Deckt meine ISO-27001-Zertifizierung die Sorgfaltspflicht unter NIS2 ab?

Kurze Antwort: Eine ISO-27001-Zertifizierung gibt Ihnen eine starke Grundlage für die Sorgfaltspflicht unter NIS2, deckt sie aber nicht automatisch vollständig ab. NIS2 stellt einige Anforderungen, die außerhalb des üblichen Anwendungsbereichs eines ISMS-Zertifikats liegen, etwa die gesetzliche Meldepflicht und die ausdrückliche Verantwortung der Leitung. Diese Lücken müssen Sie gesondert abdecken.

Was ist die Überschneidung?

ISO/IEC 27001 ist die internationale Norm für ein Informationssicherheitsmanagementsystem (ISMS): ein systematischer Ansatz, um Risiken für Informationen zu identifizieren, zu beherrschen und kontinuierlich zu verbessern. NIS2 (Richtlinie (EU) 2022/2555, Art. 21) verlangt eine Reihe von Risikomanagementmaßnahmen, die in wesentlichen Teilen an das anknüpft, was ein 27001-ISMS bereits leistet.

Gut abgedeckt durch ISO 27001 sind unter anderem:

• Risikomanagement: eine systematische Risikoanalyse und die zugehörigen Beherrschungsmaßnahmen bilden den Kern der Norm.
• Zugriffsrichtlinie: Identitäts- und Zugriffsmanagement sind Standardbestandteil des ISMS.
• Verschlüsselung: Richtlinien für Kryptografie und Datenschutz.
• Geschäftskontinuität: Kontinuitäts- und Wiederherstellungsmaßnahmen bei Vorfällen.

Haben Sie eine aktuelle 27001-Zertifizierung, dann steht das schwerste Fundament also bereits.

Welche Lücken bleiben?

NIS2 fügt Pflichten hinzu, die ein 27001-Zertifikat nicht automatisch nachweist. Berücksichtigen Sie mindestens:

• Gesetzliche Meldepflicht: Bei einem erheblichen Vorfall gilt eine Frühwarnung innerhalb von 24 Stunden und eine ausführlichere Meldung innerhalb von 72 Stunden an die zuständige Behörde. Das ist eine gesetzliche Frist, nicht nur ein internes Verfahren.
• Verantwortung der Leitung und Schulung: Die Leitung muss die Maßnahmen genehmigen, sie überwachen und selbst Schulungen absolvieren. NIS2 legt die Verantwortung ausdrücklich bei der Leitung.
• Lieferkettenrisiko bei Anbietern: Sie müssen die Sicherheit in Ihrer Lieferkette und bei Dienstleistern beherrschen, weiter gefasst als ein 27001-Anwendungsbereich oft abdeckt.
• Registrierung: Einrichtungen, die unter NIS2 fallen, müssen sich bei der zuständigen Behörde registrieren.

Was bedeutet das für Transport und Logistik?

Viele logistische Parteien fallen unter NIS2. Nutzen Sie Ihr 27001-ISMS als Grundlage und führen Sie eine gezielte Gap-Analyse durch: Legen Sie die 27001-Maßnahmen neben Art. 21 sowie die Melde-, Leitungs- und Registrierungspflichten und füllen Sie die Unterschiede auf. So vermeiden Sie die Annahme, dass ein Zertifikat Sie von der NIS2-Sorgfaltspflicht befreit.

Lesen Sie auch die Übersicht Transport & Logistik. Machen Sie den Scan.