Am 21. November 2025 hat der Bundesrat das deutsche NIS-2-Umsetzungsgesetz (NIS2UmsuCG) gebilligt, nachdem der Bundestag den Entwurf bereits am 13. November 2025 angenommen hatte. Das Gesetz setzt die EU-Richtlinie in nationales Recht um und soll die Cybersicherheit von Unternehmen und Behörden in Deutschland strukturell stärken. Derzeit stehen nur noch die formalen Unterschriften des Bundeskanzlers und des Bundespräsidenten aus. Das Gesetz wird – aller Wahrscheinlichkeit nach – Ende 2025 oder Anfang 2026 in Kraft treten. Unternehmen sollten die verbleibende Zeit nutzen, um organisatorische und technische Maßnahmen vorzubereiten.

In vielen Gesprächen werden wir gefragt, ob ein ISO/IES 27001:2022 Zertifikat für die Anforderungen von NIS2 ausreicht. Dem ist nicht ganz so. Oder wir bekommen Quoten mit, aus denen 80-90% der Anforderungen aus NIS2 über eine ISO/IES 27001:2022 abgebildet werden und der Rest noch ein „bisschen“ Formalismus ist. Viel Unsicherheit und viele unterschiedliche Auffassungen bei den Betroffen. Hier möchten wir mit unserem Dezember Newsletter den Sachverhalt etwas genauer beschreiben, als der übliche „Flurfunk“. NIS2 beschreibt das „Was“, ISO 27001 das „Wie“

• NIS2 legt klare Pflichten fest: Risiko-Management, Incident-Reporting, Business Continuity, Sicherheitsmaßnahmen – jedoch ohne detaillierte Umsetzungsvorgaben.
• ISO/IEC 27001:2022 definiert das methodische Vorgehen zur Einführung eines Informationssicherheits-Managementsystems (ISMS): Prozesse, Rollen, KPIs, kontinuierliche Verbesserung etc.

ISMS als Steuerungsrahmen für NIS2 Ein funktionierendes ISMS dient als zentraler Nachweis- und Strukturrahmen für die Erfüllung der NIS2-Pflichten. Unternehmen können so Anforderungen systematisch dokumentieren, steuern und intern oder gegenüber Behörden nachweisen.

Best Practices als Effizienztreiber ISO 27001 liefert etablierte Best Practices, z. B.:

• strukturiertes Risikomanagement,
• klar definierte Incident-Management-Prozesse,
• Nutzung von KPIs und Monitoringmechanismen zur Wirksamkeitskontrolle.

Diese können nahezu 1:1 zur Erfüllung der NIS2-Pflichten genutzt werden.

a. Managementhaftung und Schulungspflichten
NIS2 führt eine persönliche Haftung des Managements ein: Geschäftsleitungen müssen Sicherheitsmaßnahmen genehmigen, überwachen und sich verpflichtend schulen lassen. ISO 27001 fordert zwar Management-Engagement, jedoch ohne vergleichbare rechtliche Haftungsdimension.

b. Sanktionen ISO/IEC 27001:

• Konsequenzen entstehen primär im vertraglichen Umfeld (z. B. Verlust eines Zertifikats).
• NIS2: sieht Bußgelder in Millionenhöhe vor – vergleichbar mit DSGVOSanktionsrahmen.

c. Art der Vorgaben

• ISO 27001: eher generische, risikobasierte Anforderungen.
• NIS2: konkrete Vorgaben zu bestimmten Maßnahmen (z. B. Pflicht zu Business Continuity, Multi-Faktor-Authentifizierung, strukturiertem Supplier- Risikomanagement).

d. Risiko-Appetit

• ISO 27001 erlaubt Unternehmen, ihren individuellen Risikoappetit zu definieren.
• Unter NIS2 ist dieser durch gesetzliche Mindeststandards deutlich eingeschränkt.

e. Zusammenarbeit mit Behörden
ISO 27001 adressiert Behördenkommunikation nur am Rande. NIS2 dagegen fordert:

• Meldepflichten innerhalb kurzer Fristen,
• Kooperation mit Aufsichtsbehörden,
• Dokumentations- und Informationspflichten in Krisen.

a. GAP-Analyse (IST–SOLL) auf Basis ISO/IEC 27001:2022
Bewertung bestehender Strukturen und Maßnahmen im Vergleich zu den NIS2- Pflichten.

b. Mapping der NIS2-Anforderungen
Identifikation aller relevanten NIS2-Pflichten und Zuordnung zu bestehenden Controls.

c. Anpassung der Governance- und Steuerungsstruktur
Definition oder Überarbeitung von Rollen, Verantwortlichkeiten, Richtlinien und Berichtswegen.

d. Erweiterung des Risikomanagements
Berücksichtigung NIS2-spezifischer Risiken: Lieferkette, kritische Prozesse, digitale Dienste, Angriffsszenarien.

e. Implementierung oder Anpassung technischer und organisatorischer Maßnahmen
u. a. Incident-Management, Business Continuity, Authentifizierung, Monitoring, Audits.

f. Monitoring, Audit, Meldung in einem integrierten System
Regelmäßige Überwachung, interne Audits, strukturierte Melde- und Eskalationsprozesse.

g. Kontinuierliche Verbesserung
Lernen aus Vorfällen, Tests, Audits und Behördenrückmeldungen – als dauerhafte Praxis.

a. High-Level-Structure als Vorteil
ISO-Managementsysteme teilen strukturelle Gemeinsamkeiten – ideal für effiziente Integration und Synergien.

b. Nutzen Sie den „Werkzeugkasten“ der ISO-27000-Familie
Ob Risikomanagement, Leitlinien, Audits oder Kennzahlen – die Normen liefern erprobte Umsetzungsmuster.

c. Mehrwert statt „Audit-Denke“
Unsere Erfahrung zeigt: Viele Unternehmen richten ihr ISMS zu stark an Audit- Anforderungen aus. Empfehlung: Fokussieren Sie sich auf echte Mehrwerte wie Prozessstabilität, Governance, Klarheit und Risikotransparenz.

d. Ziele setzen Wo soll Ihre Informationssicherheit in 2–3 Jahren stehen?
Klare Zielbilder helfen, Maßnahmen strategisch und pragmatisch zu planen.

• NIS2 und ISO/IEC 27001 verfolgen das gleiche Ziel: Resilienz, Vertrauen und Sicherheit in kritischen und relevanten Infrastrukturen.
• Ein ISMS bildet den Kern, NIS2 legt zusätzliche Governance- und Nachweisanforderungen „oben drauf“.
• ISO/IEC 27001 unterstützt die Umsetzung von NIS2, kann diese aber nicht ersetzen.
• Die Harmonisierung zwischen Normen und Regulierung ist ein deutlicher Erfolgsfaktor.
• Auch Unternehmen ohne NIS2-Pflicht profitieren von der strukturierten Vorgehensweise – ein echter Wettbewerbsvorteil.

Mit unserem Know-how und Erfahrungen aus zahlreichen Beratungsprojekten begleiten wir Sie gerne auf dem Weg zur NIS2-Compliance – von der GAP-Analyse bis zur Einführung eines integrierten ISMS.