NIS2 und ISO 27001: Was die Zertifizierung abdeckt – und was nicht
Das NISG 2026 schreibt keine ISO-27001-Zertifizierung vor, und eine Zertifizierung erfüllt die Pflichten nicht automatisch. Sie deckt aber einen großen Teil der Maßnahmen nach § 32 ab und kann nach § 33 Abs. 2 als einschlägiges Zertifikat helfen, die operative und organisatorische Umsetzung nachzuweisen – vorausgesetzt, der Geltungsbereich passt. Registrierung, Meldepflichten, Selbstdeklaration und die Pflichten der Geschäftsführung bleiben eigene Aufgaben.
Kurz: nicht Pflicht, oft hilfreich
ISO/IEC 27001 ist eine internationale Norm für Informationssicherheits-Managementsysteme. Zertifizieren lässt man sich freiwillig, meist weil Kunden es verlangen. Das NISG 2026 dagegen ist Gesetz und gilt für erfasste Einrichtungen ohne Wahl. Es nennt keine Norm und verlangt kein Zertifikat, sondern Maßnahmen nach dem Stand der Technik – und berücksichtigt dabei ausdrücklich einschlägige Normen. ISO 27001 ist die naheliegendste davon.
Wo sich beide decken
Die Grundlogik ist dieselbe: Risiken analysieren, angemessene Maßnahmen wählen, umsetzen, die Wirksamkeit prüfen, verbessern. Viele der zehn Bereiche des § 32 finden sich in den Maßnahmen im Anhang der Norm wieder – Umgang mit Sicherheitsvorfällen, Betriebskontinuität und Backup, Lieferantenbeziehungen, Kryptografie, Zugriffssteuerung, Schulung und Sensibilisierung. Wer ein gelebtes Managementsystem hat, hat den größten Teil der Arbeit getan.
| Kriterium | ISO/IEC 27001 | NISG 2026 |
|---|---|---|
| Risikobasiertes Vorgehen | ja | ja |
| Maßnahmen in allen zehn Bereichen des § 32 | teilweise | ja |
| Schulung speziell für die Geschäftsführung | teilweise | ja |
| Registrierung bei der Behörde | nein | ja |
| Meldung an das CSIRT in 24 h / 72 h / 1 Monat | nein | ja |
| Selbstdeklaration an die Behörde | nein | ja |
| Geltungsbereich frei wählbar | ja | nein |
Teilweise heißt: Die Norm verlangt Vergleichbares, aber nicht in derselben Form oder nicht zwingend für alle Systeme. Ob ein Zertifikat trägt, hängt vor allem vom Geltungsbereich ab.
Wo die Lücken liegen
Erstens die Pflichten gegenüber dem Staat: Registrierung bis 31. Dezember 2026, Meldung erheblicher Vorfälle an das CSIRT in Stufen, Selbstdeklaration bis 30. September 2027. Das kennt die Norm nicht. Zweitens die Rolle der Geschäftsführung: § 31 verlangt, dass die Leitungsorgane die Einhaltung sicherstellen, beaufsichtigen und selbst an spezifischen Schulungen teilnehmen. Drittens einzelne Maßnahmen, die das Gesetz ausdrücklich nennt, die Norm aber offener formuliert – etwa Mehr-Faktor-Anmeldung und gesicherte Notfallkommunikation. Viertens der Geltungsbereich.
Der Geltungsbereich entscheidet
Ein ISO-Zertifikat gilt für den Bereich, den das Unternehmen festgelegt hat – manchmal nur ein Rechenzentrum, eine Abteilung oder einen Standort. Das Gesetz erfasst die Netz- und Informationssysteme, die Sie für Ihre Tätigkeit nutzen, einschließlich der Produktion. Ein Zertifikat, das nur die Büro-IT am Hauptsitz umfasst, belegt für die Werkshalle nichts. Prüfen Sie deshalb als Erstes den Geltungsbereich und die Erklärung zur Anwendbarkeit.
Lohnt sich eine Zertifizierung wegen NIS2?
Wegen des Gesetzes allein meist nicht – ein angemessenes, dokumentiertes Programm genügt. Sinnvoll ist sie, wenn Kunden sie verlangen, wenn Sie in regulierten Märkten liefern oder wenn Sie einen externen Rahmen wollen, der Disziplin erzwingt. In der Automobilindustrie ist statt oder neben ISO 27001 oft TISAX gefragt. Unser Rat: Bauen Sie das Programm so, dass es später zertifizierbar wäre. Ob Sie den Schritt gehen, entscheiden Sie, wenn ein Kunde danach fragt.
Häufige Fragen
Wir sind ISO-27001-zertifiziert. Was müssen wir noch tun?
Registrieren, den Meldeprozess nach § 34 ergänzen, die Schulung der Geschäftsführung nach § 31 sicherstellen, den Geltungsbereich gegen das Gesetz prüfen und die Selbstdeklaration vorbereiten. Mit gelebtem Managementsystem ist das meist überschaubar.
Akzeptiert die Behörde ein ISO-Zertifikat als Nachweis?
§ 33 Abs. 2 sieht vor, dass die operative und organisatorische Umsetzung auch durch einschlägige gültige Zertifikate nachgewiesen werden kann. Die Norm ist dort nicht namentlich genannt, und für die technische Umsetzung gilt das nicht. Ein Automatismus ist es also nicht.
Gibt es ein NIS2-Zertifikat?
Kein staatliches. Angebote unter diesem Namen sind private Bescheinigungen. Sie können sinnvoll sein, ersetzen aber weder die Registrierung noch die Selbstdeklaration.
Quellen
- NISG 2026, BGBl. I Nr. 94/2025 – Rechtsinformationssystem des Bundes (RIS) (öffnet in neuem Tab)
- ISO/IEC 27001 – Informationssicherheits-Managementsysteme (ISO) (öffnet in neuem Tab)
- WKO: FAQ zum NISG 2026 (öffnet in neuem Tab)
Stand: . Dieser Beitrag ist eine fachliche Einordnung, keine Rechtsberatung.
Geschrieben von
Ing. Özgür Deli, MSc CMSE
Geschäftsführer & Gründer, WeDev-IT GmbH
Ingenieur, Testmanager in regulierten Softwareprojekten und Experte für Maschinensicherheit (CMSE). Über 15 Jahre Enterprise-Projekterfahrung, Gastlektor.
Mehr über unsISO vorhanden – was fehlt noch?
Die Gap-Analyse gleicht Ihr Managementsystem mit dem NISG 2026 ab und zeigt genau die Lücken, statt alles neu zu machen. Ab 4.900 € netto.
Zur Gap-AnalyseWeiterlesen
Die 10 NIS2-Maßnahmen nach § 32 NISG 2026 – verständlich erklärt
Was hinter jedem der zehn Bereiche steckt, was ein Betrieb mit 80 Mitarbeitenden konkret tut – und woran man erkennt, dass es reicht.
NIS2-Fragebogen vom Kunden erhalten: So antworten Zulieferer richtig
Warum ein „Ja“ ohne Beleg mehr schadet als ein ehrliches „teilweise“ – und wie man in acht Wochen prüfbar antwortet.
NISG 2026: Was sich am 1. Oktober ändert – und was nicht
Wer betroffen ist, welche Fristen gelten und was Unternehmen jetzt tun müssen – ohne Panikmache.