben Wanddekoration mit Ablaufdatum.

So gehen Unternehmen praktisch vor

1. Betroffenheit und Einordnung prüfen

Prüfen Sie Dienstleistung, Sektor, Größe, verbundene Unternehmen und Sondertatbestände. Dokumentieren Sie auch ein Ergebnis, nach dem Sie nicht betroffen sind. Einen allgemeinen Einstieg bietet Was ist NIS-2?.

2. Die gesamte juristische Person betrachten

Legen Sie gesetzlichen Anwendungsbereich und Zertifikats-Scope nebeneinander. Ein Produkt-Scope oder eine einzelne Abteilung wird für den belgischen Nachweisweg häufig zu klein sein.

3. Eine belastbare Mappingliste bauen

Ordnen Sie jeder gesetzlichen Anforderung den verantwortlichen Prozess, die zuständige Rolle, vorhandene Vorgaben, konkrete Umsetzungsnachweise und die passenden ISO-Anforderungen zu. Markieren Sie Lücken mit Maßnahmen und Terminen.

4. Die SoA nach belgischen Maßstäben prüfen

Fragen Sie nicht nur, ob ein Control formal in der Anwendbarkeitserklärung steht. Prüfen Sie, ob die Umsetzung die gesetzliche Mindestmaßnahme tatsächlich abdeckt und wirksam ist. Wirksamkeit in NIS-2 ist schließlich mehr als das Vorhandensein einer Checkbox.

5. Den richtigen Nachweisweg wählen

Für wesentliche Einrichtungen stehen CyFun®, ISO 27001 und die direkte Inspektion zur Verfügung. Prüfen Sie frühzeitig, welche Variante zu Ihrer Ausgangslage passt und welche zugelassene Stelle Sie benötigen. Wer sich am Vorabend einer Frist erstmals über freie Audittermine wundert, erlebt belgischen Surrealismus ohne Museumsbesuch.

6. Zusatzpflichten ausdrücklich organisieren

Legen Sie Verantwortliche und Stellvertretungen für Registrierung, Behördenkommunikation, Vorfallbewertung und Meldungen fest. Testen Sie den Ablauf. Ein Vorfall am Freitagabend interessiert sich nicht dafür, dass das NIS-2-Passwort im Postfach der Person liegt, die montags wiederkommt.

Interesse geweckt?

Sie haben ein ISO 27001-ISMS und möchten wissen, ob Scope, Anwendbarkeitserklärung und Nachweise für den belgischen NIS-2-Weg ausreichen? Oder Sie möchten die belgischen Anforderungen gleich sauber in ein neues ISMS integrieren?

Sprechen Sie mit uns. Wir helfen beim Mapping von Gesetz, Scope, Prozessen und Nachweisen – damit aus „Wir haben doch ein Zertifikat“ eine belastbare Antwort wird.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.