NIS2 und ISO 27001, wie beide Frameworks zusammenspielen

Unternehmen mit einem bestehenden ISO 27001-ISMS haben einen erheblichen Vorsprung bei der NIS2-Umsetzung – aber ISO 27001 ist nicht NIS2. Wer die Unterschiede nicht kennt, übersieht spezifische Pflichten, die kein ISO-Control abdeckt: die BSI-Meldekaskade, die MFA-Pflicht als solche, die persönliche Haftung der Geschäftsleitung. Dieser Artikel richtet sich an IT-Leiter und CISOs in Unternehmen, die bereits ein ISMS betreiben oder ISO 27001 als Implementierungspfad für NIS2 wählen wollen.

Wie das BSI ISO 27001 im NIS2-Kontext einordnet

Im April-2026-Webinar #nis2know hat das BSI die Frage „Reicht eine ISO 27001 für NIS2-Compliance aus?" mit einem Wort beantwortet: Nein. Diese Antwort ist deutlich, aber nicht das Ende der Geschichte. Direkt danach hat die Aufsichtsbehörde drei Kernaussagen formuliert, die das Verhältnis zwischen ISO 27001 und § 30 BSIG präzise beschreiben – und in dieser Reihenfolge ein logisches Argument bilden, das das BSI selbst auf einer eigenen Folie als 3-Stufen-Logik darstellt.

„Eine Zertifizierung gemäß ISO/IEC 27001 kann ein gutes Fundament sein und deckt bei umfassender Umsetzung in der Regel einen Großteil der Risikomanagementmaßnahmen nach § 30 BSIG ab." (BSI #nis2know, 07.04.2026, Slide 13)

„Eine Zertifizierung gemäß ISO/IEC 27001 bedeutet nicht automatisch, dass alle NIS-2-Anforderungen nach BSIG erfüllt sind." (BSI #nis2know, 07.04.2026, Slide 13)

„Eine umfassende Gap-Analyse der nicht durch ISO/IEC 27001 abgedeckten NIS-2-Anforderungen nach BSIG ist erforderlich." (BSI #nis2know, 07.04.2026, Slide 13)

Die innere Logik dieser drei Aussagen ist entscheidend. Erstens: ISO 27001 ist kein Hindernis, sondern ein Vorteil – wer eine umfassende Zertifizierung hat, deckt einen Großteil der § 30-BSIG-Anforderungen ab. Zweitens: Diese Abdeckung ist aber nicht automatisch und nicht vollständig. Der Grund laut BSI ist die Systematik der ISO-Zertifizierung selbst, die es erlaubt, den Scope frei zu definieren und Risiken zu akzeptieren oder zu übertragen – beides ist mit § 30 BSIG nicht vereinbar, das die Umsetzung jeder Risikomanagementmaßnahme für den Scope des ganzen Unternehmens vorschreibt. Drittens: Daraus folgt zwingend eine Gap-Analyse, in der jede einzelne NIS2-Anforderung gegen die bestehende ISO-Implementierung geprüft und das Ergebnis dokumentiert wird.

Diese drei Aussagen sind die Bezugsachse dieses Artikels. Die folgenden Abschnitte zeigen, was ISO 27001:2022 für NIS2 substantiell leistet, dokumentieren das offizielle BSI-Mapping nach Slide 19 und arbeiten anschließend die vier Lücken heraus, in denen ISO selbst bei umfassender Umsetzung nicht ausreicht.

Was ISO 27001:2022 für NIS2 leistet

ISO 27001:2022 strukturiert Informationssicherheitsanforderungen in zehn Managementklauseln (Kapitel 4–10) und 93 Kontrollen in vier Themengruppen. Die offizielle BSI/ENISA-Mapping-Tabelle (siehe Abschnitt unten) zeigt: Alle zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG (Art. 21 Abs. 2 NIS2-RL) lassen sich auf ISO-27001:2022-Klauseln und -Controls abbilden – aber mit deutlich unterschiedlicher Tiefe. Acht Bereiche sind substantiell abgedeckt, zwei nur prinzipiell. Im Detail:

1. Risikoanalyse und Sicherheitskonzepte (Art. 21 Abs. 2 lit. a NIS2-RL)

ISO 27001 Klausel 6.1.2 (Risikoabschätzung) und 8.2 (Risikobehandlung) bilden exakt das methodische Fundament, das § 30 Abs. 1 BSIG für den risikobasierten Ansatz verlangt. Wer ISO 27001-zertifiziert ist, hat eine dokumentierte Risikoabschätzung, einen Risikobehandlungsplan und eine Richtlinienbasis (A.5.1). Das entspricht dem Kerngehalt dieser NIS2-Anforderung.

2. Sicherheitsvorfallsmanagement (Art. 21 Abs. 2 lit. b NIS2-RL)

A.5.24 (Planung und Vorbereitung), A.5.25 (Bewertung von Ereignissen) und A.5.26 (Reaktion auf Vorfälle) decken den internen Incident-Response-Prozess ab. Ein ISO-ISMS verlangt definierte Rollen, Eskalationsprozesse und Dokumentationsanforderungen für Sicherheitsvorfälle. Gut abgedeckt – mit einer entscheidenden Ausnahme, die unter den Lücken behandelt wird.

3. Betriebskontinuität (Art. 21 Abs. 2 lit. c NIS2-RL)

A.5.29 (Informationssicherheit während Betriebsunterbrechungen), A.5.30 (IKT-Bereitschaft für Geschäftskontinuität), A.8.13 (Datensicherung) und A.8.14 (Redundanz von Informationsverarbeitungseinrichtungen) adressieren BCM und Wiederherstellungsfähigkeit. ISO 27001:2022 hat gegenüber der 2013er Version den BCM-Bereich erheblich gestärkt – die Anforderungen aus Art. 21 Abs. 2 lit. c sind weitgehend abgedeckt.

4. Lieferkettensicherheit (Art. 21 Abs. 2 lit. d NIS2-RL)

A.5.19 (Informationssicherheit in Lieferantenbeziehungen), A.5.20 (Vertragsanforderungen), A.5.21 (IKT-Lieferkette) und A.5.22 (Überwachung und Überprüfung von Lieferantenleistungen) bilden eine vollständige Kontrollfamilie für Lieferkettensicherheit. Unternehmen, die A.5.19–5.22 vollständig implementiert haben, erfüllen den Kerngehalt der NIS2-Lieferkettenanforderungen.

5. Sichere Entwicklung und Wartung (Art. 21 Abs. 2 lit. e NIS2-RL)

A.8.25–A.8.32 (Sicherheit in der Systementwicklung und -wartung, Testumgebungen, sichere Codierrichtlinien, Schwachstellenmanagement) decken den Anforderungsbereich Software- und Systemsicherheit umfassend ab.

6. Wirksamkeitsbewertung (Art. 21 Abs. 2 lit. f NIS2-RL)

ISO 27001 Klausel 9 (Leistungsbewertung) verlangt Überwachung und Messung (9.1), interne Audits (9.2) und Managementbewertungen (9.3). Das ist methodisch deckungsgleich mit der NIS2-Anforderung, die Wirksamkeit von Risikomanagementmaßnahmen zu bewerten.

7. Cyberhygiene und Schulungen (Art. 21 Abs. 2 lit. g NIS2-RL)

A.6.3 (Schulung und Sensibilisierung), A.6.8 (Meldung von Sicherheitsereignissen) sowie Klausel 7.2 (Kompetenz) und 7.3 (Bewusstsein) adressieren Awareness und Training. Prinzipiell abgedeckt – mit dem Vorbehalt, dass die NIS2-spezifische Pflichtschulung für Leitungsorgane (§ 38 Abs. 3 BSIG) über den ISO-Rahmen hinausgeht.

8. Kryptografie (Art. 21 Abs. 2 lit. h NIS2-RL)

A.8.24 (Einsatz von Kryptografie) fordert eine Richtlinie für kryptografische Kontrollen und Schlüsselmanagement. Das entspricht dem Anforderungsgehalt der NIS2-Kryptografiepflicht.

9. Personalmanagement, Zugangskontrolle, Asset-Management (Art. 21 Abs. 2 lit. i NIS2-RL)

A.5.9 (Asset-Inventar), A.5.15 (Zugangskontrolle), A.6.1 (Überprüfung von Bewerbern), A.6.5 (Pflichten nach Beschäftigungsende), A.6.6 (Vertraulichkeitsvereinbarungen) und A.6.7 (Remote Working) decken die Personalmanagement- und Zugriffskontrollanforderungen ab.

10. Multi-Faktor-Authentifizierung (Art. 21 Abs. 2 lit. j NIS2-RL / § 30 Abs. 2 Nr. 9 BSIG)

A.8.5 (Sichere Authentifizierung) deckt Authentifizierungsanforderungen ab – aber nur prinzipiell. ISO 27001 lässt offen, welche Authentifizierungsform konkret einzusetzen ist; das Ergebnis folgt aus der Risikoabschätzung. § 30 Abs. 2 Nr. 9 BSIG schreibt MFA als Mindestmaßnahme vor – unabhängig vom Risikoergebnis. Das ist ein qualitativer Unterschied: ISO lässt Spielraum, NIS2 nicht.

Das offizielle BSI-Mapping nach Slide 19

Im selben Webinar hat das BSI eine vereinfachte Mapping-Tabelle vorgestellt, die jede der zehn Mindestmaßnahmen aus § 30 Abs. 2 S. 2 BSIG explizit auf konkrete ISO-27001:2022-Klauseln und Annex-A-Controls abbildet. Die Tabelle basiert auf einer Auswertung von ENISA und der NIS Cooperation Group und ist die derzeit autoritativste Quelle für die Frage „Welche ISO-Controls deckt welche § 30-Anforderung ab?". Das BSI versieht sie mit einem expliziten Hinweis auf den Charakter dieser Übersicht:

„Das Mapping basiert auf einer Auswertung der European Union Agency for Cybersecurity (ENISA) sowie der NIS Cooperation Group. Es dient ausschließlich der vereinfachten Übersicht und hat rein informativen Charakter. Hinweis: Die Umsetzung gemäß diesen Standards/Anforderungen bedeutet nicht, dass Einrichtungen dadurch automatisch die Anforderungen gemäß § 30 BSIG vollständig erfüllen." (BSI #nis2know, 07.04.2026, Slide 19)

Im Detail ergibt sich folgendes Mapping. Die Notation und Reihenfolge der ISO-Referenzen sind unverändert aus der BSI-Slide übernommen.

• § 30 Abs. 2 S. 2 Nr. 1 – Risikoanalyse + IT-Sicherheitskonzept: 5.2, 5.3, 6.1, 6.1.2, 6.1.3, 6.2, 8.2, 8.3, 9.2, 9.3, 10.1, A.5.1, A.5.2, A.5.3, A.5.36, A.5.4, A.5.7, A.5.19, A.5.20, A.5.21, A.5.31, A.5.35, A.5.36, A.8.34
• § 30 Abs. 2 S. 2 Nr. 2 – Bewältigung von Sicherheitsvorfällen: A.5.24, A.5.25, A.5.26, A.5.27, A.5.28, A.6.8, A.8.15, A.8.16, A.8.17
• § 30 Abs. 2 S. 2 Nr. 3 – Business Continuity Management: A.5.26, A.5.29, A.5.30, A.7.11, A.8.13, A.8.14
• § 30 Abs. 2 S. 2 Nr. 4 – Sichere Lieferkette: A.5.19, A.5.20, A.5.21, A.5.22, A.8.30
• § 30 Abs. 2 S. 2 Nr. 5 – Sicherheitsmaßnahmen + Schwachstellenmanagement: 6.3, 8.1, A.5.21, A.5.23, A.7.3, A.7.5, A.7.13, A.8.7, A.8.8, A.8.25, A.8.31, A.8.9, A.8.16, A.8.20, A.8.22, A.8.29, A.8.31, A.8.32, A.8.33, A.8.34
• § 30 Abs. 2 S. 2 Nr. 6 – Bewertung der Wirksamkeit von Maßnahmen: 6.2, 9.1, 9.3
• § 30 Abs. 2 S. 2 Nr. 7 – Schulungen + Sensibilisierungsmaßnahmen: 7.2, 7.3, A.6.3, A.8.7
• § 30 Abs. 2 S. 2 Nr. 8 – Kryptografische Verfahren: A.5.31, A.8.24
• § 30 Abs. 2 S. 2 Nr. 9 – Personalsicherheit, Zugriffskontrolle + Assetmanagement: 5.28, 7.1, 7.2, A.5.9, A.5.10, A.5.11, A.5.12, A.5.13, A.5.14, A.5.15, A.5.16, A.5.17, A.5.18, A.8.24, A.6.1, A.6.2, A.6.3, A.6.4, A.6.5, A.7.1, A.7.2, A.7.4, A.7.7, A.7.10, A.8.2, A.8.3, A.8.5, A.8.18, A.8.21, A9
• § 30 Abs. 2 S. 2 Nr. 10 – Multi-Faktor-Authentisierung + gesicherte Kommunikation: A.5.15, A.5.16, A.5.17, A.5.18, A.7.2, A.8.2, A.8.3, A.8.5, A.8.18, A.8.21, A9

Anmerkung zur Notation: In Nr. 9 ist „5.28" abgedruckt. ISO 27001:2022 hat keine Klausel 5.28; gemeint ist mutmaßlich A.5.28 (Beweissammlung) oder Klausel 5.2. Die Bezeichnung „A9" am Ende von Nr. 9 und Nr. 10 ist ebenfalls ungewöhnlich – ISO 27001:2022 strukturiert Annex A in vier Themen A.5–A.8, eine „A.9" existiert in der 2022er Fassung nicht. Mutmaßlich ist ein Verweis auf den Annex A.9 (Access Control) der älteren ISO 27001:2013 gemeint, der in der 2022er Fassung in A.5.15–A.5.18 + A.8.2–A.8.5 überführt wurde. Diese Notations-Quirks sind im Original-Slide so vorhanden und werden hier unverändert übernommen.

Diese Übersicht zeigt zweierlei: Erstens existiert eine flächendeckende Coverage – jede der zehn § 30-Nummern lässt sich auf ISO-Klauseln und -Controls abbilden, kein einziger Bereich bleibt ohne ISO-Bezug. Zweitens variiert die Tiefe stark. Nr. 1 (Risikoanalyse) wird auf 23 Klauseln/Controls abgebildet, Nr. 8 (Kryptografie) auf zwei. Coverage allein sagt also noch nichts über die Erfüllung aus. Was im Detail fehlt – und welche dieser fehlenden Punkte den Unterschied zwischen ISO-Konformität und NIS2-Konformität ausmachen – beschreibt der nächste Abschnitt.

Die vier entscheidenden Lücken

Die Mapping-Tabelle aus Slide 19 zeigt: Coverage existiert in allen zehn Bereichen. Aber Coverage und tatsächliche Erfüllung sind zwei verschiedene Dinge. Die folgenden vier Lücken sind nicht marginal – sie betreffen einige der operativ und rechtlich folgenreichsten NIS2-Spezifika und werden auch durch eine umfassende ISO-27001-Implementierung nicht automatisch geschlossen.

Lücke 1: Die BSI-Meldekaskade (§ 32 BSIG)

Das ist die größte und folgenreichste Lücke. ISO 27001 A.5.26 deckt die interne Reaktion auf Sicherheitsvorfälle ab – aber keinen 24-Stunden-Frühwarn-, 72-Stunden-Vollmelde- und 30-Tage-Abschlussberichtszyklus gegenüber einer staatlichen Behörde. Weder Fristen, noch Inhaltsanforderungen, noch Eskalationspfade zum BSI sind in ISO 27001 abgebildet. Ein ISO-zertifiziertes Unternehmen mit einem vollständig implementierten Incident-Response-Prozess hat trotzdem keine BSI-Meldekaskade – weil ISO kein staatliches Berichtswesen kennt.

Konsequenz: Der interne Incident-Response-Prozess muss um eine explizite BSI-Meldeprozedur erweitert werden: Wer entscheidet über die Erheblichkeit? Wer sendet die 24h-Meldung? Welche Inhalte sind in welchem Zeitfenster bereitzustellen? Diese Fragen muss das Unternehmen unabhängig von ISO beantworten.

Lücke 2: MFA als obligatorische Mindestmaßnahme (§ 30 Abs. 2 Nr. 9 BSIG)

ISO A.8.5 „Sichere Authentifizierung" erlaubt es, auf Basis einer Risikoabschätzung starke Passwörter als ausreichende Kontrollmaßnahme zu klassifizieren. Das ist ISO-konform. § 30 Abs. 2 Nr. 9 BSIG akzeptiert das nicht: MFA ist Pflicht, nicht Risikoabwägungsergebnis.

Konsequenz: Wer im Statement of Applicability A.8.5 als „applicable" ausgewiesen hat, hat noch keine MFA. Und wer MFA mit einer Ausnahme für Altsysteme oder bestimmte Nutzergruppen geführt hat, muss diese Ausnahmen explizit gegen § 30 Abs. 2 Nr. 9 BSIG prüfen.

Lücke 3: BSI-Registrierungspflicht (§ 33 BSIG)

ISO 27001 kennt keine behördliche Registrierungspflicht. Die gesetzliche Pflicht, sich als betroffene Einrichtung beim BSI zu registrieren – samt benannter Kontaktstelle und Angaben zu Sektor und Unternehmensgröße – hat kein Äquivalent in einem ISO-Control oder einer ISO-Managementklausel. Wie erreichbar diese Kontaktstelle sein muss, hängt vom Einrichtungstyp ab: Betreiber kritischer Anlagen müssen sie jederzeit, de facto rund um die Uhr, erreichbar halten (§ 33 Abs. 2 Satz 2 BSIG); für sonstige besonders wichtige und wichtige Einrichtungen genügt ein während der Geschäftszeiten überwachtes Funktionspostfach mit interner Eskalationskette. Das ist eine externe Compliance-Pflicht, keine Sicherheitsmaßnahme.

Lücke 4: Persönliche Haftung und Pflichtschulung der Leitungsorgane (§ 38 BSIG)

ISO 27001 Klausel 5.1 fordert Führungsverantwortung und Top-Management-Engagement für das ISMS – aber kein persönliches Haftungsregime für einzelne Leitungspersonen. § 38 BSIG geht weiter: Leitungsorgane haften persönlich für schwerwiegende Pflichtverstöße, müssen Maßnahmen nachweislich genehmigen und überwachen und sind zur Teilnahme an Schulungen verpflichtet. ISO Klausel 5.1 ist ein strukturelles Managementprinzip; § 38 BSIG ist eine individuelle Rechtspflicht.

Konsequenz: Ein Managementreview nach ISO Klausel 9.3 ersetzt keinen dokumentierten Geschäftsführungsbeschluss nach § 38 BSIG. Die Schulungspflicht nach § 38 Abs. 3 BSIG ist kein ISO-Audit-Kriterium.

Gilt ISO 27001-Zertifizierung als BSI-Nachweis?

Nein – aber das ist nicht die richtige Fragestellung.

Art. 24 NIS2-RL schafft die rechtliche Grundlage dafür, dass Konformitätsnachweise im Rahmen europäischer Cybersicherheits-Zertifizierungsschemata (gemäß EU Cybersecurity Act) als Nachweis für bestimmte NIS2-Anforderungen anerkannt werden können. ISO 27001 ist kein EU-Cybersicherheitszertifizierungsschema im Sinne des Cybersecurity Act – es ist ein internationaler ISO-Standard. Eine ISO 27001-Zertifizierung kann deshalb nicht direkt als NIS2-Konformitätsnachweis gegenüber dem BSI geltend gemacht werden.

Was das in der Praxis bedeutet: Das BSI prüft risikobasiert. Ein Unternehmen mit ISO 27001-Zertifizierung und einer dokumentierten NIS2-Gap-Analyse, die die vier beschriebenen Lücken schließt, hat eine deutlich stärkere Ausgangslage als ein Unternehmen ohne ISMS. Kein BSI-Prüfer ignoriert eine ISO-Zertifizierung – aber er prüft trotzdem, ob die NIS2-spezifischen Anforderungen erfüllt sind.

ISO 27001-Zertifizierung ist kein Freifahrtschein für NIS2-Compliance – aber sie verkürzt den Weg erheblich und gibt dem BSI ein strukturiertes Fundament, auf dem die Prüfung aufbauen kann.

Das SoA als Falle

Eine besondere Risikoquelle für ISO-zertifizierte Unternehmen ist das Statement of Applicability (SoA). ISO 27001 erlaubt es, Annex-A-Kontrollen als „not applicable" zu klassifizieren, wenn sie für den Scope nicht relevant sind. Dieser Mechanismus kollidiert mit NIS2 in zwei Szenarien:

• Ausgeschlossene Kontrolle, NIS2-relevant: Ein Unternehmen hat A.5.21 (IKT-Lieferkettensicherheit) im SoA als nicht anwendbar ausgewiesen, weil keine Software eigenentwickelt wird. § 30 Abs. 2 BSIG fordert aber Lieferkettensicherheit auch für Dienstleister. Der ISO-Ausschluss ist gegenüber dem BSI nicht haltbar.
• Angewendete Kontrolle, unzureichend umgesetzt: A.8.5 (Sichere Authentifizierung) ist als anwendbar klassifiziert und als starke Passwortrichtlinie umgesetzt. ISO-Audit: bestanden. BSI-Prüfung: MFA-Pflicht aus § 30 Abs. 2 Nr. 9 BSIG nicht erfüllt.

Für NIS2-Zwecke muss das SoA mit den gesetzlichen Mindestanforderungen abgeglichen werden. NIS2-Pflichtmaßnahmen können nicht durch eine ISO-SoA-Ausnahme außer Kraft gesetzt werden.

Was bedeutet das in der Praxis?

Das BSI hat im Webinar #nis2know zwei Szenarien ausdrücklich als Leitfäden für ISO-Unternehmen formuliert (Slide 18): das bereits zertifizierte Unternehmen und das Unternehmen, das eine Zertifizierung anstrebt. Die folgenden Empfehlungen folgen dieser Aufteilung und konkretisieren sie um die Sofortmaßnahmen, die in beiden Szenarien unabhängig vom ISO-Status laufen müssen.

Szenario 1: Das Unternehmen ist bereits ISO 27001-zertifiziert

Der Großteil der NIS2-Implementierung ist bereits getan. Die offenen Punkte sind überschaubar und haben klare Prioritäten:

1. BSI-Registrierung (§ 33 BSIG) durchführen – administrativ, nicht technisch aufwändig; Frist beachten.
2. Meldeprozess für § 32 BSIG spezifizieren: 24h/72h/30-Tage-Zyklus explizit in den Incident-Response-Prozess (A.5.26) integrieren; Zuständigkeiten und Meldevorlagen definieren.
3. MFA-Compliance konkret sicherstellen: Prüfen, ob A.8.5 faktisch als MFA implementiert ist – insbesondere für privilegierte Accounts, Remote-Zugang und kritische Anwendungen. Wo nicht: Rollout planen und dokumentieren.
4. Compliance-Track für Leitungsorgane einführen: § 38 Abs. 3 BSIG-Schulung ist kein ISO-Audit-Kriterium. Schulung formal umsetzen, dokumentieren, wiederholen.
5. Geschäftsführungsbeschluss nach § 38 BSIG dokumentieren: ISO-Managementbewertungen (Klausel 9.3) ersetzen diesen Beschluss nicht.
6. SoA-Review gegen NIS2-Mindestmaßnahmen: Überprüfen, ob NIS2-relevante Kontrollen im SoA als not applicable ausgeschlossen wurden; ggf. korrigieren.

Das ist kein Projekt von Monaten. Für ein gut geführtes ISO-ISMS sind das typischerweise vier bis sechs Wochen Zusatzarbeit – konzentriert auf die vier beschriebenen Lücken.

Szenario 2: Das Unternehmen baut auf ISO 27001 hin

ISO 27001-Zertifizierung ist keine NIS2-Anforderung – aber die ISO-Methodik macht NIS2-Compliance weitgehend zu einem Nebenprodukt. Wer Risikoabschätzung, Risikobehandlungsplan, Kontrollbibliothek und ISMS-Dokumentation nach ISO-Standard aufbaut, erfüllt acht der zehn § 30 BSIG-Mindestmaßnahmen im Zuge dieser Arbeit.

Wichtige Einschränkung: ISO-Zertifizierung dauert typischerweise 12–18 Monate. NIS2-Pflichten – einschließlich BSI-Registrierung und Meldepflichten – gelten bereits jetzt. Die NIS2-Compliance darf nicht auf den Abschluss der ISO-Zertifizierung warten.

Empfohlene Strategie für dieses Szenario:

1. Sofortmaßnahmen ohne ISMS-Aufbau: BSI-Registrierung, provisorischer Meldeprozess, MFA für kritische Accounts, Managementbeschluss.
2. ISMS-Aufbau parallel: ISO 27001-Scope, Risikoabschätzung, Behandlungsplan, SoA – mit NIS2-Mindestmaßnahmen als explizites Ziel.
3. NIS2-Lücken von Anfang an einschließen: BSI-Meldeprozess, MFA-Pflicht und Managementschulung als feste Punkte im ISMS-Projekt verankern, nicht als Nacharbeit.

Typische Fehler ISO-zertifizierter Unternehmen in der BSI-Prüfung

• SoA enthält NIS2-relevante Kontrollen als „applicable" ohne konkrete Umsetzungsnachweise – ISO-Audit akzeptiert das; BSI-Prüfung nicht.
• A.5.26 (Incident Response) implementiert, aber BSI-Meldekaskade nicht ausgearbeitet. Kein Meldeweg, kein Verantwortlicher, keine Vorlage.
• A.8.5 angewendet, aber MFA nur für Administratoren; breite Nutzerbasis ohne zweiten Faktor. § 30 Abs. 2 Nr. 9 BSIG gilt weiter.
• ISO Klausel 9.3 (Managementbewertung) vorhanden, aber kein Nachweis einer Schulung nach § 38 Abs. 3 BSIG.
• Lieferkettensicherheit (A.5.19–5.22) als SoA-Ausschluss klassifiziert, obwohl kritische SaaS-Dienstleister existieren.

Für die systematische Erfassung der Lücken steht Ihnen die Vorlage Gap-Analyse NIS2 vs. ISO 27001 zur Verfügung. Sie enthält die vollständige Mapping-Tabelle zwischen den zehn § 30 Abs. 2 BSIG Mindestmaßnahmen und den relevanten ISO 27001:2022 Controls, Checkboxen für die vier beschriebenen Lücken sowie eine priorisierte Restmaßnahmenliste.

Einordnung in die Umsetzung

Für ISO 27001-zertifizierte Unternehmen ist NIS2 ein Delta-Projekt, kein Greenfield-Projekt. Im NIS2-Guide finden Sie in Kapitel 2 die Umsetzungsschritte für Risikoanalyse und Mindestmaßnahmen – jeweils mit Hinweisen auf die ISO-Entsprechungen. Nächste Schritte: Artikel A-04 (Die 10 Mindestmaßnahmen nach § 30 BSIG im Detail) gibt den vollständigen Überblick über alle Anforderungen mit deren praktischer Bedeutung. Für Unternehmen, die kein ISMS haben, ist B-03 (NIS2-Risikoanalyse durchführen) der direkte Einstieg.

Quellen: BSI-Webinar #nis2know „Der Weg zur Umsetzung" vom 07.04.2026, Slides 12 (ISO 27001 als alleiniger Nachweis), 13 (3 Kernbotschaften), 17 (3-Stufen-Logik), 18 (zwei Szenarien), 19 (Mapping-Tabelle § 30 BSIG → ISO 27001:2022). Referenten: Marian Blok, Fabian Nissing (BSI). Die Mapping-Tabelle aus Slide 19 basiert auf einer Auswertung der ENISA und der NIS Cooperation Group.

Dieser Artikel ersetzt keine Rechtsberatung. Für Fragen zur konkreten rechtlichen Einordnung Ihrer Situation wenden Sie sich an einen auf IT-Recht oder Informationssicherheitsrecht spezialisierten Anwalt.