NIS2, abgebildet auf ISO 27001

Für wen

Eine wesentliche oder wichtige Einrichtung unter NIS2, oder ein Lieferant, den eine solche fragt, die bereits ein ISO/IEC 27001-Managementsystem betreibt oder aufbaut und wissen will, wie viel von Artikel 21 sie damit schon beantwortet.

Was sich zuordnen lässt

Alle 10 Maßnahmen des Artikels 21 Absatz 2, jede zu den ISO/IEC 27001-Abschnitten und Anhang-A-Maßnahmen, deren Aufzeichnungen sie belegen: 73 Maßnahmen und 14 Abschnitte insgesamt, die Lesart von StandardOS, unten als CSV herunterladbar.

Was nicht

6 Stellen, an denen die Durchführungsverordnung etwas verlangt, das keine ISO 27001-Aufzeichnung hervorbringt, weiter unten aufgeführt; und die eigenen Pflichten der Richtlinie, die Registrierung, die Schulung des Leitungsorgans und die Meldefristen, die neben dem ISMS stehen, nicht darin.

Die zehn Maßnahmen des Artikels 21 Absatz 2, zugeordnet

Eine Zeile je Buchstabe der Richtlinie: die Maßnahme in einfachen Worten, der eigene Text der Richtlinie und die ISO/IEC 27001-Abschnitte und Anhang-A-Maßnahmen, deren Aufzeichnungen sie belegen. Wesentliche und wichtige Einrichtungen gleichermaßen.

Die Zuordnung ist die Lesart von StandardOS, welche Aufzeichnungen welche Maßnahme belegen; NIS2 nennt keine Norm und gewährt keine Konformitätsvermutung, und die Abschnitte der Durchführungsverordnung unten ergänzen die Einzelheiten, die die Richtlinie offenlässt.

Erwägungsgrund 3 der Verordnung sagt ausdrücklich, woher ihre Anforderungen stammen. Sie sind “based on European and international standards, such as ISO/IEC 27001, ISO/IEC 27002 and ETSI EN 319401”. Das ist es, was eine Zuordnung möglich macht, statt nur ungefähr.

Der Anhang, Abschnitt für Abschnitt

Die Abschnittstitel sind aus dem englischen Text des Anhangs zitiert, da auch ISO 27001 auf Englisch bearbeitet wird; die Titel der Unterabschnitte stammen aus dem Amtsblatt in dieser Sprache.

Wo ein ISMS aufhört, an 6 Stellen

Alles andere in diesem Anhang ergibt sich aus einem konformen ISO-27001-Managementsystem. Diese Punkte nicht, und kein Maß an ISO-Konformität erzeugt sie:

• 1. Policy on the security of network and information systems

  Die Untergrenzen. 1.1.2 lässt die Leitungsorgane die Richtlinie mindestens jährlich überprüfen, und 1.2.3 verlangt mindestens eine Person, die den Leitungsorganen direkt über Netz- und Informationssicherheit berichtet. ISO 27001 sieht eine Überprüfung durch die oberste Leitung in geplanten Abständen vor und nennt keine solche Berichtslinie.

• 2. Risk management policy

  Die jährliche Untergrenze. 2.1.4 verlangt, dass die Ergebnisse der Risikobeurteilung und der Risikobehandlungsplan in geplanten Abständen und mindestens jährlich überprüft werden. ISO 27001 legt die Abstände fest, ohne Untergrenze.

• 3. Incident handling

  Die gesetzliche Uhr. ISO 27001 verlangt einen Vorfallprozess; sie verlangt keine 24-Stunden-Frühwarnung, keine 72-Stunden-Meldung, keine doppelte Einreichung bei einem CSIRT und einer zuständigen Behörde und keinen Erheblichkeitstest. Die Artikel 3 bis 14 der Durchführungsverordnung machen das mechanisch und EU-einheitlich. Artikel 3 Absatz 1 Buchstabe a lautet 500.000 € oder 5 % des Umsatzes, je nachdem, was niedriger ist, und nichts davon ergibt sich von selbst aus einem ISMS. Und die Protokolle: Nach 3.2.5 werden Protokolle aufbewahrt und für einen festgelegten Zeitraum gesichert, geschützt vor unbefugtem Zugriff und Veränderung. A.8.15 verlangt Protokollierung; es verlangt nicht, die Protokolle selbst für einen festgelegten Zeitraum zu sichern.

• 8. Basic cyber hygiene practices and security training

  Schulung des Leitungsorgans. Artikel 20 Absatz 2 NIS2 verlangt, dass die Mitglieder des Leitungsorgans selbst an Schulungen teilnehmen, und Artikel 20 Absatz 1 macht sie persönlich für die Genehmigung und Überwachung der Maßnahmen haftbar. ISO 27001 verlangt Engagement der Führung und Kompetenz; sie trägt die Geschäftsführung nicht ins Schulungsregister ein und knüpft keine Haftung an die Unterschrift.

• 10. Human resources security

  Die jährliche Untergrenze. 10.1.3 lässt die Einrichtung ihre Personalsicherheit, einschließlich der dafür eingesetzten Ressourcen, in geplanten Abständen und mindestens jährlich überprüfen. ISO 27001 legt die Abstände fest, ohne Untergrenze.

• 11. Access control

  Mehrere Faktoren. 11.3.2 verlangt eine starke Identifizierung und Authentifizierung wie die Multi-Faktor-Authentifizierung für privilegierte Konten und Systemverwaltungskonten, 11.7 verlangt, dass Nutzer mit mehreren Faktoren oder kontinuierlich authentifiziert werden, und 11.6.2(e) beendet inaktive Sitzungen nach einem festgelegten Zeitraum. A.8.5 verlangt eine sichere Authentifizierung und nennt keines der drei.

Was diese Seite nicht ist

Sie ist kein Abdeckungsgrad. Eine einzelne Prozentzahl dafür, wie viel von NIS2 ISO 27001 abdeckt, wird an vielen Stellen zitiert. Jede Fassung davon ist ein strukturelles Urteil und keine Messung, und wir werden keine Zahl wiederholen, deren Rechenweg wir nicht zeigen können. Die ENISA hat in ihrer Technical Implementation Guidance (v1.0, Juni 2025) eine maschinenlesbare Zuordnung veröffentlicht; die Zuordnung oben ist unsere, aus den beiden Dokumenten, und Sie sollten sie gegen die der ENISA prüfen, statt einem von uns beiden zu vertrauen.

Sie ist kein NIS2-Produkt. StandardOS registriert Sie nicht bei einer nationalen Behörde, reicht Ihre Vorfallmeldungen nicht ein und verfolgt keine 27 nationalen Umsetzungen. Wenn Sie das brauchen, brauchen Sie etwas anderes, und die ehrliche Fassung unserer Position lautet, dass der Maßnahmenkatalog der Teil ist, den es sich lohnt, einmal zu bauen, weil er der einzige Teil ist, der überall gleich ist.

Sie ist keine Feststellung des Anwendungsbereichs. NIS2 bindet wesentliche und wichtige Einrichtungen oberhalb der Größenschwellen in Artikel 2. Unter etwa 50 Personen und 10 Mio. € liegen Sie sehr wahrscheinlich vollständig außerhalb, mit sektoralen Ausnahmen. Diese Feststellung zu treffen und festzuhalten ist Ihre Sache, und wir treffen sie nicht für Sie auf einer Marketingseite.

Die Abschnittstitel sind aus dem Anhang der Durchführungsverordnung (EU) 2024/2690 zitiert, wie auf EUR-Lex veröffentlicht, gelesen am 10. August 2026. Die Zuordnung zu ISO/IEC 27001 ist unsere eigene und nicht die der ENISA. Das ist keine Rechtsberatung, und die Verordnung ist kurz genug, um sie selbst zu lesen: Durchführungsverordnung (EU) 2024/2690.