Viele Unternehmen haben bereits erhebliche Ressourcen in ihre Informationssicherheit investiert. Ein Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001 ist eingeführt, möglicherweise besteht sogar eine Zertifizierung. Andere Unternehmen orientieren sich am IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) oder verfügen über eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz. Mit der Umsetzung der europäischen NIS2-Richtlinie stellt sich deshalb eine naheliegende Frage:
Wenn ISO 27001 oder IT-Grundschutz bereits umgesetzt sind – was muss überhaupt noch getan werden?
Die kurze Antwort lautet: Ein bestehendes ISMS ist eine sehr gute Ausgangsbasis. Eine ISO-27001-Zertifizierung oder die Umsetzung des IT-Grundschutzes ersetzt die gesetzlichen Pflichten nach NIS2 beziehungsweise dem BSI-Gesetz jedoch nicht. Insbesondere die gesetzlichen Registrierungs- und Meldepflichten, die Verantwortung der Geschäftsleitung und einzelne ausdrücklich vorgeschriebene Risikomanagementmaßnahmen müssen gesondert betrachtet werden.
NIS2 ist in Deutschland inzwischen geltendes Recht
Die europäische NIS2-Richtlinie wurde in Deutschland durch eine grundlegende Neufassung des BSI-Gesetzes umgesetzt. Das neue BSI-Gesetz gilt seit dem 6. Dezember 2025. Seit diesem Zeitpunkt gelten insbesondere die dort geregelten Registrierungs- und Meldepflichten für die erfassten Unternehmen. Damit geht es inzwischen nicht mehr darum, sich vorsorglich auf eine zukünftige NIS2-Umsetzung vorzubereiten. Unternehmen müssen vielmehr prüfen, ob sie bereits jetzt als „besonders wichtige Einrichtung“ oder „wichtige Einrichtung“ unter das BSI-Gesetz fallen und die daraus folgenden Pflichten erfüllen müssen.
Schritt 1: Zunächst muss geklärt werden, ob das Unternehmen überhaupt unter NIS2 fällt
Auch ein nach ISO 27001 zertifiziertes Unternehmen wird nicht allein aufgrund seiner Zertifizierung NIS2-pflichtig. Umgekehrt befreit eine Zertifizierung ein Unternehmen nicht von NIS2, wenn die gesetzlichen Voraussetzungen erfüllt sind. Entscheidend sind insbesondere die Tätigkeit des Unternehmens, seine Zuordnung zu den in den Anlagen 1 und 2 des BSI-Gesetzes aufgeführten Einrichtungsarten sowie bestimmte Größenmerkmale.
Nach § 28 BSIG können – vereinfacht dargestellt – insbesondere Unternehmen erfasst sein, die einer der dort genannten Einrichtungsarten angehören und mindestens 50 Beschäftigte haben oder bestimmte Umsatz- und Bilanzsummenschwellen überschreiten. Für die Einstufung als besonders wichtige Einrichtung gelten teilweise höhere Schwellen. Daneben gibt es Einrichtungsarten, für die Sonderregelungen gelten. Zu den betroffenen Bereichen gehören beispielsweise – abhängig von der konkreten Einrichtungsart – Energie, Verkehr, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur und bestimmte IT-Dienstleister. Hinzu kommen unter anderem Post- und Kurierdienste, Abfallwirtschaft, Teile der chemischen Industrie und bestimmte produzierende Unternehmen. Die erste Aufgabe lautet daher immer:
Ist das Unternehmen eine besonders wichtige oder wichtige Einrichtung nach dem BSI-Gesetz?
Diese Prüfung sollte dokumentiert werden. Dabei ist insbesondere bei Unternehmensgruppen Vorsicht geboten. § 28 Abs. 4 BSIG enthält besondere Regeln zur Ermittlung von Mitarbeiterzahl, Umsatz und Bilanzsumme und verweist dafür grundsätzlich auf die KMU-Empfehlung der Europäischen Kommission.
Schritt 2: Reicht eine ISO-27001-Zertifizierung für NIS2 aus?
ISO/IEC 27001 ist ein international anerkannter Standard für Informationssicherheitsmanagementsysteme. Ein funktionierendes und zertifiziertes ISMS kann einen erheblichen Teil der organisatorischen Grundlagen schaffen, die auch für NIS2 erforderlich sind. Das Gesetz verlangt jedoch nicht lediglich, dass irgendein ISMS vorhanden oder zertifiziert ist.
§ 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen dazu, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu treffen. Diese sollen dem Stand der Technik entsprechen, einschlägige europäische und internationale Normen berücksichtigen und einem gefahrenübergreifenden Ansatz folgen. Die Erfüllung dieser Verpflichtungen ist zu dokumentieren. Eine ISO-27001-Zertifizierung ist deshalb ein wichtiges Indiz für ein strukturiertes Informationssicherheitsmanagement – sie entbindet ein Unternehmen aber nicht von den Verpflichtungen der NIS2 Regelungen. Entscheidend ist vielmehr, ob der konkrete Geltungsbereich, die Risikobetrachtung und die tatsächlich implementierten Maßnahmen auch die Anforderungen des BSI-Gesetzes abdecken.
Was ist bei einem bestehenden ISO-27001-ISMS zusätzlich zu prüfen?
Für bereits zertifizierte Unternehmen bietet sich eine NIS2-Gap-Analyse an. Dabei sollte nicht versucht werden, ein zweites Informationssicherheitsmanagement neben dem bestehenden ISMS aufzubauen. Sinnvoller ist es, die gesetzlichen NIS2-Anforderungen systematisch gegen das vorhandene ISMS zu spiegeln.
§ 30 Abs. 2 BSIG nennt ausdrücklich mindestens zehn Bereiche, die berücksichtigt werden müssen. Dazu gehören:
- Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik,
- Bewältigung von Sicherheitsvorfällen,
- Aufrechterhaltung des Betriebs einschließlich Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement,
- Sicherheit der Lieferkette,
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, Komponenten und Prozessen einschließlich Schwachstellenmanagement,
- Verfahren zur Bewertung der Wirksamkeit der Sicherheitsmaßnahmen,
- grundlegende Schulungen und Sensibilisierung,
- Konzepte und Prozesse für Kryptografie,
- Personalsicherheit, Zugriffskontrolle sowie Verwaltung von IKT-Systemen, -Produkten und -Prozessen und
- Multi-Faktor- beziehungsweise kontinuierliche Authentifizierung sowie gegebenenfalls gesicherte Kommunikations- und Notfallkommunikationssysteme.
Bei einem gut gepflegten ISO-27001-ISMS dürften viele dieser Themen bereits adressiert sein, zu fragen ist aber,
„Erfüllen unsere bestehenden Regelungen und Maßnahmen die konkrete gesetzliche Anforderung des § 30 BSIG tatsächlich, nachweisbar und für den richtigen Geltungsbereich?“
Besonderes Augenmerk auf die Lieferkette
Ein Bereich, der im Rahmen einer NIS2-Gap-Analyse häufig besondere Aufmerksamkeit verdient, auch an dieser Stelle, ist die Supply-Chain-Security. § 30 Abs. 2 Nr. 4 BSIG verlangt ausdrücklich die Sicherheit der Lieferkette einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern.
Unternehmen sollten daher prüfen, ob beispielsweise
- IT-Dienstleister und Cloud-Anbieter nach nachvollziehbaren Sicherheitskriterien ausgewählt werden,
- Cybersecurity-Anforderungen Bestandteil von Verträgen sind,
- Dienstleister risikobasiert bewertet und überwacht werden,
- Sicherheitsvorfälle beim Dienstleister rechtzeitig gemeldet werden müssen und
- kritische Abhängigkeiten und mögliche Ausweichlösungen bekannt sind.
Eine vorhandene ISO-Zertifizierung des eigenen Unternehmens beantwortet diese Fragen nicht automatisch, auch wenn die meisten Unternehmen schon ein Diensterinventar führen werden.
IT-Grundschutz ist ebenfalls eine hervorragende Grundlage – aber nicht automatisch NIS2-Compliance
Ähnliches gilt für Unternehmen, die nach dem IT-Grundschutz des BSI arbeiten. Die BSI-Standards 200-x und das IT-Grundschutz-Kompendium bieten eine sehr detaillierte Methodik zum Aufbau eines Informationssicherheitsmanagementsystems. Das BSI bietet außerdem ein eigenes Zertifizierungsschema „ISO 27001 auf der Basis von IT-Grundschutz“ an. Wer IT-Grundschutz bereits konsequent umgesetzt hat, beginnt deshalb keineswegs bei null. Trotzdem müssen auch hier die gesetzlichen Zusatzanforderungen geprüft werden. Besonders wichtig ist die Unterscheidung zwischen einem Sicherheitsstandard und einer gesetzlichen Verpflichtung:
NIS2 beziehungsweise das BSI-Gesetz regeln nicht nur, wie Informationssicherheit organisiert werden soll. Das Gesetz enthält zusätzlich konkrete öffentlich-rechtliche Pflichten gegenüber dem BSI und persönliche Pflichten der Geschäftsleitung.
Diese können durch ein Zertifikat allein nicht erfüllt werden.
Neu durch NIS2 beziehungsweise zusätzlich erforderlich ist die Registrierung beim BSI
Eine der besonders wichtigen Ergänzungen gegenüber einem klassischen ISMS ist die gesetzliche Registrierungspflicht. Nach § 33 BSIG müssen sich besonders wichtige und wichtige Einrichtungen grundsätzlich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren. Zu übermitteln sind unter anderem Unternehmens- und Kontaktdaten, der relevante Sektor sowie öffentliche IP-Adressbereiche. Änderungen bestimmter Angaben müssen grundsätzlich unverzüglich, spätestens binnen zwei Wochen nach Kenntnis der Änderung, übermittelt werden. Das BSI stellt hierfür sein BSI-Portal zur Verfügung. Nach Angaben des BSI erfolgt die NIS2-Registrierung über dieses Portal. Dem Vernehmen nach haben viele Unternehmen ihre Meldepflciht noch gar nicht erfüllt! Eine ISO-27001-Zertifizierung ersetzt diese Registrierung selbstverständlich nicht.
Besonders wichtig: die neuen Meldeprozesse für Sicherheitsvorfälle
Ein weiterer Bereich, der neben einem bestehenden ISMS organisatorisch zwingend eingerichtet werden muss, betrifft die gesetzlichen Meldefristen. Bei einem erheblichen Sicherheitsvorfall verlangt § 32 BSIG unter anderem:
innerhalb von spätestens 24 Stunden nach Kenntniserlangung eine frühe Erstmeldung und
innerhalb von spätestens 72 Stunden eine weitergehende Meldung mit einer ersten Bewertung des Vorfalls, seines Schweregrads und seiner Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren.
Es reicht daher nicht aus, einen guten Incident-Response-Prozess zu haben. Der Prozess muss so gestaltet sein, dass ein Vorfall intern, von den relevanten Stellen, schnell genug erkannt, rechtlich bewertet, eskaliert und an die zuständige Meldestelle übermittelt werden kann. Notwendig sind klare Zuständigkeiten zwischen IT beziehungsweise Informationssicherheit, Geschäftsleitung, Rechtsabteilung, Datenschutzbeauftragtem und gegebenenfalls externen Incident-Response-Dienstleistern und ein klarere Ablauf- und Eskalationsplan (den man meistens schon haben wird).
NIS2-Meldung und DSGVO-Datenpannenmeldung müssen auseinandergehalten werden
Für Unternehmen ist außerdem wichtig, die NIS2-Meldeprozesse mit bereits bestehenden Meldeprozessen nach z.B. der Datenschutz-Grundverordnung abzustimmen. Art. 33 DSGVO kennt bekanntlich ebenfalls eine 72-Stunden-Frist für bestimmte Verletzungen des Schutzes personenbezogener Daten. Die Tatbestände sind jedoch nicht identisch.
Ein Cybervorfall kann daher
- ausschließlich eine NIS2-Meldepflicht,
- ausschließlich eine Meldepflicht nach Art. 33 DSGVO,
- beide Meldepflichten oder
- keine der beiden Pflichten
auslösen. Unternehmen sollten ihre Incident-Response-Prozesse deshalb so ausgestalten, dass beide Rechtsregime innerhalb der jeweils geltenden Fristen geprüft werden.
Eine zentrale Veränderung: Die Geschäftsleitung wird ausdrücklich verpflichtet
Besonders relevant ist § 38 BSIG. Danach sind die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen verpflichtet, die nach § 30 BSIG erforderlichen Risikomanagementmaßnahmen umzusetzen und deren Umsetzung zu überwachen. Geschäftsleitungsmitglieder müssen zudem regelmäßig Schulungen absolvieren, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Cybersecurity-Risiken und Risikomanagementmaßnahmen zu erwerben. Damit darf Informationssicherheit nicht einfach vollständig an den IT-Leiter, den CISO oder einen externen Dienstleister delegiert und anschließend aus der Geschäftsleitung herausgehalten werden.
Ein vorhandenes ISO-27001-Zertifikat ändert daran nichts.
Für Geschäftsführer und Vorstände sollte daher insbesondere dokumentiert werden,
- wie sie über Cybersecurity-Risiken informiert werden,
- welche Entscheidungen sie treffen beziehungsweise freigeben,
- wie die Umsetzung wesentlicher Maßnahmen überwacht wird,
- welche regelmäßigen Berichte sie erhalten und
- welche NIS2-Schulungen absolviert wurden.
§ 38 Abs. 2 BSIG enthält außerdem eine ausdrückliche Regelung zur Haftung der Geschäftsleitung gegenüber der Einrichtung für schuldhaft verursachte Schäden.
Eine Zertifizierung muss auch den richtigen Scope haben
Ein häufig unterschätztes Problem liegt im Geltungsbereich einer bestehenden Zertifizierung. Beispielsweise kann ein ISO-27001-Zertifikat nur bestimmte Standorte, Geschäftsbereiche, Rechenzentren oder Dienstleistungen erfassen.
Das BSI-Gesetz knüpft dagegen an die Systeme, Komponenten und Prozesse an, welche die Einrichtung für die Erbringung ihrer relevanten Dienste nutzt. Deshalb sollte geprüft werden, ob der Scope des bestehenden ISMS tatsächlich alle Systeme, Prozesse, Standorte und relevanten Dienstleister abdeckt, die für die NIS2-regulierte Tätigkeit maßgeblich sind? Ist dies nicht der Fall, kann eine Erweiterung der bestehenden ISMS-Strukturen erforderlich werden. Bereits aus seiner bisherigen KRITIS-Praxis macht das BSI deutlich, dass bei der Verwendung eines ISO-27001-Zertifikats als Sicherheitsnachweis der tatsächliche Geltungsbereich eine zentrale Rolle spielt.
Für bestimmte digitale Anbieter gelten noch detailliertere EU-Anforderungen
Eine weitere Besonderheit betrifft bestimmte digitale Unternehmen. Für unter anderem DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Anbieter, Rechenzentrumsdienste, Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter gelten die detaillierteren technischen und methodischen Anforderungen der Durchführungsverordnung (EU) 2024/2690. § 30 Abs. 3 BSIG stellt ausdrücklich klar, dass dieser EU-Durchführungsrechtsakt für die betroffenen Einrichtungsarten Vorrang hat. Unternehmen aus diesen Bereichen sollten sich daher nicht auf einen allgemeinen Abgleich mit ISO 27001 beschränken, sondern zusätzlich die Anforderungen der Durchführungsverordnung im Einzelnen prüfen.
Für Betreiber kritischer Anlagen gelten zusätzliche Anforderungen
Ist ein Unternehmen nicht nur besonders wichtige Einrichtung, sondern zugleich Betreiber einer kritischen Anlage, gelten zusätzliche Vorgaben nach § 31 BSIG. Hierzu gehört insbesondere die gesetzliche Verpflichtung zum Einsatz von Systemen zur Angriffserkennung für die Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der kritischen Anlage maßgeblich sind. Auch an dieser Stelle reicht eine allgemeine ISO-27001-Zertifizierung nicht als Ersatz für die konkrete gesetzliche Vorgabe.
Welche Rolle spielen Bußgelder?
Verstöße gegen zentrale Verpflichtungen des BSI-Gesetzes können als Ordnungswidrigkeiten verfolgt werden. Bei bestimmten Verstößen gegen die Risikomanagement-, Dokumentations-, Melde- oder Unterrichtungspflichten können gegenüber besonders wichtigen Einrichtungen Bußgelder von bis zu 10 Millionen Euro, gegenüber wichtigen Einrichtungen von bis zu 7 Millionen Euro verhängt werden. Bei Einrichtungen mit einem Gesamtumsatz von mehr als 500 Millionen Euro sieht das Gesetz für bestimmte Verstöße stattdessen Bußgeldrahmen bis zu 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Jahresumsatzes vor. Eine vorhandene Zertifizierung schützt daher nicht davor, dass das BSI die tatsächliche Erfüllung der gesetzlichen Pflichten überprüft.
Was sollten bereits zertifizierte Unternehmen jetzt konkret tun?
Wer bereits ISO 27001 oder IT-Grundschutz umgesetzt hat, muss das Rad nicht neu erfinden. In der Praxis empfiehlt sich vielmehr folgende Vorgehensweise:
1. NIS2-Betroffenheit rechtlich prüfen
Zunächst müssen Einrichtungsart, Tätigkeit, Unternehmensgröße und gegebenenfalls Gruppenstrukturen geprüft werden.
2. NIS2-Geltungsbereich bestimmen
Es ist festzustellen, welche Dienstleistungen sowie welche Systeme, Komponenten, Prozesse, Standorte und Dienstleister von der gesetzlichen Regulierung betroffen sind.
3. Bestehendes ISMS gegen § 30 BSIG spiegeln
Für jede gesetzliche Anforderung sollte dokumentiert werden, welche bestehende Richtlinie, welcher Prozess und welche technische oder organisatorische Maßnahme sie erfüllt.
4. Lücken dokumentieren und schließen
Fehlende oder unzureichende Maßnahmen sollten in einem dokumentierten Maßnahmenplan priorisiert werden.
5. Lieferkette gesondert prüfen
Kritische Dienstleister, Cloud-Anbieter und sonstige Zulieferer sollten identifiziert und deren Sicherheitsanforderungen überprüft werden.
6. Registrierung durchführen
Soweit eine Registrierungspflicht besteht, muss diese fristgerecht über den vorgesehenen BSI-Prozess erfüllt werden.
7. 24-/72-Stunden-Meldeprozess etablieren
Incident Response, NIS2-Meldungen und gegebenenfalls DSGVO-Meldungen müssen miteinander abgestimmt werden.
8. Geschäftsleitung einbinden
Überwachung, Entscheidungen, Berichterstattung und Schulungen der Geschäftsleitung sollten nachvollziehbar dokumentiert werden.
9. Nachweisfähigkeit herstellen
Unternehmen sollten nicht nur Sicherheitsmaßnahmen umsetzen, sondern jederzeit nachvollziehbar belegen können, weshalb die gewählten Maßnahmen geeignet, verhältnismäßig und wirksam sind.
Sie verfügen bereits über ISO 27001 oder IT-Grundschutz und möchten wissen, was für NIS2 noch fehlt?
Wir prüfen, ob Ihr Unternehmen unter das BSI-Gesetz fällt und welche zusätzlichen organisatorischen und rechtlichen Anforderungen sich trotz eines bereits vorhandenen ISMS ergeben. Auf Grundlage Ihrer bestehenden Dokumentation kann anschließend ermittelt werden, welche NIS2-Anforderungen bereits erfüllt sind und an welchen Stellen noch Handlungsbedarf besteht.
Stand: 1. Oktober 2026. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Prüfung des Einzelfalls.
Weitere Informationen zu NIS2, Informationssicherheitsmanagement und den damit verbundenen Anforderungen finden Sie auch in unseren folgenden Beiträgen:
Das NIS-2-Umsetzungsgesetz (NIS-2) ist nach einigen Verzögerungen nun in Deutschland in Kraft – Beitrag lesen
Handreichung des BSI zur NIS2-Geschäftsleitungsschulung – Beitrag lesen
Bundestag beschließt NIS-2-Umsetzungsgesetz – Beitrag lesen
Sind Caritasverbände eigentlich von NIS-2 betroffen? – Beitrag lesen
Durchführung des CyberRisikoChecks nach DIN SPEC 27076 – Beitrag lesen