> NIS2 und ISO 27001 Unterschiede: Artikel 21 im Mapping auf Anhang A, was ein ISMS abdeckt, welche Pflichten zusätzlich gelten und ob ISO 27001 für NIS2 reicht.

Source: [https://docxpert.io/de/ratgeber/nis2-iso-27001-unterschiede](https://docxpert.io/de/ratgeber/nis2-iso-27001-unterschiede)

# NIS2 und ISO 27001: Unterschiede und Mapping | docxpert

## Zwei verschiedene Arten von Anforderungen

Vereinfachte Übersicht; maßgeblich sind Richtlinie, nationales Gesetz und Normtext.
| Merkmal | NIS2 | ISO/IEC 27001:2022 |
| --- | --- | --- |
| Art | EU-Richtlinie (EU) 2022/2555, umgesetzt in nationales Recht | Internationale Norm |
| Verbindlichkeit | Gesetzliche Pflicht für betroffene Einrichtungen | Freiwillig, oft vertraglich von Kunden verlangt |
| Wer ist betroffen? | Einrichtungen bestimmter Sektoren ab einer Größenschwelle, eingeteilt in wesentliche und wichtige Einrichtungen | Jede Organisation, die ein ISMS aufbauen will |
| Geltungsbereich | Netz- und Informationssysteme, die für die Erbringung der Dienste genutzt werden | Von der Organisation selbst festgelegt |
| Nachweis | Aufsicht durch nationale Behörden, in Deutschland das BSI | Zertifizierung durch akkreditierte Stellen |
| Sanktionen | Bußgelder bis mindestens 10 Mio. Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen | Keine; Verlust des Zertifikats bei schweren Mängeln |

Keine Rechtsberatung

Ob Ihr Unternehmen unter NIS2 fällt und welche Pflichten im Detail gelten, ergibt sich aus dem nationalen Umsetzungsgesetz. In Deutschland ist das das neu gefasste BSI-Gesetz. Dieser Ratgeber gibt einen fachlichen Überblick und ersetzt keine rechtliche Prüfung.

## Managementsystem gegen Maßnahmenkatalog

Der wichtigste inhaltliche Unterschied liegt im Ansatz. ISO 27001 beschreibt ein Managementsystem: Kontext bestimmen, Risiken beurteilen, Maßnahmen auswählen, wirken lassen, messen, verbessern. Welche Maßnahmen Sie aus Anhang A umsetzen, begründen Sie in der Erklärung zur Anwendbarkeit. NIS2 setzt dagegen bei konkreten Maßnahmenbereichen an, die betroffene Einrichtungen mindestens abdecken müssen, und verbindet sie mit Melde- und Aufsichtspflichten.

In der Praxis ergänzen sich beide gut: Das Managementsystem nach ISO 27001 sorgt dafür, dass Maßnahmen nicht einmalig umgesetzt, sondern gesteuert, überprüft und verbessert werden. NIS2 sorgt dafür, dass bestimmte Maßnahmen nicht wegbegründet werden können und dass Behörden bei erheblichen Vorfällen schnell informiert werden.

## Artikel 21 im Vergleich mit ISO 27001

Artikel 21 Absatz 2 der Richtlinie nennt zehn Bereiche, die Risikomanagementmaßnahmen mindestens umfassen müssen. Die folgende Zuordnung zeigt, wo ISO/IEC 27001:2022 mit ihren Kapiteln und den Maßnahmen aus Anhang A ansetzt. Sie ist unsere eigene Orientierung, keine amtliche Entsprechungstabelle.

Eigene Zuordnung zur Orientierung.
| NIS2 Art. 21 Abs. 2 | Inhalt | ISO/IEC 27001:2022 (Auswahl) | Abdeckung |
| --- | --- | --- | --- |
| a | Risikoanalyse und Sicherheitsrichtlinien | 6.1.2, 6.1.3, A.5.1 | weitgehend |
| b | Bewältigung von Sicherheitsvorfällen | A.5.24 bis A.5.28 | weitgehend, ohne Meldefristen an Behörden |
| c | Aufrechterhaltung des Betriebs, Backup, Krisenmanagement | A.5.29, A.5.30, A.8.13, A.8.14 | teilweise; Krisenmanagement oft ergänzen |
| d | Sicherheit der Lieferkette | A.5.19 bis A.5.23 | weitgehend |
| e | Sicherheit bei Erwerb, Entwicklung und Wartung, Umgang mit Schwachstellen | A.8.8, A.8.25 bis A.8.29 | weitgehend; Offenlegung von Schwachstellen prüfen |
| f | Bewertung der Wirksamkeit | 9.1, 9.2, A.5.35 | weitgehend |
| g | Cyberhygiene und Schulungen | 7.2, 7.3, A.6.3, A.8.7 | weitgehend |
| h | Kryptografie und Verschlüsselung | A.8.24 | weitgehend |
| i | Personalsicherheit, Zugriffskontrolle, Asset-Management | A.5.9 bis A.5.18, A.6.1 bis A.6.5 | weitgehend |
| j | Multi-Faktor-Authentifizierung, gesicherte Kommunikation | A.5.14, A.8.5 | teilweise; MFA-Pflicht ausdrücklich umsetzen |

„Weitgehend“ heißt: Ein wirksam umgesetztes ISMS enthält die Maßnahme in der Regel. Entscheidend ist aber nicht das Zertifikat, sondern ob die Maßnahme im Geltungsbereich aller relevanten Systeme tatsächlich gilt. Ein ISMS, das nur einen Teil des Unternehmens umfasst, deckt NIS2 entsprechend nur teilweise ab.

## Was ISO 27001 nicht abdeckt

-   **Meldepflichten:** Frühwarnung binnen 24 Stunden, Vorfallmeldung binnen 72 Stunden und Abschlussbericht binnen eines Monats an die zuständige Stelle bei erheblichen Sicherheitsvorfällen. ISO 27001 verlangt Vorfallmanagement, aber keine Behördenmeldung mit Fristen. Mehr dazu im Ratgeber [NIS2 Meldepflicht](https://docxpert.io/de/ratgeber/nis2-meldepflicht).
-   **Registrierung:** Betroffene Einrichtungen müssen sich bei der zuständigen Behörde registrieren.
-   **Verantwortung der Leitung:** Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen; sie kann bei Pflichtverletzungen haften. ISO 27001 verlangt Führung und Verpflichtung, aber keine persönliche Haftung.
-   **Geltungsbereich:** Unter NIS2 können Sie nicht frei entscheiden, welche Systeme dazugehören. Die Maßnahmen gelten für die Systeme, die Sie für Ihre Dienste nutzen.
-   **Risikoakzeptanz:** ISO 27001 erlaubt, Risiken bewusst zu akzeptieren. Unter NIS2 müssen die Maßnahmen dem Stand der Technik und dem Risiko angemessen sein; das begrenzt diesen Spielraum.

## Vorgehen für Unternehmen mit und ohne ISMS

### Sie haben bereits ein ISMS nach ISO 27001

1.  1
    
    Geltungsbereich prüfen
    
    Deckt Ihr ISMS alle Systeme ab, die für die betroffenen Dienste genutzt werden? Erweitern Sie ihn bei Bedarf.
    
2.  2
    
    Mapping durchgehen
    
    Prüfen Sie die zehn Bereiche aus Artikel 21 gegen Ihre Erklärung zur Anwendbarkeit und Ihre Risikobehandlung.
    
3.  3
    
    Meldestrecke ergänzen
    
    Legen Sie Kriterien für erhebliche Vorfälle, Zuständigkeiten, Fristen und Meldewege fest und üben Sie den Ablauf.
    
4.  4
    
    Leitung einbinden
    
    Lassen Sie die Maßnahmen von der Geschäftsleitung billigen und dokumentieren Sie deren Schulung.
    

### Sie haben noch kein ISMS

Dann ist ISO 27001 ein bewährter Rahmen, um die NIS2-Maßnahmen strukturiert aufzubauen, auch ohne Zertifizierung. Beginnen Sie mit Betroffenheitsprüfung, Registrierung und Meldestrecke, weil diese Pflichten unabhängig vom Reifegrad gelten. Bauen Sie danach Risikoanalyse, Richtlinien und Maßnahmen nach Priorität auf. Die [NIS2 Checkliste](https://docxpert.io/de/checklisten/nis2) und die [ISO 27001 Checkliste](https://docxpert.io/de/checklisten/iso-27001-zertifizierung) helfen beim Einstieg.

## Reicht ein ISO-27001-Zertifikat als Nachweis?

NIS2 verlangt kein Zertifikat. Ein Zertifikat nach ISO 27001 ist aber ein starkes Indiz, dass ein Managementsystem für Informationssicherheit besteht und funktioniert. Aufsichtsbehörden und Kunden achten darauf, ob der Geltungsbereich passt und ob die NIS2-spezifischen Pflichten zusätzlich erfüllt sind. Ein Zertifikat für einen kleinen Teil des Unternehmens hilft deshalb wenig, wenn die betroffenen Dienste außerhalb liegen.

Umgekehrt gilt: Wer NIS2 sorgfältig umsetzt, hat einen großen Teil der Arbeit für eine ISO-27001-Zertifizierung bereits erledigt. Viele Unternehmen nutzen deshalb ein gemeinsames Vorgehen und entscheiden später, ob sie das ISMS zertifizieren lassen.

Für Zulieferer ohne eigene NIS2-Pflicht ist das Zertifikat oft der pragmatischste Weg, die Anforderungen ihrer betroffenen Kunden zu erfüllen: Statt Dutzende Fragebögen einzeln zu beantworten, verweisen sie auf ein geprüftes ISMS und ergänzen nur die kundenspezifischen Punkte wie Meldewege bei Vorfällen, die den Kunden betreffen.

## Beispiel: ein Managed Service Provider

Ein Managed Service Provider mit 90 Beschäftigten ist seit drei Jahren nach ISO 27001 zertifiziert. Der Geltungsbereich umfasst das Rechenzentrum, nicht aber das Remote-Management-Werkzeug, über das Techniker auf Kundensysteme zugreifen. Bei der NIS2-Prüfung zeigt sich: Genau dieses Werkzeug ist für die Dienste zentral. Das Unternehmen erweitert den Geltungsbereich, führt Multi-Faktor-Authentifizierung für alle Fernzugriffe ein, legt eine Meldestrecke mit Bereitschaft fest und lässt die Geschäftsleitung schulen. Mehr zu dieser Branche unter [NIS2 für IT-Dienstleister](https://docxpert.io/de/use-cases/it-service-providers).

## Zeitplan und Prioritäten

Die Richtlinie gilt seit Januar 2023 und musste bis Oktober 2024 in nationales Recht umgesetzt werden. In Deutschland ist das Umsetzungsgesetz Ende 2025 in Kraft getreten; die Pflichten gelten seitdem weitgehend ohne Übergangsfrist. Wer erst jetzt beginnt, sollte deshalb priorisieren: zuerst Betroffenheit klären und registrieren, dann die Meldestrecke einsatzfähig machen, danach die Risikomanagementmaßnahmen nach ihrem Risiko schrittweise umsetzen.

Ein ISMS nach ISO 27001 aufzubauen dauert in mittelgroßen Unternehmen typischerweise sechs bis zwölf Monate bis zur Zertifizierungsreife. Diese Zeit sollte nicht verstreichen, bevor die gesetzlichen Pflichten erfüllt sind, die unabhängig vom Reifegrad gelten.

## Typische Fehler

-   Das ISO-27001-Zertifikat als Beleg für NIS2 vorlegen, ohne den Geltungsbereich zu prüfen.
-   Die Meldestrecke nur auf dem Papier beschreiben und nie üben; im Ernstfall fehlen dann Zuständigkeiten außerhalb der Arbeitszeit.
-   Die Geschäftsleitung nur informieren, statt die Maßnahmen förmlich von ihr billigen zu lassen und das zu dokumentieren.
-   Die Lieferkette auf Fragebögen beschränken, ohne kritische Dienstleister tatsächlich zu bewerten.
-   Die Betroffenheitsprüfung nicht dokumentieren und bei Wachstum oder neuen Diensten nicht wiederholen.

## NIS2 und ISO 27001 in docxpert

docxpert enthält Anforderungskataloge für NIS2 und ISO/IEC 27001:2022. Ein Dokument, etwa eine Richtlinie zur Zugriffskontrolle, kann Anforderungen beider Regelwerke zugeordnet werden. Die [Gap-Analyse](https://docxpert.io/de/features/gap-analysis) zeigt je Regelwerk, welche Anforderungen abgedeckt sind und wo Nachweise fehlen.

Für die Meldepflichten berechnet das [NIS2-Vorfallmanagement](https://docxpert.io/de/features/nis2-incident-reporting) ab dem Erkennungszeitpunkt die Fristen für Frühwarnung, Meldung und Abschlussbericht und dokumentiert jede Stufe; die Meldung selbst erfolgt über die Wege der Behörde. Vorlagen für NIS-2-Betroffenheit, Risikobeurteilung, Erklärung zur Anwendbarkeit, technische Maßnahmen, Sicherheitsvorfälle und Business Continuity finden Sie in der Vorlagenbibliothek.

## Quellen

-   [EUR-Lex: Richtlinie (EU) 2022/2555 (NIS2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
-   [ISO: ISO/IEC 27001:2022](https://www.iso.org/standard/27001)

## Häufige Fragen

Reicht ISO 27001 für NIS2?

Nicht vollständig. Ein ISMS deckt viele Maßnahmen aus Artikel 21 ab, aber nicht die Meldepflichten, die Registrierung und die besonderen Pflichten der Geschäftsleitung. Außerdem muss der Geltungsbereich alle relevanten Systeme umfassen.

Muss ich mich nach ISO 27001 zertifizieren lassen, um NIS2 zu erfüllen?

Nein. NIS2 verlangt kein Zertifikat. ISO 27001 ist ein bewährter Rahmen, eine Zertifizierung bleibt freiwillig.

Welche Fristen gelten für NIS2-Meldungen?

Frühwarnung binnen 24 Stunden nach Kenntnis eines erheblichen Vorfalls, Vorfallmeldung binnen 72 Stunden und Abschlussbericht binnen eines Monats.

Gibt es eine offizielle Zuordnung zwischen NIS2 und ISO 27001?

Verschiedene Stellen haben Zuordnungen veröffentlicht. Die Tabelle in diesem Ratgeber ist unsere eigene Orientierung und ersetzt keine Prüfung im Einzelfall.

Was ist mit ISO 27001:2013?

Die Übergangsfrist für Zertifikate nach der Ausgabe 2013 endete am 31. Oktober 2025. Maßgeblich ist die Ausgabe 2022.

## Weiterlesen

[NIS2Risikomanagementmaßnahmen, Schulungspflicht der Leitung und Meldefristen umsetzen.Mehr erfahren](https://docxpert.io/de/normen/nis2) [ISO 27001ISMS-Dokumentation, Richtlinien, Erklärung zur Anwendbarkeit und Schulungen im Griff.Mehr erfahren](https://docxpert.io/de/normen/iso-27001) [NIS2-MeldepflichtWann ein Vorfall erheblich ist und was in 24 Stunden, 72 Stunden und einem Monat zu melden ist.Mehr erfahren](https://docxpert.io/de/ratgeber/nis2-meldepflicht) [IT-Dienstleister und MSPNIS2-Pflichten, ISO 27001 und Kundenanforderungen in einem Managementsystem.Mehr erfahren](https://docxpert.io/de/use-cases/it-service-providers) [Checkliste NIS2Betroffenheit, Registrierung, Risikomaßnahmen, Meldewege und Schulung der Leitung.Mehr erfahren](https://docxpert.io/de/checklisten/nis2)

Kostenlose Checkliste

## Checkliste NIS2

Betroffenheit, Registrierung, Risikomaßnahmen, Meldewege und Schulung der Leitung.

[Checkliste NIS2](https://docxpert.io/de/checklisten/nis2)[Oder docxpert 14 Tage testen](https://docxpert.io/de/trial)