Maßstab für deutsche Einrichtungen ist das geltende BSIG, grundsätzlich seit dem 6. Dezember 2025 anwendbar. Die hier herangezogene ISO-Ausgabe ist ISO/IEC 27001:2022, dritte Ausgabe, mit der veröffentlichten Änderung Amd 1:2024. Dieser Vergleich beruht auf den öffentlich zugänglichen ISO-Originalinformationen und der gesetzlichen Pflichtstruktur; er ist kein vollständiges Mapping einzelner ISO-Anforderungen. ISO: Standardübersicht, ISO: Amd 1:2024, BSIG.
Vier Dinge auseinanderhalten
Das Gesetz bestimmt, welche Einrichtung welche Pflichten erfüllen muss. Ein Managementsystem organisiert den Umgang mit Informationssicherheit. Eine Zertifizierung prüft die Übereinstimmung mit dem bezeichneten Standard innerhalb ihres festgelegten Geltungsbereichs. Eine technische Maßnahme schützt eine konkrete Funktion oder ein konkretes Risiko. Keine dieser Ebenen lässt sich vollständig durch eine andere ersetzen.
ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheitsmanagementsystem, kurz ISMS. Eine Organisation kann ein solches System einsetzen, ohne selbst ein Zertifikat zu besitzen. Zertifikate werden von externen Zertifizierungsstellen vergeben, nicht von ISO selbst. Die Akkreditierung einer Zertifizierungsstelle und das Zertifikat einer Organisation sind ebenfalls unterschiedliche Dinge. ISO: ISO/IEC 27001, ISO: Certification.
Bei schmaler Ansicht können Sie die Tabelle seitlich scrollen.
| Frage | NIS2 / deutsches BSIG | ISO 27001 / Zertifizierung |
|---|---|---|
| Warum gilt es? | Gesetzlicher Anwendungsbereich, insbesondere § 28 und Anlagen 1–2; nicht allein die Branchenbezeichnung. | Entscheidung für den Standard; zusätzliche Bindung kann aus Vertrag oder einer besonderen Regelung folgen. |
| Was ist zu schützen? | Die für die erfassten Dienste relevanten Systeme, Komponenten und Prozesse; der gesetzliche Umfang folgt nicht frei dem Zertifikatszuschnitt. | Das Managementsystem innerhalb seines festgelegten Geltungsbereichs. Diesen konkret mit den erfassten Diensten vergleichen. |
| Was muss bei Vorfällen passieren? | Gesetzliche Meldung erheblicher Vorfälle nach § 32, soweit anwendbar, mit Fristen und zuständiger Meldestelle. | Ein vorhandener Vorfallprozess kann helfen; das Zertifikat beweist keine fristgerechte gesetzliche Meldung. |
| Was muss die Leitung tun? | Umsetzung und Überwachung nach § 38 Abs. 1 sowie regelmäßige eigene Schulung nach Abs. 3. | Vorhandene Managementprozesse können Entscheidungen unterstützen; die gesetzlichen Organpflichten bleiben eigenständig. |
| Muss sich die Einrichtung registrieren? | Bei erfüllten Voraussetzungen nach § 33, für bestimmte Arten zusätzlich Angaben nach § 34. | Ein Zertifizierungsaudit ersetzt keine Behördenregistrierung. |
| Welche Folgen drohen? | Aufsicht und tatbestandsabhängige Bußgelder; gegebenenfalls Haftung nach den anwendbaren Regeln. | Festgestellte Abweichungen und Folgen im Zertifizierungsverfahren sind keine behördlichen BSIG-Entscheidungen. |
| Welcher Nachweis genügt? | Nachweis muss zur tatsächlich geltenden Pflicht und zum Verfahren passen; kein allgemeiner Zertifikatserlass. | Zertifikat, Geltungsbereich und zugrunde liegende Nachweise können Informationen liefern, aber keine pauschale Rechtsfreigabe. |
Rechtsgrundlagen: §§ 28, 30, 32, 33, 34, 38 BSIG. Auch das BSI verneint in seiner aktuellen Einordnung eine automatische NIS2-Erfüllung allein durch ISO-27001-Zertifizierung. BSI: NIS2 im Kontext von ISO 27001.
Ein Zertifikat mit zu kleinem Geltungsbereich
Ein synthetisches Beispiel: Ein Unternehmen betreibt ein zertifiziertes ISMS für die zentrale Verwaltung. Eine neu erworbene Produktionsgesellschaft, deren Betriebsnetze und ein ausgelagerter Wartungszugang sind darin noch nicht enthalten. Selbst ein gültiges Zertifikat für die Verwaltung beantwortet dann nicht, ob die für NIS2 relevanten Produktionsdienste angemessen geschützt sind.
Auch im passenden Geltungsbereich sind zwischenzeitliche Änderungen relevant: neue Lieferanten, andere Geschäftsprozesse, geänderte Zugänge und festgestellte Mängel. Prüfen Sie deshalb die aktuellen Verhältnisse und die zugrunde liegenden Nachweise, nicht nur Logo und Ablaufdatum des Zertifikats.
Zehn gesetzliche Fragen an Ihr vorhandenes ISMS
§ 30 Abs. 2 BSIG nennt zehn Maßnahmenbereiche. Sie entsprechen in ihrer Grundstruktur Art. 21 Abs. 2 Buchst. a–j der Richtlinie, sind aber nicht überall wortgleich. Für die deutsche Pflicht ist die deutsche Vorschrift maßgeblich, ergänzt um vorrangige Konkretisierungen. Beispielsweise benennt die Richtlinie unter Buchst. g Cyberhygiene und Schulung, während Nr. 7 BSIG grundlegende Schulungen und Sensibilisierung formuliert. Unter Nr. 8 nennt das BSIG Konzepte und Prozesse für kryptografische Verfahren. § 30 BSIG, Art. 21 NIS2.
Die folgende Tabelle ist eine Arbeitsmatrix für Ihre Lückenprüfung, kein behauptetes Eins-zu-eins-Mapping auf ISO-Klauseln und keine Bescheinigung der Erfüllung.
Bei schmaler Ansicht können Sie die Tabelle seitlich scrollen.
| § 30 Abs. 2 Satz 2 | Frage an das vorhandene System | Aussagekräftiger zusätzlicher Beleg |
|---|---|---|
| Nr. 1 – Risikoanalyse und Sicherheitskonzepte | Erfassen Bewertung und Maßnahmen alle für die gesetzlich erfassten Dienste relevanten Abhängigkeiten? | Aktuelle Risikoanalyse mit Entscheidungen, Maßnahmen und Verantwortlichen. |
| Nr. 2 – Vorfallbewältigung | Funktionieren Erkennung, Eskalation, Eindämmung und Behördenmeldung zusammen? | Erprobter Ablauf mit Kenntniszeitpunkt, Meldezugang und Vertretung. |
| Nr. 3 – Betrieb und Krisenmanagement | Lassen sich kritische Dienste innerhalb des benötigten Rahmens wiederherstellen? | Wiederanlauftest mit gemessenen Ergebnissen und behobenen Abweichungen. |
| Nr. 4 – Lieferkette | Sind unmittelbare Anbieter und ihre für den Dienst relevanten Risiken berücksichtigt? | Lieferantenbewertung, vereinbarte Anforderungen und überprüfte Umsetzung. |
| Nr. 5 – Erwerb, Entwicklung, Wartung | Werden Schwachstellen und Änderungen risikogerecht bearbeitet? | Konkrete Bearbeitungskette vom Befund bis zur kontrollierten Behebung. |
| Nr. 6 – Wirksamkeitsbewertung | Prüfen die Kontrollen tatsächlich die angestrebte Wirkung? | Passende Prüfverfahren, Ergebnisse und nachverfolgte Mängel. |
| Nr. 7 – Schulung und Sensibilisierung | Erreichen Inhalte die maßgeblichen Rollen und werden Meldewege verstanden? | Schulungsinhalte, Teilnahme und ausgewertete Übungen; Leitungsqualifikation separat. |
| Nr. 8 – Kryptografie | Sind Auswahl, Schlüsselverwaltung und Betrieb für den Schutzbedarf geeignet? | Kryptografiekonzept mit nachvollziehbarer Umsetzung und Erneuerung. |
| Nr. 9 – Personal, Zugriffe und IKT-Verwaltung | Stimmen tatsächliche Rechte und Bestände mit Zuständigkeiten und Bedarf überein? | Geprüfte Eintritts-, Rollenwechsel- und Austrittsfälle sowie gepflegtes Inventar. |
| Nr. 10 – Authentifizierung und Kommunikation | Sind die erforderlichen Anmelde- und Kommunikationswege einschließlich Notfällen wirksam geschützt? | Geprüfte Anmeldewege, Ausnahmen und funktionsfähige Krisenkommunikation. |
Vermerken Sie pro Zeile: belegt, teilweise belegt oder offen. Zu einem Teilnachweis gehört die nicht erfasste Fläche. „TLS-Konfiguration geprüft“ ist beispielsweise enger als „Kryptografie vollständig umgesetzt“.
Für bestimmte digitale Dienste und Vertrauensdienste hat die Durchführungsverordnung (EU) 2024/2690 nach § 30 Abs. 3 Vorrang. Ihr Anhang enthält weitergehende technische und methodische Anforderungen. Ein allgemeiner ISO-Abgleich darf diese konkrete Ebene nicht überspringen. Umgekehrt ist der Anhang nicht automatisch vollständig auf jede Einrichtung anderer Branchen anzuwenden. DVO, Art. 1–2 und Anhang.
Was Sie neben dem vorhandenen System prüfen müssen
1. Gesetzlichen Umfang und Ausnahmen begründen
Bestimmen Sie Rechtsträger, tatsächliche Leistungen, Größenberechnung einschließlich Unternehmensverbindungen und die einschlägigen Sonderregeln. Ein Zertifikat macht eine nicht erfasste Einrichtung nicht automatisch NIS2-pflichtig. Ein fehlendes Zertifikat macht eine erfasste Einrichtung nicht automatisch rechtswidrig. Die NIS2-Checkliste erläutert die Zuordnung.
2. Registrierung und Datenpflege erledigen
§ 33 Abs. 1 sieht grundsätzlich eine Registrierung spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit vor. Für bestimmte digitale Anbieter gilt daneben § 34; für kritische Anlagen müssen zusätzliche Angaben und § 66 beachtet werden. Eine Auditorenliste ist kein Behördenregister. §§ 33, 34, 66 BSIG.
3. Gesetzliche Meldefähigkeit testen
Ein internes Incident-Ticket genügt nicht, wenn die gesetzliche Meldung an die zuständige Stelle fehlt. Prüfen Sie Fristbeginn, Erheblichkeitskriterien, Empfänger, Zugang, Vertretung und Folgemeldungen. Die deutschen 24 und 72 Stunden laufen grundsätzlich beide ab Kenntnis des erheblichen Vorfalls. Bei Vertrauensdiensten kommen eigenständige eIDAS-Mitteilungen binnen 24 Stunden hinzu. Nicht auf den regulären Audit- oder Leitungstermin warten. NIS2-Meldepflicht.
4. Geschäftsleitung tatsächlich einbinden
Leitungsberichte und Entscheidungen müssen die Umsetzung und Überwachung nach § 38 Abs. 1 tragen. Die eigene regelmäßige Schulung nach Abs. 3 wird nicht allein durch eine Mitarbeiterschulung oder durch die Beauftragung eines ISMS-Verantwortlichen erfüllt. Geschäftsleitungsverantwortung.
5. Nachweisverfahren und technische Belege richtig zuordnen
§ 30 Abs. 1 verlangt Dokumentation. Für Betreiber kritischer Anlagen enthält § 39 besondere Nachweispflichten; behördliche Nachweis- und Prüfmaßnahmen nach §§ 61 und 62 haben eigene Voraussetzungen. Daraus folgt kein allgemeines jährliches ISO-Zertifizierungsaudit für alle NIS2-Einrichtungen. Umgekehrt sind spätere Zeitpunkte für bestimmte behördliche Nachweisanordnungen keine Aufschubfrist für bereits geltende Sicherheitsmaßnahmen. §§ 39, 61, 62 BSIG.
Ein Außencheck ergänzt einzelne Beobachtungen zu öffentlich erreichbaren Systemen. Er bewertet weder das gesamte ISMS noch Schulung, interne Zugriffe, Wiederanlauf oder sämtliche Lieferanten. Kein Header, DNS-Eintrag oder Scanner-Score beweist NIS2-, DSGVO- oder ISO-Konformität. Belege werden erst durch Ziel, Prüfumfang, Zeitpunkt, Methode und Bearbeitung des Ergebnisses sinnvoll.
Häufige Fragen
Verlangt NIS2 zwingend ein ISO-27001-Zertifikat?
Aus dem allgemeinen § 30 BSIG folgt keine solche Pflicht. Er verlangt angemessene und wirksame Maßnahmen und deren Dokumentation. Besondere gesetzliche, sektorale oder vertragliche Nachweisanforderungen sind separat zu prüfen. ISO 27001 kann eine geeignete Grundlage für die Organisation sein, ersetzt diese Prüfung aber nicht.
Wie viel Prozent von NIS2 deckt ISO 27001 ab?
Eine allgemeine belastbare Prozentzahl gibt es für Ihre konkrete Pflichterfüllung nicht. Dafür müssten zunächst Anwendungsbereich, tatsächlich umgesetzte Maßnahmen, Geltungsbereich des Zertifikats und alle zusätzlichen Pflichten feststehen. Eine Anzahl ähnlich benannter Themen misst keine vollständige Umsetzung.
Ist ISO 27001 auf Basis von IT-Grundschutz dasselbe Verfahren?
Das BSI führt dafür ein eigenes Zertifizierungsschema mit festgelegten Prüfgrundlagen. Die gelesenen Prüfgrundlagen in Version 4.8 vom 1. Februar 2026 nennen unter anderem ISO 27001:2022 und das IT-Grundschutz-Kompendium Edition 2023; maßgeblich ist der Auditbeginn. Dieses konkrete Verfahren darf weder mit jeder ISO-Zertifizierung gleichgesetzt noch als universelle BSIG-Freigabe dargestellt werden. BSI-Prüfgrundlagen.
Mit einer konkreten Lücke beginnen
Legen Sie gesetzlich erfasste Dienste und den vorhandenen ISMS-Geltungsbereich nebeneinander. Prüfen Sie dann einen vollständigen Ablauf, etwa den Ausfall eines wichtigen Dienstes: Risikoentscheidung, Schutzmaßnahmen, Erkennung, Meldung, Wiederanlauf und Leitungsaufsicht. So wird sichtbar, was das bestehende System bereits trägt und was ergänzt werden muss.
Die NIS2-Checkliste liefert die Maßnahmenstruktur. Für einzelne technische Beiträge helfen die Übersichten zu Web-Security und Compliance und E-Mail-Sicherheit und Compliance.