Reicht Ihr ISMS und welche Lücken müssen Sie konkret schließen? Sie haben ISO 27001 bereits umgesetzt oder planen die Zertifizierung. Jetzt stellt sich die nächste Frage: Deckt Ihr ISMS auch die Anforderungen von NIS2 ab? Die Antwort in Kürze: Nein, nicht automatisch. ISO 27001 liefert die Struktur für Ihr Informationssicherheits-Managementsystem. NIS2 verlangt darüber hinaus konkrete technische und organisatorische Maßnahmen, feste Meldefristen und eine persönliche Haftung der Geschäftsführung. Ein ISMS nach ISO 27001 ist damit eine gute Ausgangsbasis, aber kein Nachweis vollständiger NIS2-Konformität. In diesem Beitrag zeigen wir das Mapping NIS2 ISO 27001 im Detail: welche NIS2-Anforderung durch welche ISO-27001-Klausel oder Annex-A-Kontrolle abgedeckt istwo die typischen Lücken liegenwelche Nachweise Sie für eine NIS2-Prüfung vorbereiten sollten Kurz zur Einordnung: Ob Ihr Unternehmen überhaupt unter NIS2 fällt, hängt von Sektor, Größe und Rolle in der Lieferkette ab. Eine ausführliche Einordnung dazu finden Sie in unserem Beitrag NIS2: Wer ist betroffen?. Dieser Artikel setzt voraus, dass Ihre Betroffenheit bereits geklärt ist, und konzentriert sich auf das Mapping zu ISO 27001. Was regelt NIS2, was regelt ISO 27001? Die Unterschiede zwischen NIS2 und ISO 27001 NIS2 ist ein Gesetz, ISO 27001 ist ein Managementstandard. Dieser Unterschied bestimmt, warum die beiden Regelwerke sich ergänzen, aber nicht deckungsgleich sind. Die NIS2-Richtlinie (EU 2022/2555) wurde in Deutschland über eine Novelle des BSI-Gesetzes (BSIG) in nationales Recht überführt. §30 BSIG schreibt vor, welche Risikomanagement- und Sicherheitsmaßnahmen wesentliche und wichtige Einrichtungen umsetzen müssen. Diese regulatorischen Anforderungen sind teils abstrakt formuliert, etwa „Stand der Technik", teils sehr konkret, etwa die gestufte Meldefrist nach §32 BSIG: Erstmeldung binnen 24 Stunden, Zwischenmeldung binnen 72 Stunden, Abschlussbericht nach einem Monat. ISO/IEC 27001 ist dagegen ein internationaler Managementstandard. Er beschreibt, wie ein Informationssicherheits-Managementsystem (ISMS) aufgebaut, betrieben und durch kontinuierliche Verbesserung weiterentwickelt wird. Anhang A enthält 93 konkrete Sicherheitsmaßnahmen, sogenannte Controls, in vier Themenbereichen. Der zentrale Unterschied lässt sich so zusammenfassen:MerkmalNIS2 (BSIG)ISO 27001RechtsnaturGesetzliche Pflicht für betroffene EinrichtungenFreiwilliger StandardNachweisformRegistrierung beim BSI ist Pflicht. Konkrete Prüf- und Nachweisform ist noch nicht abschließend geregelt, absehbar wohl ISMS-Nachweis/Zertifizierung für besonders wichtige Einrichtungen, Selbstauskunft für übrige Einrichtungen (analog zur KRITIS-Praxis)Optional: Zertifizierung durch akkreditierte StelleFokusSicherer Betrieb jeglicher IT-gestützter Infrastruktur, Risikomanagement, Meldepflicht, Governance-HaftungAufbau und Betrieb eines übergreifenden Security-Managements (ISMS)DetailgradTeils konkrete technische Vorgaben (§30 Abs. 2)Prozessrahmen mit Controls (Annex A) Sanktion bei VerstoßBußgelder, persönliche Haftung der GeschäftsführungVerlust des Zertifikats, kein gesetzliches Bußgeld, aber mittelbare Folgen möglich, etwa Vertragsverlust bei Kunden, die eine Zertifizierung voraussetzenDas Bundesamt für Sicherheit in der Informationstechnik (BSI) selbst ordnet ISO 27001 als geeignete Grundlage ein, mit der sich viele NIS2-Anforderungen strukturell abbilden lassen. Es macht aber deutlich, dass Zertifizierung und Gesetzeserfüllung zwei unterschiedliche Dinge bleiben. Für Betreiber kritischer Infrastrukturen gilt diese Einschränkung besonders, da hier zusätzliche branchenspezifische Pflichten greifen. Das Kontroll-Mapping: Welche NIS2-Anforderung entspricht welcher ISO-27001-Klausel? Ein Mapping zeigt, welche ISO-27001-Klausel oder Annex-A-Kontrolle eine NIS2-Anforderung ganz, teilweise oder gar nicht abdeckt. Genau diese Zuordnung entscheidet, wo Ihr bestehendes ISMS bereits greift.NIS2-Anforderung (§30/§31 BSIG)Relevante ISO-27001-Klausel/Annex A (laut OpenKRITIS)Deckungsgrad (eigene Einschätzung)Konzepte zur Risikoanalyse (Nr. 1)6.1, 8.2, 8.3, 10.1, A.5.30, A.5.35, A.5.36HochKonzepte für IT-Sicherheit, ISMS (Nr. 1)4.1–10.2, A.5.1–A.5.4, A.5.31, A.5.35, A.5.36, A.5.37HochBewältigung von Sicherheitsvorfällen (Nr. 2)A.5.2, A.5.24–A.5.28, A.5.30, A.6.8, A.8.9, A.8.15, A.8.16HochAufrechterhaltung des Betriebs, BCM (Nr. 3)teilweise, A.5.29–A.5.31, A.7.11MittelBackup-Management (Nr. 3)A.8.6, A.8.13, A.8.14, A.8.16HochWiederherstellung nach Notfällen, DR (Nr. 3)A.5.29, A.5.30MittelKrisenmanagement (Nr. 3)keine EntsprechungGeringSicherheit der Lieferkette (Nr. 4)A.5.19–A.5.23MittelSicherheitsaspekte zu Anbietern/Dienstleistern (Nr. 4)A.5.19–A.5.23MittelSicherheit beim Einkauf von IT (Nr. 5)A.5.19, A.5.20, A.5.22, A.5.23, A.8.30MittelSicherheit bei Entwicklung von IT (Nr. 5)A.5.8, A.8.25–A.8.30MittelSicherheit bei Wartung von IT (Nr. 5)A.7.13, A.8.9, A.8.19, A.8.31, A.8.32MittelManagement und Offenlegung von Schwachstellen (Nr. 5)A.5.7, A.8.8, A.8.19, A.8.32–A.8.34HochBewertung der Wirksamkeit von Maßnahmen (Nr. 6)9.1–9.3, A.5.31, A.5.36, A.8.34HochCyberhygiene und Awareness (Nr. 7)7.3, 9, A.6.3, A.7.7HochSchulungen Informationssicherheit (Nr. 7)7.2, 9, A.6.3, A.6.5HochKryptografie und Verschlüsselung (Nr. 8)A.5.1, A.5.14, A.5.31, A.8.20, A.8.21, A.8.24, A.8.33HochPersonalsicherheit (Nr. 9)7.2, 7.3, A.5.8, A.5.14, A.5.20, A.6.1–A.6.6HochKonzepte für Zugriffskontrolle (Nr. 9)A.5.15, A.5.18MittelManagement von Anlagen, Asset Management (Nr. 9)A.5.9–A.5.13, A.7.9, A.7.10, A.7.14, A.8.3, A.8.10HochPhysische Sicherheit (Nr. 9)A.7.1–A.7.9, A.7.11–A.7.13MittelMulti-Faktor-Authentifizierung (Nr. 10)A.5.17, A.8.5, A.8.24MittelGesicherte Sprach-, Video-, Textkommunikation (Nr. 10)A.8.20, A.8.21GeringGesicherte Notfallkommunikationssysteme (Nr. 10)A.8.14GeringBesondere Maßnahmen für Betreiber kritischer Anlagen (§31 Abs. 1)6.1.3, 8.3, A.5.31GeringSysteme zur Angriffserkennung (§31 Abs. 2)keine spezifische Entsprechung, allenfalls Kap. 8.16, A.8.16 als TeilaspektGering Wichtig für die Einordnung: Der Deckungsgrad ist eine eigene redaktionelle Einschätzung auf Basis der Kontrollbreite der zugeordneten ISO-27001-Klauseln, keine offizielle Aussage von BSI oder Zertifizierungsstellen. ISO 27001 selbst gibt keinen Detailgrad vor: Die Norm verlangt nur, dass ein Thema adressiert wird, nicht wie tief. Ob eine Kontrolle im Einzelfall ausreicht, hängt deshalb weniger vom Control selbst als von dessen konkreter Ausgestaltung im ISMS ab. „Hoch" bedeutet in dieser Einschätzung, dass ISO 27001 mehrere einschlägige Controls mit klarem inhaltlichem Bezug bereitstellt. „Mittel" bedeutet, dass die Controls das Thema anschneiden, aber NIS2-spezifische Details offenlassen. „Gering" bedeutet, dass ISO 27001 keine oder nur eine sehr allgemeine Entsprechung liefert. In keinem Fall bedeutet ein hoher Deckungsgrad, dass die NIS2-Anforderung damit automatisch erfüllt ist. Ob eine Kontrolle tatsächlich ausreicht, hängt vom individuellen Scope Ihres ISMS und der Tiefe der Umsetzung ab. Für Betreiber kritischer Infrastrukturen gilt zusätzlich §31 BSIG mit weiteren Pflichten, etwa zu Systemen zur Angriffserkennung. Diese sind im Standard-Mapping nicht vollständig abgedeckt und erfordern eine gesonderte Betrachtung im NIS2-ISMS. Die größten Lücken: Was ISO 27001 nicht automatisch mitliefert Drei Themenblöcke fallen in der Praxis regelmäßig durch das Raster, auch bei einem etablierten ISO-27001-ISMS. Wer diese Lücken kennt, kann Aufwand und Budget gezielter planen. 01 Meldepflichten mit festen Fristen Nach §32 BSIG gilt eine dreistufige Meldefrist: Erstmeldung binnen 24 Stunden, Zwischenmeldung binnen 72 Stunden, Abschlussbericht nach einem Monat. ISO 27001 fordert in A.5.24 bis A.5.28 ein Incident Management, aber keine konkreten Fristen gegenüber einer Behörde. Ein ISMS-Prozess muss deshalb um einen eigenen, fristgebundenen Incident-Response-Prozess an das BSI ergänzt werden. Hier zeigt sich besonders deutlich, dass ISO 27001 nicht ausreicht, wenn es um behördliche Fristen geht. 02 Persönliche Haftung der Geschäftsführung §38 BSIG verankert die Verantwortung für Risikomanagementmaßnahmen ausdrücklich auf Leitungsebene und macht Schulungen der Geschäftsführung zur Pflicht. ISO 27001 kennt in Kapitel 5.1 die Verantwortung der obersten Leitung, ohne diese im gleichen Maß rechtlich zuzuspitzen. Die Dokumentation von Geschäftsführungsentscheidungen gewinnt unter NIS2 und ISO 27001 gemeinsam an Gewicht, da beide Regelwerke Nachweise auf Managementebene verlangen. 03 Lieferkettensicherheit über die eigene Prüfpflicht hinaus NIS2 verlangt in §30 Abs. 2 Nr. 4, dass wesentliche und wichtige Einrichtungen die Sicherheit ihrer Zuliefererkette sicherstellen. A.5.19 bis A.5.23 in ISO 27001 decken die Lieferantenbeziehung mit konkreten Controls zu Sicherheitsanforderungen, Vereinbarungen und Überwachung von Lieferanten ab. Weitere Lücken betreffen häufig das Krisenmanagement nach §30 Abs. 2 Nr. 3, für das es im Standard-Mapping keine eindeutige ISO-27001-Entsprechung gibt, sowie Systeme zur Angriffserkennung nach §31 Abs. 2 für Betreiber kritischer Infrastrukturen. Wer ausschließlich auf ISO 27001 setzt, ohne diese Anforderungen bewusst zu adressieren, deckt diese Bereiche in der Regel nicht vollständig ab. Was zur NIS2-Konformität zusätzlich zu ISO 27001 gehört Ein ISMS oder gar ein ISO-27001-Zertifikat allein macht ein Unternehmen nicht NIS2-konform. Wie eine spätere Prüfung durch das BSI im Detail ablaufen wird, ist noch nicht abschließend geregelt. Einzelne Nachweise ergeben sich aber bereits direkt aus dem Gesetzestext und lassen sich unabhängig davon aufbauen. Folgende Punkte sind für die NIS2-Konformität durch das BSI-Gesetz bereits konkret vorgegeben: Registrierung beim BSI Nach §33 BSIG müssen sich betroffene Einrichtungen im BSI-Portal registrieren. Ohne diese Registrierung besteht keine NIS2-Konformität, unabhängig vom Stand des ISMS. Eine Registrierung hätte für bereits betroffene Unternehmen bis Ende Juli 2026 erfolgen müssen. Für neu betroffene Unternehmen war sie sehr zeitnah durchzuführen. Funktionierender Meldeprozess §32 BSIG verlangt eine dreistufige Meldung bei Sicherheitsvorfällen: Erstmeldung binnen 24 Stunden, Zwischenmeldung binnen 72 Stunden, Abschlussbericht nach einem Monat. Ein dokumentierter, getesteter Prozess dafür ist Teil der Konformität, nicht nur ein Nice-to-have. Geschulte Geschäftsführung §38 Abs. 3 BSIG macht regelmäßige Schulungen der Leitungsebene zum Risikomanagement zur Pflicht. Ohne Protokolle zu Datum, Inhalt und Teilnehmenden lässt sich diese Pflicht im Zweifel nicht belegen. Für weitere Bereiche, etwa die Lieferkettenprüfung oder das Krisenmanagement, schreibt das Gesetz Maßnahmen vor, aber keine konkrete Nachweisform. Hier ist plausibel, dass sich die Praxis an bestehenden KRITIS-Mechanismen orientiert, etwa an dokumentierten Prüfungen und Selbstauskünften. Eine verbindliche Aussage dazu lässt sich aktuell nicht treffen.Ein zertifiziertes ISMS deckt damit einen großen Teil der inhaltlichen Anforderungen ab. Vollständige NIS2-Konformität entsteht erst, wenn diese gesetzlich fixierten Pflichten ergänzend erfüllt sind. Von der Gap-Analyse zum Maßnahmenplan Soll die Einführung strukturiert angegangen werden, so empfiehlt sich mit einer Gap-Analyse zu starten, um den Umfang der notwendigen Aktivitäten zu erheben. Mapping-Tabelle und Lückenliste sind das Ergebnis einer Gap-Analyse. Der eigentliche Arbeitsschritt liegt danach: die Lücken in eine Reihenfolge bringen und konkreten Verantwortlichen zuordnen. Drei Fragen strukturieren diesen Schritt: 1. Wie gut ist die Anforderung aktuell umgesetzt? Für jede Zeile aus der Mapping-Tabelle festhalten, ob die zugeordneten ISO-27001-Controls im eigenen ISMS vollständig, teilweise oder gar nicht umgesetzt sind. 2. Wer ist zuständig für die Umsetzung? Für jede offene Anforderung festlegen, welcher konkrete Schritt sie schließt, mit welchem Aufwand und in welchem Zeitrahmen. Ein fehlender Meldeprozess erfordert einen anderen Vorlauf als ein fehlendes Schulungsprotokoll, das lässt sich oft innerhalb weniger Wochen nachholen. 3. Wie ließe sich die Umsetzung im Zweifel belegen? Für jede Anforderung überlegen, woran sich erkennen lässt, dass sie tatsächlich gelebt wird: ein Protokoll, eine Richtlinie, aber auch einfach die Einsicht in ein laufendes System oder einen dokumentierten Prozessablauf. Bestehende ISMS-Strukturen lassen sich für diese Maßnahmen meist weiterverwenden. Ein Unternehmen mit etabliertem Risikomanagement nach ISO 27001 muss selten neue Gremien aufbauen, es muss vorhandene Prozesse um die NIS2-spezifischen Fristen und Nachweise erweitern. Häufige Fragen zu NIS2 und ISO 27001 Reicht eine ISO-27001-Zertifizierung automatisch für NIS2? Nein. ISO 27001 deckt viele NIS2-Anforderungen strukturell ab, insbesondere Risikomanagement, Vorfallbehandlung und Zugriffskontrolle. Es fehlen jedoch NIS2-spezifische Elemente wie feste Meldefristen gegenüber dem BSI, die persönliche Haftung der Geschäftsführung und der Nachweis gegenüber der Behörde. Eine ISO 27001 Zertifizierung ist eine gute Grundlage, aber kein vollständiger Nachweis der NIS2-Konformität. Was ist der häufigste Gap zwischen ISO 27001 und NIS2 in der Praxis? Der häufigste Gap betrifft die Meldepflicht. ISO 27001 fordert ein Vorfallmanagement, aber keine gesetzlichen Fristen. NIS2 verlangt nach §32 BSIG eine Erstmeldung binnen 24 Stunden, eine Zwischenmeldung binnen 72 Stunden und einen Abschlussbericht nach einem Monat. Weitere häufige Lücken liegen bei der klaren Verantwortung der Geschäftsführung für Risikomanagemententscheidungen und bei der aktiven Prüfung kritischer Zulieferer, die über eine allgemeine Lieferantenrichtlinie hinausgeht. Kann ich die Mapping-Tabelle für internes Reporting und Maßnahmenplanung nutzen? Ja. Die Zuordnung von NIS2-Anforderungen zu ISO-27001-Klauseln eignet sich als Grundlage für ein Tracking-Dokument, das den Status jeder Anforderung, verantwortliche Personen und offene Maßnahmen festhält. Sie ersetzt keine individuelle Gap-Analyse, denn diese Tabelle bildet nur die generische Zuordnung ab, nicht den tatsächlichen Umsetzungsstand im eigenen Unternehmen. Für eine belastbare Einschätzung muss jede Zeile gegen den eigenen ISMS-Scope geprüft werden. Quellen 1. Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2-Richtlinie) https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555 2. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz – BSIG), insbesondere §30 (Risikomanagementmaßnahmen), §31 (zusätzliche Pflichten für Betreiber kritischer Anlagen), §32 (Meldepflichten), §33 (Registrierung), §38 (Verantwortung und Schulung der Geschäftsführung) https://www.gesetze-im-internet.de/bsig_2025/BJNR12D0B0025.html 3. OpenKRITIS NIS2 Security Mapping – Zuordnung der BSIG-Anforderungen zu ISO-27001-Klauseln/Annex-A-Controls, Stand 18.07.2026 https://www.openkritis.de/massnahmen/nis2-mapping-standards-implementing.html 4. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 zur Konkretisierung technischer und methodischer Anforderungen der NIS-2-Richtlinie für bestimmte Kategorien von Einrichtungen https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj?locale=de 5. BSI – NIS-2-regulierte Unternehmen: Zentrale BSI-Übersichtsseite mit Hilfestellungen für NIS2-regulierte Unternehmen, unter anderem zur Betroffenheitsprüfung, Risikoanalyse und Meldepflichten https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html < Zurück zur Übersicht ISMS NIS2
Registrierung beim BSI Nach §33 BSIG müssen sich betroffene Einrichtungen im BSI-Portal registrieren. Ohne diese Registrierung besteht keine NIS2-Konformität, unabhängig vom Stand des ISMS. Eine Registrierung hätte für bereits betroffene Unternehmen bis Ende Juli 2026 erfolgen müssen. Für neu betroffene Unternehmen war sie sehr zeitnah durchzuführen.
Funktionierender Meldeprozess §32 BSIG verlangt eine dreistufige Meldung bei Sicherheitsvorfällen: Erstmeldung binnen 24 Stunden, Zwischenmeldung binnen 72 Stunden, Abschlussbericht nach einem Monat. Ein dokumentierter, getesteter Prozess dafür ist Teil der Konformität, nicht nur ein Nice-to-have.
Geschulte Geschäftsführung §38 Abs. 3 BSIG macht regelmäßige Schulungen der Leitungsebene zum Risikomanagement zur Pflicht. Ohne Protokolle zu Datum, Inhalt und Teilnehmenden lässt sich diese Pflicht im Zweifel nicht belegen.
1. Wie gut ist die Anforderung aktuell umgesetzt? Für jede Zeile aus der Mapping-Tabelle festhalten, ob die zugeordneten ISO-27001-Controls im eigenen ISMS vollständig, teilweise oder gar nicht umgesetzt sind.
2. Wer ist zuständig für die Umsetzung? Für jede offene Anforderung festlegen, welcher konkrete Schritt sie schließt, mit welchem Aufwand und in welchem Zeitrahmen. Ein fehlender Meldeprozess erfordert einen anderen Vorlauf als ein fehlendes Schulungsprotokoll, das lässt sich oft innerhalb weniger Wochen nachholen.
3. Wie ließe sich die Umsetzung im Zweifel belegen? Für jede Anforderung überlegen, woran sich erkennen lässt, dass sie tatsächlich gelebt wird: ein Protokoll, eine Richtlinie, aber auch einfach die Einsicht in ein laufendes System oder einen dokumentierten Prozessablauf.