NIS2 und ISO 27001:
Wie Unternehmen ihr ISMS für die neuen Anforderungen fit machen
Wie Unternehmen ihr ISMS für die neuen Anforderungen fit machen
Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Deutschland in Kraft. Wer als Compliance- oder Datenschutzbeauftragte:r gedacht hatte, mit einer bestehenden ISO-27001-Zertifizierung auf der sicheren Seite zu sein, steht spätestens jetzt vor einer unbequemen Frage: Reicht das wirklich?
Die kurze Antwort lautet: Nein, nicht vollständig. Die längere Antwort erklärt, warum ein gut aufgesetztes ISMS nach ISO 27001 trotzdem die beste Ausgangslage ist und wo man jetzt konkret nachschärfen muss.
Was die NIS2-Richtlinie wirklich von Unternehmen verlangt
Die NIS2-Richtlinie der EU ist keine Empfehlung, sondern geltendes Recht. Im deutschen NIS2-Umsetzungsgesetz konkretisiert § 30 BSIG-neu zehn Mindestmaßnahmen für das Risikomanagement, die direkt auf Artikel 21 der NIS2-Richtlinie zurückgehen. Dazu zählen unter anderem Konzepte zur Risikoanalyse, Incident-Response-Prozesse, Business-Continuity-Management inklusive Backup-Strategien, die Sicherheit der Lieferkette sowie der Einsatz kryptografischer Verfahren und Multi-Faktor-Authentifizierung.
Besonders wichtig für Compliance-Verantwortliche: Die Geschäftsleitung wird durch das Gesetz ausdrücklich zur Umsetzung und Überwachung dieser Maßnahmen verpflichtet und kann bei Verstößen persönlich haftbar gemacht werden. Bußgelder können bis zu 10 Millionen Euro betragen. Zudem müssen sich „besonders wichtige“ und „wichtige“ Einrichtungen beim BSI registrieren. Das entsprechende Portal ist seit dem 6. Januar 2026 freigeschaltet.
Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden, ein erweiterter Bericht folgt innerhalb von 72 Stunden, ein Abschlussbericht nach einem Monat. Das ist kein bürokratischer Nebenpunkt, sondern eine operative Anforderung, die Prozesse und Dokumentation gleichermaßen betrifft.
ISO 27001 als Fundament – aber kein Freifahrtschein
Wer bereits ein ISMS nach ISO 27001 betreibt, hat einen echten Vorsprung. Beide Regelwerke verfolgen einen risikobasierten Ansatz: Risiken identifizieren, bewerten, behandeln und die Wirksamkeit der Maßnahmen kontinuierlich überprüfen. Das Mapping zwischen NIS2-Artikel 21 und den ISO-27001-Kontrollen ist solide. Bereiche wie Risikomanagement, Asset-Management, Incident-Management, Lieferkettensicherheit und Business-Continuity sind im ISO-Standard gut verankert.
Trotzdem gibt es strukturelle Unterschiede, die man nicht ignorieren darf. ISO 27001 ist ein freiwilliger, international anerkannter Standard. NIS2 ist verbindliches EU-Recht mit sektoralen Vorgaben, konkreten Meldefristen und staatlicher Aufsicht durch das BSI. Während ISO 27001 bei bestimmten Kontrollen Ausnahmen mit Begründung erlaubt, lässt NIS2 deutlich weniger Spielraum. Viele Anforderungen sind schlicht verpflichtend, unabhängig davon, wie eine Risikoabwägung intern ausfällt.
Kurz gesagt: Ein zertifiziertes ISMS liefert die Struktur. Aber es deckt die NIS2-spezifischen Pflichten rund um Meldewesen, Registrierung und Governance noch nicht automatisch ab.
Wo die Lücken typischerweise liegen
Eine GAP-Analyse zwischen bestehendem ISO-ISMS und NIS2 zeigt in der Praxis immer wieder ähnliche Schwachstellen. Drei davon stechen besonders hervor.
Von der Norm zum Nachweis: Warum Excel an seine Grenzen stößt
Viele Organisationen starten ihren NIS2-Compliance-Weg genau so, wie sie es aus der ISO-27001-Einführung kennen: mit Excel-Listen, losen Dokument-Sammlungen und manuell gepflegten Mapping-Tabellen. Das funktioniert für den Einstieg, aber es skaliert nicht.
Sobald Risikoregister, Maßnahmenstatus, Lieferantenbewertungen, Incident-Logs und Management-Beschlüsse in verschiedenen Dateien und Verzeichnissen leben, entstehen Versionierungsprobleme, Verantwortlichkeitslücken und ein Alptraum bei jedem Audit-Sprint. Das BSI erwartet ein „angemessenes dokumentiertes Sicherheitsniveau“ – und das bedeutet: nachvollziehbar, versioniert, widerspruchsfrei.
Was Behörden und Auditoren sehen wollen, ist kein Ordner voller PDFs. Es ist ein lebendiges Register, das zeigt, welche Risiken bekannt sind, welche Maßnahmen ergriffen wurden, wer dafür verantwortlich ist und wann welche Entscheidung getroffen wurde. Alles in einem konsistenten System, nicht verteilt über ein Dutzend Dateien.
Wie BAYOOSOFT Themis dabei unterstützt
Wer sein ISMS nach ISO 27001 als Grundlage für die NIS2-Compliance nutzen will, steht vor einer sehr konkreten Herausforderung: Die Dokumentation muss nicht nur vorhanden, sondern audit-ready sein. Normanforderungen müssen mit tatsächlich gelebten Prozessen, Rollen und Verantwortlichkeiten verknüpft sein und das nachweisbar, versioniert, jederzeit abrufbar.
Genau das ist der Ansatz von BAYOOSOFT Themis. Als prozessgeführte Plattform für QM- und ISMS-Dokumentation schließt Themis die Lücke zwischen Norm und gelebtem Prozess. Über den integrierten ISO-27001-Guide werden Normkapitel direkt mit den SOPs des Unternehmens verknüpft. Rollen, Verantwortlichkeiten und Freigabeschritte sind strukturiert hinterlegt. Ein vollständiger Audit-Trail dokumentiert, wer wann was entschieden oder freigegeben hat, ohne manuelles Zusammensuchen aus verschiedenen Dateien.
Was das für NIS2 bedeutet: Wer sein ISO-27001-ISMS mit Themis strukturiert aufbaut und pflegt, hat die Nachweisgrundlage, die Auditoren und – im NIS2-Kontext – auch Behörden erwarten. Keine Lücken zwischen Normkapitel und tatsächlichem Prozess, keine veralteten Dokumente in losen Ordnern, kein Audit-Sprint kurz vor dem Termin.
Themis positioniert sich dabei bewusst nicht als Scanner-Tool oder reines Dokumentenarchiv, sondern als Plattform für prozessuale Exzellenz: Die Diskrepanz zwischen Norm und gelebter Praxis ist das größte Audit-Risiko und genau dort setzt Themis an.
