Wenn du versuchst, die IT-Compliance deines Unternehmens auf Vordermann zu bringen, bist du wahrscheinlich schon darauf gestoßen, dass NIS2 und ISO 27001 nebeneinander erwähnt werden – manchmal so, als wären sie austauschbar. Das sind sie nicht, und die Verwechslung der beiden ist einer der häufigsten Fehler, den KMUs bei der Planung ihrer Sicherheitsbudgets machen. Das eine ist eine rechtsverbindliche EU-Richtlinie mit Durchsetzungsmechanismen und Bußgeldern. Das andere ist ein freiwilliger internationaler Standard, gegen den du dich zertifizieren lassen kannst. Wer versteht, was was ist und wie groß die tatsächliche Überschneidung ist, vermeidet sowohl unnötige Überinvestitionen als auch kritische Lücken.

Dieser Artikel beantwortet die drei Fragen, die sich die meisten Gründer und IT-Verantwortlichen wirklich stellen: Was ist der tatsächliche Unterschied, inwieweit deckt das eine das andere ab, und was musst du konkret tun?

Was ist der Unterschied zwischen NIS2 und ISO 27001?

NIS2 (die Richtlinie über Netz- und Informationssicherheit 2) ist eine EU-Richtlinie, die die Mitgliedstaaten in nationales Recht umsetzen müssen. In Deutschland macht das Umsetzungsgesetz (NIS2UmsuCG) sie direkt anwendbar. Bei Nichteinhaltung drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für Unternehmen, die in den Anwendungsbereich fallen, ist die Einhaltung nicht freiwillig.

ISO 27001 ist eine freiwillige, international anerkannte Norm zum Aufbau und zur Zertifizierung eines Informationssicherheits-Managementsystems (ISMS). Sie bietet einen strukturierten Rahmen für das Risikomanagement, die Dokumentation von Kontrollmaßnahmen und die kontinuierliche Verbesserung der Sicherheitslage. Die Zertifizierung ist eine unternehmerische Entscheidung, keine gesetzliche Verpflichtung.

Auch der Geltungsbereich unterscheidet sich erheblich. Nach Angaben des BSI müssen in Deutschland etwa 29.500 Unternehmen die Cybersicherheitsanforderungen der NIS2 erfüllen. EU-weit sind rund 160.000 Unternehmen in 18 definierten Branchen betroffen (Europäische Kommission). ISO 27001 hingegen steht jeder Organisation offen, unabhängig von Größe oder Branche.

Und hier wird es heikel: Nur 16 % der Unternehmen, die NIS2 einhalten müssen, geben an, die Anforderungen vollständig zu erfüllen (CyberSmart). Viele gingen davon aus, dass ihre bestehende ISO 27001-Zertifizierung sie bereits absichert. Das war nicht der Fall – denn die beiden Rahmenwerke dienen unterschiedlichen Zwecken und bringen unterschiedliche Verpflichtungen mit sich.

Wo sich die beiden Rahmenwerke überschneiden

Trotz dieser Unterschiede weisen ISO 27001 und NIS2 erhebliche Gemeinsamkeiten auf. ISO 27001 deckt etwa 70 % der Anforderungen ab, die in Artikel 21 der NIS2 dargelegt sind – dem Artikel, der die spezifischen Sicherheitsmaßnahmen definiert, die betroffene Unternehmen umsetzen müssen. Zu den Überschneidungen gehören Risikomanagementprozesse, Richtlinien zur Zugriffskontrolle, die Planung der Reaktion auf Vorfälle, das Patch-Management und die Sicherheitsdokumentation.

Wenn dein Unternehmen bereits nach ISO 27001 zertifiziert ist, hast du einen erheblichen Vorsprung. Die Disziplin, ein ISMS aufrechtzuerhalten, interne Audits durchzuführen und Kontrollen zu dokumentieren, deckt sich direkt mit einem Großteil der Anforderungen von NIS2. Aber ein Vorsprung ist noch nicht das Ziel. Die verbleibenden 30 % umfassen Verpflichtungen, für die ISO 27001 schlicht nie ausgelegt war.

Was NIS2 verlangt, was ISO 27001 nicht abdeckt

Genau diese 30-prozentige Lücke trifft die meisten KMUs unvorbereitet. Vier Bereiche stechen dabei besonders hervor:

1. Registrierung beim BSI. Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren lassen. Das ist verpflichtend, und eine verspätete Registrierung befreit dich nicht von der Einhaltung der Vorschriften.

2. Gestaffelte Meldung von Vorfällen. NIS2 verlangt eine Erstmeldung an die Behörden innerhalb von 24 Stunden, nachdem ein schwerwiegender Vorfall bekannt geworden ist, gefolgt von einem detaillierten Bericht innerhalb von 72 Stunden. ISO 27001 schreibt zwar einen Prozess zur Reaktion auf Vorfälle vor, legt aber keine Meldefristen gegenüber den Aufsichtsbehörden fest.

3. Persönliche Haftung der Geschäftsführung. Nach NIS2 können Gründer und Geschäftsführer persönlich für Compliance-Verstöße haftbar gemacht werden. Das geht weit über den Geltungsbereich von ISO 27001 hinaus und ist ein Punkt, der jeden Geschäftsführer unmittelbar betreffen sollte.

4. Sicherheit in der Lieferkette. NIS2 stellt konkrete Anforderungen daran, wie du Cybersicherheitsrisiken in deiner Lieferkette bewertest und steuerst. Anhang A der ISO 27001 enthält zwar Kontrollmaßnahmen für das Lieferantenmanagement, diese erreichen jedoch nicht die von NIS2 geforderte Tiefe.

Das Verständnis dieser Lücken ist für die Planung der NIS2-Konformität unerlässlich. Eine Zertifizierung allein schützt dich nicht vor regulatorischen Konsequenzen, wenn du diese NIS2-spezifischen Verpflichtungen nicht erfüllt hast.

Wie setzt ihr die technischen Kontrollmaßnahmen um, die beide Rahmenwerke fordern?

Unabhängig davon, ob du NIS2-Konformität, ISO 27001-Zertifizierung oder beides anstrebst, sind die praktischen Bausteine weitgehend dieselben: Geräteverschlüsselung, automatisiertes Patch-Management, Multi-Faktor-Authentifizierung (MFA), rollenbasierte Zugriffskontrolle, Audit-Protokollierung und sofortiges Offboarding beim Austritt von Mitarbeitern.

Die meisten KMUs setzen einige dieser Tools bereits isoliert ein. Die Lücke liegt in der Regel nicht bei den Tools selbst, sondern bei der konsequenten Durchsetzung. Eine Verschlüsselungsrichtlinie ist bedeutungslos, wenn drei Laptops im Außendienst mit deaktiviertem FileVault laufen. Wirksame Cybersicherheitsstrategien beruhen auf Kontrollen, die aktiv durchgesetzt werden – nicht nur dokumentiert.

Hier lohnt es sich, zwischen zwei Kategorien von Tools zu unterscheiden. GRC-Plattformen (Governance-, Risiko- und Compliance-Tools wie Vanta oder Drata) eignen sich hervorragend zur Beweissicherung, zur Dokumentation von Richtlinien und zur Vorbereitung auf Audits. Sie helfen dir dabei, nachzuweisen, was du getan hast. Technische Kontrollen auf deinen Geräten durchsetzen können sie jedoch nicht.

Managed-IT-Plattformen arbeiten auf einer anderen Ebene. Sie setzen Kontrollen auf Geräteebene als Teil des täglichen Betriebs durch: Festplatten verschlüsseln, Patches einspielen, den Zugriff rollenbasiert einschränken und Konten automatisch sperren, wenn jemand das Unternehmen verlässt. deeploi gehört zu dieser zweiten Kategorie und übernimmt die technische Umsetzung, die sowohl NIS2 als auch ISO 27001 vorschreiben – über Geräte, Nutzer und Zugriffsrichtlinien hinweg auf einer einzigen Plattform. Wichtig dabei: Dies deckt ausschließlich die technische Ebene ab. BSI-Registrierung, Meldung von Vorfällen an die Behörden, Dokumentation der Managementhaftung und Governance-Verpflichtungen müssen weiterhin separat geregelt werden.

Die beiden Tool-Kategorien ergänzen sich – sie konkurrieren nicht miteinander. Eine GRC-Plattform dokumentiert deinen Compliance-Status. Eine Managed-IT-Plattform wie deeploi stellt sicher, dass die dokumentierten Kontrollen auch tatsächlich aktiv sind. Unternehmen, die beide Rahmenwerke verfolgen, profitieren von der Kombination beider Lösungen – und für KMUs ohne eigenes IT-Personal ersetzt diese Kombination das, was sonst ein Vollzeit-Sicherheitsteam erfordern würde.

Woher weißt du, ob du tatsächlich compliant bist?

Vergiss das Wort „Audit" einen Moment lang und stell dir eine einfachere Frage: Kannst du jetzt sofort nachweisen, dass deine Geräte verschlüsselt sind, dass der Zugriff rollengerecht ist, dass MFA auf allen kritischen Systemen durchgesetzt wird und dass das Offboarding unmittelbar erfolgt, wenn jemand das Unternehmen verlässt?

Wenn die Antwort davon abhängt, eine Tabelle zu prüfen oder jemanden um manuelle Verifikation zu bitten, hast du eine Lücke. Compliance, die auf manuellen Überprüfungen beruht, erodiert erfahrungsgemäß schnell. Der bessere Ansatz ist, Audit-Bereitschaft in den täglichen IT-Betrieb zu integrieren, sodass Dokumentation und DSGVO-relevante Audit-Protokolle als Nebenprodukt der Durchsetzung entstehen – und nicht kurz vor einem Audit in aller Hast zusammengestellt werden müssen.

Die Bedrohungslage erhöht den Druck zusätzlich. Cyberangriffe verursachten deutschen Unternehmen im Jahr 2024 einen geschätzten Schaden von 266,6 Milliarden Euro – ein Anstieg von 29 % gegenüber dem Vorjahr (Bitkom). Und 65 % der deutschen Unternehmen sehen Cyberangriffe mittlerweile als existenzielle Bedrohung an (Bitkom). Mehr als jedes dritte Unternehmen (35 %) in Deutschland wurde in den vergangenen zwei Jahren Opfer eines Cyberangriffs; 57 % der Betroffenen berichten von gestiegenem finanziellem Schaden (KPMG). Compliance ist keine Bürokratie um ihrer selbst willen. Sie ist die strukturierte Antwort auf ein sehr reales Problem.

Wenn du eine ISO 27001-Zertifizierung als Grundlage für eine umfassendere NIS2-Compliance in Betracht ziehst, solltest du den Zeitaufwand einplanen. Die Zertifizierung dauert für ein KMU in der Regel 6 bis 12 Monate, je nach aktuellem Reifegrad. Ein früher Start ist wichtig – besonders wenn du dich zum ersten Mal mit IT-Sicherheitsmaßnahmen für KMUs befasst.

FAQ

Gilt NIS2 für mein Unternehmen?

Zwei Kriterien entscheiden darüber: Dein Unternehmen hat 50 oder mehr Mitarbeiter oder erzielt einen Jahresumsatz von über 10 Millionen Euro und ist in einem der 18 in der Richtlinie definierten Sektoren tätig (Energie, Verkehr, Finanzen, Gesundheitswesen, digitale Infrastruktur und andere). Die Prüfung dauert weniger als zwei Minuten. Wenn beide Kriterien zutreffen, fällst du in den Geltungsbereich.

Braucht mein Unternehmen sowohl NIS2-Konformität als auch ISO 27001-Zertifizierung?

NIS2-Konformität ist verpflichtend, wenn du in den Geltungsbereich fällst. ISO 27001-Zertifizierung ist freiwillig, deckt aber etwa 70 % der technischen und organisatorischen Anforderungen von NIS2 ab. Außerdem stärkt sie die Glaubwürdigkeit gegenüber Kunden und Partnern, die bei der Auftragsvergabe zunehmend danach fragen. Beides anzustreben ist strategisch sinnvoll, aber nur NIS2 ist gesetzlich vorgeschrieben.

Kann die ISO 27001-Zertifizierung die NIS2-Konformität ersetzen?

Nein. Die 30-prozentige Lücke umfasst die BSI-Registrierung, eine gestaffelte Meldepflicht bei Vorfällen mit einer 24-stündigen Frist für die Erstmeldung, die persönliche Haftung der Geschäftsführung sowie Anforderungen an die Sicherheit der Lieferkette, die über den Geltungsbereich von ISO 27001 hinausgehen. Die Zertifizierung ist eine solide Grundlage, aber kein Ersatz.

Welche Tools helfen bei NIS2 und ISO 27001?

GRC-Plattformen wie Vanta oder Drata übernehmen die Beweissicherung, die Dokumentation von Richtlinien und die Vorbereitung auf Audits. Managed-IT-Plattformen setzen technische Kontrollen (Verschlüsselung, Patching, Zugriff, Offboarding) auf Geräteebene durch. Die beiden Kategorien ergänzen sich. Die im Januar 2026 veröffentlichten Änderungsvorschläge zielen darauf ab, die Compliance für 28.700 Unternehmen zu erleichtern – darunter 6.200 Kleinst- und Kleinunternehmen. Es lohnt sich daher, regulatorische Neuerungen im Blick zu behalten.

Fazit

Bevor du Budget für eines der beiden Rahmenwerke ausgibst, kläre zunächst, welche Vorschriften tatsächlich für dein Unternehmen gelten. NIS2 ist für betroffene Organisationen verbindlich. ISO 27001 ist freiwillig, aber strategisch wertvoll: Sie deckt etwa 70 % der technischen Anforderungen von NIS2 ab und vermittelt Kunden und Partnern ein glaubwürdiges Sicherheitsbild.

ISO 27001 bietet dir die beste Ausgangsbasis für die technischen und organisatorischen Grundlagen. NIS2 bringt jedoch Verpflichtungen mit sich – darunter Registrierung, Meldefristen und persönliche Haftung der Geschäftsführung –, die durch keine Zertifizierung ersetzt werden können.

Dein nächster praktischer Schritt: Führe die Geltungsbereichsprüfung anhand der beiden Kriterien durch, erstelle eine Lückenanalyse auf Basis der für dein Unternehmen relevantesten Maßnahmen gemäß Artikel 21 der NIS2 und registriere dich beim BSI, falls du das noch nicht getan hast. Unternehmen, die Compliance als feste Betriebsroutine verstehen und nicht als einmaliges Projekt, werden Audits souverän bestehen.