Viele Unternehmen beschäftigen sich aktuell mit der Frage, welche zusätzlichen Strukturen sie für NIS-2 aufbauen müssen. Organisationen, die bereits ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 betreiben, starten dabei nicht bei null. Risikomanagement, Verantwortlichkeiten, Sicherheitsrichtlinien, Lieferantensteuerung oder der Umgang mit Sicherheitsvorfällen gehören häufig längst zum etablierten ISMS.
Das bedeutet jedoch nicht, dass ein ISO-27001-Zertifikat automatisch alle Anforderungen von NIS-2 erfüllt.
Genau hier liegt die entscheidende Aufgabe: Unternehmen sollten vorhandene Strukturen nicht durch ein paralleles NIS-2-System ergänzen, sondern prüfen, welche Bestandteile des bestehenden ISMS genutzt werden können und wo zusätzliche Anforderungen berücksichtigt werden müssen.
Richtig umgesetzt kann NIS-2 dadurch von einer zusätzlichen Compliance-Aufgabe zu einer sinnvollen Weiterentwicklung des bestehenden Informationssicherheitsmanagements werden.
NIS-2 und ISO 27001 verfolgen ein ähnliches Ziel, sind aber nicht dasselbe
Auf den ersten Blick liegen ISO/IEC 27001 und NIS-2 sehr nah beieinander. Beide beschäftigen sich mit Informations- beziehungsweise Cybersicherheit, mit Risiken und mit der Frage, wie Organisationen ihre digitalen Strukturen schützen können.
Trotzdem erfüllen sie unterschiedliche Funktionen.
ISO/IEC 27001 ist ein internationaler Standard für den Aufbau und Betrieb eines Informationssicherheits-Managementsystems, kurz ISMS. Die Norm hilft Organisationen dabei, Informationssicherheit systematisch zu organisieren, Risiken zu bewerten und geeignete Maßnahmen kontinuierlich zu steuern.
NIS-2 ist dagegen ein regulatorischer Rahmen. Für betroffene Organisationen entstehen konkrete gesetzliche Pflichten, die über die reine Gestaltung eines Managementsystems hinausgehen können.
Deshalb wäre die Aussage „Wir sind ISO-27001-zertifiziert, also sind wir automatisch NIS-2-konform“ zu einfach.
Richtiger ist: Ein gut etabliertes ISMS kann eine sehr starke Grundlage dafür sein, NIS-2-Anforderungen strukturiert umzusetzen.
Das bestehende ISMS sollte der Ausgangspunkt sein
Wer bereits ein ISMS betreibt, sollte NIS-2 nicht als komplett neues Sicherheitsprogramm betrachten.
Genau das würde häufig unnötige Doppelstrukturen erzeugen. Es entstehen zusätzliche Richtlinien, neue Risikolisten, separate Verantwortlichkeiten und möglicherweise sogar parallele Berichtswege. Die Organisation verwaltet anschließend zwei Sicherheitswelten, obwohl viele Inhalte eng miteinander verbunden sind.
Sinnvoller ist es, zunächst das bestehende ISMS zu betrachten.
Welche Prozesse funktionieren bereits? Wo werden Risiken erfasst? Welche Verantwortlichkeiten bestehen? Wie werden Sicherheitsvorfälle behandelt? Welche Lieferanten werden bewertet und wie wird die Wirksamkeit von Sicherheitsmaßnahmen überprüft?
Anschließend kann geprüft werden, welche NIS-2-Anforderungen damit bereits unterstützt werden und an welchen Stellen das bestehende System erweitert werden muss.
So bleibt das ISMS die zentrale Managementstruktur für Informationssicherheit, während NIS-2 zusätzliche Anforderungen in diese Struktur integriert.
Risikomanagement ist eine der stärksten Gemeinsamkeiten
Ein besonders guter Anknüpfungspunkt ist das Risikomanagement.
ISO/IEC 27001 verlangt einen systematischen Umgang mit Informationssicherheitsrisiken. Organisationen müssen verstehen, welche Risiken bestehen, diese bewerten und geeignete Maßnahmen zur Behandlung festlegen.
Auch NIS-2 folgt einem risikobasierten Ansatz. Unternehmen sollen angemessene technische, operative und organisatorische Maßnahmen ergreifen, die zu den tatsächlichen Risiken passen.
Für Organisationen mit einem funktionierenden ISMS bedeutet das: Der vorhandene Risikomanagementprozess muss nicht zwangsläufig neu erfunden werden.
Viel wichtiger ist die Frage, ob er die für NIS-2 relevanten Risiken vollständig berücksichtigt. Dazu können beispielsweise Abhängigkeiten von Lieferanten, größere Betriebsunterbrechungen, Cyberangriffe oder Risiken für besonders wichtige Netzwerk- und Informationssysteme gehören.
Das bestehende Verfahren liefert also die Struktur. NIS-2 kann dazu führen, dass Umfang, Perspektive oder Bewertung einzelner Risiken erweitert werden müssen.
Bestehende Sicherheitsrichtlinien können weiterverwendet werden
Auch Richtlinien und interne Vorgaben sind in einem etablierten ISMS normalerweise bereits vorhanden.
Unternehmen haben beispielsweise Regeln für Informationssicherheit, Zugriffsrechte, den Umgang mit Sicherheitsvorfällen oder den Einsatz technischer Systeme definiert.
Diese Grundlagen sind für NIS-2 wertvoll.
Statt neue NIS-2-Richtlinien unabhängig davon zu erstellen, sollte geprüft werden, ob bestehende Dokumente die zusätzlichen Anforderungen bereits ausreichend berücksichtigen oder gezielt ergänzt werden können.
Das hat einen wichtigen praktischen Vorteil: Mitarbeitende müssen nicht mehrere Regelwerke verstehen, die sich teilweise überschneiden.
Informationssicherheit sollte im Unternehmen möglichst eine gemeinsame Sprache behalten.
Wenn NIS-2-Anforderungen sauber in bestehende Sicherheitsrichtlinien integriert werden, entstehen weniger Widersprüche und die Umsetzung wird im Alltag deutlich einfacher.
Verantwortlichkeiten müssen überprüft werden
Ein funktionierendes ISMS benötigt klare Rollen und Verantwortlichkeiten. Unternehmen, die nach ISO/IEC 27001 arbeiten, verfügen daher häufig bereits über definierte Zuständigkeiten für Informationssicherheit.
NIS-2 macht diese Frage noch wichtiger.
Besonders die Verantwortung der Geschäftsleitung rückt stärker in den Mittelpunkt. Informationssicherheit kann damit nicht ausschließlich als operative Aufgabe einer IT- oder Security-Abteilung betrachtet werden.
Für Unternehmen bedeutet das nicht automatisch, dass sämtliche Rollen neu aufgebaut werden müssen. Vielmehr sollten bestehende Verantwortlichkeiten überprüft werden.
Ist klar, wer Risiken bewertet? Wer entscheidet über Maßnahmen? Wer überwacht deren Umsetzung? Wie wird die Geschäftsleitung informiert? Und wer übernimmt Verantwortung, wenn ein erheblicher Sicherheitsvorfall auftritt?
Ein bestehendes ISMS kann diese Entscheidungswege bereits gut unterstützen. NIS-2 ist jedoch ein sinnvoller Anlass, zu prüfen, ob sie in der Praxis tatsächlich funktionieren und den regulatorischen Anforderungen gerecht werden.
Incident Management bekommt zusätzliche Bedeutung
Der Umgang mit Sicherheitsvorfällen gehört ebenfalls zu den Bereichen, in denen ISO/IEC 27001 und NIS-2 gut miteinander verbunden werden können.
Viele Unternehmen haben bereits Verfahren dafür etabliert, Sicherheitsereignisse zu erkennen, zu bewerten und zu behandeln.
Für NIS-2 reicht es jedoch nicht aus, ausschließlich einen internen Incident-Prozess zu besitzen. Bei relevanten Sicherheitsvorfällen müssen auch gesetzliche Meldeanforderungen berücksichtigt werden.
Das bedeutet: Unternehmen benötigen nicht zwingend zwei getrennte Prozesse.
Ein vorhandener Incident-Management-Prozess kann vielmehr erweitert werden. Entscheidend ist, dass im Ernstfall klar ist, wann ein Ereignis eskaliert werden muss, wer seine Bedeutung bewertet und wie erforderliche externe Meldungen angestoßen werden.
Gerade hier zeigt sich der Vorteil bestehender Strukturen.
Wenn Rollen, Eskalationswege und Kommunikationsprozesse bereits erprobt sind, müssen die spezifischen NIS-2-Anforderungen nicht bei jedem Vorfall neu interpretiert werden.
Business Continuity kann auf bestehenden Strukturen aufbauen
Cyber-Resilienz bedeutet nicht nur, Angriffe zu verhindern. Unternehmen müssen auch darauf vorbereitet sein, wenn Systeme tatsächlich ausfallen oder wichtige Dienste nicht mehr verfügbar sind.
ISO/IEC 27001 berücksichtigt bereits die Bedeutung von Informationssicherheit bei Störungen und die Fähigkeit, relevante Sicherheitsanforderungen aufrechtzuerhalten.
NIS-2 stärkt diese Perspektive zusätzlich durch Themen wie Business Continuity, Krisenmanagement sowie Backup und Wiederherstellung.
Unternehmen mit bestehenden Notfall- und Wiederanlaufkonzepten können deshalb ebenfalls auf vorhandenen Strukturen aufbauen.
Entscheidend ist allerdings, ob diese Konzepte zu den heutigen Abhängigkeiten passen. Ein Plan, der vor mehreren Jahren erstellt wurde, berücksichtigt möglicherweise neue Cloud-Dienste, veränderte Lieferketten oder zusätzliche digitale Services nicht ausreichend.
NIS-2 sollte deshalb nicht nur als Anlass dienen, weitere Dokumente zu erstellen. Es ist vielmehr eine Gelegenheit, zu überprüfen, ob die vorhandenen Resilienzstrukturen unter realistischen Bedingungen tatsächlich funktionieren würden.
Lieferantenmanagement lässt sich aus dem ISMS weiterentwickeln
Digitale Services hängen heute stark von externen Anbietern ab. Cloud-Plattformen, Softwarehersteller, Managed Services und Technologiepartner können für den eigenen Geschäftsbetrieb unverzichtbar sein.
Genau deshalb spielen Lieferketten sowohl im Informationssicherheitsmanagement als auch unter NIS-2 eine wichtige Rolle.
Unternehmen, die bereits nach ISO/IEC 27001 arbeiten, verfügen möglicherweise über Prozesse zur Lieferantenbewertung oder vertragliche Sicherheitsanforderungen. Diese Strukturen bilden einen guten Ausgangspunkt.
NIS-2 sollte jedoch zum Anlass genommen werden, die tatsächlichen Abhängigkeiten genauer zu betrachten.
Nicht jeder Lieferant stellt dasselbe Risiko dar. Ein Anbieter für ein wenig kritisches Hilfssystem muss anders bewertet werden als ein Cloud-Dienstleister, von dem ein zentraler Unternehmensprozess abhängt.
Ein reifes Lieferantenmanagement betrachtet deshalb nicht nur Vertragsklauseln, sondern auch die mögliche Auswirkung eines Sicherheitsvorfalls beim Dienstleister.
Schulungen müssen Teil der Sicherheitsorganisation sein
Auch beim Thema Awareness und Kompetenz bestehen klare Anknüpfungspunkte.
Ein funktionierendes ISMS berücksichtigt bereits, dass Mitarbeitende ein angemessenes Bewusstsein für Informationssicherheit benötigen. Sicherheitsregeln wirken schließlich nur dann, wenn Menschen sie verstehen und anwenden können.
NIS-2 verstärkt diesen Gedanken und rückt zusätzlich die Kompetenz der Leitungsebene in den Vordergrund.
Damit sollten Unternehmen ihre bestehenden Schulungsstrukturen nicht einfach um ein weiteres Pflichttraining ergänzen. Sinnvoller ist ein rollenbasierter Ansatz.
Mitarbeitende benötigen Wissen für den sicheren Arbeitsalltag. IT- und Security-Verantwortliche brauchen tiefere fachliche Kenntnisse. Führungskräfte wiederum müssen Risiken einschätzen, Entscheidungen treffen und ihre Verantwortung für Cybersecurity wahrnehmen können.
So wird aus Awareness ein systematischer Kompetenzaufbau.
Audits und Überwachung liefern bereits wichtige Nachweise
Ein großer Vorteil eines gut funktionierenden ISMS besteht darin, dass Informationssicherheit regelmäßig überprüft wird.
Interne Audits, Managementbewertungen, Kennzahlen und Verbesserungsmaßnahmen helfen dabei, Schwächen sichtbar zu machen und die Wirksamkeit des Managementsystems zu bewerten.
Diese Mechanismen können auch für NIS-2 wertvoll sein.
Denn regulatorische Anforderungen sollten nicht nur einmal umgesetzt und anschließend als abgeschlossen betrachtet werden. Unternehmen müssen dauerhaft sicherstellen, dass ihre Sicherheitsmaßnahmen angemessen bleiben.
Bestehende Audit- und Review-Strukturen können dabei helfen, NIS-2-relevante Themen in die regelmäßige Überprüfung einzubeziehen.
Damit entsteht ein wichtiger Effekt: Compliance wird nicht erst kurz vor einer Prüfung hergestellt.
Sie wird Bestandteil des laufenden Managementsystems.
Wo ISO 27001 allein nicht ausreicht
So hilfreich ein bestehendes ISMS auch ist, Unternehmen sollten die Unterschiede nicht unterschätzen.
ISO/IEC 27001 beantwortet nicht automatisch jede spezifische NIS-2-Frage.
Zunächst muss beispielsweise geklärt werden, ob eine Organisation überhaupt unter die nationale NIS-2-Regulierung fällt und welcher Kategorie sie zugeordnet wird. Daraus können konkrete Registrierungs-, Melde- und weitere Pflichten entstehen.
Auch die besondere Verantwortung der Geschäftsleitung muss berücksichtigt werden.
Hinzu kommen regulatorische Anforderungen, die nicht allein dadurch erfüllt sind, dass das eigene ISMS zertifiziert wurde.
Deshalb sollte ein Unternehmen nicht versuchen, NIS-2 lediglich über das vorhandene ISO-Zertifikat „abzuhaken“.
Die sinnvollere Perspektive lautet:
Was haben wir bereits und was fehlt uns noch?
Genau diese Gap-Betrachtung verhindert sowohl unnötige Doppelarbeit als auch gefährliche Annahmen über vermeintlich bereits erfüllte Anforderungen.
Zertifizierung und regulatorische Konformität sind zwei unterschiedliche Dinge
Diese Unterscheidung ist besonders wichtig.
Eine erfolgreiche ISO/IEC-27001-Zertifizierung zeigt, dass ein Informationssicherheits-Managementsystem die Anforderungen der Norm erfüllt.
NIS-2-Konformität bezieht sich dagegen auf die für die jeweilige Organisation geltenden gesetzlichen Anforderungen.
Beides kann sich sehr gut ergänzen, ist aber nicht identisch.
Ein Unternehmen kann daher ein sehr gut aufgebautes und zertifiziertes ISMS besitzen und trotzdem einzelne NIS-2-spezifische Anforderungen ergänzen müssen.
Umgekehrt bedeutet die Erfüllung von NIS-2-Anforderungen nicht automatisch, dass sämtliche Anforderungen der ISO/IEC 27001 erfüllt sind.
Für Entscheider ist diese Unterscheidung wichtig, weil sie verhindert, dass Zertifizierung und gesetzliche Compliance miteinander verwechselt werden.
Eine Gap-Analyse schafft Klarheit
Für Unternehmen mit einem bestehenden ISMS ist deshalb eine strukturierte Gap-Analyse häufig der sinnvollste Ausgangspunkt.
Dabei geht es nicht darum, jedes bestehende Dokument erneut infrage zu stellen. Stattdessen werden die vorhandenen Strukturen den zusätzlichen Anforderungen gegenübergestellt.
Welche NIS-2-Themen sind durch das ISMS bereits gut abgedeckt? Wo müssen bestehende Prozesse erweitert werden? Welche regulatorischen Anforderungen liegen außerhalb der bisherigen ISO-27001-Strukturen? Und welche Nachweise sind bereits vorhanden?
Eine solche Analyse schafft Klarheit darüber, wo tatsächlich Handlungsbedarf besteht.
Das ist effizienter, als vorsorglich sämtliche Prozesse neu zu gestalten.
Gleichzeitig wird sichtbar, wie wertvoll ein bereits etabliertes ISMS sein kann. Organisationen, die Informationssicherheit schon systematisch steuern, verfügen häufig über viele der organisatorischen Grundlagen, die für NIS-2 benötigt werden.
Keine parallele NIS-2-Organisation aufbauen
Langfristig sollte NIS-2 möglichst nicht als separates Compliance-System neben dem Informationssicherheitsmanagement stehen.
Parallele Strukturen verursachen zusätzlichen Aufwand und erhöhen das Risiko widersprüchlicher Entscheidungen.
Wenn beispielsweise Risiken einmal für das ISMS und ein zweites Mal für NIS-2 bewertet werden, entstehen schnell unterschiedliche Ergebnisse. Dasselbe gilt für Richtlinien, Lieferantenbewertungen oder Incident-Prozesse.
Sinnvoller ist ein integrierter Ansatz.
Das ISMS bildet weiterhin den organisatorischen Rahmen für Informationssicherheit. NIS-2-spezifische Anforderungen werden dort ergänzt, wo dies erforderlich ist.
So entsteht keine eigene „NIS-2-Welt“, sondern ein stärkeres bestehendes Informationssicherheitsmanagement.
ISO 27001 kann aus Compliance echte Resilienz machen
Der größte Vorteil dieser Verbindung liegt nicht in der Dokumentation.
Er liegt in der Nachhaltigkeit.
Regulatorische Anforderungen können dazu führen, dass Unternehmen Sicherheitsmaßnahmen kurzfristig umsetzen, um eine Verpflichtung zu erfüllen. Ein Managementsystem verfolgt dagegen den Anspruch, diese Maßnahmen dauerhaft zu steuern und weiterzuentwickeln.
Genau hier kann ISO/IEC 27001 einen wichtigen Beitrag leisten.
NIS-2 definiert zusätzliche Anforderungen und erhöht den Handlungsdruck. Das ISMS liefert eine Struktur, in der Risiken, Maßnahmen, Verantwortlichkeiten und Verbesserungen kontinuierlich bearbeitet werden können.
Dadurch entsteht mehr als reine Compliance.
Die Organisation verbessert ihre Fähigkeit, Cyber-Risiken systematisch zu beherrschen und sich an neue Bedrohungen und Veränderungen anzupassen.
Genau das ist die Grundlage für echte Cyber-Resilienz.
Auch Unternehmen ohne Zertifizierung können profitieren
Ein wichtiger Punkt wird dabei häufig übersehen: Ein Unternehmen muss nicht zwangsläufig ISO/IEC-27001-zertifiziert sein, um von den Prinzipien eines ISMS zu profitieren.
Auch Organisationen, die wesentliche Strukturen der Norm bereits nutzen oder ein ISMS aufbauen, können diese als Grundlage für NIS-2 verwenden.
Entscheidend ist weniger das Zertifikat an der Wand als die Frage, ob Informationssicherheit tatsächlich systematisch gemanagt wird.
Sind Risiken bekannt? Sind Verantwortlichkeiten definiert? Werden Maßnahmen überprüft? Gibt es funktionierende Prozesse für Sicherheitsvorfälle? Werden Lieferanten berücksichtigt und Verbesserungen nachverfolgt?
Wenn diese Strukturen funktionieren, entsteht bereits eine wertvolle Basis.
Eine Zertifizierung kann zusätzliche Sicherheit und Nachweisbarkeit schaffen. Sie sollte aber nicht mit dem eigentlichen Ziel verwechselt werden: einem wirksamen Informationssicherheitsmanagement.
NIS-2 und ISO 27001 gemeinsam denken
Für viele Unternehmen sollte die Entscheidung deshalb nicht lauten:
„NIS-2 oder ISO 27001?“
Die wesentlich sinnvollere Frage lautet:
„Wie nutzen wir unser Informationssicherheitsmanagement, um NIS-2-Anforderungen effizient und dauerhaft umzusetzen?“
Dieser Perspektivwechsel verhindert Doppelarbeit.
Ein bestehendes ISMS liefert bereits Prozesse, Rollen und Steuerungsmechanismen. NIS-2 ergänzt regulatorische Anforderungen, die gezielt in diese Strukturen integriert werden können.
Dabei bleibt es wichtig, die Unterschiede zu kennen.
ISO/IEC 27001 stellt ein Managementsystem bereit. NIS-2 schafft konkrete rechtliche Pflichten für betroffene Organisationen.
Gerade weil beide Ansätze unterschiedliche Funktionen erfüllen, können sie sich in der Praxis sinnvoll ergänzen.
Fazit: Vorhandene Strukturen nutzen statt neu anfangen
Unternehmen mit einem etablierten ISMS haben bei der Umsetzung von NIS-2 einen entscheidenden Vorteil: Viele grundlegende Strukturen sind bereits vorhanden.
Risikomanagement, Sicherheitsrichtlinien, Verantwortlichkeiten, Incident Management, Business Continuity, Lieferantensteuerung, Awareness und kontinuierliche Verbesserung müssen nicht vollständig neu aufgebaut werden.
Entscheidend ist jedoch, diese Strukturen nicht ungeprüft als ausreichend anzusehen.
NIS-2 bringt eigene regulatorische Anforderungen mit sich. Unternehmen müssen deshalb systematisch prüfen, welche vorhandenen Prozesse bereits passen und wo Ergänzungen notwendig sind.
Genau darin liegt der sinnvollste Ansatz.
Nicht zwei Sicherheitswelten nebeneinander betreiben, sondern bestehendes Informationssicherheitsmanagement gezielt weiterentwickeln.
So kann NIS-2 mehr bewirken als die Erfüllung einer gesetzlichen Verpflichtung. Es kann dazu beitragen, ein vorhandenes ISMS noch stärker auf die tatsächliche Cyber-Resilienz des Unternehmens auszurichten.
Zuletzt erschienen
Wie Unternehmen Veränderung nicht nur starten, sondern dauerhaft in ihren Arbeitsweisen und Services verankern können, erfahren Sie im vorherigen Beitrag:
„ITIL 5 Transformation: Wie Unternehmen Veränderung dauerhaft im Service Management verankern“
Schulungstipp: NIS-2 Foundation bei SERVIEW
Wenn Sie verstehen möchten, welche Anforderungen NIS-2 an Unternehmen stellt und wie sich diese sinnvoll mit bestehenden Informationssicherheitsstrukturen verbinden lassen, bietet die NIS-2 Foundation Schulung bei SERVIEW den passenden Einstieg.
Die Weiterbildung vermittelt die Grundlagen der NIS-2-Richtlinie und hilft Ihnen dabei, Anforderungen, Verantwortlichkeiten und notwendige Sicherheitsmaßnahmen richtig einzuordnen. Gerade für Organisationen, die bereits mit ISO/IEC 27001 arbeiten, schafft dieses Wissen die Grundlage dafür, vorhandene ISMS-Strukturen gezielt weiterzuentwickeln, statt parallele Prozesse aufzubauen.
Mehr erfahren:
NIS-2 Schulungen bei SERVIEW
