ISO 27001 vs. NIS2: wie sich beide aufeinander abbilden lassen und wie Sie beides nur einmal umsetzen

Ein ISMS nach ISO 27001:2022 deckt rund 70 bis 80 % dessen ab, was Artikel 21 NIS2 verlangt. Von den zehn Maßnahmen in Artikel 21(2) sind fünf vollständig und fünf teilweise abgedeckt. Keine ist eine vollständige Lücke. Der Rest besteht darin, die fünf teilweise abgedeckten Maßnahmen zu vertiefen und fünf NIS2-Pflichten zu erfüllen, die kein ISMS enthält. Führen Sie ein Programm, nicht zwei.

Dieser Leitfaden behandelt die Zuordnung, die Stellen, an denen „teilweise“ wehtut, was NIS2 zusätzlich verlangt, die richtige Reihenfolge, die Kosten und die Stelle, an der beide Rahmenwerke enden.

Maßnahme nach Artikel 21(2) NIS2	Abgedeckt durch ISO 27001	Wo NIS2 mehr verlangt
(a) Risikoanalyse und Leitlinie zur Informationssicherheit	Vollständig	—
(b) Bewältigung von Sicherheitsvorfällen	Teilweise	Externe informieren, und zwar innerhalb fester Fristen
(c) Aufrechterhaltung des Betriebs und Krisenmanagement	Teilweise	Operative Resilienz des Dienstes, einschließlich Krisenmanagement und Backup
(d) Sicherheit der Lieferkette	Teilweise	Die Abhängigkeiten hinter Ihren direkten Lieferanten
(e) Sicherheit bei Erwerb, Entwicklung und Wartung	Vollständig	—
(f) Bewertung der Wirksamkeit der Maßnahmen	Vollständig	—
(g) Cyberhygiene und Schulungen	Teilweise	Schulung als Pflicht des Leitungsorgans
(h) Kryptografie und Verschlüsselung	Vollständig	—
(i) Personalsicherheit, Zugriffskontrolle, Asset-Management	Vollständig	—
(j) MFA, gesicherte Kommunikation und Notfallkommunikation	Teilweise	MFA und gesicherte Notfallkommunikation im Einsatz, nicht nur ausgewählt

So lesen Sie die Tabelle: Bauen Sie ein ISMS ordentlich auf, dann haben Sie den größten Teil von Artikel 21 erledigt, ohne ein NIS2-Projekt begonnen zu haben. Die Einzelheiten jeder Maßnahme finden Sie in den Maßnahmen nach Artikel 21 NIS2.

Wo deckt ISO 27001 NIS2 nur teilweise ab?

„Teilweise“ trägt in dieser Tabelle viel Gewicht. Deshalb hier die fünf Maßnahmen im Einzelnen.

Bewältigung von Sicherheitsvorfällen. ISO 27001 verlangt, dass Sie Vorfälle erkennen, darauf reagieren, daraus lernen und sich verbessern. Dazu, jemanden außerhalb zu informieren, sagt sie nichts. NIS2 schon, und zwar mit festen Fristen (siehe unten).

Betriebskontinuität. ISO 27001 verlangt die Kontinuität der Informationssicherheit. NIS2 verlangt die operative Resilienz des Dienstes, einschließlich Krisenmanagement und Backup-Vorkehrungen auf einem Niveau, das ein ISMS nicht zwingend erreicht.

Lieferkette. Die Controls 5.19 bis 5.22 aus Anhang A der ISO 27001 decken Ihre direkten Lieferanten ab. NIS2 erwartet, dass Sie auch die Abhängigkeiten dahinter betrachten und Anforderungen weitergeben. Wenn Ihre Kunden Ihnen bereits Lieferantenfragebögen schicken, ist das derselbe Mechanismus, nur auf Sie gerichtet. Beschrieben ist er in Lieferkettensicherheit unter NIS2.

Cyberhygiene und Schulung. ISO 27001 verlangt Bewusstsein und Kompetenz. NIS2 verlangt dies ausdrücklich vom Leitungsorgan und macht es zu dessen Pflicht statt zu einem Eintrag im Schulungsnachweis. Siehe Schulungsanforderungen für Leitung und Beschäftigte.

MFA und gesicherte Kommunikation. ISO 27001 nennt Authentifizierung als ein auszuwählendes Control. NIS2 nennt Multi-Faktor-Authentifizierung und gesicherte Notfallkommunikation als etwas, das Sie einsetzen. Ein Control, das als anwendbar markiert und teilweise ausgerollt ist, besteht das eine und nicht das andere.

Was verlangt NIS2, was ISO 27001 nicht verlangt?

Fünf Pflichten, und genau sie überraschen alle, die angenommen hatten, ein Zertifikat würde die Sache erledigen.

1. Meldefristen für Sicherheitsvorfälle

Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats, jeweils an Ihr CSIRT oder Ihre zuständige Behörde. ISO 27001 kennt weder eine entsprechende Pflicht noch Fristen. Ein Fehler hier ist ein Meldeversäumnis, kein Sicherheitsversäumnis, und er bemisst sich in Stunden. Die Abläufe beschreibt der NIS2-Zeitplan für die Meldung von Sicherheitsvorfällen.

2. Haftung des Leitungsorgans

Artikel 20 überträgt die Billigung und Überwachung der Maßnahmen dem Leitungsorgan und macht es dafür verantwortlich. ISO 27001 verlangt die Verpflichtung der obersten Leitung, was rechtlich nicht dasselbe ist. Siehe Verantwortung der Leitung unter NIS2.

3. Registrierung

Betroffene Einrichtungen müssen sich bei der nationalen Behörde registrieren. Das ist rein administrativ, hat keine Entsprechung in ISO 27001 und wird leicht komplett übersehen.

4. Koordinierte Offenlegung von Schwachstellen

NIS2 erwartet die Teilnahme am EU-Mechanismus. ISO 27001 deckt das interne Schwachstellenmanagement ab, nicht die externe Koordination.

5. Zuständigkeit

Welcher Mitgliedstaat Sie beaufsichtigt, ist eine NIS2-Frage mit einer konkreten Antwort, und sie ist wichtig, wenn Sie in mehreren Mitgliedstaaten tätig sind. Für ISO 27001 spielt Ihr Standort keine Rolle. Siehe welche Zuständigkeit gilt.

Beachten Sie, was diese fünf gemeinsam haben. Keine davon ist eine Sicherheitsmaßnahme. Alle sind Pflichten der Organisation, und vier der fünf lassen sich mit einem Zertifikat nicht nachweisen.

Sollten Sie mit ISO 27001 oder mit NIS2 beginnen?

Klären Sie zuerst den NIS2-Geltungsbereich, ziehen Sie das ISMS darum herum und bauen Sie ein einziges Control-Set für beide auf. Diese Schritte kosten wenig, wenn Sie früh entscheiden.

1. Klären Sie, ob Sie überhaupt betroffen sind. Tun Sie das vor allem anderen. Der NIS2-Check zum Geltungsbereich dauert wenige Minuten, und die Kategorien erklärt wesentliche und wichtige Einrichtungen im Vergleich.
2. Ziehen Sie die NIS2-Grenze vor dem ISMS-Geltungsbereich. Der Geltungsbereich nach ISO 27001 ist Ihre Entscheidung. Der NIS2-Geltungsbereich ist eine Frage des Gesetzes und nicht verhandelbar. Bestimmen Sie zuerst die Grenze des regulierten Dienstes und ziehen Sie dann Ihren ISMS-Geltungsbereich so, dass er diese enthält. Ziehen Sie zuerst den engstmöglichen ISO-Geltungsbereich und stellen dann fest, dass der regulierte Dienst zur Hälfte außerhalb liegt, müssen Sie die Risikobeurteilung und die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) neu erstellen. Das ist die Falle aus Geltungsbereich und Erklärung zur Anwendbarkeit, hier zusätzlich mit rechtlichen Folgen.
3. Bauen Sie ein Control-Set auf, nicht zwei. Setzen Sie ein Control einmal um, bilden Sie es auf beide Rahmenwerke ab und weisen Sie es einmal nach. Zwei Register, zwei Richtliniensätze und zwei Nachweisordner für dieselben Controls sind hier der häufigste und teuerste Fehler. Er verstärkt sich mit der Zeit, weil jedes künftige Rahmenwerk ebenfalls einen eigenen Ordner bekommt.

Ist es günstiger, ISO 27001 und NIS2 gemeinsam umzusetzen?

Ja. Wenn ein Kunde Sie zu ISO 27001 drängt und eine Aufsichtsbehörde zu NIS2, führen Sie das nicht als zwei Projekte. Getrennt zahlen Sie doppelt für Gap-Analyse, Richtlinienarbeit, Nachweiserhebung und internen Aufwand. Der interne Aufwand ist in beiden Fällen der größte Posten, wie in Was ISO 27001 ein KMU wirklich kostet dargestellt.

Gemeinsam zahlen Sie die 70 bis 80 % nur einmal. Der zusätzliche NIS2-Aufwand besteht aus den fünf Pflichten oben und der Vertiefung der fünf teilweise abgedeckten Maßnahmen. In einem Unternehmen mit 20 bis 250 Beschäftigten sind das Wochen, nicht Monate, und überwiegend organisatorische statt technische Arbeit.

Macht eine ISO-27001-Zertifizierung NIS2-konform?

Nein. Das Einzige, was Sie nicht zusammenlegen können, ist das Zertifikat. ISO 27001 wird von einer Zertifizierungsstelle auditiert. NIS2 wird von einer Behörde beaufsichtigt, und die Aufsicht über wichtige Einrichtungen erfolgt in der Regel reaktiv statt als planmäßiges Audit.

Ein Zertifikat entbindet nicht von der NIS2-Pflicht. Eine ISO-27001-Zertifizierung bleibt dennoch der effizienteste Weg, den größten Teil davon nachweisen zu können. Diesen Punkt behandelt Zertifizierungsnormen unter NIS2.

Wo stoßen ISO 27001 und NIS2 an ihre Grenzen?

An derselben Stelle. ISO 27001 verlangt, dass Sie Controls auswählen und umsetzen. NIS2 verlangt dem Risiko angemessene Maßnahmen. Beide sind gegenüber der Qualität des Ergebnisses neutral.

Control A.8.8 und Artikel 21(2)(e) verlangen beide, dass Sie technische Schwachstellen behandeln. Beide sind mit einem dokumentierten Prozess samt monatlichem Scan erfüllt, unabhängig davon, ob die kritischen Befunde dieses Scans behoben wurden. Beide verlangen Protokollierung. Keines fragt, ob jemand die Protokolle liest. Artikel 21(2)(b) und Control A.5.24 verlangen beide eine Bewältigung von Sicherheitsvorfällen, und ein schriftliches Verfahren erfüllt sie, während nichts in Ihrer IT-Umgebung tatsächlich Alarm schlagen würde.

Beides einmal umzusetzen bringt Ihnen also ein Control-Set, eine Nachweisführung und zwei erfüllte Pflichten zu etwas mehr als dem Preis von einer. Es sagt Ihnen nicht, ob ein Einbruch bemerkt würde. Dafür braucht es Erkennung und Exposure-Management, die laufend arbeiten und ihre Befunde in dieselbe Nachweisführung zurückspielen: die Hälfte des Problems, die beide Rahmenwerke beschreiben und keines selbst leistet. Der schnellste Weg zu sehen, welche Ihrer Lücken die Dokumentation betreffen und welche technischer Natur sind, ist ein strukturiertes Audit, bevor Sie sich festlegen.

Checkliste für ISO 27001 und NIS2

• Klären Sie, ob NIS2 für Sie gilt und in welcher Kategorie.
• Ziehen Sie die Grenze des regulierten Dienstes vor dem ISMS-Geltungsbereich.
• Bauen Sie ein einziges Control-Set auf, das auf beide Rahmenwerke abgebildet ist, mit einer einzigen Nachweisführung.
• Vertiefen Sie die fünf teilweise abgedeckten Maßnahmen auf das Niveau, das NIS2 verlangt, nicht auf das, was das ISMS verlangt.
• Stellen Sie sicher, dass Sie die Meldefristen von 24 Stunden, 72 Stunden und einem Monat einhalten können.
• Übertragen Sie die Billigung und Überwachung der Maßnahmen dem Leitungsorgan.
• Registrieren Sie sich bei der nationalen Behörde und klären Sie, welcher Mitgliedstaat Sie beaufsichtigt.

Häufige Fragen