Brauche ich noch die ISO 27001, wenn ich bereits die NIS2-Anforderungen erfülle

Zertifizierung ist keine Voraussetzung, aber oft praktisch

Nein, ISO 27001 ist nicht erforderlich, um die Cybersicherheitsgesetze einzuhalten — das Gesetz schreibt keine Zertifizierung vor, sondern eine Reihe von Maßnahmen. Artikel 21 Absatz 2 der NIS2-Richtlinie nennt zehn Themenbereiche, für die ein zur Sorgfalt verpflichtetes Unternehmen Richtlinien und Maßnahmen haben muss, von der Risikoanalyse bis zur Zugriffskontrolle bis zu Meldeverfahren. Dies ist eine Ergebnisverpflichtung: Es geht darum, was geregelt ist, nicht um welches Etikett darauf klebt. Wer die zehn Maßnahmen aus dem Gesetz ohne Zertifikat in Ordnung hat, erfüllt die Anforderungen in dieser Hinsicht genauso wie jemand, der ein Zertifikat hat.

Dennoch laufen die beiden in der Praxis oft parallel. ISO 27001, insbesondere die Controlmaßnahmen in Annex A, deckt inhaltlich viel denselben Bereich ab: Risikomanagement, Lieferantenverwaltung, Vorfallverwaltung, Zugriffskontrolle. Eine Organisation, die bereits ISO 27001-zertifiziert ist, hat dadurch normalerweise bereits Nachweise, die auch für die Sorgfaltspflicht nutzbar sind — die Arbeit besteht dann darin, bestehende Richtlinien in die Gliederung des Gesetzes zu übersetzen, nicht darin, sie neu aufzubauen. Umgekehrt gilt: Wer das Gesetz ohne Zertifizierung befolgt, baut oft unbewusst schon einen großen Teil eines ISO 27001-Managementsystems auf, nur ohne die externe Prüfung und das Zertifikat. Für Unternehmen, von denen über die Lieferkette nachweisbare Sicherheit verlangt wird — siehe die Fragenliste, die ein Kunde auflegen kann — zählt ein Zertifikat als externer Nachweis, während ein interner Dossier ohne Zertifizierung inhaltlich genauso lückenlos sein kann, nur schwerer für Außenstehende zu überprüfen.

Wo dies hervorgeht: Artikel 21 gegenüber Annex A

Das Cybersicherheitsgesetz, als niederländische Umsetzung der NIS2-Richtlinie, bezieht sich nirgendwo auf ISO 27001 als verbindliche Norm; Artikel 21 Absatz 2 beschreibt die zehn Maßnahmen in eigenen Worten, unabhängig von irgendeinem Zertifizierungsstandard. ISO/IEC 27001 ist eine freiwillige Norm mit eigener Struktur, wobei Annex A eine Liste von Controlmaßnahmen bietet, die sich mit dem Gesetzlichen überlappt, aber keine formale Verbindung damit hat. Die NCSC-Anleitung zur Sorgfaltspflicht bestätigt, dass es um nachweisbare Maßnahmen geht, nicht um ein verpflichtendes Zertifikat.