NIS2, abgebildet auf ISO 27001

Die zehn Maßnahmen des Artikels 21(2) NIS2 als Checkliste: jeder Buchstabe zitiert, die Abschnitte der Verordnung dahinter und die ISO-27001-Maßnahmen, die sie bereits hervorbringen

Artikel 21(2) führt zehn Maßnahmen auf, die jede wesentliche und wichtige Einrichtung treffen muss, von Konzepten zur Risikoanalyse bis zur Multi-Faktor-Authentifizierung. Für Cloud-, Managed-Service- und die anderen digitalen Anbieter legt die Durchführungsverordnung 2024/2690 jede davon in 13 Abschnitten aus, geschrieben aus ISO/IEC 27001 und 27002. Eine Tabelle: die zehn Buchstaben, wie die Richtlinie sie formuliert, die Abschnitte, die jeden ausführen, und die ISO-27001-Kapitel und Anhang-A-Maßnahmen, die die Nachweise hervorbringen, mit den zwei Stellen, die ein ISMS nicht erreicht.

NIS2 Artikel 20 für die Geschäftsleitung: Was das Leitungsorgan billigen, überwachen und lernen muss, die zwölf Stellen, an denen die Durchführungsverordnung es nennt, und was Haftung bedeutet

Artikel 20 der NIS2 verpflichtet das Leitungsorgan einer wesentlichen oder wichtigen Einrichtung, die Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu billigen, ihre Umsetzung zu überwachen, für Verstöße der Einrichtung gegen Artikel 21 verantwortlich gemacht werden zu können und an Schulungen teilzunehmen. Die Durchführungsverordnung 2024/2690 nennt das Leitungsorgan dann an zwölf Stellen ihres Anhangs: eine datierte Genehmigung des Konzepts, eine jährliche Überprüfung, eine direkte Berichtslinie, die Akzeptanz von Restrisiken, Berichte über die Einhaltung, ein Sensibilisierungsprogramm. Jede der zwölf als Nachweis, die Klausel der ISO 27001, die ihn bereits erzeugt, und was Artikel 32 und Artikel 34 über die Haftung sagen.

NIS2 für ein SaaS-Unternehmen: Sie sind ein Anbieter von Cloud-Computing-Diensten, und das folgt daraus

Erwägungsgrund 33 der Richtlinie nennt Software as a Service als Cloud-Dienstmodell, sodass ein SaaS-Unternehmen mittlerer Größe oder größer als Anbieter von Cloud-Computing-Diensten eine Einrichtung der NIS2 ist: wichtig unterhalb der Schwellenwerte für mittlere Unternehmen, wesentlich darüber. Was folgt, in der Reihenfolge, in der es kommt: der Staat Ihrer Hauptniederlassung, das Register, in dem Sie bis zum 17. Januar 2025 sein mussten, die Maßnahmen der Durchführungsverordnung 2024/2690, die vier Schwellenwerte für Vorfälle ihres Artikels 7 und die Fristen des Artikels 23, und die Grenze zwischen alldem und dem CRA.

NIS2 für Managed-Service-Provider und MSSPs: eine Einrichtung nach Anhang I per Definition, und der Lieferant, bei dem die Sorgfaltsprüfung jedes Kunden landet

Artikel 6(39) macht jeden, der IKT für Kunden installiert, verwaltet, betreibt oder wartet, vor Ort oder aus der Ferne, zum Anbieter verwalteter Dienste, und Artikel 6(40) macht die, die beim Cybersicherheits-Risikomanagement helfen, zu MSSPs. Beide sind Arten aus Anhang I: wichtig bei mittlerer Größe, wesentlich über den Schwellenwerten, unter dem Gesetz der Hauptniederlassung, im Register der ENISA, unmittelbar unter der Durchführungsverordnung 2024/2690, mit den vier Schwellenwerten für Vorfälle ihres Artikels 10. Und Erwägungsgrund 86 sagt jedem wesentlichen und wichtigen Kunden, bei Ihrer Auswahl erhöhte Sorgfalt walten zu lassen.

NIS2 oder CRA: Welche Vorfalls-Uhr läuft für ein Softwareunternehmen, und was macht einen Vorfall „erheblich“

Beide Gesetze geben Ihnen 24 Stunden, 72 Stunden und einen Monat, und beide starten die Uhr, wenn Sie „Kenntnis erlangen“. Fast alles andere unterscheidet sich: was sie auslöst, wer sie erhält, auf welcher Plattform und was zählt. NIS2 Artikel 23 und die Durchführungsverordnung 2024/2690 für das Unternehmen, das einen Cloud-Dienst betreibt; CRA Artikel 14 für das Unternehmen, das ein Produkt ausliefert; beides für das Unternehmen, das beides tut. Die Schwellenwerte, Kriterium für Kriterium, und ein Verfahren, das beiden genügt.

ISO 27001 vs. NIS2: was das Zertifikat abdeckt und was nicht

NIS2 ist Gesetz und ISO 27001 ist eine zertifizierbare Norm, also keine Alternativen. Hier steht, wo ein bestehendes ISMS die Anforderungen der Richtlinie erfüllt, und an welchen zwei Stellen nicht.

NIS2-Umsetzung, Staat für Staat: Was das Register der Kommission selbst zeigt

Kein Tracker einer Kanzlei: die nationalen Maßnahmen, die die Mitgliedstaaten der Kommission als Umsetzung der Richtlinie (EU) 2022/2555 mitgeteilt haben, gelesen beim Amt für Veröffentlichungen am 12. September 2026. 25 der 27 Staaten haben mindestens eine mitgeteilt, 303 Maßnahmen insgesamt; Spanien und Irland keine; Frankreich 15 Texte, alle älter als die Richtlinie. Das Gesetz, das jeder Staat sein NIS2-Gesetz nennt, wann es in Kraft trat, und was ein Softwareunternehmen mit der Antwort anfängt.

CRA oder NIS2: Was gilt für ein Softwareunternehmen, und kann es beides sein?

Der Cyber Resilience Act regelt Produkte, die in Verkehr gebracht werden; NIS2 regelt Einrichtungen, die Dienste erbringen. Ein Softwareunternehmen kann unter das eine, das andere, beide oder keines fallen, und die Antwort hängt an zwei Fragen: Bringen Sie ein Produkt in Verkehr, und sind Sie eine mittlere oder größere Einrichtung in einem aufgeführten Sektor. Die Daten, die Meldefristen, die Bußgelder und die Entscheidungstabelle, aus den beiden Texten.

Welche EU-Länder ISO 27001 in öffentlichen Ausschreibungen nennen: 1.548 deutsche Bekanntmachungen, 829 polnische, und Griechenland hat den höchsten Anteil

In 365 Tagen taucht ISO 27001 in 3.415 TED-Bekanntmachungen auf. Deutschland und Polen stehen für 70 % davon, Griechenland nennt sie in 2 % von allem, was es kauft, und Frankreich, Spanien und Italien nennen sie kaum. Hier ist die Tabelle, die Abfrage und was die Zahlen bedeuten.