NIS 2 und ISO 27001: Wie du Cybersicherheit jetzt effizient im Unternehmen umsetzt

NIS 2 ist eine europäische Richtlinie zur Stärkung der Cybersicherheit in der EU. Sie verpflichtet bestimmte Unternehmen und Einrichtungen dazu, angemessene technische und organisatorische Maßnahmen zum Schutz ihrer IT-Systeme umzusetzen.

Das Ziel: Dein Unternehmen soll widerstandsfähiger gegen Cyberangriffe werden, Sicherheitsvorfälle schneller erkennen und Schäden besser begrenzen. In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zentrale Behörde für die Umsetzung und Aufsicht.

Wichtig für dich: NIS 2 ist nicht nur ein Thema für klassische KRITIS-Betreiber (wie Strom- oder Wasserversorger). Der Anwendungsbereich ist deutlich breiter. Er trifft den gehobenen Mittelstand, digitale Dienste, SaaS-Anbieter, das produzierende Gewerbe und zahlreiche Dienstleister, die in relevanten Lieferketten stecken.

Ob dein Unternehmen direkt unter NIS 2 fällt, hängt im Kern von zwei Hauptfaktoren ab: Sektor und Unternehmensgröße.

1. Die Sektoren (Gehört dein Unternehmen dazu?)

Es gibt insgesamt 18 regulierte Sektoren. Dazu gehören unter anderem:

• Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser
• Digitale Infrastruktur (wichtig für Cloud-Anbieter und Rechenzentren!)
• Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel (Herstellung und Großhandel)
• Verarbeitendes/produzierendes Gewerbe (z. B. Maschinenbau, Fahrzeugbau, Elektrotechnik)
• Digitale Dienste (wichtig für Anbieter von Online-Marktplätzen, Suchmaschinen und sozialen Plattformen)
• Forschungseinrichtungen (Hinweis: Universitäten sind in der Regel ausgenommen)

2. Die Schwellenwerte (Größe des Unternehmens)

In der Regel bist du betroffen, wenn dein Sektor passt und dein Unternehmen:

• mindestens 50 Mitarbeitende hat ODER
• einen Jahresumsatz von über 10 Millionen Euro (bzw. eine Bilanzsumme von über 10 Millionen Euro) aufweist.

Sonderfall: Bestimmte Anbieter (z. B. im Bereich DNS-Dienste, Vertrauensdienste oder TLD-Registrierungsstellen) sind unabhängig von ihrer Größe ab dem ersten Mitarbeiter reguliert.

Viele Unternehmen prüfen nur die direkte Betroffenheit. Das ist ein fataler Fehler. Denn selbst wenn dein Unternehmen formal zu klein ist oder nicht zu den Sektoren gehört, kann dich NIS 2 mit voller Härte über deine Kund:innen treffen.

Das Gesetz verpflichtet direkt betroffene Konzerne und Großunternehmen dazu, ihre gesamte Lieferkette abzusichern. In der Praxis bedeutet das für dich als Dienstleister oder SaaS-Anbieter:

• Du erhältst deutlich strengere und detailliertere Sicherheitsfragebögen von deinen Kunden.
• Du musst IT-Sicherheitsmaßnahmen vertraglich und organisatorisch nachweisen.
• Zertifikate wie die ISO 27001 oder der Nachweis eines funktionierenden ISMS werden bei Ausschreibungen und B2B-Verträgen zur Pflicht.

Kurz gesagt: Wenn du die Cybersicherheit nicht nachweisen kannst, fliegst du im schlimmsten Fall aus der Lieferkette. NIS 2 ist damit kein reines Compliance-Thema, sondern sichert deinen Marktzugang.

NIS 2 fordert von betroffenen Unternehmen „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“. Das Gesetz gibt 10 Mindestmaßnahmen vor, die du zwingend implementieren musst:

Die ISO 27001 ist der international anerkannte Standard für ein Informationssicherheitsmanagementsystem (ISMS). Ein ISMS sorgt dafür, dass du IT-Sicherheit nicht als einmaliges Projekt, sondern als fortlaufenden Prozess (Plan-Do-Check-Act) verstehst.

Wenn dein Unternehmen bereits nach ISO 27001 zertifiziert ist, hast du einen enormen Startvorteil. Laut Schätzungen der ENISA (Europäische Agentur für Cybersicherheit) deckst du mit einem funktionierenden ISO-Standard bereits ca. 70 bis 80 % der NIS-2-Anforderungen ab.

Die ISO 27001 liefert dir das perfekte strukturelle Gerüst für:

• Systematische Risikoanalysen
• Asset Management (Inventar deiner IT-Landschaft)
• Rollendefinitionen und Verantwortlichkeiten
• Dokumentationslogik für Behördenaudits

Ein ISO-27001-Zertifikat ist ein starkes Signal für den Markt, aber es befreit dich nicht von den spezifischen gesetzlichen Zusatzpflichten der NIS 2. Es gibt fundamentale Unterschiede, die du kennen musst:

Hier sind die kritischen Lücken, bei denen du trotz ISO-Zertifizierung nachschärfen musst:

1. Die gesetzliche Registrierungspflicht: Betroffene Einrichtungen müssen sich aktiv im BSI-Portal registrieren. Wer die Frist versäumt, riskiert direkt Bußgelder.
2. Die ultra-straffen Meldepflichten: Während die ISO 27001 nur fordert, dass du Vorfälle intern managst, verlangt NIS 2 die Einhaltung der gesetzlichen Fristen (24 Stunden für die Erstmeldung ans BSI).
3. Die Pflichten der Geschäftsleitung: NIS 2 nimmt das Management persönlich in die Pflicht. Die Geschäftsführung muss die Maßnahmen nicht nur absegnen, sondern aktiv überwachen und sich selbst schulen lassen. Ein Delegieren an die IT-Abteilung ist rechtlich ausgeschlossen.
4. Haftung und Sanktionen: Bei ISO-Verstößen verlierst du im schlimmsten Fall das Zertifikat. Bei NIS-2-Verstößen drohen dem Unternehmen Bußgelder von bis zu 10 Millionen Euro (oder 2 % des weltweiten Umsatzes) und der Geschäftsführung die persönliche Regresshaftung mit dem Privatvermögen.

Egal ob du bei null anfängst oder ein bestehendes ISO-System erweitern willst – dieser Fahrplan hilft dir bei der pragmatischen Umsetzung:

Schritt 1: Betroffenheit hieb- und stichfest prüfen

Ermittle deine Sektorenzugehörigkeit und deine Kennzahlen. Liegst du in einem rechtlichen Graubereich oder bist du als B2B-Dienstleister indirekt über die Lieferkette betroffen? Dokumentiere das Ergebnis dieser Prüfung sorgfältig.

Schritt 2: Vollständiges Asset-Register erstellen

Du kannst nur schützen, was du auch kennst. Erfasse systematisch alle IT-Systeme, Software-Anwendungen, Cloud-Dienste, kritischen Datenbestände und externen Dienstleister.

Schritt 3: Risikobewertung durchführen

Analysiere deine Assets: Welche Bedrohungen existieren? Welche Auswirkungen hätte ein Ausfall eines bestimmten SaaS-Tools oder Cloud-Hosters auf dein Kerngeschäft?

Schritt 4: ISMS aufbauen oder erweitern

Nutze die Struktur der ISO 27001, um Sicherheitsrichtlinien (Policies) aufzusetzen und Verantwortliche im Team zu benennen. Eine digitale Compliance-Plattform hilft dir hierbei, alle Nachweise und Fristen zentral zu verwalten.

Schritt 5: Gesetzliche Sonderprozesse implementieren

Ergänze dein System um die spezifischen NIS-2-Anforderungen: Richte den Zugang zum BSI-Portal ein, integriere die 24-Stunden-Meldepflicht in dein Incident-Response-Handbuch und terminiere die Pflichtschulung für deine Geschäftsführung.

Schritt 6: Kontinuierliche Wirksamkeitsprüfung

Cybersicherheit ist kein Zustand, sondern ein Prozess. Überprüfe deine Maßnahmen regelmäßig (z. B. einmal pro Quartal) auf ihre tatsächliche Funktion und passe sie an neue Bedrohungslagen an.

• Fehler 1: Das Thema komplett an die IT abschieben. NIS 2 fordert eine ganzheitliche Governance. Einkauf (Lieferantenverträge), HR (Mitarbeiterschulungen) und die Geschäftsleitung müssen zwingend mit an den Tisch.
• Fehler 2: Blinder Aktionismus mit Einzeltools. Der Kauf eines neuen Security-Tools nützt nichts, wenn die organisatorischen Prozesse, Notfallpläne und Richtlinien dahinter fehlen.
• Fehler 3: Die Trägheit der Lieferkette unterschätzen. Viele Angriffe erfolgen über scheinbar unbedeutende Schnittstellen zu Dienstleistern. Wer seine Lieferanten nicht prüft, lässt die Hintertür offen.

Die Flut an Regularien wie DSGVO, ISO 27001 und nun auch noch NIS 2 kann schnell überwältigend wirken. Genau hier setzen wir an. heyData ist dein digitales Betriebssystem für Compliance.

Wir unterstützen dich dabei, regulatorische Anforderungen effizient, transparent und ohne bürokratischen Frust umzusetzen:

• Smarte Betroffenheitsprüfung & Orientierung: Wir klären gemeinsam mit dir, welche Pflichten dich konkret treffen.
• Pragmatischer ISMS-Aufbau: Über unsere digitale Plattform verwaltest du deine Assets, Risiken und Sicherheitsmaßnahmen zentral.
• ISO 27001 & NIS 2 aus einer Hand: Wir helfen dir, bestehende ISO-Prozesse nahtlos um die gesetzlichen NIS-2-Anforderungen zu erweitern.
• Effizientes Vendor-Management: Nutze unsere umfangreiche Datenbank mit über 6.000 bereits bewerteten Software-Anbietern und Dienstleistern, um deine Lieferkette im Handumdrehen abzusichern.
• Automatisierte Schulungen: Sensibilisiere dein gesamtes Team – inklusive der gesetzlich geforderten Spezialschulungen für deine Geschäftsleitung – direkt über unsere Plattform.

Mit heyData betrachtest du NIS 2 nicht als isolierten Compliance-Berg, sondern integrierst es nahtlos in deine bestehenden Unternehmensprozesse. So machst du aus gesetzlichem Druck einen echten Wettbewerbsvorteil.

NIS 2 hebt die Cybersicherheit endgültig auf die Management-Ebene. Was früher eine rein technische Schutzmaßnahme in der IT-Abteilung war, ist heute eine gesetzliche Pflicht für die Unternehmensführung.

Die ISO 27001 liefert dir das perfekte Fundament und die Struktur, um diese Pflichten effizient zu erfüllen. Wer die spezifischen Zusatzanforderungen wie Meldepflichten und BSI-Registrierung jetzt gezielt ergänzt, minimiert nicht nur Haftungsrisiken, sondern positioniert sich als vertrauenswürdiger und sicherer Partner im Markt.

Was ist NIS 2 ganz einfach erklärt?

NIS 2 ist eine EU-weite gesetzliche Richtlinie, die Unternehmen dazu verpflichtet, ihre IT- und Informationssicherheit massiv zu verbessern, Risiken aktiv zu managen und schwerwiegende Sicherheitsvorfälle blitzschnell an staatliche Behörden (in Deutschland das BSI) zu melden.

Reicht unsere ISO-27001-Zertifizierung für NIS 2 aus?

Nein, leider nicht ganz. Die ISO 27001 deckt zwar ca. 70–80 % der technischen und organisatorischen Maßnahmen ab. Gesetzliche Pflichten wie die Registrierung beim BSI, die extrem kurzen 24-Stunden-Meldepflichten und die persönliche Schulungs- und Haftungspflicht der Geschäftsleitung musst du jedoch zusätzlich implementieren.

Was passiert, wenn mein Unternehmen NIS 2 ignoriert?

Es drohen drastische Konsequenzen: Behördliche Bußgelder in Millionenhöhe, der Verlust von Großkunden, weil du die Sicherheitsnachweise in der Lieferkette nicht erbringen kannst, sowie eine persönliche Regresshaftung der Geschäftsleitung bei Pflichtverletzungen.

Betrifft NIS 2 auch kleinere Unternehmen mit weniger als 50 Mitarbeitenden?

Direkt vom Gesetz her nur in seltenen Ausnahmefällen (z. B. bei DNS-Diensten). Allerdings greift hier die indirekte Betroffenheit über die Lieferkette: Wenn deine Kunden NIS-2-pflichtig sind, werden sie vertraglich verlangen, dass auch du als Zulieferer oder SaaS-Dienstleister die Sicherheitsstandards nachweist.

Wie fange ich am besten an?

Mache als Erstes eine saubere Betroffenheitsanalyse und erfasse im Anschluss deine kritischen IT-Assets. Wenn du den Prozess beschleunigen und rechtssicher dokumentieren möchtest, unterstützt dich eine digitale Compliance-Plattform wie heyData bei jedem einzelnen Schritt.