Nein, ein NIS2-Zertifikat existiert nicht. Es gibt keine Instanz — keine Zertifizierungsstelle, keine Aufsichtsbehörde, keine Branchenorganisation — die ein Gütesiegel oder Zertifikat ausstellt, mit dem ein Unternehmen nachweisen kann, dass es "NIS2-zertifiziert" ist. Wer ein solches Zertifikat anbietet oder verkauft, verkauft etwas, das innerhalb des Systems der Richtlinie faktisch nicht existiert.
Das ist keine kleine Nuance. NIS2 ist eine Richtlinie, die Mitgliedstaaten in nationale Rechtsvorschriften umsetzen, mit einer darin festgelegten Sorgfaltspflicht: angemessene technische und organisatorische Maßnahmen zur Beherrschung von Risiken für Netz- und Informationssysteme. Aufsichtsbehörden überprüfen, ob eine Organisation dieser Sorgfaltspflicht nachkommt, nicht ob ein Zertifikat an der Wand hängt. Es gibt also keine Prüfung, kein Gütesiegel und keinen Stempel, den die Richtlinie selbst vorschreibt oder anerkennt.
Warum die Frage immer wieder auftaucht
Die Verwirrung ist verständlich. Bei anderen Regelwerken, etwa bestimmten Qualitätsnormen im Bauwesen oder der Lebensmittelsicherheit, gibt es durchaus ein Zertifizierungsverfahren mit einem unabhängigen Prüfer und einem gültigen Zertifikat. Anbieter, die kommerziell von der Unsicherheit rund um NIS2 profitieren möchten, spielen darauf an: sie suggerieren, dass es ein ähnliches Verfahren gibt, mit einer Audit, einem Bericht und einem schönen Dokument am Ende. Das klingt beruhigend, besonders für einen Geschäftsführer oder Büroleiter, der gerade gehört hat, dass "etwas kommt" und schnell eine Checkliste sucht.
Das Problem ist, dass ein solches Zertifikat, so überzeugend es auch aussehen mag, keinen rechtlichen Status unter der Richtlinie oder deren nationale Umsetzung hat. Eine Aufsichtsbehörde fragt nicht nach einem Zertifikat; sie schaut sich die Maßnahmen selbst an, wie sie dokumentiert sind und wer dafür verantwortlich ist.
Was es gibt: anerkannte Normen, kein NIS2-Stempel
Es gibt international anerkannte Normen für Informationssicherheit, mit einem Zertifizierungsverfahren durch eine akkreditierte Stelle. Ein solches Zertifikat zeigt, dass ein Managementsystem für Informationssicherheit eingerichtet und regelmäßig überprüft wird. Das ist wertvoll und kann das Gespräch mit einer Aufsichtsbehörde oder einem Abnehmer vereinfachen, da es Struktur und Nachweis liefert. Aber es ist ein anderes System, mit eigenem Geltungsbereich und eigenem Auditor, und es deckt nicht automatisch jede Maßnahme ab, die die Sorgfaltspflicht verlangt. Wer diesen Unterschied genau verstehen möchte, findet den Vergleich in der Übersicht der Themen nach Situation.
Was eine Aufsichtsbehörde oder ein Abnehmer stattdessen erwartet
Anstelle eines Zertifikats verlangt die Sorgfaltspflicht Nachweisbarkeit: Kann die Organisation zeigen, welche Maßnahmen ergriffen wurden, wer dafür verantwortlich ist und welcher Nachweis dazu gehört. Das ist weniger ein Gütesiegel und mehr ein lebendes Register — eine Dokumentation, die sich mit der Organisation entwickelt, mit einem Status und einem Verantwortlichen pro Maßnahme. Für Organisationen, die noch nicht wissen, ob dies für sie relevant ist, ist der erste Schritt meist einfach: Sektor, Größe und Rolle in der Lieferkette prüfen. Das geht kostenlos und ohne Konto über ein paar Fragen, die sofort einen Anhaltspunkt geben.
Auch gegenüber Abnehmern, die einen Sicherheitsfragebogen versenden, ist ein Zertifikat nicht der schnellste Weg. Abnehmer wollen in der Regel konkrete Antworten sehen: welche Maßnahmen gibt es, wie sind sie verankert, was passiert bei einem Vorfall. Ein Zertifikat kann dabei helfen, ersetzt aber nicht den zugrunde liegenden Nachweis.
Wenn ein Lieferant dennoch ein "NIS2-Zertifikat" anbietet
Wird ein Zertifizierungsprozess speziell unter dem Namen NIS2 angeboten, ist es ratsam, kritisch zu prüfen, wer ihn ausstellt und auf Basis welcher Norm. Erkundigen Sie sich nach der Akkreditierung, dem genauen Umfang und danach, was das Zertifikat abdeckt und nicht abdeckt. Eine Bewertung, ein Penetrationstest oder eine Zertifizierung gegen eine anerkannte Norm ist Facharbeit von spezialisierten Stellen — das unterscheidet sich deutlich vom Erstellen von Richtlinien, Dokumentationen und Fragelisten. Wie solch eine Vorbereitung aussieht und woher die verwendeten Quellen stammen, wird auf der Seite zur Aufbereitung der Informationen.
erläutert. Für Ihre spezifische Situation und die Frage, ob ein angebotenes Zertifikat den Anforderungen des Gesetzes in Ihrem Land entspricht, sind ein Jurist oder die zuständige Aufsichtsbehörde die richtige Anlaufstelle. Sind Sie unsicher, ob ein Zertifikat, eine Norm oder eine Frageliste für Ihre Organisation relevant ist, bietet die Übersicht mit häufig gestellten Fragen oft bereits eine erste Antwort.
Möchten Sie wissen, wo Ihre Organisation genau steht, ohne Verkaufsrhetorik über nicht existierende Zertifikate? Führen Sie die kostenlose NIS2-Überprüfung durch oder blättern Sie durch die Wissensdatenbank — beide sind ohne Konto zugänglich.