NIS-2 in Deutschland und ISO 27001 im Vergleich

Ein deutsches Unternehmen hat sein Informationssicherheitsmanagement aufgebaut, das Zertifizierungsaudit bestanden und legt das Zertifikat zufrieden auf den Besprechungstisch: „Wir sind nach ISO 27001 zertifiziert. Dann haben wir NIS-2 in Deutschland doch gleich mit erledigt.“

Das wäre praktisch. Ein Zertifikat, einmal kurz in Richtung Bundesamt halten, und die gesetzliche Pflicht löst sich unter leisem Behördenrauschen auf.

So funktioniert es leider nicht.

ISO 27001 passt ausgesprochen gut zu den Risikomanagementmaßnahmen des deutschen BSI-Gesetzes. Risikoanalyse, Incident Management, Business Continuity, Lieferkettensicherheit, sichere Entwicklung, Wirksamkeitsprüfungen, Schulungen, Kryptografie, Zugriffsschutz, Asset Management und sichere Authentifizierung finden sich auf beiden Seiten wieder.

Das Gesetz verlangt daneben Dinge, die kein ISO-Zertifikat automatisch erledigt: Betroffenheit prüfen, beim BSI registrieren, erhebliche Sicherheitsvorfälle innerhalb gesetzlicher Fristen melden, besondere Verantwortung der Geschäftsleitung wahrnehmen und behördliche Aufsicht dulden. Für Betreiber kritischer Anlagen kommen eigene Nachweis- und Technikpflichten hinzu.

Die kurze Antwort

ISO 27001 mappt sehr gut auf § 30 des deutschen BSI-Gesetzes. Ein ISO 27001-Zertifikat ist aber kein NIS-2-Freifahrtschein.

Die wichtigsten Gründe:

• Das BSI-Gesetz ist verbindliches Recht, ISO 27001 eine freiwillige Managementsystemnorm.
• Der gesetzliche Anwendungsbereich und der Geltungsbereich des Zertifikats können auseinanderfallen.
• Controls aus Anhang A werden risikobasiert ausgewählt; ein Zertifikat beweist deshalb nicht automatisch, dass jedes NIS-2-Thema vollständig umgesetzt ist.
• Das Gesetz verlangt Registrierung, gesetzliche Meldungen, Geschäftsleitungspflichten, Aufsicht und gegebenenfalls besondere Nachweise.
• Für Betreiber kritischer Anlagen gelten zusätzliche Anforderungen, darunter Systeme zur Angriffserkennung.
• Für bestimmte digitale Anbieter gilt außerdem die detaillierte EU-Durchführungsverordnung 2024/2690.

Ein belastbares ISMS erspart Ihnen viel Aufbauarbeit. Die gesetzliche Zuordnung und die verbleibenden Pflichten müssen Sie trotzdem ausdrücklich bearbeiten.

Welches deutsche NIS-2-Gesetz meinen wir?

Deutschland hat die NIS-2-Richtlinie vor allem durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt. Herzstück ist das neu gefasste BSI-Gesetz, kurz BSIG.

Das Gesetz wurde am 2. Dezember 2025 ausgefertigt und trat am 6. Dezember 2025 in Kraft. Die amtliche Fassung weist bereits Änderungen aus dem Jahr 2026 aus. Dieser Vergleich hat den Stand 14. August 2026.

Das Datum ist keine Dekoration. Das BSIG enthält Verordnungsermächtigungen, verweist für bestimmte Anbieter auf europäische Durchführungsrechtsakte und wird weiterentwickelt. Ein Rechts-Mapping ist daher eher Wartungsplan als Denkmalpflege.

Wer fällt in Deutschland unter NIS-2?

Das BSIG unterscheidet in § 28 zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen. Die Einordnung hängt insbesondere ab von:

• der Einrichtungsart und dem Sektor aus Anlage 1 oder 2;
• Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme;
• besonderen Tatbeständen, die unabhängig von den üblichen Größenschwellen greifen;
• der Stellung als Betreiber einer kritischen Anlage;
• und möglichen sektoralen Sonderregelungen, etwa für Finanzunternehmen, Telekommunikation oder Energie.

Zu den besonders wichtigen Einrichtungen gehören unter anderem Betreiber kritischer Anlagen, bestimmte Vertrauensdienste-, TLD- und DNS-Anbieter sowie große Einrichtungen aus Anlage 1. Als wichtige Einrichtungen gelten insbesondere mittlere Einrichtungen aus den Anlagen 1 und 2. Bei Partner- und verbundenen Unternehmen enthält § 28 Abs. 4 eine wichtige Sonderregelung zur Berechnung der Größenwerte.

Die praktische Betroffenheitsprüfung ist deshalb kein gepflegtes „Wir haben ungefähr 48 Leute, also sind wir raus“. Tätigkeit, Einrichtungsart, Unternehmensstruktur und Schwellenwerte müssen gemeinsam betrachtet werden. Das BSI stellt dafür einen Entscheidungsbaum zur NIS-2-Betroffenheit bereit.

Was regelt ISO 27001?

ISO 27001 beschreibt ein Informationssicherheitsmanagementsystem, kurz ISMS. Eine Organisation bestimmt ihren Kontext und ihren Geltungsbereich, bewertet Risiken, plant Behandlungen, klärt Verantwortlichkeiten, setzt Maßnahmen um, prüft deren Wirksamkeit und verbessert das System fortlaufend.

Eine akkreditierte Zertifizierungsstelle kann prüfen, ob dieses ISMS die Normanforderungen erfüllt. Wie der Weg dorthin typischerweise aussieht, beschreiben wir in unseren sieben Schritten zum ISO 27001-Zertifikat.

Entscheidend ist der zertifizierte Geltungsbereich. Das BSIG schützt die informationstechnischen Systeme, Komponenten und Prozesse, die eine betroffene Einrichtung für ihre erfassten Dienste nutzt. Ein ISO-Zertifikat kann dagegen nur eine Gesellschaft, eine Organisationseinheit oder eine bestimmte Dienstleistung umfassen. Ein sehr kunstvoll kleingeschnittener Scope verkleinert keine gesetzliche Pflicht.

NIS-2 Deutschland und ISO 27001: das Mapping

§ 30 Abs. 2 BSIG nennt zehn Mindestbereiche für Risikomanagementmaßnahmen. Diese Tabelle ordnet ihnen die naheliegenden ISO-Anforderungen zu. Sie ist eine fachliche Orientierung – kein Zaubertrick, bei dem ein einzelnes Control einen ganzen Gesetzespunkt verschwinden lässt.

Wichtig: Der Hauptteil der ISO 27001 ist vollständig zu erfüllen. Welche Controls aus Anhang A umgesetzt werden, ergibt sich dagegen aus Risikobewertung und Risikobehandlung. Die Anwendbarkeitserklärung zeigt, welche Controls ausgewählt oder ausgeschlossen wurden und warum.

Wo passen BSIG und ISO 27001 besonders gut zusammen?

Risikobasiert und verhältnismäßig

§ 30 Abs. 1 verlangt geeignete, verhältnismäßige und wirksame Maßnahmen. Berücksichtigt werden sollen unter anderem Risikoexposition, Größe, Umsetzungskosten, Eintrittswahrscheinlichkeit, Schwere und mögliche gesellschaftliche oder wirtschaftliche Auswirkungen.

Das passt hervorragend zum Risikomanagement nach ISO 27001. Die Norm liefert einen vollständigen Prozess von der Identifikation über Bewertung und Behandlung bis zur Akzeptanz verbleibender Risiken.

Vorfälle beherrschen

Die Controls A.5.24 bis A.5.28 behandeln Vorbereitung, Bewertung, Reaktion, Lernen und Beweissicherung. Damit entsteht die operative Grundlage für gesetzliche Meldungen. Unser Beitrag zum NIS-2 Incident Management zeigt, wie ein praxistauglicher Ablauf aussehen kann.

Lieferanten und ausgelagerte Leistungen

Beide Regelwerke verlangen, sicherheitsrelevante Lieferanten nicht als fremde Wetterlage zu behandeln. ISO 27001 regelt Auswahl, Vereinbarungen, Überwachung und Änderungen. Das BSIG nennt die Sicherheit der Lieferkette und die Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern ausdrücklich.

Business Continuity und Wiederherstellung

Backups, Wiederanlauf und Krisenmanagement gehören in § 30 unmittelbar zum Pflichtprogramm. ISO 27001 bringt dafür Controls zur Informationssicherheit während Störungen, zur IKT-Bereitschaft und zur Datensicherung mit. Wie Sie aus wichtigen Prozessen und ihren Abhängigkeiten sinnvolle Pläne ableiten, erklären wir in BCM einfach erklärt.

Wirksamkeit statt Richtliniensammlung

Das BSIG verlangt wirksame Maßnahmen und ihre Dokumentation. ISO 27001 ergänzt Überwachung, Messung, Interne Audits, Managementbewertung und Verbesserung. Das ist ein starkes Gerüst für die Frage, ob eine Maßnahme wirklich etwas bewirkt – statt nur sehr ordentlich in einem Ordner zu liegen. Mehr dazu steht in Wirksamkeit in NIS-2: Bringt das was?.

Wo ist das deutsche BSIG genauer als ISO 27001?

Registrierung beim BSI

Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 grundsätzlich spätestens drei Monate registrieren, nachdem sie erstmals oder erneut als solche gelten. Änderungen bestimmter Angaben sind unverzüglich, spätestens binnen zwei Wochen nach Kenntnis, zu melden. Das BSI-Portal ist dafür der zentrale Weg.

ISO 27001 kennt weder dieses Register noch diese Fristen.

Gesetzliche Vorfallmeldungen mit Uhr

§ 32 BSIG sieht bei erheblichen Sicherheitsvorfällen eine Meldekaskade vor:

• unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, eine frühe Erstmeldung;
• unverzüglich, spätestens innerhalb von 72 Stunden, eine ausführlichere Meldung mit erster Bewertung;
• auf Ersuchen eine Zwischenmeldung;
• grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung oder bei fortdauerndem Vorfall zunächst eine Fortschrittsmeldung.

ISO 27001 verlangt beherrschtes Incident Management. Sie nennt aber weder das BSI noch die deutsche Meldestelle oder diese gesetzlichen Fristen.

Die Geschäftsleitung sitzt ausdrücklich mit im Boot

§ 38 verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Geschäftsleitungen müssen außerdem regelmäßig an Schulungen teilnehmen. Hinzu kommt eine Haftungsregelung für schuldhaft verursachte Schäden.

ISO 27001 verlangt Führung und Verantwortung der obersten Leitung. Das deutsche Gesetz formuliert Umsetzung, Überwachung, Schulung und mögliche Haftungsfolgen jedoch wesentlich unmittelbarer. „Das macht unser ISB“ ist damit keine besonders überzeugende Gesamtstrategie.

BSI-Aufsicht und Sanktionen

Das BSI kann besonders wichtige Einrichtungen prüfen, Unterlagen und Auskünfte verlangen, Audits oder Zertifizierungen anordnen, Mängelbeseitigungspläne fordern und konkrete Maßnahmen durchsetzen. Bei wichtigen Einrichtungen erfolgt die Aufsicht grundsätzlich anlassbezogener, wenn Tatsachen eine unzureichende Umsetzung annehmen lassen.

Für bestimmte Verstöße sieht § 65 erhebliche Bußgelder vor: je nach Fall bis zu zehn Millionen Euro für besonders wichtige und bis zu sieben Millionen Euro für wichtige Einrichtungen. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz können stattdessen umsatzbezogene Obergrenzen von zwei beziehungsweise 1,4 Prozent greifen.

Eine Zertifizierungsstelle kann ein ISO-Zertifikat verweigern, aussetzen oder entziehen. Sie verhängt keine Bußgelder und untersagt keiner Geschäftsleitung vorübergehend die Tätigkeit. Das ist ein anderer Werkzeugkasten.

Zusätzliche Pflichten für Betreiber kritischer Anlagen

§ 31 verlangt für maßgebliche Systeme kritischer Anlagen unter anderem Systeme zur Angriffserkennung, die geeignete Parameter aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. § 39 sieht außerdem besondere Nachweise durch Sicherheitsaudits, Prüfungen oder Zertifizierungen vor.

ISO 27001 enthält Controls zu Logging und Monitoring. Eine pauschale Pflicht, für jeden zertifizierten Geltungsbereich Systeme zur Angriffserkennung nach deutschem KRITIS-Recht zu betreiben, enthält sie nicht.

Wo geht ISO 27001 weiter?

Das BSIG nennt konkrete Sicherheitsfelder und gesetzliche Pflichten. ISO 27001 baut darum ein vollständiges Managementsystem.

Besonders deutlich wird das bei:

• Kontext und interessierten Parteien;
• einem formal bestimmten ISMS-Geltungsbereich;
• Informationssicherheitspolitik und messbaren Zielen;
• Rollen, Ressourcen, Kompetenz, Kommunikation und Dokumentenlenkung;
• dem planmäßigen Internen Audit;
• der Managementbewertung;
• Nichtkonformitäten und Korrekturmaßnahmen;
• fortlaufender Verbesserung.

Auch Anhang A differenziert viele Themen stärker aus: Datenklassifizierung, sichere Datenübertragung, Konfigurationsmanagement, Datenlöschung, Datenmaskierung, Schutz vor Datenabfluss, Protokollierung, Überwachung, Netztrennung, sichere Codierung, Sicherheitstests und Änderungssteuerung sind nur einige Beispiele.

Für bestimmte digitale Anbieter ist allerdings zusätzlich die EU-Durchführungsverordnung 2024/2690 zu beachten. Sie konkretisiert technische und methodische Anforderungen unter anderem für Cloud- und Rechenzentrumsanbieter, Managed Service Provider, Managed Security Service Provider, DNS-Dienste und Online-Marktplätze. Dann reicht der Blick auf die zehn Punkte des § 30 Abs. 2 allein nicht.

Was steht nur im deutschen NIS-2-Recht?

Nicht aus ISO 27001 ableiten lassen sich insbesondere:

• die gesetzliche Einstufung als besonders wichtige oder wichtige Einrichtung;
• die Registrierung und Aktualisierung der Registerangaben;
• die gesetzliche Meldekaskade für erhebliche Sicherheitsvorfälle;
• die besonderen Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung;
• die staatlichen Aufsichts- und Durchsetzungsbefugnisse;
• Bußgelder und weitere hoheitliche Maßnahmen;
• besondere Nachweispflichten für Betreiber kritischer Anlagen;
• die besondere Pflicht zu Systemen zur Angriffserkennung für maßgebliche Systeme kritischer Anlagen;
• sektorale und europäische Sonderregeln.

Das sind keine freundlichen Ergänzungsvorschläge. Sie gehören in eine eigene, nachvollziehbare Compliance-Zuordnung.

Was steht nur in ISO 27001?

ISO 27001 verlangt wiederum Managementsystemelemente, die das BSIG nicht in derselben geschlossenen Systematik vorgibt:

• Kontextanalyse und interessierte Parteien;
• eine Informationssicherheitspolitik;
• Informationssicherheitsziele;
• einen definierten ISMS-Geltungsbereich;
• die Anwendbarkeitserklärung;
• Dokumentenlenkung;
• Interne Audits;
• Managementbewertungen;
• systematische Behandlung von Nichtkonformitäten;
• fortlaufende Verbesserung des ISMS.

Außerdem schützt ISO 27001 Informationen grundsätzlich unabhängig von ihrer Form. Das BSIG konzentriert sich bei den Risikomanagementpflichten auf informationstechnische Systeme, Komponenten und Prozesse, die für die Erbringung der betroffenen Dienste genutzt werden.

Reicht ein ISO 27001-Zertifikat als NIS-2-Nachweis in Deutschland?

Nein – aber es kann ein ausgesprochen starker Bestandteil des Nachweises sein.

§ 30 Abs. 2 verlangt, einschlägige europäische und internationale Normen zu berücksichtigen. § 39 nennt für Betreiber kritischer Anlagen Sicherheitsaudits, Prüfungen oder Zertifizierungen als Nachweisformen. Das BSI kann nach § 61 ebenfalls Audits, Prüfungen oder Zertifizierungen unabhängiger Stellen anordnen und deren Ergebnisse sowie zugrunde liegende Dokumentation verlangen.

Das bedeutet aber nicht, dass jedes ISO 27001-Zertifikat automatisch sämtliche BSIG-Pflichten erfüllt. Entscheidend sind mindestens:

1. Der Zertifikats-Geltungsbereich erfasst die gesetzlich relevanten Dienste, Systeme, Komponenten und Prozesse.
2. Die benötigten Controls sind in der Anwendbarkeitserklärung enthalten und wirksam umgesetzt.
3. Zusätzliche gesetzliche Anforderungen sind sichtbar ergänzt.
4. Registrierung, Meldewege und Geschäftsleitungspflichten funktionieren tatsächlich.
5. Besondere sektorale, KRITIS- oder europäische Anforderungen werden separat berücksichtigt.

Das Zertifikat ist also kein behördlicher Generalschlüssel. Es ist ein sehr gut sortierter Werkzeugkoffer – vorausgesetzt, er steht nicht im falschen Gebäudeteil, weil der Scope dort endet.

So führen Sie einen brauchbaren BSIG-ISO-Abgleich durch

1. Betroffenheit sauber bestimmen

Ordnen Sie Tätigkeiten den Anlagen 1 und 2 zu, prüfen Sie Größenwerte, Unternehmensverbindungen und besondere Tatbestände. Dokumentieren Sie, weshalb Sie betroffen oder nicht betroffen sind.

2. Gesetzlichen Bereich und ISO-Scope vergleichen

Listen Sie die betroffenen Dienste und die dafür eingesetzten Systeme, Komponenten, Prozesse und wesentlichen Anbieter auf. Legen Sie daneben den Zertifikats-Geltungsbereich. Die Differenz ist kein philosophisches Problem, sondern eine Arbeitsliste.

3. § 30 gegen ISMS und Anwendbarkeitserklärung mappen

Ordnen Sie jedem gesetzlichen Themenblock Prozesse, Verantwortliche, Vorgaben, technische Maßnahmen und Nachweise zu. Unterscheiden Sie sauber zwischen „steht in der Richtlinie“ und „funktioniert nachweislich“.

4. Gesetzesspezifische Pflichten ergänzen

Nehmen Sie Registrierung, Vorfallmeldungen, Geschäftsleitungsschulungen, Aufsichtsschnittstellen und gegebenenfalls KRITIS-Nachweise ausdrücklich auf. Diese Punkte sollten nicht als Kleingedrucktes in einer allgemeinen Compliance-Liste verschwinden.

5. Besondere Technik- und Sektorpflichten prüfen

Klären Sie, ob § 31, sektorale Gesetze, europäische Durchführungsrechtsakte oder branchenspezifische Sicherheitsstandards zusätzliche Anforderungen erzeugen.

6. Änderungen beobachten

Bestimmen Sie eine verantwortliche Person und einen Ablauf für Rechtsmonitoring. Das BSIG, Rechtsverordnungen, BSI-Festlegungen und europäische Vorgaben können sich ändern. „Wir googeln in zwei Jahren noch einmal“ ist ein Ablauf – nur kein besonders belastbarer.

Aus Sicht eines Auditors

Ein ISO 27001-Auditor wird bei einem betroffenen Unternehmen erwarten, dass das BSIG als relevante rechtliche Anforderung erkannt und in das ISMS integriert wurde. Dazu passt unser Beitrag über rechtliche und vertragliche Anforderungen nach ISO 27001.

Das Zertifizierungsaudit ist trotzdem keine vollständige hoheitliche NIS-2-Prüfung. Der ISO-Auditor prüft die Normkonformität des ISMS innerhalb des Zertifikats-Geltungsbereichs. Das BSI prüft mit gesetzlichem Auftrag, gesetzlichen Befugnissen und eigenen Prüfkriterien.

Die sauberste Lösung ist ein gemeinsames Managementsystem mit einer sichtbaren Zuordnung der zusätzlichen Pflichten. Keine zweite Sicherheitswelt – aber auch kein gut gelauntes „NIS-2 wird schon irgendwie im Zertifikat enthalten sein“.

Interesse geweckt?

Sie fallen möglicherweise unter das deutsche NIS-2-Recht und möchten wissen, wie viel Ihr vorhandenes ISMS bereits abdeckt? Oder Sie wollen ISO 27001 von Anfang an so aufbauen, dass das BSIG später nicht als regulatorischer Anbau danebensteht?

Dann sprechen Sie mit uns. Wir gleichen Geltungsbereiche, Anforderungen, Prozesse und Nachweise miteinander ab und machen sichtbar, was bereits trägt und was noch ergänzt werden muss.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.