Organisationen, die sich auf NIS2 vorbereiten, fragen häufig, ob ISO/IEC 27001 das bereits abdeckt oder ob sie das eine vor dem anderen angehen sollten. Beide sind unterschiedlicher Natur. ISO 27001 ist eine freiwillige internationale Norm für ein Informationssicherheits-Managementsystem. NIS2 ist eine EU-Richtlinie, die über nationales Recht umgesetzt wird und rechtliche Pflichten für erfasste Einrichtungen festlegt. Sie überschneiden sich erheblich, aber keine ersetzt die andere. Dieser Leitfaden erklärt, wie Sie beide zusammen nutzen. Er dient der allgemeinen Information und ist keine Rechtsberatung.
Was es ist
ISO/IEC 27001:2022 legt Anforderungen an Aufbau, Betrieb und Verbesserung eines Informationssicherheits-Managementsystems (ISMS) fest: Kontext und Anwendungsbereich, Führung, Risikobeurteilung und -behandlung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Anhang A führt 93 Referenzkontrollen auf, gruppiert in organisatorische, personenbezogene, physische und technologische Themen, die anhand Ihrer Risikobeurteilung ausgewählt werden. Organisationen können ihr ISMS von einer akkreditierten Zertifizierungsstelle auditieren lassen. NIS2 verlangt dagegen von erfassten Einrichtungen, Risikomanagementmaßnahmen in festgelegten Bereichen umzusetzen, nimmt die Leitungsorgane in die Verantwortung und ergänzt strenge Meldepflichten gegenüber Behörden, Aufsicht und Sanktionen. Die Überschneidung ist groß: Risikobeurteilung, Richtlinien, Zugriffskontrolle, Kryptografie, Sicherheit bei Lieferanten, Vorfallmanagement, Kontinuität und Schulung kommen in beiden vor. Die Unterschiede sind ebenfalls wichtig. NIS2 legt gesetzliche Meldefristen, ausdrückliche Verantwortung und Schulung der Geschäftsleitung sowie nationale Aufsicht fest; bei ISO 27001 bestimmen Sie den Anwendungsbereich selbst, und dieser deckt sich möglicherweise nicht mit den Diensten, um die es bei NIS2 geht.
Für wen es gedacht ist
Dieser Vergleich ist hilfreich für:
- Organisationen mit einem bestehenden ISO-27001-Programm, die NIS2-Lücken bewerten
- Organisationen im Anwendungsbereich von NIS2, die entscheiden, ob sie ein ISMS als Rahmen aufbauen
- Zulieferer, von denen Kunden entweder eine Ausrichtung an ISO 27001 oder NIS2-bezogene Zusicherungen verlangen
- Geschäftsleitungen, die Budget zwischen den Rahmenwerken aufteilen
Was es zu klären hilft
Der direkte Vergleich hilft zu klären:
- welche bestehenden Kontrollen und Aufzeichnungen als NIS2-Nachweise wiederverwendet werden können
- ob der Anwendungsbereich Ihres ISMS die unter NIS2 relevanten Dienste und Systeme abdeckt
- welche NIS2-Pflichten, etwa Meldefristen, zusätzliche Verfahren erfordern
- ob eine formale ISO-Zertifizierung eine geschäftliche Anforderung oder lediglich ein nützlicher Rahmen ist
Was ist enthalten
- Den Anwendungsbereich Ihres ISMS mit den Diensten und Systemen vergleichen, die unter NIS2 relevant wären
- Umgesetzte Kontrollen aus Anhang A den Maßnahmenbereichen nach Artikel 21 NIS2 zuordnen
- Ein Vorfallverfahren für die Meldestufen nach 24 Stunden, 72 Stunden und einem Monat ergänzen
- Billigung, Überwachung und Schulung durch das Leitungsorgan ausdrücklich dokumentieren
- Die Lieferantenbewertung auf die IKT-Dienstleister hinter kritischen Diensten ausweiten
- Die nationale Umsetzung auf zusätzliche Anforderungen oder referenzierte Systeme prüfen
- Interne Audits und Managementbewertungen nutzen, um die Wirksamkeit der Maßnahmen über die Zeit zu zeigen
- Nachweise über technische Kontrollen aufbewahren, nicht nur Richtlinien
Was nicht enthalten ist
- ISO-27001-Zertifizierung oder ein Audit durch eine Zertifizierungsstelle
- Eine Aussage, dass eine ISO-27001-Zertifizierung die NIS2-Pflichten erfüllt
- Rechtliche Auslegung des nationalen NIS2-Rechts
- Offizielle Titel oder Akkreditierungen
Wann man es wählt
Nutzen Sie diesen Vergleich, wenn Sie Ihr Sicherheitsprogramm für die nächsten ein bis zwei Jahre planen. Verlangen Kunden ein ISO-27001-Zertifikat, planen Sie ein akkreditiertes Zertifizierungsaudit als gesonderten Schritt ein. Fallen Sie in den Anwendungsbereich von NIS2, nutzen Sie die ISMS-Struktur, um Maßnahmen zu ordnen, ergänzen Sie aber die richtlinienspezifischen Elemente. Haben Sie beides nicht, ist ein strukturiertes Gap-Review gegenüber einer vereinbarten Referenz oft nützlicher, als zuerst Richtlinien zu schreiben. Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung.
Unser Ansatz
Betrachten Sie ISO 27001 als Managementstruktur und NIS2 als eine Reihe rechtlicher Anforderungen, die diese Struktur erfüllen muss. Beginnen Sie mit einem einzigen Kontrollset, das beiden zugeordnet ist, sodass jede Kontrolle eine verantwortliche Person und einen Satz von Nachweisen hat. Achten Sie besonders auf den Anwendungsbereich: Ein ISMS, das nur eine Funktion der Hauptverwaltung abdeckt, sagt wenig über die Systeme hinter einem kritischen Dienst aus. Unser Security Baseline Review kann bei der technischen Seite helfen: eine schriftliche, nach Schweregrad gestufte Einschätzung vereinbarter Assets und Beobachtungen zu Bereitschaftslücken gegenüber einer vereinbarten Referenz, sofern dies im bestätigten Scope enthalten ist. Es dient der Vorbereitung und Entscheidungsunterstützung und bereitet Sie auf die Zusammenarbeit mit akkreditierten Zertifizierungsstellen, Auditoren und Rechtsberatern vor. Ist eine Zertifizierung Ihr Ziel, wählen Sie für das Audit eine akkreditierte Zertifizierungsstelle und halten Sie die Vorbereitungsarbeit davon getrennt.
Häufig gestellte Fragen
Verwandte Artikel
Erste Schritte
Sie planen die Vorbereitung auf ISO 27001 und NIS2 gemeinsam?
Nennen Sie uns Ihren aktuellen Anwendungsbereich, Ihre Kontrollen und die wichtigsten Dienste. Wir schlagen ein Review vor, das beide Gespräche unterstützt.
Schriftlichen Scope anfordern