ISO 27001 und NIS2 in Deutschland: was ein ISMS abdeckt und was nicht
Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft; nach Angaben des BSI fallen rund 29.500 wichtige und besonders wichtige Einrichtungen darunter. Sie müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle melden (24 Stunden, 72 Stunden, 30 Tage) und Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und dokumentieren. Eine ISO-27001-Zertifizierung schreibt das Gesetz nicht vor, aber ein ISMS nach ISO/IEC 27001:2022 deckt die zehn Mindestbereiche aus § 30 Abs. 2 BSIG weitgehend ab und ist ein verbreiteter Weg, die Maßnahmen strukturiert umzusetzen und nachzuweisen.
Stand der NIS2-Umsetzung in Deutschland (Oktober 2026)
| Punkt | Stand laut BSI |
|---|---|
| Gesetz | NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, verkündet am 5.12.2025, in Kraft seit 6.12.2025 |
| Betroffene | Rund 29.500 Einrichtungen (vorher rund 4.500); Einstufung als wichtige oder besonders wichtige Einrichtung, KRITIS-Betreiber gelten als besonders wichtig |
| Übergangsfrist | Keine allgemeine Übergangsfrist |
| Registrierung | Zweistufig: „Mein Unternehmenskonto“, dann BSI-Portal; spätestens drei Monate nach erstmaliger Betroffenheit, Änderungen innerhalb von zwei Wochen |
| Meldepflicht | Frühe Erstmeldung in 24 Stunden, Meldung in 72 Stunden, Abschlussmeldung nach 30 Tagen |
| Risikomanagement | Geeignete, verhältnismäßige und wirksame Maßnahmen nach § 30 BSIG, dokumentiert, nach dem Stand der Technik |
Ob Ihr Unternehmen betroffen ist, klären Sie mit der NIS-2-Betroffenheitsprüfung des BSI. Dieser Leitfaden ist keine Rechtsberatung; maßgeblich sind der Gesetzestext und die Hinweise des BSI.
Zuordnung: 10 Mindestbereiche aus § 30 Abs. 2 BSIG und ISO 27001
Die Bereiche sind in eigenen Worten zusammengefasst; die Norm wird nur mit Abschnitts- und Control-Nummern zitiert. Die Zuordnung ist eine Orientierung, keine amtliche Gleichwertigkeit.
| Bereich (§ 30 Abs. 2 BSIG) | ISO/IEC 27001:2022 |
|---|---|
| Konzepte für Risikoanalyse und Sicherheit der Informationssysteme | 6.1.2, 6.1.3, 5.2, A.5.1 |
| Bewältigung von Sicherheitsvorfällen | A.5.24 bis A.5.28 |
| Aufrechterhaltung des Betriebs, Backup, Wiederherstellung, Krisenmanagement | A.5.29, A.5.30, A.8.13, A.8.14 |
| Sicherheit der Lieferkette | A.5.19 bis A.5.23 |
| Sicherheit bei Erwerb, Entwicklung und Wartung, inkl. Umgang mit Schwachstellen | A.8.8, A.8.25 bis A.8.29, A.8.32 |
| Bewertung der Wirksamkeit der Maßnahmen | 9.1, 9.2, 9.3, A.5.35 |
| Cyberhygiene und Schulungen | 7.3, A.6.3, A.8.1, A.8.7 |
| Kryptografie und Verschlüsselung | A.8.24 |
| Personalsicherheit, Zugriffskontrolle, Management von Anlagen | A.6.1 bis A.6.6, A.5.9 bis A.5.11, A.5.15 bis A.5.18 |
| Mehr-Faktor-Authentifizierung, gesicherte Kommunikation, Notfallkommunikation | A.8.5, A.5.14, A.8.20, A.8.21 |
Für die Meldepflichten sind zusätzlich A.5.5 (Kontakt mit Behörden) und A.5.26 (Reaktion auf Vorfälle) relevant, für die Verantwortung der Geschäftsleitung die Abschnitte 5.1 (Führung) und 9.3 (Managementbewertung).
ISMS-Dokumentationskit ISO 27001
84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.
Zum ISO-27001-Dokumentationskit (Einmalzahlung)Was ISO 27001 bei NIS2 nicht abdeckt
- Die Registrierung beim BSI und die Pflege der Angaben im BSI-Portal.
- Die konkreten Meldefristen und Meldewege an das BSI; ISO 27001 verlangt einen Vorfallprozess, aber keine 24-/72-Stunden-Fristen.
- Den Anwendungsbereich: Das Gesetz erfasst alle IT-Systeme, die für die Erbringung der Dienste genutzt werden. Ein ISMS mit engerem Scope reicht dafür nicht.
- Die persönliche Verantwortung der Geschäftsleitung für Umsetzung und Überwachung der Maßnahmen.
- Sektorspezifische Vorgaben, etwa für KRITIS-Betreiber oder den Finanzsektor (DORA).
So nutzen Sie ein ISMS für NIS2, Schritt für Schritt
- Betroffenheit prüfen und Einstufung dokumentieren (wichtig oder besonders wichtig).
- Registrierung beim BSI erledigen und die Verantwortlichen benennen.
- Den ISMS-Anwendungsbereich so festlegen, dass er alle Systeme für die betroffenen Dienste umfasst.
- Die zehn Bereiche aus der Tabelle in der Erklärung zur Anwendbarkeit als nicht ausschließbar markieren und die Nachweise je Control festlegen.
- Den Vorfallprozess um die Meldestufen 24 Stunden, 72 Stunden und 30 Tage und die Meldung über das BSI-Portal ergänzen.
- NIS2 in das Verzeichnis der rechtlichen Anforderungen, das interne Audit und die Managementbewertung aufnehmen.
Vorlagen: das ISO-27001-Kit von NexoDocs
Das ISO-27001-Kit von NexoDocs enthält die Erklärung zur Anwendbarkeit mit den 93 Controls, Risikoanalyse und Risikobehandlungsplan, Richtlinien für Vorfallmanagement, Lieferanten, Zugriff, Business Continuity, Schwachstellen, Backup und Kryptografie, ein Vorfall- und ein Lieferantenregister sowie Verfahren und Vorlagen für internes Audit und Managementbewertung, alle editierbar in Word und Excel. Die Meldefristen nach NIS2 ergänzen Sie in der Richtlinie zum Vorfallmanagement. Wenn Sie zuerst Ihre Risiken erfassen wollen, können Sie die Vorlage für die Risikoanalyse kostenlos herunterladen.
Nächster Schritt
Kostenlos testen oder direkt zur vollständigen Lösung.
ISMS-Dokumentationskit ISO 27001
84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.
Zum ISO-27001-Dokumentationskit (Einmalzahlung)
Kostenloses Muster
Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.
Kostenlose Probe herunterladen (Englisch)Häufige Fragen
Verlangt NIS2 eine ISO-27001-Zertifizierung?
Nein. Das Gesetz verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und deren Dokumentation, aber keine bestimmte Zertifizierung. Ein ISMS nach ISO 27001 ist ein verbreiteter Weg, diese Maßnahmen umzusetzen und nachzuweisen.
Reicht ein ISO-27001-Zertifikat für NIS2 aus?
Nicht automatisch. Registrierung, Meldefristen, die Abdeckung aller relevanten IT-Systeme und die Pflichten der Geschäftsleitung kommen hinzu. Prüfen Sie außerdem, ob der zertifizierte Anwendungsbereich die betroffenen Dienste vollständig umfasst.
Welche Fristen gelten für die Meldung eines erheblichen Vorfalls?
Laut BSI: frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis, Meldung innerhalb von 72 Stunden und Abschlussmeldung nach 30 Tagen, über das BSI-Portal oder vor der Registrierung über ein Online-Formular.
Bis wann muss sich ein Unternehmen registrieren?
Spätestens drei Monate, nachdem es erstmals oder erneut betroffen ist. Die Registrierung erfolgt in zwei Schritten: Mein Unternehmenskonto und BSI-Portal.
Wie lange dauert der Aufbau eines ISMS?
Je nach Größe und Ausgangslage meist mehrere Monate. Da es keine allgemeine Übergangsfrist gibt, lohnt es sich, mit Risikoanalyse, Vorfallprozess und Lieferkette zu beginnen.
Verwandte Leitfäden
Was ist ein ISMS und wie setzt man es mit ISO 27001 um?
Was ein Informationssicherheits-Managementsystem (ISMS) ist, was ISO/IEC 27001:2022 verlangt, welche Dokumente nötig sind und wie die Zertifizierung abläuft.
Leitfaden lesen →Erklärung zur Anwendbarkeit (SoA) nach ISO 27001: was sie ist und wie man sie erstellt
SoA nach ISO/IEC 27001:2022: was die Erklärung zur Anwendbarkeit für die 93 Maßnahmen enthalten muss, Ausschlüsse begründen, häufige Fehler. Mit Excel-Vorlage.
Leitfaden lesen →ISO 27001 Risikoanalyse: Was gehört in die Risikomatrix?
Was ISO/IEC 27001:2022 für die Risikobeurteilung verlangt, welche Spalten eine Risikomatrix braucht und wie man das Risikoniveau berechnet. Mit Excel-Probe.
Leitfaden lesen →Aktualisiert: 2026-10-29