NIS2 · Umsetzung mit einem ISMS
NIS2 und ISO 27001: Wie ein ISMS die NIS2-Pflichten abdeckt
Lesezeit etwa 6 Minuten · Stand September 2026
Ein Informationssicherheits-Managementsystem nach ISO 27001 deckt einen Großteil der NIS2-Anforderungen ab, weil beide auf denselben Maßnahmen beruhen. Dieser Ratgeber zeigt, wo sich §30 BSIG und der Annex A überschneiden, welche NIS2-Pflichten ein ISMS nicht erfüllt und wie Sie NIS2 mit einem bestehenden ISMS effizient umsetzen.
NIS2 fragt nicht nach einem Zertifikat. Es fragt nach wirksamen Maßnahmen. Genau die liefert ein ISMS.
Deckt ein ISMS nach ISO 27001 die NIS2-Pflichten ab?
Ja, zu einem großen Teil. Die NIS2-Richtlinie und ihre deutsche Umsetzung im BSIG verlangen ein Risikomanagement für die Informationssicherheit. Genau das ist der Kern eines Informationssicherheits-Managementsystems (ISMS) nach ISO 27001. Wer ein solches System betreibt, erfüllt viele NIS2-Pflichten bereits und muss nur einige spezifische Anforderungen ergänzen.
Der Grund liegt im gemeinsamen Ansatz. Beide Regelwerke denken risikobasiert: Erst werden Werte und Bedrohungen bewertet, dann folgen angemessene Maßnahmen. NIS2 beschreibt in Artikel 21 zehn Mindestbereiche für dieses Risikomanagement, das deutsche BSIG übernimmt sie in §30. Ein ISMS liefert für diese Bereiche die Struktur und die Nachweise.
Wichtig ist die ehrliche Einordnung. Ein ISMS deckt einen Großteil der NIS2-Anforderungen ab, aber nicht alles. Diese Angabe ist eine Orientierung, keine feste Quote, denn der genaue Deckungsgrad hängt von Ihrem Geltungsbereich und Ihrer Umsetzung ab. Ob Ihr Unternehmen überhaupt unter NIS2 fällt, klärt vorab die Prüfung der NIS2-Betroffenheit.
Wo überschneiden sich NIS2 und ISO 27001?
Die größte Überschneidung liegt bei den zehn Maßnahmenbereichen nach §30 Absatz 2 BSIG. Fast jeder davon lässt sich einem oder mehreren Controls aus dem Annex A der ISO 27001 zuordnen. Ein sauberes Normen-Mapping macht sichtbar, dass eine einmal umgesetzte Maßnahme beide Regelwerke zugleich bedient.
| NIS2-Maßnahme (§30 Abs. 2 BSIG) | Passende ISO-27001-Controls |
|---|---|
| Risikoanalyse und Sicherheitskonzepte | Kapitel 6.1, A.5.1 |
| Bewältigung von Sicherheitsvorfällen | A.5.24 bis A.5.28 |
| Aufrechterhaltung des Betriebs und Backup | A.5.29, A.5.30, A.8.13 |
| Sicherheit der Lieferkette | A.5.19 bis A.5.22 |
| Beschaffung, Entwicklung und Wartung | A.8.25 bis A.8.31 |
| Bewertung der Wirksamkeit | Kapitel 9.1 |
| Cyberhygiene und Schulungen | A.6.3, A.8.7 |
| Kryptografie und Verschlüsselung | A.8.24 |
| Personal, Zugriffskontrolle und Assets | A.5.9, A.6.1 bis A.6.6, A.8.2 bis A.8.5 |
| Multi-Faktor-Authentifizierung und Notfallkommunikation | A.8.5, A.8.20, A.5.29 |
Die zehn Bereiche im Detail behandelt der Ratgeber zu den NIS2-Maßnahmen nach §30 BSIG. Einen Überblick über den vollständigen Maßnahmenkatalog liefert die Erklärung zum ISO 27001 Annex A mit seinen 93 Controls. Die Tabelle zeigt: Wer ein ISMS betreibt, hat die inhaltliche Arbeit für NIS2 zum größten Teil schon geleistet.
Eine Maßnahme, mehrere Normen
Sehen Sie in einer kurzen Demo, wie VANTARIS jede Maßnahme einmal erfasst und automatisch NIS2, ISO 27001 und weitere Normen zuordnet. So sparen Sie sich die doppelte Dokumentation.
Welche NIS2-Pflichten deckt ein ISMS nicht ab?
Drei Bereiche gehen über ein klassisches ISMS hinaus: die Meldepflichten bei Sicherheitsvorfällen, die Registrierung beim BSI und die persönliche Verantwortung der Leitung. Diese Pflichten sind rechtlich verbindlich und lassen sich nicht allein durch technische Controls erfüllen.
Bei den Meldepflichten verlangt NIS2 ein gestuftes Verfahren gegenüber dem BSI: eine Erstmeldung binnen 24 Stunden, eine ausführliche Meldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats. Ein ISMS liefert dafür die Prozesse im Vorfallmanagement, die konkreten Fristen und Adressaten gibt jedoch das Gesetz vor.
Hinzu kommen zwei formale Pflichten. Betroffene Einrichtungen müssen sich beim BSI registrieren, was im ISMS keine direkte Entsprechung hat. Und NIS2 nimmt die Geschäftsleitung ausdrücklich in die Pflicht: Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Ein ISMS unterstützt das mit Berichten und Kennzahlen, die persönliche Verantwortung bleibt aber bei der Leitung.
Wie setzt man NIS2 mit einem bestehenden ISMS um?
Der effizienteste Weg ist ein Normen-Mapping: Sie erfassen jede Maßnahme einmal und ordnen sie allen betroffenen Regelwerken zu. So vermeiden Sie doppelte Dokumentation und sehen auf einen Blick, welche NIS2-Anforderung schon durch ein Control abgedeckt ist.
In der Praxis folgt die Umsetzung 4 Schritten. Zuerst klären Sie Betroffenheit und Geltungsbereich. Dann gleichen Sie den Ist-Stand Ihres ISMS mit den zehn NIS2-Bereichen ab, was einer gezielten Gap-Analyse entspricht. Anschließend schließen Sie die Lücken über konkrete Maßnahmen. Zuletzt ergänzen Sie die formalen NIS2-Pflichten wie Meldeprozess und Registrierung.
Genau hier setzt VANTARIS an: eine Datenbasis, aus der sich NIS2, ISO 27001 und weitere Normen als verschiedene Sichten ableiten. Eine Änderung an einer Maßnahme wirkt sofort in allen Normen, in denen sie verankert ist. Das senkt den Pflegeaufwand spürbar und hält die Nachweise für ein Audit jederzeit aktuell.
Sind Sie überhaupt von NIS2 betroffen?
Bevor Sie umsetzen, sollten Sie wissen, ob NIS2 für Sie gilt. Der NIS2-Betroffenheits-Check ordnet Ihr Unternehmen anhand von Sektor und Größe in wenigen Minuten ein.
Ist eine ISO-27001-Zertifizierung für NIS2 Pflicht?
Nein. NIS2 schreibt kein bestimmtes Zertifikat vor. Ein Unternehmen kann die Anforderungen auch mit einem nicht zertifizierten ISMS erfüllen. Eine Zertifizierung nach ISO 27001 ist aber ein anerkannter Nachweis, der die Umsetzung gegenüber Aufsicht, Kunden und Partnern belegt.
In der Praxis erleichtert ein Zertifikat den Nachweis erheblich, weil ein unabhängiger Auditor die Wirksamkeit bestätigt hat. Pflicht ist es nicht, sinnvoll aber oft schon. Wer den Aufwand zunächst scheut, kann mit einem ISMS starten und die Zertifizierung später nachholen. Wie das Verfahren abläuft, zeigt der Leitfaden zum ISO 27001 Ablauf.
Für viele Zulieferer und Dienstleister ist der Nachweis ohnehin doppelt nützlich. Wer nach ISO 27001 zertifiziert ist, erfüllt nicht nur NIS2 leichter, sondern kann das Zertifikat auch in Ausschreibungen und Lieferkettenprüfungen vorlegen. So wird aus einer regulatorischen Pflicht ein handfestes Argument im Wettbewerb um neue Aufträge.
Häufige Fragen zu NIS2 und ISO 27001
Deckt ISO 27001 automatisch NIS2 ab?
Nicht automatisch, aber zu einem großen Teil. Ein ISMS nach ISO 27001 erfüllt die inhaltlichen Risikomanagement-Anforderungen aus §30 BSIG weitgehend. Es fehlen die formalen NIS2-Pflichten wie Meldeverfahren, Registrierung beim BSI und die persönliche Verantwortung der Leitung. Diese müssen ergänzt werden.
Was ist der Unterschied zwischen NIS2 und ISO 27001?
NIS2 ist eine gesetzliche Pflicht für bestimmte Sektoren, umgesetzt im BSIG. ISO 27001 ist eine freiwillige internationale Norm für ein Managementsystem. NIS2 sagt, was gefordert ist, ISO 27001 liefert die bewährte Methode, um es umzusetzen und nachzuweisen.
Welche NIS2-Fristen gelten für die Meldung von Vorfällen?
NIS2 verlangt ein gestuftes Verfahren gegenüber dem BSI: eine Erstmeldung binnen 24 Stunden nach Kenntnis, eine ausführliche Meldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats. Ein ISMS liefert die internen Prozesse, die Fristen selbst gibt das Gesetz vor.
Muss man sich für NIS2 nach ISO 27001 zertifizieren lassen?
Nein. NIS2 schreibt kein bestimmtes Zertifikat vor. Die Anforderungen lassen sich auch mit einem nicht zertifizierten ISMS erfüllen. Eine ISO-27001-Zertifizierung ist jedoch ein anerkannter Nachweis, der die Umsetzung gegenüber Aufsicht und Geschäftspartnern glaubhaft belegt.
Was regelt §30 BSIG?
§30 BSIG setzt Artikel 21 der NIS2-Richtlinie in deutsches Recht um. Er verpflichtet betroffene Einrichtungen zu zehn Bereichen technischer und organisatorischer Risikomanagementmaßnahmen, von der Risikoanalyse über das Vorfallmanagement bis zur Lieferkettensicherheit. Die meisten dieser Bereiche entsprechen Controls aus dem Annex A der ISO 27001.
Wie viel Aufwand spart ein bestehendes ISMS bei NIS2?
Erheblich, denn die inhaltliche Arbeit ist zum größten Teil geleistet. Wer ein ISMS betreibt, muss vor allem die formalen Pflichten ergänzen und den Ist-Stand gegen die zehn NIS2-Bereiche abgleichen. Ein Normen-Mapping verhindert dabei doppelte Dokumentation und macht Lücken sofort sichtbar.
Fakten und Quellen auf einen Blick
| Fakt | Beleg |
|---|---|
| Rechtsgrundlage NIS2 | Richtlinie (EU) 2022/2555 (EUR-Lex) |
| Deutsche Umsetzung | §30 BSIG, zehn Maßnahmenbereiche (gesetze-im-internet.de) |
| Managementsystem-Norm | ISO/IEC 27001:2022, 93 Annex-A-Controls (iso.org) |
| Meldefristen | 24 Stunden, 72 Stunden, 1 Monat an das BSI |
| Deckungsgrad ISMS zu NIS2 | Großteil der Anforderungen, als Orientierung, kein fester Wert |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.