ISO 27001 vs. NIS-2: Wo eine Zertifizierung Auditpflichten abdeckt und wo nicht

Die Frage kommt in fast jedem Gespräch mit zertifizierten Unternehmen: Wir haben ISO 27001, sind wir damit nicht ohnehin NIS-2-konform? Die ehrliche Antwort lautet: zu einem erheblichen Teil ja, und genau deshalb ist die Restmenge gefährlich. Wer glaubt, mit dem Zertifikat sei die Sache erledigt, übersieht zuverlässig dieselben vier Punkte.

Der Grund für die Überschneidung ist kein Zufall. § 30 Absatz 2 BSIG listet zehn Mindestmaßnahmen auf, die inhaltlich weitgehend dem entsprechen, was ein ISMS nach ISO 27001 ohnehin leisten muss: Risikoanalyse, Vorfallbewältigung, Betriebskontinuität, Lieferkette, Beschaffung, Wirksamkeitsprüfung, Hygiene und Schulung, Kryptografie, Zugriffskontrolle und Authentifizierung. Ein funktionierendes ISMS deckt diese Felder ab.

1. Ausgangslage: Zwei Systeme mit unterschiedlicher Logik

ISO 27001 ist ein freiwilliger Standard mit einem selbst gewählten Geltungsbereich. Die Organisation legt fest, welcher Teil des Unternehmens zertifiziert wird, und die Zertifizierungsstelle prüft gegen diese Festlegung. Das BSIG kennt keinen selbst gewählten Geltungsbereich. Betroffen ist die Einrichtung, und zwar vollständig.

Daraus folgt der erste und in der Praxis häufigste Befund: Ein Zertifikat, dessen Geltungsbereich auf ein Rechenzentrum, eine Produktlinie oder eine Tochtergesellschaft beschränkt ist, belegt für den nicht erfassten Teil des Unternehmens gar nichts. Auditoren fragen deshalb früh nach dem Statement of Applicability und dem Anwendungsbereich im Zertifikat, nicht nach dem Zertifikat selbst.

2. Wer ist betroffen?

Relevant ist der Beitrag für alle nach dem BSIG besonders wichtigen und wichtigen Einrichtungen, die bereits nach ISO 27001 zertifiziert sind oder eine Zertifizierung als Nachweisstrategie erwägen. Für Betreiber kritischer Anlagen kommt die Nachweispflicht nach § 39 BSIG hinzu, die eigene Regeln hat und sich nicht durch ein Zertifikat allein erfüllen lässt.

3. Wie hoch ist die Priorität?

Mittel bis hoch, mit einer klaren Asymmetrie: Der Aufwand zur Schließung der Lücken ist gering, die Folgen des Nichtschließens sind es nicht. Wer die Meldekette nicht aufgesetzt hat, verfehlt im Ernstfall eine 24-Stunden-Frist, und das ist ein eigenständiger Bußgeldtatbestand, völlig unabhängig davon, wie gut das ISMS dokumentiert ist.

4. Warum ist das wichtig? Die vier Lücken

Lücke 1: Meldepflichten

ISO 27001 verlangt einen Prozess zur Behandlung von Informationssicherheitsvorfällen, aber keine Meldung an eine Behörde innerhalb einer gesetzlichen Frist. Die gestaffelte Meldung nach § 32 BSIG ist im Standard schlicht nicht vorgesehen. Ein zertifiziertes Unternehmen kann einen exzellenten internen Incident-Prozess haben und trotzdem die gesetzliche Frist reißen, weil niemand definiert hat, wer die Meldung auslöst. Wie sich die Fristen über die Rechtsakte hinweg unterscheiden, ist im Beitrag zu den Meldewegen im Ernstfall gegenübergestellt.

Lücke 2: Registrierung

Die Registrierungspflicht nach § 33 BSIG ist eine reine Verwaltungspflicht ohne Gegenstück im Standard. Kein Auditor einer Zertifizierungsstelle prüft sie, weil sie nicht Teil der Norm ist. Sie ist trotzdem bußgeldbewehrt und der erste Punkt, den eine Aufsichtsbehörde abfragt.

Lücke 3: Pflichten der Geschäftsleitung

Das BSIG adressiert die Geschäftsleitung unmittelbar: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. ISO 27001 verlangt Führungsengagement, aber es richtet sich an die Organisation, nicht an namentlich haftende Personen. Der Unterschied ist kein formaler, sondern ein haftungsrechtlicher.

Lücke 4: Geltungsbereich und Lieferkette

Neben dem oben beschriebenen Zuschnitt des Zertifikats fällt die Lieferkette auf. ISO 27001 behandelt Lieferantenbeziehungen als eine Kontrollgruppe unter vielen. Das BSIG verlangt, die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern zu berücksichtigen. In der Prüfpraxis führt das zu tieferen Nachfragen, als sie ein Zertifizierungsaudit üblicherweise stellt.

5. Was muss konkret getan werden?

• Geltungsbereich des Zertifikats gegen die betroffene Einrichtung stellen und die Differenz benennen
• Meldeprozess nach § 32 BSIG ergänzen: Auslöser, Entscheider, Vertretung, Zugang zum Meldeportal
• Registrierung nach § 33 BSIG prüfen und, falls offen, nachholen
• Billigung der Maßnahmen durch die Geschäftsleitung protokollieren und die Schulungsteilnahme dokumentieren
• Lieferantenprüfung um die vom Gesetz genannten Aspekte erweitern

6. Welche Dokumente werden benötigt?

Für die gesetzliche Prüfung sind vier Belege entscheidend, die im ISMS meist nicht in dieser Form vorliegen: der Registrierungsnachweis, ein Protokoll der Billigung durch die Geschäftsleitung, ein Nachweis der Leitungsschulung und eine Meldekette mit benannten Rollen samt Vertretungsregelung. Alles Übrige lässt sich in aller Regel aus den vorhandenen ISMS-Unterlagen ableiten.

7. BAM-Mapping: Wo sich die Nachweise überlappen

Genau hier zeigt sich der Wert einer Mapping-Logik. Ein Berechtigungsreview belegt gleichzeitig eine Anforderung aus dem BSIG und eine Kontrolle aus dem ISO-Anhang. Wer beides getrennt führt, prüft dieselbe Maßnahme zweimal und dokumentiert sie zweimal unterschiedlich. Das Prinzip Collect Once, Comply Many setzt an dieser Stelle an: eine Maßnahme, ein Nachweis, mehrere Frameworks. Die vier Lücken oben bleiben davon unberührt, weil ihnen im Standard schlicht kein Gegenstück gegenübersteht.

8. Unsere Empfehlung

Behandeln Sie das Zertifikat als das, was es ist: ein starker Beleg für den materiellen Teil der Pflichten und kein Beleg für den formalen. Ein Delta-Abgleich zwischen Statement of Applicability und den zehn Mindestmaßnahmen ist an einem Arbeitstag zu leisten und macht die Restmenge sichtbar. Alles, was danach noch offen ist, sind Verwaltungsakte, keine Projekte.

Häufige Fragen zu ISO 27001 und NIS-2

Ersetzt ein ISO-27001-Zertifikat den Nachweis nach § 39 BSIG?

Nein. Die Nachweispflicht für Betreiber kritischer Anlagen ist eigenständig geregelt. Ein Zertifikat kann Teil der Nachweisführung sein, ersetzt sie aber nicht.

Prüft die Zertifizierungsstelle die NIS-2-Konformität mit?

Nein. Eine Zertifizierungsstelle prüft gegen die Norm und den vereinbarten Geltungsbereich. Gesetzliche Pflichten wie Registrierung oder Meldung sind nicht Gegenstand des Zertifizierungsaudits.

Lohnt sich die Zertifizierung dann überhaupt für NIS-2?

Ja. Sie erzeugt die Struktur, in der sich die geforderten Maßnahmen nachweisen lassen, und ein gepflegtes ISMS verkürzt die Vorbereitung einer Aufsichtsprüfung erheblich. Sie ersetzt nur die vier genannten Punkte nicht.

Quellen

• § 30 BSIG in der Fassung des NIS2UmsuCG, Risikomanagementmaßnahmen
• § 32 BSIG (Meldepflichten), § 33 BSIG (Registrierung), § 38 BSIG (Pflichten der Geschäftsleitung), § 39 BSIG (Nachweise)
• Richtlinie (EU) 2022/2555 (NIS-2), Art. 21 und Art. 23
• DIN EN ISO/IEC 27001:2022, Abschnitte 4 bis 10 und Anhang A