Zwei verschiedene Dinge mit einem gemeinsamen Thema
NIS2 ist eine EU-Richtlinie, die jeder Mitgliedstaat in nationales Recht umsetzen muss. In Deutschland geschah das mit dem NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft trat. Für betroffene Unternehmen ist NIS2 damit geltendes Recht, keine Option. ISO 27001 ist dagegen eine internationale Norm für ein Informationssicherheits-Managementsystem (ISMS): Sie legt fest, wie ein Unternehmen Risiken systematisch steuert, aber niemand ist gesetzlich verpflichtet, sich danach zertifizieren zu lassen. Der Unterschied liegt also nicht im Thema, sondern in der Verbindlichkeit: NIS2 beantwortet die Frage, was das Gesetz verlangt, ISO 27001 beantwortet die Frage, wie ein Unternehmen Sicherheit strukturiert aufbaut. In der Praxis bedeutet das: Ein Unternehmen kann ein sorgfältig gepflegtes ISMS betreiben und trotzdem gegen NIS2 verstossen, wenn es die gesetzlichen Melde- und Registrierungspflichten übersieht, und umgekehrt formal bei der Behörde registriert sein, ohne dass die Sicherheit im Alltag wirklich trägt.
Wer unter NIS2 fällt
NIS2 erfasst mittlere und grosse Unternehmen in 18 als kritisch oder wichtig eingestuften Sektoren, etwa Energie, Gesundheitswesen, digitale Infrastruktur, verarbeitendes Gewerbe oder Verkehr. Massgeblich sind die Schwellenwerte aus der EU-Empfehlung 2003/361/EG: Wer mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz beziehungsweise eine Jahresbilanzsumme über 10 Millionen Euro erreicht und in einem der erfassten Sektoren tätig ist, fällt in den Anwendungsbereich. Die Richtlinie unterscheidet dabei zwischen wichtigen und besonders wichtigen Einrichtungen, je nach Grösse und Kritikalität des Sektors. ISO 27001 kennt keine solche Einschränkung: Die Norm lässt sich auf jede Organisation anwenden, von der Zweipersonen-Kanzlei bis zum Konzern.
- Schwellenwert: mindestens 50 Mitarbeitende oder über 10 Millionen Euro Umsatz beziehungsweise Bilanzsumme
- 18 Sektoren, von Energie und Gesundheit bis digitale Infrastruktur
- Einstufung als wichtige oder besonders wichtige Einrichtung
- Betroffenheit gilt auch indirekt, etwa als Zulieferer eines erfassten Unternehmens
Die Meldepflicht ist der grösste praktische Unterschied
NIS2 schreibt einen dreistufigen Meldeprozess für erhebliche Sicherheitsvorfälle vor: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine ausführlichere Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der Erstmeldung, jeweils an die zuständige Behörde, in Deutschland das BSI. ISO 27001 verlangt zwar einen dokumentierten Umgang mit Sicherheitsvorfällen als Teil des ISMS, legt aber keine gesetzliche Frist gegenüber einer Behörde fest. Ein Unternehmen kann vollständig ISO-27001-konform sein und trotzdem keinen NIS2-tauglichen Meldeprozess haben, weil die Norm die externe Meldung an eine staatliche Stelle schlicht nicht regelt. Die engen Fristen sind bewusst so knapp gefasst, weil eine schnelle Erstinformation helfen soll, die Ausbreitung eines Vorfalls über mehrere Unternehmen hinweg frühzeitig zu erkennen. Wer den internen Eskalationsweg vorher nie geübt hat, verliert in der Praxis oft schon wertvolle Stunden, bevor die Erstmeldung überhaupt formuliert ist.
Was ein bestehendes ISMS für NIS2 schon leistet, und was nicht
Ein gelebtes ISMS nach ISO 27001 bringt Risikomanagement, ein Statement of Applicability mit Massnahmen, Awareness-Schulungen und ein internes Audit mit, und deckt damit einen grossen Teil der NIS2-Anforderungen an technische und organisatorische Massnahmen ab. Was zusätzlich zu tun bleibt, ist NIS2-spezifisch und wird durch ISO 27001 nicht automatisch erfüllt. Wer diese Punkte übersieht, riskiert trotz gültigem ISO-27001-Zertifikat einen NIS2-Verstoss, weil die Norm die folgenden, behördenbezogenen Pflichten schlicht nicht kennt.
- Betroffenheitsprüfung und Registrierung bei der zuständigen Behörde
- Ein Meldeprozess, der die Fristen von 24 Stunden, 72 Stunden und einem Monat tatsächlich einhalten kann
- Nachweisbare Schulung und persönliche Verantwortung der Geschäftsleitung für Risikoentscheidungen
- Steuerung und Nachweis der Lieferketten- und Drittparteisicherheit im NIS2-Sinn
Wie IT am Main unterstützt
ITM baut ISMS nach ISO 27001 und ist selbst seit Januar 2025 nach ISO 27001 zertifiziert. Für Unternehmen mit bestehendem ISMS prüfen wir zuerst die NIS2-Betroffenheit und schliessen dann gezielt die Lücken, die eine ISO-27001-Zertifizierung allein nicht schliesst: Meldeprozess, Registrierung und Lieferkettensteuerung. Wir bauen dabei bewusst kein zweites, paralleles System auf, sondern erweitern das vorhandene ISMS um die NIS2-spezifischen Nachweise, damit Dokumentation und Verantwortlichkeiten an einer Stelle bleiben. Das schont Ressourcen im Tagesbetrieb und vermeidet, dass zwei getrennte Teams über die Zeit auseinanderlaufende Stände pflegen. Details zu beiden Leistungen finden Sie unter ISO 27001 und NIS2 & DORA.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), Artikel 2 und 23, EUR-Lex, Amt für Veröffentlichungen der Europäischen Union, 2022
- NIS-2-Meldepflicht: Fristen und Verantwortliche, Bundesamt für Sicherheit in der Informationstechnik (BSI), 2026
- Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft, BSI, 2025