ISO 27001 ≠ NIS-2 Compliance

„Wir sind ISO 27001 zertifiziert – damit sind wir doch NIS-2 compliant.“ 

Diesen Satz hören wir in der Beratungspraxis unheimlich oft. Er ist verständlich, aber er ist falsch. Eine ISO-27001-Zertifizierung ist ein hervorragendes Fundament – ist jedoch kein NIS 2-Freischein. Wer sich darauf verlässt, riskiert Geldbußen von bis zu EUR 10 Mio. bzw. 2% des weltweiten Jahresumsatzes und die persönliche Verantwortung der Geschäftsführung.  

Zwei Systeme, zwei Logiken 

ISO/IEC 27001 ist ein international anerkannter Standard für Informationssicherheits-Managementsysteme (ISMS). Er bietet einen risikobasierten Rahmen für die Einführung, den Betrieb und die kontinuierliche Verbesserung organisatorischer Informationssicherheitsprozesse. 

Wesentlich ist, dass der Standard organisationszentriert und freiwillig ist. Er dient als Nachweis eines strukturierten Sicherheitsmanagements; der Anwendungsbereich wird vom Unternehmen selbst über den Scope und das Statement of Applicability festgelegt. 

NIS 2 bzw. das NISG 2026 verfolgt dagegen das Ziel, ein hohes Cybersicherheitsniveau in der gesamten EU sicherzustellen. Unternehmen in den Sektoren der Anlagen 1 und 2, die die maßgeblichen Schwellenwerte erreichen oder überschreiten, sind zu konkreten Risikomanagementmaßnahmen sowie zu Melde-, Registrierungs- und Governance-Pflichten verpflichtet. Der Anwendungsbereich ist gesetzlich vorgegeben und nicht frei wählbar. 

Hier zeigt sich der erste, häufig übersehene Unterschied: Ein ISMS-Scope, der nur die IT-Abteilung oder ein einzelnes Rechenzentrum umfasst, deckt den vom NISG geforderten ganzheitlichen Unternehmensansatz mit „All-Hazards“-Perspektive nicht ab. 

Konkrete Lücken der Zertifizierung  

1. Incident Reporting: Annex A der ISO 27001 enthält zwar Vorgaben zum Incident Management, regelt jedoch weder Meldefristen noch zuständige Adressaten. Das NISG 2026 sieht hingegen konkrete Pflichten vor: Frühwarnungen binnen 24 Stunden, Meldungen binnen 72 Stunden sowie Abschluss- oder Fortschrittsberichte nach einem Monat. Auch die Information betroffener Dienstempfänger ist nach ISO 27001 nicht vorgesehen. Diese Anforderungen müssen daher in Playbooks, Eskalationswegen und Zuständigkeiten ausdrücklich abgebildet werden. 
2. Governance und Schulung der Leitungsorgane: ISO 27001 verlangt „Management Commitment“ – bewusst allgemein formuliert. Das NISG 2026 geht darüber hinaus: Leitungsorgane müssen Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und selbst verpflichtende Schulungen absolvieren. Hinzu kommt die persönliche Verantwortung der Leitungsebene. 
3. Supply Chain Security: Annex A enthält zwar Controls zum Lieferantenmanagement, begründet aber keine ausdrückliche Pflicht, die Cybersicherheitspraktiken jedes einzelnen Lieferanten oder sichere Entwicklungsprozesse entlang der Lieferkette zu bewerten. NIS 2 verlangt genau dies. In der Praxis bedeutet das vor allem vertragliche Absicherung, etwa durch Security-Anhänge, Audit- und Informationsrechte sowie Lieferanten-Meldepflichten mit klaren Fristen. 
4. Registrierung, Selbstdeklaration und Nachweise: Das NISG 2026 sieht eine Registrierung binnen drei Monaten nach Inkrafttreten sowie binnen zwölf Monaten eine strukturierte Selbstdeklaration zum Stand der Risikomanagementmaßnahmen vor. Wesentliche Einrichtungen müssen auf Aufforderung zusätzlich Nachweise oder unabhängige Prüfberichte der Behörde vorlegen. Ein ISO-Zertifikat kann dabei ein wertvoller Baustein sein, ersetzt aber weder die vom Unternehmen selbst abzugebende Deklaration noch eine externe Prüfung. 

ISO 27001 ist ein Vorsprung, aber kein Endpunkt. Zertifizierte Unternehmen verfügen meist bereits über einen Großteil der technisch-organisatorischen Grundlage. Die verbleibenden Lücken liegen daher häufig im rechtlichen und prozessualen Bereich, nicht in der Technik. Für die Umsetzung von NIS 2 empfiehlt sich ein strukturiertes Mapping der ISO-Controls gegen die Pflichten des NISG 2026, aus dem konkrete Maßnahmen abgeleitet werden können. 

Was jetzt zu tun ist 

In weniger als einem Monat, am 1. Oktober 2026, tritt das NISG 2026 in Kraft. Die Registrierung muss bis Jahresende erfolgen. Wer erst im Oktober beginnt, gerät insbesondere bei der Verhandlung von Lieferantenverträgen unter Zeitdruck; dieser Punkt zählt erfahrungsgemäß zu den aufwendigsten Maßnahmen. 

Für die kommenden Wochen empfehlen wir daher: 

• Betroffenheit verbindlich feststellen, sofern dies noch nicht erfolgt ist. 
• Eine Delta-Analyse zwischen ISO 27001 und NISG 2026 durchführen. 
• Risikomanagementmaßnahmen auf die gesetzlichen Vorgaben abstimmen. 
• Kritische Lieferantenverträge identifizieren und Security-Anhänge vorbereiten sowie ausrollen. 

Sind Sie unsicher, ob Ihr Unternehmen unter NIS 2 fällt oder wo die Lücken zwischen Zertifizierung und gesetzlichen Anforderungen liegen? Wir unterstützen Sie bei der Betroffenheitsanalyse, der Delta-Analyse und der vertraglichen Absicherung Ihrer Lieferkette. Jetzt ist der richtige Zeitpunkt, die verbleibenden Schritte umzusetzen.