ISO 27001 und NIS2: ein System für beide Anforderungen
Seit dem 6. Dezember 2025 gilt das neue BSIG. Wer ein ISMS nach ISO 27001 betreibt oder aufbaut, hat die zehn Maßnahmenbereiche aus § 30 weitgehend abgedeckt. Diese Seite zeigt das Mapping im Detail, benennt das gesetzliche Delta und ordnet TISAX ein.
- 10 Bereiche Risikomanagementmaßnahmen nach § 30 BSIG
- 93 Maßnahmen in Anhang A der ISO/IEC 27001:2022
- 24 h / 72 h / 1 Monat Meldefristen nach § 32 BSIG, nicht in der Norm
- § 38 Pflichten der Geschäftsleitung als Delta
Die zehn Maßnahmenbereiche aus § 30 BSIG in ISO 27001:2022
Die Zuordnung ist eine fachliche Orientierung, keine Rechtsauskunft. Sie zeigt, wo ein ISMS die gesetzliche Anforderung bereits strukturell bedient und wo Sie im Nachweis genauer hinsehen müssen.
| Maßnahmenbereich § 30 BSIG | Wo ISO 27001:2022 es adressiert | Einordnung |
|---|---|---|
| 1. Risikoanalyse und Sicherheit für Informationssysteme | Kapitel 6.1.2 und 6.1.3 (Risikobewertung und -behandlung), Kapitel 8.2 und 8.3, Anhang A 5.1 Informationssicherheitsrichtlinien. | Kern der Norm. Die Risikomethodik des ISMS liefert die geforderte Risikoanalyse, wenn der Anwendungsbereich die NIS2-relevanten Systeme umfasst. |
| 2. Bewältigung von Sicherheitsvorfällen | Anhang A 5.24 bis 5.28: Planung, Bewertung, Reaktion, Lernen aus Vorfällen, Beweissicherung. | Abgedeckt bis auf die Meldung an das BSI. Der Meldeprozess nach § 32 mit seinen Fristen ist als Erweiterung in den Vorfallprozess einzubauen. |
| 3. Betriebskontinuität, Backup, Wiederherstellung, Krisenmanagement | Anhang A 5.29 und 5.30 (Informationssicherheit bei Störungen, IKT-Bereitschaft für Business Continuity), 8.13 Backup, 8.14 Redundanz. | Abgedeckt für die Sicherheitsseite. Ein vollständiges Business-Continuity- und Krisenmanagement geht über die Norm hinaus; ISO 22301 oder BSI-Standard 200-4 vertiefen. |
| 4. Sicherheit der Lieferkette | Anhang A 5.19 bis 5.23: Lieferantenbeziehungen, Vereinbarungen, IKT-Lieferkette, Überwachung von Lieferantenleistungen, Cloud-Dienste. | Abgedeckt. NIS2 legt Gewicht auf die Bewertung der Sicherheitspraktiken direkter Lieferanten; das Lieferantenmanagement des ISMS ist der richtige Ort dafür. |
| 5. Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Schwachstellenmanagement | Anhang A 8.8 Handhabung technischer Schwachstellen, 8.9 Konfigurationsmanagement, 8.19 Softwareinstallation, 8.25 bis 8.30 sichere Entwicklung. | Abgedeckt. Das Schwachstellenmanagement muss Fristen für die Behebung und Nachweise der Umsetzung liefern. |
| 6. Bewertung der Wirksamkeit der Risikomanagementmaßnahmen | Kapitel 9.1 Überwachung und Messung, 9.2 internes Audit, 9.3 Managementbewertung; Anhang A 5.35 unabhängige Überprüfung, 5.36 Einhaltung von Richtlinien. | Abgedeckt. Interne Audits, Kennzahlen und Managementbewertung sind genau die geforderte Wirksamkeitsbewertung. Penetrationstests ergänzen sie auf technischer Ebene. |
| 7. Cyberhygiene und Schulungen | Kapitel 7.2 Kompetenz und 7.3 Bewusstsein; Anhang A 6.3 Sensibilisierung und Schulung, 8.7 Schutz vor Schadsoftware, 8.9 Konfigurationsmanagement. | Abgedeckt. Die Schulungspflicht der Geschäftsleitung aus § 38 ist eine zusätzliche, persönliche Pflicht, siehe Delta. |
| 8. Kryptografie und Verschlüsselung | Anhang A 8.24 Verwendung von Kryptografie. | Abgedeckt, sofern eine Kryptografie-Richtlinie mit Verfahren, Schlüsselmanagement und Einsatzbereichen vorliegt. |
| 9. Personalsicherheit, Zugriffskontrolle, Management von Anlagen | Anhang A 6.1 bis 6.8 Personal, 5.9 bis 5.13 Werte und Klassifizierung, 5.15 bis 5.18 Zugriffssteuerung, Identitäten, Authentisierungsinformationen, Zugangsrechte. | Abgedeckt. Das Inventar der Werte und das Berechtigungskonzept sind die zentralen Nachweise. |
| 10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation | Anhang A 8.5 sichere Authentisierung, 8.20 und 8.21 Netzwerksicherheit und Sicherheit von Netzwerkdiensten, 5.14 Informationsübertragung. | Weitgehend abgedeckt. NIS2 nennt MFA und gesicherte Sprach-, Video- und Textkommunikation ausdrücklich; im ISMS muss der Einsatz konkret belegt sein, nicht nur die Möglichkeit. |
Praktischer Tipp: Ergänzen Sie Ihre Erklärung zur Anwendbarkeit um eine Spalte mit dem Bezug zu den Nummern aus § 30 Absatz 2 BSIG. Damit liegt der Nachweis für das BSI und für Kunden auf einer Seite vor, ohne ein zweites Dokument zu pflegen.
Was ISO 27001 nicht abdeckt
Das BSIG stellt Anforderungen, die kein Zertifikat erfüllt, weil sie gesetzliche Handlungen der Einrichtung und ihrer Geschäftsleitung sind. Diese vier Punkte setzen wir als Ergänzung zum ISMS auf.
- Registrierung
Betroffenheit feststellen und beim BSI registrieren
Ob Sie als wichtige oder besonders wichtige Einrichtung oder als Betreiber einer kritischen Anlage gelten, ergibt sich aus Sektor, Größe und Tätigkeit. Betroffene Einrichtungen müssen sich beim BSI registrieren und Kontaktdaten aktuell halten. Die Norm kennt diese Pflicht nicht; sie gehört in den rechtlichen Kontext des ISMS (Kapitel 4) und in die Verantwortung der Geschäftsleitung.
- Meldepflicht § 32
Erhebliche Sicherheitsvorfälle fristgerecht melden
Erste Meldung innerhalb von 24 Stunden nach Kenntnis, Folgemeldung innerhalb von 72 Stunden, Abschlussmeldung spätestens nach einem Monat. Der Vorfallprozess des ISMS liefert Erkennung, Bewertung und Dokumentation; die Entscheidung zur Meldung, der Meldeweg und die Zuständigkeit auch außerhalb der Bürozeiten müssen ergänzt und geübt werden.
- Geschäftsleitung § 38
Billigen, überwachen, schulen
Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Sie muss regelmäßig an Schulungen teilnehmen, um Risiken und Maßnahmen bewerten zu können. Das ISMS liefert mit Leitlinie, Managementbewertung und Berichten die Struktur; die Beschlüsse und Schulungsnachweise der Geschäftsleitung müssen ausdrücklich dokumentiert werden.
- Anwendungsbereich
Das ISMS muss die regulierten Dienste umfassen
Ein Zertifikat gilt nur für seinen Anwendungsbereich. NIS2 verlangt Schutz für alle Systeme, die für die regulierten Dienste relevant sind. Ein zu eng geschnittenes ISMS deckt die gesetzliche Pflicht nur teilweise; hier ist entweder eine Erweiterung oder eine dokumentierte Steuerung der übrigen Bereiche nötig.
Zur Meldepflicht im Detail: Fristen, Inhalte der drei Meldungen und den Aufbau eines Meldeprozesses beschreiben wir auf unserem Schwesterportal nis2-meldepflicht.de. Die Pflichten der Geschäftsleitung vertieft nis2-geschaeftsfuehrer.de.
TISAX, ISO 27001 und NIS2 im Zusammenspiel
In der Automobil-Lieferkette liegt oft schon ein TISAX-Ergebnis vor, wenn NIS2 oder ein ISO-Zertifikat gefordert werden. Die drei Anforderungen bauen aufeinander auf, sind aber nicht austauschbar.
- Grundlage
Gemeinsame Basis in ISO 27001
Der VDA-ISA-Katalog, auf dem TISAX-Assessments beruhen, orientiert sich an den Anforderungen und Maßnahmen der ISO 27001 und ergänzt automobilspezifische Themen wie Prototypenschutz und Datenschutz. Wer TISAX hat, hat einen großen Teil der ISMS-Arbeit bereits geleistet.
- Unterschied
Assessment statt Zertifikat
TISAX-Ergebnisse werden über die ENX-Plattform mit Geschäftspartnern geteilt und sind kein öffentlich anerkanntes Zertifikat einer akkreditierten Stelle. Kunden außerhalb der Automobilbranche, Versicherer und Ausschreibungen verlangen häufig zusätzlich ISO 27001.
- NIS2
Dasselbe Delta wie bei ISO 27001
Für NIS2 gilt bei TISAX dasselbe wie bei ISO 27001: gute Abdeckung der Maßnahmenbereiche aus § 30, aber Registrierung, Meldepflicht nach § 32 und Geschäftsleitungspflichten nach § 38 bleiben als gesetzliche Zusatzanforderungen bestehen.
In fünf Schritten von ISO 27001 zur NIS2-Konformität
Für Unternehmen mit bestehendem oder geplantem ISMS. Ergebnis ist ein Nachweisordner, der Zertifikat und gesetzliche Pflichten zusammenführt.
-
Betroffenheit und Kategorie feststellen
Sektor, Größe und Tätigkeit ergeben, ob und in welcher Kategorie Sie unter das BSIG fallen. Das Ergebnis wird dokumentiert und von der Geschäftsleitung zur Kenntnis genommen, auch wenn es „nicht betroffen“ lautet.
-
Anwendungsbereich des ISMS abgleichen
Alle Systeme, Prozesse und Dienstleister, die für die regulierten Dienste relevant sind, müssen im Anwendungsbereich liegen oder nachweislich gleichwertig gesteuert werden. Lücken werden benannt und in den Änderungsprozess des ISMS gegeben.
-
Mapping in der SoA dokumentieren
Jede Maßnahme aus Anhang A erhält den Bezug zum passenden Maßnahmenbereich aus § 30 Absatz 2. Wo NIS2 konkreter ist als die Norm, etwa bei MFA und gesicherter Kommunikation, wird der tatsächliche Umsetzungsstand mit Nachweis ergänzt.
-
Delta umsetzen
Registrierung beim BSI, Erweiterung des Vorfallprozesses um die Meldung nach § 32 mit Rollen, Meldeweg und Erreichbarkeit, Beschlussvorlage für die Billigung der Maßnahmen durch die Geschäftsleitung, Schulungsplan für die Geschäftsleitung mit Nachweisen.
- Meldeprozess in einer Übung testen, bevor er gebraucht wird
- Beschlüsse der Geschäftsleitung als eigene Nachweise ablegen
-
Nachweisordner zusammenführen
Zertifikat, Auditberichte, SoA mit § 30-Bezug, Registrierungsbestätigung, Meldeprozess, Übungsprotokoll, Beschlüsse und Schulungsnachweise der Geschäftsleitung. Damit beantworten Sie Anfragen des BSI, Kundenfragebögen und Versicherer aus einer Quelle.
Ausführlicher Leitfaden: ISO 27001 für NIS2-Compliance auf jamorie.eu.
Vertiefung zu ISO 27001
-
Zertifizierungsablauf
Stage 1, Stage 2, Umgang mit Abweichungen, Überwachungsaudits und Rezertifizierung sowie die Auswahl der Zertifizierungsstelle.
-
Dauer und Aufwand
Phasen, typische Dauer von sechs bis zwölf Monaten, interne Rollen und was den Aufwand nach oben oder unten treibt.
-
ISO 27001 Beratung im Überblick
Anlass, Norm, unser Vorgehen in vier Phasen, Pflichtdokumente und die Einordnung neben NIS2, TISAX und IT-Grundschutz.
Zu ISO 27001 und NIS2
Ersetzt ein ISO-27001-Zertifikat den NIS2-Nachweis?
Nein, aber es ist die beste Grundlage dafür. Das BSIG verlangt keine bestimmte Norm, sondern angemessene Maßnahmen in den zehn Bereichen des § 30 und deren Nachweis. Ein zertifiziertes ISMS belegt Systematik, Risikoorientierung und unabhängige Prüfung. Registrierung, Meldeprozess und die Pflichten der Geschäftsleitung müssen zusätzlich erfüllt und dokumentiert werden.
Muss der Anwendungsbereich des ISMS das ganze Unternehmen umfassen?
Für NIS2 müssen alle Systeme, Prozesse und Dienste geschützt sein, die für die Erbringung der regulierten Dienste relevant sind. Ein ISMS, dessen Anwendungsbereich nur ein Rechenzentrum oder eine Produktlinie umfasst, deckt das nicht automatisch ab. Prüfen Sie den Anwendungsbereich gegen Ihre NIS2-Betroffenheit und erweitern Sie ihn gegebenenfalls oder dokumentieren Sie, wie die übrigen Bereiche gesteuert werden.
Wir sind nach ISO 27001 zertifiziert. Was ist der schnellste Weg zur NIS2-Konformität?
Erstens Betroffenheit und Kategorie feststellen und die Registrierung beim BSI vornehmen. Zweitens den Vorfallprozess um die Meldung nach § 32 BSIG mit den Fristen 24 Stunden, 72 Stunden und ein Monat erweitern und üben. Drittens die Pflichten der Geschäftsleitung aus § 38 BSIG dokumentieren: Billigung der Maßnahmen, Überwachung, Schulung. Viertens die SoA um eine Spalte mit dem Bezug zu § 30 ergänzen, damit der Nachweis auf Anfrage vorliegt.
Wie verhält sich TISAX zu NIS2?
TISAX ist der Prüf- und Austauschmechanismus der Automobilindustrie und basiert auf dem VDA-ISA-Katalog, der sich an ISO 27001 orientiert. Für NIS2 gilt dasselbe wie für ISO 27001: gute Abdeckung der Maßnahmenbereiche, kein Ersatz für Registrierung, Meldepflicht und Geschäftsleitungspflichten. Ein TISAX-Assessment ist zudem kein öffentlich anerkanntes Zertifikat, sondern ein Ergebnis, das über die ENX-Plattform mit Partnern geteilt wird.
Was ist mit der Angriffserkennung?
Betreiber kritischer Anlagen müssen Systeme zur Angriffserkennung einsetzen. ISO 27001 verlangt Protokollierung und Überwachung, schreibt aber kein bestimmtes System vor. Wenn Sie in diese Kategorie fallen, ist die Umsetzung mit SIEM oder Managed Detection and Response ein eigenes Vorhaben, das ins ISMS integriert wird.
Marcel Rieger
Ein ISMS, das beide Nachweise liefert
Im kostenlosen Erstgespräch klären wir Ihre NIS2-Betroffenheit, den Stand Ihres ISMS und das konkrete Delta bis zur Konformität.
- Betroffenheit und Kategorie nach BSIG
- Mapping Ihrer SoA auf § 30 BSIG
- Registrierung, Meldeprozess und § 38-Nachweise als Ergänzung
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen