ISO 27001 oder NIS2: Was Ihr Unternehmen wirklich braucht

Ein Logistikkunde schickt vor der Vertragsverlängerung einen Sicherheitsfragebogen. Mittendrin die Frage: "Sind Sie ISO 27001 zertifiziert?" Ein paar Zeilen weiter: "Bestätigen Sie Ihren NIS2-Compliance-Status." Zwei Begriffe, ein Formular, und eine Entscheidung, die vor der Verlängerungsfrist getroffen werden muss. Die meisten Unternehmerinnen und Unternehmer mussten bisher nie zwischen den beiden unterscheiden, weil bis vor kurzem keiner von beiden für ein 20-köpfiges Unternehmen galt. Das hat sich geändert, nicht weil Ihr Unternehmen gewachsen ist, sondern weil Ihre Kunden gewachsen sind, und deren Compliance-Pflichten rollen die Lieferkette hinunter bis zu Ihnen.

Die beiden Begriffe werden ständig vermischt, in Fragebögen, in Verkaufsgesprächen von Beratern, im Alltag, so als wären sie austauschbar oder als würde das eine automatisch das andere abdecken. Das stimmt nicht. Das eine ist eine Zertifizierung, die man freiwillig anstrebt. Das andere ist ein Gesetz, das entweder für Sie gilt oder nicht, ganz ohne Zertifikat. Wer den Unterschied falsch einschätzt, zahlt drauf, entweder für eine Zertifizierung, die niemand verlangt hat, oder durch das Ignorieren einer gesetzlichen Pflicht, weil ein Verkaufsgespräch behauptet hat, ein Zertifikat decke das schon ab. Genau das klärt unser Service für IT-Governance und Compliance, bevor ein Unternehmen Budget für die falsche Option ausgibt.

Was ISO 27001 tatsächlich ist

ISO 27001 ist eine internationale Norm für den Betrieb eines Informationssicherheits-Managementsystems, eine dokumentierte, wiederholbare Methode, um festzulegen, was geschützt werden muss, wer dafür verantwortlich ist und wie geprüft wird, dass es funktioniert. Es ist keine Software und keine konkrete technische Kontrolle. Es ähnelt eher einem Qualitätsmanagement-Rahmenwerk aus derselben Familie wie ISO 9001, nur auf Sicherheit statt auf Fertigung angewendet.

Zertifizierung bedeutet: Ein externer Auditor prüft Ihre dokumentierten Richtlinien, befragt Mitarbeitende und kontrolliert, ob das, was Sie behaupten zu tun, tatsächlich passiert. Danach wird ein drei Jahre gültiges Zertifikat ausgestellt, dazwischen liegen jährliche Überwachungsaudits. Niemand ist gesetzlich verpflichtet, es zu besitzen. Unternehmen streben es an, weil ein Kunde, ein Versicherer oder eine öffentliche Ausschreibung den Nachweis verlangt, oder weil sie eine strukturierte Methode zur Risikoreduzierung wollen und ein Gütesiegel, das das nach außen zeigt.

Der Haken für ein kleines Unternehmen: Die Zertifizierung ist freiwillig, aber weder billig noch schnell. Eine Erstzertifizierung für ein Unternehmen mit 20 bis 50 Mitarbeitenden bewegt sich typischerweise im mittleren fünfstelligen bis niedrigen sechsstelligen Bereich an Beratungs- und Auditkosten, verteilt über sechs bis zwölf Monate, dazu die tatsächliche interne Zeit von wem auch immer am Ende die Dokumentation verantwortet. Das ist eine ernstzunehmende Verpflichtung, allein wegen eines einzigen Kundenfragebogens einzugehen, und genau deshalb ist der nächste Abschnitt wichtig, bevor ein Beraterangebot unterschrieben wird.

Was NIS2 tatsächlich ist

NIS2 ist eine EU-Richtlinie, keine Zertifizierung. Es gibt kein NIS2-Zertifikat zu erwerben und keinen Auditor, der Ihnen Konformität bescheinigt. Stattdessen verpflichtet nationales Recht (in Deutschland das NIS2-Umsetzungsgesetz, zum Zeitpunkt dieses Beitrags noch im Gesetzgebungsverfahren) bestimmte Unternehmenskategorien, meist größere Betreiber in Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur und einer definierten Liste weiterer Bereiche, Sicherheitsmaßnahmen umzusetzen, gravierende Vorfälle innerhalb enger Fristen zu melden und eine Haftung zu tragen, die in manchen Fällen die Geschäftsführung persönlich trifft.

Die meisten Unternehmen mit unter etwa 50 Mitarbeitenden und unter rund 10 Millionen Euro Jahresumsatz fallen komplett aus dem direkten Anwendungsbereich von NIS2 heraus. Ist das Ihr Unternehmen, nennt Sie das Gesetz selbst nicht. Was Sie dennoch erreicht, ist indirekt: Ein direkt regulierter Kunde muss die Sicherheit seiner Lieferanten prüfen, und diese Prüfung landet bei Ihnen als Fragebogen, Vertragsklausel oder schlichte Forderung, bestimmte Kontrollen nachzuweisen, bevor die Geschäftsbeziehung fortgesetzt wird. Diesen Lieferketten-Mechanismus haben wir ausführlich in einem eigenen Beitrag zu NIS2 und Lieferketten behandelt, denn er überrascht kleine Unternehmen häufiger als die direkte Regulierung.

Wo sie sich überschneiden, und wo sie sich wirklich unterscheiden

Die Überschneidung ist real, und genau deshalb werden die beiden verwechselt: Beide drängen ein Unternehmen in Richtung derselben praktischen Kontrollen, Zugriffsverwaltung, Vorfallreaktion, Backup und Wiederherstellung, Mitarbeiterschulung, Überwachung von Dienstleistern. Wer ein solides Informationssicherheits-Managementsystem für ISO 27001 aufbaut, hat einen Großteil dessen, was NIS2 inhaltlich verlangt, bereits im Haus. Das ist der nützliche Teil.

• Natur. ISO 27001 ist eine freiwillige Norm, die man wählt. NIS2 ist eine gesetzliche Pflicht, die entweder gilt oder nicht, ohne Opt-in.
• Nachweis. ISO 27001 liefert ein Zertifikat, das ein Auditor ausstellt. NIS2 liefert kein Zertifikat, nur eine gesetzliche Pflicht zur Einhaltung und zum Nachweis, falls eine Behörde nachfragt oder ein Vorfall eintritt.
• Wer haftet. Ein ISO-27001-Versagen bedeutet, das Zertifikat zu verlieren oder nicht zu verlängern. Ein NIS2-Versagen bei einem tatsächlich betroffenen Unternehmen kann Bußgelder und persönliche Haftung der Geschäftsführung bedeuten.
• Wen es erreicht. ISO 27001 erreicht, wer es will oder wen ein Kunde dazu verpflichtet. NIS2 erreicht direkt einen gesetzlich definierten Kreis von Sektoren und Größenklassen, und alle anderen indirekt über Lieferantenfragebögen.

Ein gut umgesetztes ISO-27001-System deckt einen großen Teil dessen ab, was ein NIS2-geprägter Kundenfragebogen abfragt. Es erfüllt aber nicht automatisch eine gesetzliche NIS2-Pflicht, denn NIS2 verlangt auch Dinge, die ein allgemeines ISMS nicht erzwingt, konkrete Meldefristen für Vorfälle an eine nationale Behörde und dokumentiertes Lieferketten-Risikomanagement, das genau auf die NIS2-Anforderungen zugeschnitten ist statt auf den allgemeinen ISO-Rahmen.

Was braucht Ihr Unternehmen also wirklich?

Gehen Sie das der Reihe nach durch, es dauert zehn Minuten und klärt die meisten Missverständnisse.

Erstens, prüfen Sie, ob NIS2 direkt für Sie gilt. Das bedeutet meist einen bestimmten Sektor (Energie, Gesundheit, Verkehr, digitale Infrastruktur und eine definierte Liste weiterer) kombiniert mit rund 50 oder mehr Mitarbeitenden oder einem Jahresumsatz über etwa 10 Millionen Euro. Ist keine der beiden Bedingungen erfüllt, nennt das Gesetz Ihr Unternehmen nicht direkt, egal was ein Beraterangebot suggeriert.

Zweitens, falls NIS2 nicht direkt gilt, prüfen Sie, ob es Sie über einen Kunden erreicht. Hat ein Kunde einen Sicherheitsfragebogen mit NIS2-Bezug geschickt, eine Sicherheitsklausel in einen verlängerten Vertrag eingefügt oder nach Nachweisen für Kontrollen gefragt, die er vor zwei Jahren noch nicht verlangt hat? Dann geht es um eine vertragliche Anforderung, die aus der NIS2-Pflicht eines anderen entsteht, nicht um eine eigene gesetzliche Pflicht, und sie muss auf ihren eigenen Bedingungen beantwortet werden, meist mit dokumentierten Kontrollen statt einer vollständigen Zertifizierung.

Drittens, entscheiden Sie über ISO 27001 nach eigenen Kriterien, getrennt von NIS2. Streben Sie es an, wenn ein Kunde das Zertifikat ausdrücklich namentlich verlangt, wenn Sie in regulierte Branchen oder öffentliche Ausschreibungen verkaufen, in denen es Voraussetzung ist, oder wenn Sie eine strukturierte, extern geprüfte Methode zur Risikoreduzierung wollen und Budget sowie Personalzeit haben, das über Jahre und nicht nur bis zum ersten Audit durchzuhalten. Streben Sie es nicht allein deshalb an, weil ein NIS2-nahes Formular beide Begriffe im selben Satz erwähnt hat, diese Vermischung ist üblich und bedeutet meist nur, dass die Person, die den Fragebogen geschrieben hat, beide Wörter locker verwendet hat.

Ein häufiges Ergebnis bei einem Unternehmen mit 20 bis 50 Mitarbeitenden: NIS2 gilt nicht direkt, ein Lieferketten-Fragebogen eines Kunden muss trotzdem beantwortet werden, und eine ISO-27001-Zertifizierung lohnt sich noch nicht, dokumentierte Richtlinien und nachweisbare Kontrollen erfüllen den Fragebogen ohne die sechsstellige Zertifizierungssumme. Das ist keine Abkürzung, sondern meist die richtige Entscheidung, und genau die trifft unser Governance- und Compliance-Team regelmäßig mit Kunden, statt jeden pauschal in Richtung Vollzertifizierung zu schicken.

Was es kostet und dauert, im Vergleich

Einen NIS2-geprägten Kundenfragebogen ohne Zertifizierung zu beantworten bedeutet meist, Richtlinien zu dokumentieren, die teilweise ohnehin schon gelebt werden: Zugriffskontrolle, Vorfallreaktion, Backup-Tests, Sicherheitsschulung, Prüfung von Dienstleistern. Für ein Unternehmen, das das noch nie schriftlich festgehalten hat, sind das üblicherweise zwei bis sechs Wochen konzentrierte Arbeit, oft mit externer Unterstützung, damit es beim ersten Mal richtig strukturiert wird, und praktisch keine laufende Zertifizierungsgebühr.

Eine vollständige ISO-27001-Zertifizierung ist eine andere Größenordnung: mittlerer fünfstelliger bis niedriger sechsstelliger Betrag für den ersten Zertifizierungszyklus, sechs bis zwölf Monate Vorbereitung, ein externes Audit sowie jährliche Überwachungsaudits und eine vollständige Rezertifizierung alle drei Jahre. Dafür bekommen Sie etwas, das der reine Dokumentationsweg nicht bietet, ein unabhängig geprüftes Zertifikat, das das Gespräch mit jedem Kunden oder jeder Ausschreibung beendet, die es namentlich verlangt, statt eines, der gleichwertige Nachweise akzeptiert.

Eine praktische Faustregel für die Entscheidung: Wenn die korrekte Beantwortung des Fragebogens genau den einen Vertrag vor Ihnen absichert, reicht der Dokumentationsweg. Wenn der Verlust des Zertifikats in den kommenden Jahren mehrere Verträge, Ausschreibungen oder ein ganzes Marktsegment gefährden würde, ähnelt die Zertifizierungskosten eher einer Versicherung als einem Kostenfaktor, und die Rechnung ändert sich.

Kurze Antworten

Macht uns eine ISO-27001-Zertifizierung automatisch NIS2-konform? Nein. Sie deckt einen Großteil der praktischen Sicherheitssubstanz ab, die NIS2 erwartet, aber NIS2 verlangt auch konkrete Meldefristen für Vorfälle und Lieferketten-Dokumentation, die ein ISO-Audit nicht von sich aus prüft. Betrachten Sie das Zertifikat als starken Vorsprung, nicht als Ziellinie.

Ein Lieferant sagt, wir bräuchten ISO 27001, um den Vertrag zu behalten. Müssen wir uns zertifizieren lassen? Nur, wenn der Vertrag das Zertifikat wirklich namentlich fordert. Viele Lieferanten fragen nach "ISO 27001 oder gleichwertig" und akzeptieren dokumentierte Kontrollen, besonders wenn man darauf hinweist, dass die Zertifizierungskosten für die Vertragsgröße unverhältnismäßig sind. Das sollte man schriftlich klären, bevor Budget freigegeben wird.

Wir haben unter 50 Mitarbeitende. Können wir NIS2 komplett ignorieren? Direkt, in den meisten Fällen ja, das Gesetz nennt Sie nicht. Indirekt nein, wenn einer Ihrer Kunden betroffen ist, wird dessen Compliance-Pflicht früher oder später in Ihren Verträgen auftauchen, und es ist günstiger, sich früh vorzubereiten, als bei einer anstehenden Verlängerung in Hektik zu geraten.

Woher wissen wir, welche Kontrollen ein Fragebogen wirklich braucht, und was nur aus Gewohnheit gefragt wird? Lesen Sie den Fragebogen anhand der konkret zitierten Klauseln, nicht anhand der Abkürzungen in der Betreffzeile. Unser Microsoft-365-Sicherheitscheck gleicht Ihre aktuelle Einrichtung mit dem tatsächlich Geforderten ab, das meist kürzer ausfällt, als der Fragebogen es wirken lässt.