NIS2-Leitfaden · 7 Min.

ISO 27001 und NIS2: was Ihr ISMS bereits abdeckt, und die Lücken, die bleiben

Wenn Sie bereits ISO/IEC 27001 halten, fangen Sie NIS2 nicht bei null an: weit gefehlt. Ein funktionierendes ISMS deckt den Großteil der Grundlage aus Artikel 21 ab. Doch Zertifizierung ist keine Compliance: NIS2 legt gesetzliche Pflichten obendrauf, die ein ISMS für sich genommen nicht erfüllt. Dieser Leitfaden zeigt, was übertragbar ist, wo die echten Lücken sitzen und wie man sie schließt, ohne neu aufzubauen, was Sie schon haben.

Die wichtigsten Punkte

ISO 27001 deckt die meisten NIS2-Maßnahmen aus Art. 21 ab (Risikomanagement, Zugriffskontrolle, Kryptographie, Kontinuität, Lieferantenkontrollen) und ist damit ein starker Vorsprung.
Aber Zertifizierung ist keine Compliance: NIS2 ergänzt gesetzliche Meldefristen, Haftung der Leitung, Registrierung und kontinuierliche Lieferketten-Sicherheit.
Die größten Lücken sind meist die Meldepflicht in 24/72 Stunden und das kontinuierliche Drittparteienmonitoring: nicht die Kernkontrollen.
Schließen Sie die Lücken auf dem ISMS: nicht neu aufbauen; ordnen Sie Ihre Anhang-A-Kontrollen der Art.-21-Liste zu und ergänzen Sie das Fehlende.

Was Ihr ISMS bereits abdeckt

Die Grundlage aus NIS2-Artikel 21 und ISO/IEC 27001 (mit seinen Anhang-A-Kontrollen) überschneiden sich stark. Wenn Ihr ISMS wirklich läuft (nicht nur zertifiziert ist) ist viel von der technischen und organisatorischen Substanz der Richtlinie bereits vorhanden:

Risikomanagement: Ihr ISMS-Prozess für Risikobewertung und -behandlung bildet sich direkt auf Art. 21(2)(a) ab.
Zugriffskontrolle und Kryptographie: die Anhang-A-Kontrollen für Zugriff und Kryptographie decken sich mit Art. 21(2)(i) und (h).
Vorfallmanagement: Ihr Vorfallprozess deckt die Behandlungsseite von Art. 21(2)(b) ab; bei der Meldeseite verlangt NIS2 mehr.
Geschäftskontinuität: Backup-, Wiederherstellungs- und Kontinuitätskontrollen bilden sich auf Art. 21(2)(c) ab.
Lieferantenbeziehungen: die Anhang-A-Lieferantenkontrollen sind das Fundament, auf dem Art. 21(2)(d) aufbaut.

Wo NIS2 über Ihr ISMS hinausgeht

Eine Zertifizierung beweist, dass für einen definierten Geltungsbereich ein gemanagtes System existiert. NIS2 ist eine gesetzliche Pflicht der gesamten erfassten Einrichtung und ergänzt Pflichten, die ein ISO-Zertifikat für sich allein nicht erfüllt:

Gesetzliche Vorfallmeldung: ISO 27001 lässt Sie Vorfälle managen; NIS2 lässt Sie die erheblichen einer nationalen Behörde nach einer 24-Stunden- / 72-Stunden- / Ein-Monats-Uhr melden (Art. 23). Keine ISMS-Frist entspricht dem.

Haftung und Schulung der Leitung: NIS2 lässt das Leitungsorgan die Maßnahmen genehmigen und überwachen, Schulungen absolvieren und persönlich haften (Art. 20). ISO verlangt das Engagement der Leitung, keine rechtliche Verantwortlichkeit.

Kontinuierliche Lieferketten-Sicherheit: die Anhang-A-Lieferantenkontrollen sind weitgehend punktuell. Art. 21(2)(d), gelesen mit dem Maßstab „angemessene Maßnahmen“, drängt zu fortlaufender Überwachung des Lieferantenrisikos.

Registrierung und Geltungsbereich: viele Einrichtungen müssen sich bei ihrer nationalen Behörde registrieren, und NIS2 gilt für die gesamte erfasste Organisation, unabhängig vom gewählten ISMS-Geltungsbereich.

Durchsetzungsrealität: eine ISO-Abweichung ist Sache zwischen Ihnen und Ihrem Zertifizierer; ein NIS2-Versäumnis kann verbindliche Anordnungen und Bußgelder bis zu 10 Mio. € oder 2 % des Umsatzes bedeuten (Art. 34).

Die Lücke schließen, ohne neu aufzubauen

Der effiziente Weg behandelt NIS2 als Delta auf einem funktionierenden ISMS, nicht als Parallelprogramm:

Ordnen Sie Ihre Anhang-A-Kontrollen der Liste Art. 21(2)(a)–(j) zu: die meisten Felder sind bereits gefüllt.
Richten Sie den Melde-Workflow ein: wer „erheblich“ entscheidet, wer das CSIRT kontaktiert, und das 24/72-Stunden-Playbook.
Bringen Sie die NIS2-Governance in den Vorstand: Genehmigung der Maßnahmen, Aufsichtsberichterstattung und Schulung der Leitung (Art. 20).
Heben Sie die Lieferantensicherheit vom Jahresfragebogen auf kontinuierliches Monitoring der kritischen an.
Bestätigen Sie die Registrierung bei Ihrer nationalen Behörde und dass der ISMS-Geltungsbereich die erfassten Dienste tatsächlich abdeckt.

Sehen Sie, wie Sie und Ihre Lieferanten tatsächlich abschneiden

Kostenlose Testversion starten Musterbericht ansehen

7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar

Quelle: Richtlinie (EU) 2022/2555 (NIS2), Artikel 20, 21 und 23 — die ISO/IEC-27001-Zuordnung ist indikativ; bestätigen Sie die verbindlichen Anforderungen in Ihrem nationalen Umsetzungsgesetz.

Wie norppa.io hilft

Die beiden Lücken, die ein ISMS am weitesten offenlässt, sind genau das, wofür norppa.io gebaut ist: kontinuierliche Lieferantensicherheit und meldebereiter Nachweis. Jeder überwachte Lieferant wird täglich an mehr als hundert Kontrollpunkten geprüft, mit Befunden, die denselben Art.-21-Unterpunkten zugeordnet sind, die Ihr ISMS schon spricht, so wird die Lieferkettenkontrolle kontinuierlich statt jährlich.

Und weil alles mit Zeitstempel versehen und exportierbar ist, liegt der Nachweis hinter einer Art.-23-Meldung oder einem Aufsichtsaudit neben Ihrer ISMS-Dokumentation statt in einem getrennten Silo. norppa.io ergänzt ISO 27001; es dupliziert es nicht.

Schließen Sie die Lieferkettenlücke, die Ihr ISMS lässt

Sehen Sie kontinuierliches, NIS2-zugeordnetes Lieferantenmonitoring im Musterbericht: etwa zwei Minuten.

Kostenlose Testversion starten Musterbericht ansehen

7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar

Beispiel-Dashboard ansehen

Zuletzt geprüft: 19. Juni 2026

Dieser Leitfaden bietet allgemeine Informationen zum EU-Recht, keine Rechtsberatung. NIS2 wird durch das nationale Umsetzungsgesetz jedes EU-Mitgliedstaats wirksam, das im Detail abweichen kann. Prüfen Sie die für Sie geltenden Pflichten mit Ihrer zuständigen Behörde oder Ihrem Rechtsbeistand.

Verwandte Leitfäden

ENISA-Beschaffungsleitlinien zur Cybersicherheit für Krankenhäuser: so bewerten Sie Ihre Lieferanten

ENISAs Beschaffungsleitlinien vom Juli 2026 machen Lieferanten-Cybersicherheit zum Teil des Gesundheitseinkaufs. In konkrete Schritte übersetzt: Anforderungen festlegen, Kandidaten extern bewerten, vertraglich regeln, überwachen und dokumentieren, zugeordnet zur NIS2-Lieferkettenpflicht (Art. 21(2)(d)).

Wie Sie NIS2 erfüllen: ein Schritt-für-Schritt-Fahrplan

Die Schritte zur NIS2-Konformität in der richtigen Reihenfolge: Anwendungsbereich bestätigen, registrieren, Verantwortung der Leitung (Art. 20), die Maßnahmen nach Art. 21 Abs. 2, Lieferkettensicherheit, Vorfallmeldung (Art. 23) und fortlaufende, nachgewiesene Absicherung.

Wer fällt unter NIS2? Wesentliche und wichtige Einrichtungen, Sektoren und Größenschwellen

Stellen Sie fest, ob NIS2 für Sie gilt: die zwei Kategorien, die Sektoren aus Anhang I/II, die Größenschwellen, größenunabhängige Ausnahmen und wie die Lieferkette Sie auch ohne Benennung erfasst.

NIS2 für Lieferanten: Sie sind nicht eingestuft, aber Ihre Kunden

Die meisten Unternehmen werden nie unter NIS2 eingestuft, müssen aber dennoch konform sein. Wie die Lieferkettenpflicht eines erfassten Kunden nach Artikel 21 Absatz 2 Buchstabe d auf Sie übergeht, was er verlangt und wie Sie glaubwürdig reagieren.

NIS2 und die Lieferkettenpflicht: was das in der Praxis bedeutet

NIS2 verpflichtet wesentliche und wichtige Einrichtungen zur Bewertung ihrer Lieferkettenrisiken. Lieferanten-Tiering, 4th-Party-Risiken, Art. 23-Meldepflicht und worauf Prüfer achten.

So entsteht ein Sicherheitsvorfall 2026: Ihre externe Angriffsfläche und Ihre Lieferkette

Die Angriffskette 2026 Schritt für Schritt — gestohlene Zugangsdaten, ausgenutzte Edge-Geräte, E-Mail-Spoofing — auf Ihrer eigenen Angriffsfläche und der Ihrer Lieferanten, und wo norppa.io die Kette durchbricht.

Lieferanten-Cyberrisikobeurteilung: was das automatisierte NIS2-Monitoring prüft

Alle Prüfkategorien erklärt: Ransomware, Dark-Web-Lecks, TLS/DNSSEC, Cookie-Sicherheit, CVE/EPSS, Sanktionen, MX-Blacklists und SAQ. Befundslebenszyklus und NIS2-Artikelzuordnung.

NIS2 Art. 21(2): Sicherheits-Checkliste für Lieferanten

Checkliste für Beschaffungs- und Sicherheitsteams: Was zu fragen ist, welche Nachweise zu sammeln sind und wie zu reagieren ist, wenn ein Lieferant Anforderungen nicht erfüllt. Mit empfohlenen Nachweisdokumenten.

NIS2-Lieferantenfragebogen (SAQ): was fragen, wie bewerten, plus Vorlage

Was Lieferanten nach Art. 21(2)(d) zu fragen ist, wie man Antworten bewertet und auf Lücken reagiert, warum Selbstauskunft Überprüfung braucht, plus eine kostenlose Vorlage.

NIS2-Vorfallmeldung: die 24- und 72-Stunden-Fristen erklärt

Was ein erheblicher Vorfall ist, der Zeitplan nach Artikel 23 (24-Stunden-Frühwarnung, 72-Stunden-Meldung, Abschlussbericht nach einem Monat) und wann der Vorfall eines Lieferanten zu Ihrer Pflicht wird.

NIS2 und die Verantwortung der Leitung: Was Vorstand und Geschäftsführung wissen müssen

Was NIS2 vom Leitungsorgan erwartet: Genehmigungs- und Aufsichtspflichten, persönliche Haftung (Art. 20), Schulung, Vorstands-KPIs und die Sanktionen nach Art. 34.

NIS2-Bußgelder und Sanktionen: wie hoch, wer haftet und wie man sie vermeidet

Was NIS2-Sanktionen sind: die Obergrenzen nach Artikel 34 (10 Mio. € / 2 % für wesentliche, 7 Mio. € / 1,4 % für wichtige Einrichtungen), die persönliche Haftung der Leitung (Art. 20, Art. 32), nicht-monetäre Durchsetzung und wie man sie vermeidet.

NIS2 vs. DORA: Unterschiede, Überschneidungen und was für Sie gilt

Wie sich die zwei EU-Regime unterscheiden und überschneiden, warum DORA Lex specialis für Finanzunternehmen ist, was für Sie gilt und was beide für Drittparteienrisiko bedeuten.

DSGVO vs. NIS2: Überschneidungen, Unterschiede und wann ein Vorfall beide auslöst

Wie sich DSGVO und NIS2 unterscheiden und überschneiden, wann ein Vorfall beide auslöst (DSGVO Art. 33 72 h an die Datenschutzbehörde vs. NIS2 Art. 23 24 h/72 h/ein Monat an das CSIRT), die Art.-35-Kooperation und das Verbot des doppelten Bußgelds, und was beide für die Lieferanten-Sorgfaltsprüfung bedeuten.

Der EU Cyber Resilience Act (CRA): Anwendungsbereich, Zeitplan und was er für Ihre Lieferkette bedeutet

Was der CRA verlangt, seine gestaffelten Termine (in Kraft 2024, Meldung Sep. 2026, volle Konformität Dez. 2027), wer in den Anwendungsbereich fällt und warum reine SaaS oft nicht, wie er NIS2 ergänzt und was er für Beschaffung und Lieferanten-Sorgfaltsprüfung bedeutet.

Die EU-KI-Verordnung: Risikostufen, Zeitplan und die Pflichten der Betreiber (Artikel 26)

Was die EU-KI-Verordnung verlangt: die Risikostufen, die gestaffelten Termine (in Kraft 2024, verboten Feb. 2025, GPAI Aug. 2025, Hochrisiko Aug. 2026), die Betreiberpflichten nach Art. 26, wie sie sich mit NIS2 und der DSGVO stapelt und was sie für die KI-Beschaffung bedeutet.

NIS2-Umsetzungsstand: in welchen EU-Ländern es in Kraft ist

Welche der 27 EU-Mitgliedstaaten NIS2 in nationales Recht überführt haben und welche noch daran arbeiten, und warum die Lücken Ihre Lieferkette ohnehin betreffen.

NIS2-Lieferantenvertragsklauseln: was Sie von Ihren Lieferanten verlangen sollten

Die Vertragsklauseln, die die Lieferkettenpflicht von NIS2 durchsetzbar machen: Sicherheitsbasis, Meldefenster, Nachweis- und Auditrechte, Weitergabe an Subunternehmer und laufende Überprüfung.

Ihre externe Sicherheitslage unter NIS2: was Lieferanten und Kunden sehen

Die öffentlich sichtbaren Signale, die Kunden nach NIS2 Art. 21(2)(d) bewerten: E-Mail-Fälschbarkeit (SPF/DMARC), Zertifikatshygiene, aus dem Internet erreichbare Systeme und geleakte Zugangsdaten, warum jedes zählt und wie man sie prüft und behebt.

Nutzen Ihre Lieferanten KI? NIS2-Lieferantenrisiko trifft den EU AI Act

Lieferanten betten zunehmend KI in Dienste ein, von denen Sie abhängen, und deren Lieferanten ebenso. Wo KI von Lieferanten und in der n-ten Ebene Risiken nach NIS2 Art. 21(2)(d) und dem EU AI Act schafft, was zu bewerten ist und wie Sie den Überblick behalten.

Lieferanten-Identitätsbetrug und CEO-Fraud (BEC): E-Mail-Spoofing, DMARC und NIS2

Einer der häufigsten Lieferkettenangriffe braucht keinen Einbruch: gefälschte E-Mail, die eine Zahlung umlenkt oder Daten stiehlt. Wie BEC und Lieferanten-Identitätsbetrug funktionieren, welche SPF-, DKIM- und DMARC-Einstellungen sie stoppen und wie das zu NIS2 Art. 21(2)(d) passt.