NIS2 und ISO 27001: Was ein Zertifikat abdeckt – und was nicht
Kaum eine Frage fällt in NIS2-Gesprächen so zuverlässig wie diese: Wir sind nach ISO 27001 zertifiziert – sind wir damit nicht durch? Die ehrliche Antwort lautet: in weiten Teilen ja, in entscheidenden Punkten nein.
Die Überschneidung ist erheblich. Ein funktionierendes Informationssicherheits-Managementsystem nach ISO 27001 deckt die meisten der zehn Maßnahmenbereiche des § 30 BSIG inhaltlich ab: Risikoanalyse, Incident-Management, Betriebskontinuität, Zugriffskontrolle, Kryptografie, Lieferantensteuerung. Wer ein gelebtes ISMS betreibt, hat für die materielle Seite der NIS2-Pflichten eine belastbare Grundlage – und dem BSI gegenüber ein starkes Indiz für angemessenes Risikomanagement.
Die Lücken liegen im Verfahrensrecht
Das BSIG kennt allerdings Pflichten, die keine Norm der Welt automatisch erfüllt. Die Registrierung nach §§ 33 und 34 muss aktiv beim BSI erfolgen – ein Zertifikat meldet niemanden an. Die dreistufige Meldepflicht des § 32 verlangt Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und einen Abschlussbericht; ISO 27001 fordert zwar Incident-Prozesse, aber nicht diese konkreten behördlichen Fristen und Empfänger. Und § 38 adressiert die Geschäftsleitung persönlich, einschließlich regelmäßiger, nachweisbarer Schulungen – eine Governance-Anforderung, die über die übliche Management-Bewertung des ISMS hinausgeht.
Hinzu kommt eine praktische Differenz: Die ISO-Zertifizierung prüft das Managementsystem in einem definierten Geltungsbereich. Der kann enger sein als der Anwendungsbereich des BSIG, etwa wenn nur das Rechenzentrum zertifiziert ist, das Gesetz aber die Einrichtung als Ganzes meint. Wer sein Zertifikat als NIS2-Nachweis nutzen will, sollte den Scope daraufhin prüfen.
Sinnvoll ist deshalb keine Entweder-oder-Entscheidung, sondern eine Zuordnung: Das ISMS liefert die inhaltliche Substanz, ergänzt um die BSIG-spezifischen Verfahren – Registrierung, Meldewege, Leitungsnachweise. Für Unternehmen ohne Zertifizierungsambitionen gilt umgekehrt: NIS2 verlangt kein Zertifikat. Ein dokumentierter Selbst-Check entlang der zehn Bereiche mit Maßnahmen und Wiedervorlagen, wie ihn das Modul NIS2 abbildet, erfüllt den gesetzlichen Zweck – und kann später die Grundlage für eine Zertifizierung sein.
