NIS2 und ISO® 27001: Was das Zertifikat abdeckt und was fehlt

Die kurze Antwort: Nein, ein ISO® 27001-Zertifikat reicht für NIS2 nicht. Ein gelebtes ISMS liefert die meisten Nachweise für die Risikomanagementmaßnahmen nach § 30 BSIG. Das Zertifikat belegt aber keine vollständige Erfüllung des BSIG. Prüfen Sie vier Lücken: den Geltungsbereich, die Registrierung, die Meldepflichten und die Pflichten der Geschäftsleitung.

Ob NIS2 für Sie gilt, klären der NIS2-Betroffenheits-Check und der Artikel Fällt Ihr Unternehmen unter NIS2?.

Was das Zertifikat abdeckt

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen in zehn Bereichen, und Sie müssen die Einhaltung dokumentieren (§ 30 Abs. 1 S. 3). Die Maßnahmen sollen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen (§ 30 Abs. 2). ISO® 27001 ist so eine Norm: Risikobewertung, Maßnahmen aus Anhang A, internes Audit, Management-Review.

Nach unserer Erfahrung deckt ein gelebtes ISMS die meisten der zehn Bereiche ab. Entscheidend sind die Nachweise, nicht das Zertifikat an der Wand. Welche Nachweise jeder Bereich braucht und welche Maßnahmen aus ISO® 27001 sie liefern, steht im Artikel Die zehn NIS2-Maßnahmen nach § 30 BSIG.

Innerhalb von § 30 sollten Sie diese drei Punkte gesondert prüfen:

• Multi-Faktor-Authentifizierung (Nr. 10). A.8.5 überlässt das Verfahren der Risikobewertung. Das BSIG nennt Multi-Faktor- oder kontinuierliche Authentifizierung ausdrücklich.
• Notfallkommunikation (Nr. 10). Prüfen Sie, wie Geschäftsleitung, IT und Meldeteam gesichert kommunizieren, wenn E-Mail und Chat ausfallen.
• Risikoakzeptanz. ISO® 27001 erlaubt, Risiken nach eigenen Kriterien zu akzeptieren. Nach dem BSIG müssen die Maßnahmen verhältnismäßig sein und sollen dem Stand der Technik entsprechen. Begründen Sie akzeptierte Risiken an diesem Maßstab.

Die vier Lücken

1. Geltungsbereich

Den Geltungsbereich eines ISMS legen Sie selbst fest (Kapitel 4.3). Er darf sich auf einen Standort oder einen Geschäftsbereich beschränken. Das BSIG verlangt die Maßnahmen für den gesamten relevanten Betrieb der Einrichtung. Beispiel: Das Zertifikat umfasst die Softwareentwicklung, betroffen sind Sie aber wegen Ihrer Fertigung mit eigener IT.

So schließen Sie die Lücke: Gleichen Sie Ihre Scope-Erklärung mit den Leistungen ab, durch die Sie unter NIS2 fallen. Erweitern Sie den Geltungsbereich oder dokumentieren Sie gesondert, wie die Teile außerhalb § 30 erfüllen.

2. Registrierung beim BSI (§ 33)

Einrichtungen registrieren sich spätestens drei Monate, nachdem sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gelten. Zur Registrierung gehören unter anderem Rechtsform, Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, der Sektor und die EU-Mitgliedstaaten, in denen Sie Dienste erbringen. Änderungen sind unverzüglich, spätestens binnen zwei Wochen ab Kenntnis zu übermitteln (§ 33 Abs. 5). Fehlende oder unvollständige Angaben können mit bis zu 500.000 € Bußgeld geahndet werden (§ 65). ISO® 27001 kennt nichts Vergleichbares.

So schließen Sie die Lücke: Legen Sie die Registrierung als Datensatz im ISMS ab und benennen Sie einen Verantwortlichen, der Änderungen fristgerecht meldet. Prüfen Sie die Vollständigkeit zusätzlich im Management-Review.

3. Meldepflichten (§ 32)

ISO® 27001 verlangt ein Vorfallmanagement (A.5.24 bis A.5.28) und Kontakt zu Behörden (A.5.5), aber keine Fristen. Das BSIG verlangt bei erheblichen Sicherheitsvorfällen eine frühe Erstmeldung binnen 24 Stunden und eine Meldung binnen 72 Stunden nach Kenntnis, die Abschlussmeldung spätestens einen Monat nach der Meldung. Dauert der Vorfall noch an, tritt zu diesem Zeitpunkt eine Fortschrittsmeldung an ihre Stelle (§ 32 Abs. 2).

So schließen Sie die Lücke: Ergänzen Sie den Vorfallprozess um einen Entscheidungspunkt (ist das erheblich?), benannte Melder mit Vertretung für Wochenende und Urlaub und einen vorab eingerichteten Zugang zum BSI-Portal. Einzelheiten und Checkliste in NIS2-Meldepflicht.

4. Pflichten der Geschäftsleitung (§ 38)

Kapitel 5.1 der ISO® 27001 verlangt von der obersten Leitung Führung und Verpflichtung. Das BSIG geht weiter. Die Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1). Sie kann Aufgaben übertragen, die Verantwortung bleibt bei ihr (BT-Drs. 21/1501, S. 154). Verletzt sie diese Pflichten, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht (§ 38 Abs. 2). Dazu kommt die Pflicht, regelmäßig an Schulungen teilzunehmen (§ 38 Abs. 3).

So schließen Sie die Lücke: Die Geschäftsleitung lässt sich regelmäßig über die Umsetzung berichten, hält ihre Entscheidungen im Management-Review fest und dokumentiert ihre eigene Schulung. Siehe NIS2-Schulung der Geschäftsleitung nach § 38 BSIG.

Zertifiziert und betroffen: die Reihenfolge, die funktioniert

1. Beim BSI registrieren, falls noch nicht geschehen.
2. BSI-Fristen in den Vorfallprozess aufnehmen.
3. Geltungsbereich gegen die ganze Einrichtung prüfen.
4. Lückenanalyse gegen die zehn Bereiche aus § 30 durchführen und die Lücken oben schließen.
5. Schulung der Geschäftsleitung planen und NIS2 auf die Agenda des Management-Reviews setzen: Registrierungsstand, gemeldete Vorfälle, offene Lücken, Schulungstermin.

Pflegen Sie dabei einen Satz Nachweise. Eine Richtlinie, ein Risiko oder eine Lieferantenbewertung dient ISO® 27001 und NIS2 zugleich.

ISO® 27001 und NIS2 in Valiido

In Valiido ist NIS2 ein eigenes Framework neben ISO® 27001. Im Valiido Guide zeigen die NIS2-Kapitel die Maßnahmen aus ISO® 27001, die dahinterstehen, sodass dieselben Richtlinien, Risiken und Datensätze beiden dienen. Vorfälle tragen die Fristen 24 Stunden, 72 Stunden und ein Monat. Registrierung und Meldungen an das BSI übernehmen Sie selbst, und AuditMagic prüft gegen ISO® 27001, TISAX® und Valiido-Best-Practices, nicht gegen NIS2. So setzen Sie NIS2 mit Valiido um.

Häufig gestellte Fragen

Verlangt NIS2 eine Zertifizierung nach ISO® 27001?

Nein. Das BSIG verlangt Maßnahmen und deren Dokumentation, kein Zertifikat. ISO® 27001 ist ein verbreiteter Weg, diese Maßnahmen zu strukturieren.

Prüft das BSI unser ISO® 27001-Zertifikat?

Das BSI prüft die Einhaltung des BSIG. Bei besonders wichtigen Einrichtungen kann es Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen und die Ergebnisse verlangen (§ 61 Abs. 1, 3). Eigenständige Nachweisanforderungen nach § 61 Abs. 3 S. 1 sind frühestens drei Jahre nach Inkrafttreten möglich; für zugelassene Krankenhäuser gilt eine Sonderregel. Bei wichtigen Einrichtungen wird es tätig, wenn Tatsachen auf einen Verstoß hindeuten (§ 62). Betreiber kritischer Anlagen erbringen alle drei Jahre Nachweise (§ 39). Ein Zertifikat kann Teil dieser Nachweise sein, gilt aber nur für seinen Geltungsbereich.

Prüft unsere Zertifizierungsstelle NIS2 mit?

Nein. Das Zertifizierungsaudit prüft das ISMS gegen ISO® 27001 im festgelegten Geltungsbereich. Relevante Rechtspflichten können im ISMS berücksichtigt werden (A.5.31). Das Zertifikat ist aber keine gesonderte Bestätigung der BSIG-Konformität.

Kann ein ISMS ISO® 27001, TISAX® und NIS2 zugleich abdecken?

Ja. Alle drei bauen auf Risikomanagement, Richtlinien und Nachweisen auf. Pflegen Sie die Nachweise einmal und ordnen Sie sie jedem Framework zu. Für Automobilzulieferer siehe NIS2 für Automobilzulieferer.