NIS2 + ISO 27001-Zertifizierung: 12-Monats-Pfad

Hauptartikel: ISMS aufbauen — der Aufbau eines ISMS nach NIS2 und ISO 27001 Schritt für Schritt.

Was eine ISO-27001-Zertifizierung für NIS2 leistet — und was nicht

Sie ist ein Nachweismittel, keine Pflicht. In Deutschland verlangt § 30 Abs. 1 BSIG von besonders wichtigen und wichtigen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen — und dass deren Einhaltung dokumentiert wird. Ein Zertifikat ist dafür nicht vorgeschrieben. Der Anknüpfungspunkt für die Norm steht in § 30 Abs. 2 Satz 1 BSIG: Die Maßnahmen „sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen“. Genau diese Rolle spielt ISO/IEC 27001:2022 — als einschlägige internationale Norm, an der sich ein ISMS ausrichten lässt.

Praktisch leistet das Zertifikat zweierlei: Die zugrunde liegende Norm greift die Anforderungen des § 30 BSIG strukturell in allen zehn Bereichen auf, deckungsgleich ist sie aber in keinem (Mapping und Lücken unten); und die im Zertifizierungsprozess entstehenden Unterlagen können die Dokumentation nach § 30 Abs. 1 BSIG tragen (Monat 9-10). Gegenüber Kunden und Geschäftspartnern kann das Zertifikat zudem als externer Nachweis des ISMS dienen — eine Praxiseinschätzung, keine Rechtsfolge. Gesetzliches Gewicht bekommt es an einer Stelle: Betreiber kritischer Anlagen müssen die Umsetzung der Maßnahmen nach § 30 Abs. 1 in Verbindung mit § 31 BSIG durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen — zu einem vom BSI festgelegten Zeitpunkt, frühestens drei Jahre nach dem erstmaligen Gelten als Betreiber und anschließend alle drei Jahre; die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel sind zu übermitteln (§ 39 Abs. 1 BSIG). Für alle übrigen besonders wichtigen und wichtigen Einrichtungen ist die Zertifizierung eine unternehmerische Entscheidung.

§ 30 Abs. 2 BSIG auf ISMS-Bausteine gemappt

Jeder der zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG hat eine Entsprechung in den Annex-A-Controls der ISO 27001. Diese Zuordnung gehört in das Statement of Applicability (SoA), das festhält, welche Controls anwendbar sind. Die Spalte „Lücken-Wahrscheinlichkeit“ zeigt, wo erfahrungsgemäß auch bei zertifiziertem ISMS nachgebessert werden muss. Die österreichische Entsprechung steht in § 32 Abs. 4 NISG 2026: ebenfalls zehn Bereiche in derselben Reihenfolge, bezeichnet mit lit. a bis j.

Die Tiefe der Umsetzung skaliert mit dem Risiko: § 30 BSIG verlangt angemessene und verhältnismäßige Maßnahmen, nicht in allen zehn Bereichen dieselbe Ausbaustufe. Wo die Schwerpunkte liegen, ergibt die Risikoanalyse — und das SoA hält fest, welche Controls anwendbar sind und warum.

Die Lücken, die das Zertifikat nicht schließt

Drei Pflichtenkreise bleiben auch mit gültigem Zertifikat regelmäßig offen — sie sind eigenständige gesetzliche Pflichten, die ein bestandenes ISMS-Audit nicht abnimmt. Erstens die Meldekette bei erheblichen Sicherheitsvorfällen — in Deutschland mit drei fristgebundenen Stufen (24 Stunden, 72 Stunden, ein Monat) und einer anlassbezogenen Zwischenmeldung auf Ersuchen des BSI:

In Österreich gelten dieselben fristgebundenen Stufen mit denselben Fristen; Adressat ist dort das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen das nationale CSIRT (§ 34 Abs. 1 und Abs. 2 Z 1 bis 5 NISG 2026).

Zweitens die Lieferketten-Sorgfalt nach § 30 Abs. 2 Nr. 4 BSIG — in der Auditpraxis erfahrungsgemäß häufig beanstandet (Praxiseinschätzung). Als Inhalte gelten in der Praxis: Lieferanten-Bewertung mit Risikoklassifizierung, Cybersecurity-Klauseln in den Standard-Verträgen, Right-to-Audit für kritische Lieferanten und eine Vorfall-Benachrichtigung durch Lieferanten binnen maximal 24 Stunden. Drittens die Pflichten der Geschäftsleitung nach § 38 BSIG: Umsetzung und Überwachung der Maßnahmen (Abs. 1 — diese Verantwortung ist nicht delegierbar), persönliche Innenhaftung für schuldhaft verursachte Schäden nach dem für die Rechtsform geltenden Gesellschaftsrecht (Abs. 2) und regelmäßige Schulungsteilnahme (Abs. 3). Hinzu kommt die Registrierung nach § 33 Abs. 1 BSIG, spätestens drei Monate nachdem eine Einrichtung erstmals als besonders wichtige oder wichtige Einrichtung gilt; das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist, eine fehlende Registrierung lässt sich nachholen.

Monat 1-2: Scope + Vorbereitung

In den ersten beiden Monaten werden ein ISMS-Beauftragter benannt, der Scope definiert, die Lücken-Analyse durchgeführt und die Roadmap festgelegt.

Zum Fahrplan: Die Monatsangaben sind eine Praxisempfehlung für den Weg zur Zertifizierung, keine gesetzliche Taktung. Die Pflichten aus § 30 BSIG gelten in Deutschland seit dem 06.12.2025 ohne Übergangsfrist — der Zertifizierungspfad verlängert sie nicht.

Der Scope legt fest, welche Prozesse (alle, nur kritische oder bestimmte), welche Standorte, welche IT-Systeme und welche Tochtergesellschaften im ISMS liegen. Für KMU mit NIS2-Pflicht lautet die Praxisempfehlung: das gesamte Unternehmen in den Scope nehmen — sonst entsteht ein zertifizierter Bereich neben einem Rest, für den die Pflichten des § 30 BSIG unverändert gelten. Das ISMS leitet der ISMS-Beauftragte (Information Security Officer, CISO), der weisungsbefugt agiert; die Verantwortung nach § 38 Abs. 1 BSIG bleibt bei der Geschäftsleitung und ist nicht delegierbar. In Konzernstrukturen gilt: Ist jede Tochter eigenständig betroffen, braucht sie eigene Maßnahmen — die Muttergesellschaft kann eine zentrale ISMS-Leitlinie und zentrale Maßnahmen vorgeben, die Tochter setzt sie operativ um; Verträge und Delegationsketten gehören dokumentiert. Deutsche und österreichische Gesellschaften registrieren sich in beiden Ländern separat.

Die Lücken-Analyse nutzt die Mapping-Tabelle als Raster: Für jeden der zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG wird der Ist-Stand erhoben und den zugeordneten Annex-A-Controls gegenübergestellt. Als Praxisempfehlung wird jede Lücke zum Roadmap-Eintrag mit Verantwortlichem und Zieltermin; die Spalte „Lücken-Wahrscheinlichkeit“ zeigt, wo erfahrungsgemäß zuerst zu prüfen ist.

Ebenfalls in diese Phase gehören zwei Pflichten, die das spätere Zertifikat nicht abdeckt: die Registrierung nach § 33 Abs. 1 BSIG (Österreich: § 29 Abs. 2 und Abs. 3 NISG 2026) und die erste Schulungsteilnahme der Geschäftsleitung nach § 38 Abs. 3 BSIG (Österreich: Schulungspflicht der Leitungsorgane nach § 31 NISG 2026). Beide gehören mit eigenem Termin in die Roadmap, nicht in den Zertifizierungstakt.

Monat 3-6: Aufbau

In den Monaten 3 bis 6 entstehen das Policy-Set, die Risiko-Bewertung, das SoA, das Asset-Inventar und die Schulung.

Die Risikoarbeit läuft in sechs Schritten: Asset-Inventar (alle IT-Assets, Datenklassen, Geschäftsprozesse), Bedrohungsanalyse je Asset (etwa Ransomware, Datenleck, Ausfall), Verwundbarkeits-Bewertung des aktuellen Schutzstands, Risiko-Score aus Eintrittswahrscheinlichkeit × Schadenshöhe, Behandlungsentscheidung (reduzieren, akzeptieren, übertragen, vermeiden) und schließlich das Statement of Applicability mit der Festlegung, welche Controls anwendbar sind. Für die Bedrohungsanalyse ist der gefahrenübergreifende Ansatz des § 30 Abs. 2 Satz 1 BSIG der Maßstab; die drei genannten Szenarien sind typische Beispiele, keine abschließende Liste.

Als Dokumentenset hat sich in der Praxis ein Policy-Satz etabliert, der typischerweise umfasst: Information Security Policy (Top-Level), Acceptable Use, Access Control, Cryptographic Controls, Backup und Recovery, Patch Management, Incident Management, Supplier Management, Mobile Device und BYOD, Clear Desk und Clear Screen, Password Policy, Physical Security. Zwei davon tragen Pflichten, die das Zertifikat nicht abdeckt: Die Incident Management Policy muss die oben tabellierte Meldekette samt Fristen und Adressat abbilden und die Erreichbarkeit sicherstellen, die eine Erstmeldung binnen 24 Stunden ab Kenntnis voraussetzt. Die Supplier Management Policy nimmt die oben genannten vier Inhalte der Lieferketten-Sorgfalt nach § 30 Abs. 2 Nr. 4 BSIG auf; die dort genannten maximal 24 Stunden sind eine Vertrags- und Praxisgröße, nicht die gesetzliche Meldefrist des § 32 Abs. 1 Nr. 1 BSIG.

Für die Schulungen nach § 30 Abs. 2 Nr. 7 BSIG (grundlegende Schulungen und Sensibilisierungsmaßnahmen) haben sich in der Praxis bewährt: Onboarding-Schulung in den ersten vier Wochen, jährliche Schulung aller Mitarbeitenden mit Quiz, quartalsweise Phishing-Simulation mit Click-Rate-Monitoring und eine sektorspezifische Vertiefung, etwa SCADA-Schulungen in der Industrie. Diese Rhythmen sind Praxisempfehlungen, keine gesetzlichen Fristen.

Monat 7-8: Probebetrieb

In den Monaten 7 und 8 laufen das interne Audit, die Lücken-Behebung, der CAPA-Prozess und das Management-Review.

Das interne Audit deckt den kompletten ISMS-Scope ab und wird von einem unabhängigen internen oder einem externen Auditor durchgeführt. ISO/IEC 27001:2022 verlangt interne Audits „in geplanten Abständen“ — jährlich ist die übliche Praxis, nicht der Normwortlaut, und erst recht keine NIS2-Pflicht: § 30 BSIG gibt keine Audit-Frequenz vor.

Im Management-Review sichtet die Geschäftsführung Audit-Bericht, Vorfälle und Risikoänderungen; Abweichungen laufen in den CAPA-Prozess (Corrective and Preventive Actions); als Praxisempfehlung wird jede Abweichung mit Ursachenanalyse, Korrekturmaßnahme, Verantwortlichem, Zieltermin und anschließender Wirksamkeitsprüfung dokumentiert — dieselbe Systematik trägt später die Abweichungen aus dem Stage-2-Audit. Praxisempfehlung: Die Meldekette gehört mit in den Prüfumfang des internen Audits — ob eine frühe Erstmeldung binnen 24 Stunden ab Kenntnis tatsächlich herausgeht, zeigt sich sonst erst im Ernstfall.

Was das Gesetz an dieser Stelle verlangt, ist enger formuliert und zugleich dauerhaft: § 30 Abs. 2 Nr. 6 BSIG fordert Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen — ohne Frequenzvorgabe. In der Praxis wird das über KPIs je Bereich (etwa Patch-Compliance-Rate, Phishing-Klickrate, Recovery-Time), quartalsweises Reporting an die Geschäftsleitung, einen jährlichen Pentest sowie ein externes Audit alle zwei Jahre gelöst — eine Praxisgröße der Wirksamkeitsbewertung, die neben dem jährlichen Surveillance-Audit und der Re-Zertifizierung alle drei Jahre (Monat 11-12) steht, nicht an deren Stelle.

Monat 9-10: Stage 1-Audit

In Stage 1 prüft die externe Zertifizierungsstelle die Dokumentation; festgestellte Lücken werden vor Stage 2 behoben.

In der Praxis vorgelegt wird damit genau das, was in den Monaten 3 bis 8 entstanden ist: ISMS-Leitlinie, Risiko-Register, Risikobehandlungsplan, SoA, das Policy-Set sowie die Protokolle von internem Audit und Management-Review. Dieselben Unterlagen können zugleich die Dokumentation nach § 30 Abs. 1 BSIG tragen, wonach die Einhaltung der Maßnahmen zu dokumentieren ist — die im Mapping ausgewiesenen Lücken bleiben davon unberührt. Wo Lücken auffallen, priorisiert die Spalte „Lücken-Wahrscheinlichkeit“ der Mapping-Tabelle die Nacharbeit — an der Spitze die Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG). Das deckt sich mit drei Befunden, die in der Auditpraxis erfahrungsgemäß häufig sind (Praxiseinschätzung): fehlende Cybersecurity-Klauseln in Verträgen, keine dokumentierten KPIs, keine Phishing-Simulation.

Monat 11-12: Stage 2-Audit

In Stage 2 prüft die Zertifizierungsstelle vor Ort und stichprobenartig, ob das ISMS wirkt; am Ende steht das Zertifikat mit drei Jahren Gültigkeit.

Gegenstand der Stichproben sind in der Praxis die Controls, die das SoA als anwendbar ausweist, und die Nachweise, die im Betrieb dazu entstanden sind: das Risiko-Register mit den Behandlungsentscheidungen, das Protokoll des internen Audits und das Ergebnis des Management-Reviews. Vor Ort verfügbar sein sollten deshalb nicht nur der ISMS-Beauftragte, sondern auch die Prozessverantwortlichen der zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG und die Geschäftsleitung, die das Management-Review verantwortet — sie ist nach § 38 Abs. 1 BSIG ohnehin für Umsetzung und Überwachung zuständig. Abweichungen, die die Stichprobe aufdeckt, laufen in den in Monat 7-8 beschriebenen CAPA-Prozess und werden in der Praxis vor der Zertifikatserteilung behoben.

Mit der Zertifikatserteilung beginnt der ISO-Zertifizierungszyklus: Surveillance-Audit jährlich, Re-Zertifizierung alle drei Jahre — ein Normzyklus, keine NIS2-Frist. Für Betreiber kritischer Anlagen kann diese Zertifizierung zugleich den gesetzlichen Nachweis nach § 39 Abs. 1 BSIG tragen, in dem Sicherheitsaudits, Prüfungen und Zertifizierungen nebeneinander stehen. Für alle übrigen besonders wichtigen und wichtigen Einrichtungen bleibt es bei der laufenden Dokumentationspflicht nach § 30 Abs. 1 BSIG — und bei den drei Pflichtenkreisen, die das Zertifikat nicht schließt.

Kosten + Aufwand

Die Kosten der Zertifizierung verteilen sich auf drei Posten: die Zertifizierungsstelle (Stage-1- und Stage-2-Audit, danach jährliche Surveillance-Audits und die Re-Zertifizierung), externe Beratung, soweit sie hinzugezogen wird, und die Eigenleistung — als Erfahrungswert 50–150 Personentage. Die Beträge hängen vor allem von Scope, Unternehmensgröße, Reifegrad des vorhandenen ISMS und der gewählten Zertifizierungsstelle ab und sind über Angebote zu klären.

Planbar ist vor allem der Aufwand; als Erfahrungswerte gelten: Wer bereits ein zertifiziertes ISMS betreibt, rechnet für die NIS2-Anpassung mit 3 bis 6 Monaten und rund 0,5 Vollzeitstellen; ohne ISMS sind es 9 bis 12 Monate Aufbau und rund 1 Vollzeitstelle. Für den laufenden Betrieb nennt die Praxis etwa 0,5 Vollzeitstellen ISMS-Pflege. Der 12-Monats-Pfad dieses Artikels bildet damit den Aufbaufall ab — er ist kein Aufschub für die in Deutschland seit dem 06.12.2025 geltenden Pflichten (Österreich: Anwendungsbeginn 01.10.2026).

Österreich: § 33 NISG 2026 statt § 39 BSIG

In Österreich führt der Nachweisweg nicht über eine turnusmäßige Prüfpflicht, sondern über eine Selbstdeklaration: Wesentliche und wichtige Einrichtungen übermitteln der Cybersicherheitsbehörde binnen zwölf Monaten nach Eintritt der Registrierungspflicht strukturierte Informationen zu den umgesetzten Risikomanagementmaßnahmen (§ 33 Abs. 1 NISG 2026). Auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen; wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach Aufforderung nachweisen (§ 33 Abs. 2 NISG 2026). Die erstmalige Aufforderung kann frühestens nach Ablauf von zwei Jahren ab Inkrafttreten des NISG 2026 erfolgen.

Der Zeitplan dahinter: Das NISG 2026 (BGBl. I Nr. 94/2025, kundgemacht am 23.12.2025) wird am 01.10.2026 anwendbar; die Registrierung bei der Cybersicherheitsbehörde hat binnen drei Monaten ab Inkrafttreten zu erfolgen (§ 29 Abs. 2 und Abs. 3 NISG 2026), Änderungen der Kerndaten sind binnen zwei Wochen nachzumelden (§ 29 Abs. 4 NISG 2026). Der Maßnahmenkatalog steht in § 32 Abs. 4 lit. a bis j, die Pflichten der Leitungsorgane in § 31 NISG 2026 — eine ausdrückliche Innenhaftungsnorm nach dem Muster des § 38 Abs. 2 BSIG enthält das NISG 2026 nicht. Eine jährliche Auditpflicht kennt es ebenfalls nicht.