Braucht es für NIS-2 ein ISO-27001-Zertifikat? Nein – das Gesetz verlangt kein Zertifikat. Es verlangt wirksame Maßnahmen zum Risikomanagement nach dem Stand der Technik und den Nachweis, dass sie umgesetzt sind. Genau dabei kann die ISO 27001 helfen.
Was das Gesetz verlangt
Nach § 30 BSIG müssen besonders wichtige und wichtige Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen. Die Maßnahmen sollen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen. Die Einhaltung ist zu dokumentieren. Eine bestimmte Norm oder ein Zertifikat schreibt das Gesetz nicht vor.
Das Gesetz nennt Themen, die mindestens abzudecken sind – darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Was die ISO 27001 leistet
- Struktur: ein Managementsystem mit Risiken, Maßnahmen und klaren Verantwortlichkeiten.
- Nachweisbarkeit: dokumentierte Entscheidungen, interne Audits und Managementbewertung.
- Anerkennung: Kunden, Partner und Prüfer kennen die Norm und können ein Zertifikat einordnen.
- Verbesserung: ein fester Zyklus, der das System aktuell hält.
Was ein Zertifikat nicht abdeckt
- Registrierung: Die Pflicht, sich beim BSI zu registrieren, besteht unabhängig von jeder Zertifizierung.
- Meldepflichten: Die Fristen von 24 Stunden, 72 Stunden und einem Monat verlangen einen eigenen, geübten Meldeprozess.
- Pflichten der Geschäftsleitung: Umsetzung, Überwachung und Schulung liegen bei der Leitung selbst.
- Geltungsbereich: Ein Zertifikat gilt nur für seinen Geltungsbereich. Deckt er die betroffenen Dienste nicht vollständig ab, bleibt eine Lücke.
- Einzelne Anforderungen: Themen wie Lieferkette oder Multi-Faktor-Authentifizierung müssen in der Tiefe umgesetzt sein, die das Gesetz verlangt.
Welcher Weg passt?
Für viele Organisationen ist die ISO 27001 ein sinnvoller Rahmen, um die Anforderungen geordnet umzusetzen – mit oder ohne Zertifizierung. Alternativen sind der BSI IT-Grundschutz oder branchenspezifische Sicherheitsstandards. Entscheidend ist weniger die Wahl der Norm als die Frage, ob die Maßnahmen wirksam sind, die betroffenen Dienste abdecken und nachweisbar dokumentiert sind.
Aus der Prüferpraxis
Ein Zertifikat an der Wand beantwortet nicht die Frage, ob der Geltungsbereich passt. Der erste Blick gilt deshalb immer dem Geltungsbereich und der Erklärung zur Anwendbarkeit – erst dann lässt sich beurteilen, was das Zertifikat für NIS-2 tatsächlich belegt.
Häufige Fragen
Reicht ein ISO-27001-Zertifikat als Nachweis für NIS-2?
Es ist ein starker Beleg für ein funktionierendes Managementsystem, ersetzt aber nicht die Prüfung, ob alle gesetzlichen Anforderungen erfüllt sind. Registrierung, Meldeprozess und die Pflichten der Geschäftsleitung sind gesondert zu erfüllen.
Ist der BSI IT-Grundschutz eine Alternative?
Ja. Der IT-Grundschutz ist ein anerkannter Rahmen und besonders im öffentlichen Bereich verbreitet. Auch eine Kombination ist möglich, etwa ISO 27001 auf der Basis von IT-Grundschutz.
Lohnt sich die Zertifizierung trotzdem?
Häufig ja – etwa wenn Kunden sie fordern oder ein unabhängiger Nachweis gewünscht ist. Wer keine Zertifizierung braucht, kann die Norm dennoch als Bauplan nutzen und auf das Zertifikat verzichten.
Wie lange dauert der Aufbau eines ISMS nach ISO 27001?
Das hängt von Größe, Ausgangslage und verfügbaren Ressourcen ab. Realistisch sind mehrere Monate bis über ein Jahr. Eine Gap-Analyse zu Beginn zeigt, wie groß der Abstand ist.
Quellen
- § 30 BSIG – Risikomanagementmaßnahmen (Gesetze im Internet)
- BSI: NIS-2-Pflichten
- ISO/IEC 27001:2022 – Informationssicherheits-Managementsysteme, Anforderungen
Unterstützung auf dem Weg: SSC Kompass zeigt mit einer Gap-Analyse, wo die Organisation steht; mit SSC Fundament entsteht ein ISMS nach ISO 27001 oder BSI IT-Grundschutz. Mehr zum Thema: NIS-2: Bin ich betroffen? · Kontakt aufnehmen
Stand: Oktober 2026. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall.