Ein ISO-27001-Zertifikat hilft nachweisbar bei der Erfüllung der Sorgfaltspflicht nach der NIS2-Richtlinie, deckt diese aber nicht vollständig ab. Die Norm beschreibt, wie eine Organisation die Informationssicherheit strukturell durch ein Managementsystem angeht; die NIS2-Richtlinie (insbesondere Artikel 21) beschreibt, welche konkreten Maßnahmen eine wesentliche oder wichtige Einheit ergreifen muss, und Artikel 23 verpflichtet zur Meldung von Vorfällen bei einer Aufsichtsbehörde. Letzteres regelt keine ISO-Norm, so gut das Zertifikat sonst auch sein mag.
Der Unterschied liegt also nicht in der Qualität, sondern im Zweck. ISO 27001 ist eine freiwillige Norm, die eine Organisation zertifizieren lassen kann, um nachzuweisen, dass sie ihre Informationssicherheit in Ordnung hat. NIS2 ist eine Rechtsvorschrift mit einer gesetzlichen Sorgfaltspflicht, einer Registrierungspflicht und einer Meldepflicht, die in jedem Land umgesetzt wurde — in den Niederlanden durch das Cybersicherheitsgesetz. Ein Unternehmen kann daher für ISO 27001 zertifiziert sein und dennoch Schritte unternehmen müssen, um die gesetzlichen Anforderungen zu erfüllen, und umgekehrt kann ein Unternehmen an der gesetzlichen Sorgfaltspflicht arbeiten, ohne jemals ein Zertifikat zu erwerben.
Wo sich die Überschneidungen befinden
ISO 27001 arbeitet mit einer Risikobewertung und einer Liste von Kontrollen (der sogenannten Anlage A), die den zehn Maßnahmen, die die NIS2-Sorgfaltspflicht vorsieht, sehr ähneln: Zugriffskontrolle, Verschlüsselung, Sicherungen, Bewertung von Lieferanten, Vorfallbehandlung und mehr finden sich in beiden wieder. Eine Organisation, die ihr ISO-System ernst nimmt, verfügt für viele dieser Maßnahmen bereits über einen Nachweis und einen Verantwortlichen. Das spart erhebliche Arbeit beim Aufbau eines Dossiers für die Sorgfaltspflicht, und es ist genau der Grund, warum Auftraggeber, die einen Sicherheitsfragebogen versenden, ein ISO-27001-Zertifikat oft als starkes Signal betrachten.
Der Umfang ist jedoch etwas unterschiedlich. ISO 27001 lässt eine Organisation selbst den Umfang des Managementsystems bestimmen — beispielsweise nur die IT-Abteilung oder nur eine Betriebsstätte. Die NIS2-Sorgfaltspflicht gilt für die gesamte Einheit, auf die das Gesetz anwendbar ist, wie diese vom Gesetzgeber und der Branche abgegrenzt wurde. Ein Zertifikat mit begrenztem Umfang sagt daher nicht automatisch etwas über den Rest der Organisation aus. Wer überprüfen möchte, wie diese Abgrenzung für die eigene Branche aussieht, findet dies übersichtlicher unter Themen nach Situation durchsuchen als in der Norm selbst.
Was ISO 27001 nicht regelt
Zwei Verpflichtungen aus dem Gesetz haben kein Äquivalent in der Norm. Die erste ist die Registrierungspflicht: wesentliche und wichtige Einheiten müssen sich bei der nationalen Aufsichtsbehörde registrieren lassen, mit Angaben zur Organisation und ihren Kontaktpersonen. ISO 27001 fordert dazu nichts auf — es ist eine Zertifizierungsnorm, kein gesetzliches Anmeldeportal.
Die zweite ist die Meldepflicht bei Vorfällen. Artikel 23 der Richtlinie beschreibt einen mehrstufigen Prozess der Meldung an die zuständige Aufsichtsbehörde, mit einer ersten Mitteilung kurz nach der Entdeckung und nachfolgenden Schritten danach. ISO 27001 erfordert zwar einen Prozess für die Vorfallbehandlung, aber dieser Prozess ist intern ausgerichtet: Er beschreibt, wie eine Organisation einen Vorfall selbst bewältigt, nicht an wen und wann sie ihn extern melden muss. Wer diesen Unterschied deutlich verstehen möchte, kann den Aufbau dieser Fristen im früheren Artikel zur Meldepflicht auf dieser Website nachlesen.
Auch die Art und Weise, wie Lieferanten bewertet werden, unterscheidet sich in der Gewichtung. ISO 27001 widmet Aufmerksamkeit Lieferantenbeziehungen als Teil der umfassenderen Risikobewertung. Die NIS2-Sorgfaltspflicht macht die Bewertung der Lieferkette zu einem ausdrücklichen Bestandteil von Artikel 21, was erklärt, warum plichtige Organisationen dieses Thema so nachdrücklich in ihren Fragebögen und Vertragsbedingungen an ihre MKB-Lieferanten herantragen.
Was dies in der Praxis bedeutet
Für eine Organisation, die bereits ISO 27001-zertifiziert ist, bedeutet dies normalerweise, dass ein großer Teil des Nachweises bereits vorhanden ist, aber nur anders geordnet werden muss: pro Risikomanagementmaßnahme ein Status, ein Nachweis und ein Verantwortlicher, plus die Texte für Anmeldung und Meldung, die die Norm nicht vorschreibt. Für eine Organisation ohne Zertifikat bedeutet dies, dass sie nicht unbedingt ein ISO-Verfahren starten muss, um an den Risikomanagementverpflichtungen zu arbeiten – das Gesetz verlangt die Maßnahmen, nicht das Zertifikat als solches.
Ob und wie sich dies für eine bestimmte Organisation genau auswirkt, hängt von der Branche, der Größe und der Rolle in der Lieferkette ab, und letztendlich bewertet dies die zuständige Aufsichtsbehörde oder ein Jurist, nicht dieser Artikel. Eine erste Orientierung erhalten Sie durch in ein paar Fragen zu sehen, wo Sie stehen, und wer wissen möchte, wie die Informationen auf dieser Website aufgebaut sind und woher die Quellen stammen, liest das auf der Seite über wie secria.eu die Informationen zusammenstellt.
Haben Sie nach dem Lesen noch eine konkrete Frage zu Ihrer eigenen Situation, zum Beispiel darüber, was ein Zertifikat gegenüber einem Käufer beweist und nicht beweist? Schauen Sie sich dann die Antworten auf häufig gestellte Fragenan, oder starten Sie die kostenlose Überprüfung, um zu sehen, welcher nächste Schritt für Ihre Organisation geeignet ist.