ISO 27001 und NIS2: Wie viel NISG 2026 deckt ein ISMS ab?

„Wir sind ISO-27001-zertifiziert – damit sind wir NIS2-konform, oder?“ Die Frage kommt oft. Die ehrliche Antwort: Ein gelebtes ISMS ist die beste Grundlage für das NISG 2026, ersetzt aber nicht jede gesetzliche Pflicht.

Warum ISO 27001 so gut zu NIS2 passt

Beide Regelwerke folgen demselben Prinzip: Risiken systematisch erkennen, angemessene Maßnahmen ableiten, Wirksamkeit überprüfen. ISO/IEC 27001:2022 liefert dafür den Managementrahmen, Anhang A enthält 93 Controls in vier Themen – organisatorisch, personell, physisch und technologisch.

Die zehn Mindestmaßnahmen des NISG 2026 (§ 32) finden sich darin weitgehend wieder: Risikoanalyse, Vorfallbewältigung, Business Continuity, Lieferkette, sichere Entwicklung, Wirksamkeitsbewertung, Schulung, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.

Wo ein ISMS nicht automatisch reicht

Geltungsbereich

Ein ISO-Scope kann bewusst eng gezogen sein – etwa nur ein Rechenzentrum oder ein Produkt. Das NISG 2026 betrifft dagegen die Netz- und Informationssysteme der gesamten Einrichtung, die für die Erbringung ihrer Dienste relevant sind.

Gesetzliche Fristen und Meldewege

ISO 27001 verlangt ein Vorfallmanagement, aber keine Meldung an ein CSIRT binnen 24 und 72 Stunden. Meldeschwellen, Meldewege und Zuständigkeiten müssen ergänzt werden.

Registrierung und Selbstdeklaration

Behördliche Pflichten wie Registrierung, Änderungsmeldungen und Selbstdeklaration sind in keiner Norm enthalten.

Rolle der Leitung

ISO 27001 fordert Führung und Verpflichtung der obersten Leitung. Die gesetzliche Schulungspflicht für Leitungsorgane geht darüber hinaus und muss eigens nachgewiesen werden.

Tiefe in der Lieferkette

Das NISG 2026 erwartet, dass Sicherheitsanforderungen an direkte Zulieferer und Dienstleister bewertet und vertraglich verankert werden – oft detaillierter, als ein bestehendes Lieferantenmanagement es vorsieht.

Der effiziente Weg

• Bestehendes ISMS als Fundament nutzen, nicht parallel ein zweites System aufbauen
• Gezieltes Mapping: Welche NISG-Pflicht ist durch welchen Control abgedeckt, wo fehlt etwas?
• Lücken schließen und im selben Managementsystem steuern
• Ohne ISMS: ISO 27001 als Struktur für die NIS2-Umsetzung wählen – mit oder ohne spätere Zertifizierung

Fazit

ISO 27001 ist der kürzeste Weg zur NIS2-Konformität, aber kein Freibrief. Wer beide Anforderungen in einem System zusammenführt, vermeidet Doppelarbeit und hat für die Selbstdeklaration die Nachweise bereits in der Struktur.

Marko DjurasinovicVITA – Governance, Compliance und Informationssicherheit. Schwerpunkte: NIS2 und NISG 2026, ISO 27001, Risikomanagement und IT-Governance.

Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Stand: 23. September 2026.