Das neue deutsche Cybersicherheitsrecht fordert von betroffenen Unternehmen ein angemessenes, risikobasiertes und am Stand der Technik ausgerichtetes Schutzniveau für Netz- und Informationssysteme. Viele Organisationen stehen vor der Frage, wie sich bestehende Informationssicherheitsmanagementsysteme (ISMS) nach ISO/IEC 27001 zum reformierten BSI-Gesetz verhalten. Die MR Datentechnik unterstützt den Mittelstand und den Public Sector als strategischer Partner dabei, bestehende Sicherheitsmaßnahmen im Kontext der neuen gesetzlichen Anforderungen zu bewerten und regulatorische Risiken pragmatisch zu minimieren.
Die Herausforderung / Das Marktumfeld
Mit der Umsetzung der NIS-2-Richtlinie in das deutsche BSI-Gesetz werden die Anforderungen an Informationssicherheit für wichtige und besonders wichtige Einrichtungen deutlich erweitert. Betroffene Einrichtungen müssen technische und organisatorische Maßnahmen nach dem Stand der Technik umsetzen, gesetzliche Melde- und Nachweispflichten erfüllen und die Verantwortung der Geschäftsleitung stärker berücksichtigen.
Ein häufiger Irrtum besteht darin, eine bestehende ISO/IEC-27001-Zertifizierung automatisch mit vollständiger NIS-2-/BSIG-Konformität gleichzusetzen. Das ist nicht zutreffend: ISO 27001 bildet eine sehr gute Grundlage für ein strukturiertes ISMS, ersetzt jedoch nicht die zusätzlichen gesetzlichen Pflichten, insbesondere Registrierung, Meldewege, Nachweisführung, Lieferkettenanforderungen und die Verantwortung der Geschäftsleitung.
ISO 27001 ist damit kein Gegensatz zu NIS-2, sondern ein sehr geeigneter Ausgangspunkt. Die Norm liefert den Managementsystem-Rahmen; NIS-2/BSIG ergänzt diesen um verbindliche gesetzliche Anforderungen, die konkret geprüft, umgesetzt und dokumentiert werden müssen.
MR Datentechnik – Der Experte für Informationssicherheit
Die MR Datentechnik verfügt über langjährige Erfahrung im Bereich IT-Sicherheit und ist als ISO-27001-zertifiziertes IT-Systemhaus ein erfahrener Ansprechpartner für regulatorische Anforderungen im DACH-Raum. Das Expertenteam der MR-Unternehmensgruppe kennt sowohl die technische Praxis als auch die Anforderungen an dokumentierte Managementsysteme. Dadurch lassen sich bestehende ISO-27001-Strukturen gezielt um NIS-2-/BSIG-spezifische Anforderungen erweitern – insbesondere in den Bereichen Risikomanagement, Meldewesen, Lieferkette, Nachweisführung und Geschäftsleitungsverantwortung.
Ein besonderer Fokus liegt auf der Verantwortung der Geschäftsleitung. NIS-2/BSIG macht Cybersicherheit nicht nur zu einer Aufgabe der IT-Abteilung, sondern zu einem Leitungs- und Steuerungsthema. Die Geschäftsleitung muss sicherstellen, dass angemessene Risikomanagementmaßnahmen beschlossen, umgesetzt, überprüft und bei Bedarf verbessert werden. Operative Aufgaben können delegiert werden; die Verantwortung für eine angemessene Steuerung verbleibt jedoch auf Leitungsebene.
Leistungen und Lösungen im Bereich NIS-2-Compliance
Zur systematischen Absicherung von Unternehmen und Einrichtungen bietet die MR Datentechnik ein modulares Leistungsportfolio, mit dem bestehende Sicherheitsmaßnahmen bewertet, mögliche Lücken identifiziert und NIS-2-/BSIG-Anforderungen pragmatisch in bestehende Prozesse integriert werden können.
- NIS-2 Readiness Assessment & Consulting: Prüfung der Betroffenheit, Bewertung des bestehenden Reifegrads und Durchführung einer strukturierten Gap-Analyse.
- ISMS-Erweiterung & Mapping: Abgleich vorhandener ISO-27001-Strukturen mit den gesetzlichen Anforderungen des BSIG, insbesondere den Risikomanagementmaßnahmen nach § 30 BSIG.
- Implementierung technischer und organisatorischer Maßnahmen: Unterstützung bei fehlenden oder zu konkretisierenden Controls, z. B. Multi-Faktor-Authentifizierung, Verschlüsselung, Schwachstellenmanagement, Backup-/Recovery-Prozesse und Lieferkettensicherheit.
- Managed Security Services & Incident Response: Unterstützung bei Überwachung, Erkennung, Bewertung und Behandlung von Sicherheitsvorfällen sowie bei der Vorbereitung formaler Meldeprozesse.
Im Consulting-Prozess wird zunächst geprüft, welche NIS-2-/BSIG-Anforderungen für die Organisation relevant sind. Anschließend werden bestehende Maßnahmen mit den gesetzlichen Anforderungen abgeglichen, Lücken priorisiert und konkrete Umsetzungsschritte definiert. Dazu gehört auch die Vorbereitung belastbarer Melde- und Eskalationsprozesse für erhebliche Sicherheitsvorfälle.
Warum die Kombination aus ISO 27001 und NIS-2 entscheidend ist
Die Integration von NIS-2 und ISO 27001 schafft eine starke Sicherheitslage, die mit den gesetzlichen Verpflichtungen in Einklang steht und gleichzeitig eine Unternehmenskultur der kontinuierlichen Verbesserung des Informationssicherheits-Managements fördert. Während die europäische Richtlinie den rechtlichen Rahmen und mögliche Sanktionen vorgibt, liefert der internationale Standard das bewährte Framework für den operativen Alltag.
- Vermeidung von Doppelstrukturen: Unternehmen, die ein ISO 27001-zertifiziertes Informationssicherheitsmanagementsystem (ISMS) haben, können die NIS-2-Anforderungen effizienter erfüllen, da viele Anforderungen bereits strukturell angelegt sind.
- Wettbewerbsvorteile im Markt: Ein ISO 27001-Zertifikat gilt global als Glaubwürdigkeitsnachweis und öffnet Türen zu internationalen Märkten, während die parallele NIS-2-Konformität die Lieferfähigkeit im DACH-Raum unterstützen kann.
- Ganzheitliche Risikominimierung: ISO 27001 bietet einen strukturierten Ansatz zur Identifizierung und Behandlung von Risiken, der durch die gesetzlichen Vorgaben gezielt um verbindliche Anforderungen an kritische Systeme, Nachweise und Meldeprozesse ergänzt wird.
- Erhöhte Resilienz: Die Kombination ermöglicht es Organisationen, ihre Position in einem wettbewerbsintensiven Markt zu verbessern, indem sie Vertrauen aufbauen und ihre Sicherheitsmaßnahmen proaktiv optimieren.
Die Anforderungen der ISO 27001 und der NIS-2-Richtlinie besitzen erhebliche thematische Überschneidungen. Erst die gezielte Ergänzung eines bestehenden ISMS um NIS-2-/BSIG-spezifische Pflichten schafft jedoch eine belastbare Grundlage für Compliance, Nachweisfähigkeit und operative Resilienz in modernen B2B-Lieferketten.
Strategie mit System: Das 360° IT-Sicherheitskonzept
Einzelne technische Maßnahmen wie neue Firewalls oder regelmäßige Software-Updates reichen allein nicht aus, um die Anforderungen an ein wirksames und nachweisbares Sicherheitsniveau zu erfüllen. Entscheidend ist das Zusammenspiel aus Technik, Prozessen, Verantwortlichkeiten und kontinuierlicher Verbesserung. ISO 27001 liefert hierfür den Managementsystem-Rahmen; NIS-2/BSIG ergänzt diesen um konkrete gesetzliche Pflichten, insbesondere zu Risikomanagement, Meldewesen, Lieferkette, Nachweisen und Geschäftsleitungsverantwortung.
Ergänzend können praxisorientierte Standards wie VdS 10100 als strukturierte Orientierung für die Umsetzung und Nachweisführung von Informationssicherheitsmaßnahmen dienen. Sie ersetzen jedoch ebenso wenig wie ISO 27001 die gesetzliche Einzelfallprüfung nach NIS-2/BSIG. Entscheidend ist, dass die Organisation ihre konkrete Betroffenheit, ihre Risiken, ihre Lieferketten, ihre Meldeprozesse und ihre Nachweise nachvollziehbar dokumentiert.
Der Prozess – Unsere Zusammenarbeit mit Ihnen
- Erstgespräch und Analyse – Ermittlung der Betroffenheit anhand von Sektor, Einrichtungsart, Unternehmensgröße, Sonderrollen und vorhandenen Nachweisen oder Zertifizierungen.
- Konzept und Architektur – Durchführung der Gap-Analyse, Erstellung einer Roadmap zur Erweiterung des ISMS und Definition klarer Verantwortlichkeiten.
- Implementierung – Technische und organisatorische Umsetzung fehlender Controls, z. B. Absicherung der Lieferkette, Verschlüsselung, MFA, Backup-/Recovery-Prozesse sowie Sensibilisierung der Mitarbeitenden und Schulung der Leitungsebene.
- Betrieb & Managed Services – Kontinuierliche Überwachung der Informationssysteme, Durchführung regelmäßiger Audits und Bereitstellung von Incident-Response-Kapazitäten.
Mapping der Anforderungen gemäß § 30 BSIG auf ISO/IEC 27001:2022 und ISO/IEC 27002:2022
Die folgende Tabelle zeigt die thematischen Parallelen zwischen den gesetzlichen Mindestanforderungen des § 30 Abs. 2 BSIG und typischen ISO/IEC-27001-/27002-Bezügen. Sie dient als Orientierung für ein strukturiertes Mapping, ersetzt jedoch keine einzelfallbezogene Bewertung.
| BSIG | Anforderung (Kurzbezeichnung) | ISO/IEC 27001:2022 und ISO/IEC 27002:2022 | Technische Umsetzungsrealität und gesetzliche Anforderungen |
| § 30 Abs. 2 S. 2 Nr. 1 | Risikoanalyse + IT-Sicherheitskonzept | 5.2, 5.3, 6.1, 6.1.2, 6.1.3, 6.2, 8.2, 8.3, 9.2, 9.3, 10.1, A.5.1, A.5.2, A.5.3, A.5.36, A.5.4, A.5.7, Α.5.19, Α.5.20, Α.5.21, A.5.31, A.5.35, A.5.36, A.8.34 | ISO 27001 liefert den methodischen Rahmen für Risikobeurteilung, Risikobehandlung, Sicherheitsziele, Audits und Managementbewertung. NIS-2/BSIG verlangt ergänzend, dass diese Maßnahmen auf die gesetzlichen Anforderungen, den Stand der Technik und die konkrete Betroffenheit der Einrichtung ausgerichtet und nachvollziehbar dokumentiert werden. |
| § 30 Abs. 2 S. 2 Nr. 2 | Bewältigung von Sicherheitsvorfällen(Incident Response) | A.5.24, A.5.25, A.5.26, A.5.27, A.5.28, A.6.8, A.8.15, A.8.16, A.8.17 | Erforderlich sind Prozesse zur Erkennung, Bewertung, Behandlung und Nachbereitung von Sicherheitsvorfällen. NIS-2/BSIG ergänzt das ISO-basierte Incident Management um gesetzliche Meldepflichten, Meldefristen, Eskalationswege und behördliche Kommunikation bei erheblichen Sicherheitsvorfällen. |
| § 30 Abs. 2 S. 2 Nr. 3 | Business Continuity Management (BCM) | A.5.26, A.5.29, A.5.30, A.7.11, A.8.13, A.8.14 | Die Organisation muss Maßnahmen zur Aufrechterhaltung des Betriebs, zum Backup-Management, zur Wiederherstellung nach Notfällen und zum Krisenmanagement festlegen. RTO-/RPO-Ziele, Wiederanlauftests, getrennte oder immutable Backups und Krisenkommunikation sollten risikobasiert definiert und regelmäßig überprüft werden. |
| § 30 Abs. 2 S. 2 Nr. 4 | Sichere Lieferkette | A.5.19, A.5.20, A.5.21, A.5.22, A.8.30 | Lieferanten- und Dienstleisterrisiken müssen risikobasiert bewertet und in Verträgen, Sicherheitsanforderungen, Nachweispflichten und Lieferantenbewertungen berücksichtigt werden. Besonders relevant sind unmittelbare Anbieter und Diensteanbieter, deren Leistungen für kritische oder wesentliche Geschäftsprozesse bedeutsam sind. |
| § 30 Abs. 2 S. 2 Nr. 5 | Sicherheitsmaßnahmen + Schwachstellenmanagement | 6.3, 8.1, A.5.21, A.5.23, A.7.3, A.7.5, A.7.13, A.8.7, A.8.8, A.8.25, A.8.31, A.8.9, A.8.16, A.8.20, A.8.22, A.8.29, A.8.31, A.8.32, A.8.33, A.8.34 | Erforderlich sind sichere Prozesse für Erwerb, Entwicklung, Betrieb und Wartung von IT-Systemen. Dazu gehören Patch- und Schwachstellenmanagement, sichere Konfigurationen, Schutz vor Schadsoftware, sichere Entwicklungs- und Änderungsprozesse sowie Verfahren zur Behandlung und gegebenenfalls Offenlegung von Schwachstellen. |
| § 30 Abs. 2 S. 2 Nr. 6 | Bewertung der Wirksamkeit von Maßnahmen | 6.2, 9.1, 9.3 | Die Wirksamkeit der Sicherheitsmaßnahmen muss regelmäßig überprüft und dokumentiert werden. Geeignete Nachweise können interne Audits, Managementbewertungen, Kennzahlen, Schwachstellenscans, technische Prüfungen oder risikobasiert auch Penetrationstests sein. |
| § 30 Abs. 2 S. 2 Nr. 7 | Schulungen + Sensibilisierungsmaßnahmen | 7.2, 7.3, A.6.3, A.8.7 | Mitarbeitende müssen angemessen sensibilisiert und geschult werden. Zusätzlich muss sich die Leitungsebene mit Cybersicherheitsrisiken und den Risikomanagementmaßnahmen befassen, damit Cybersicherheit als Leitungs- und Steuerungsthema verankert ist. |
| § 30 Abs. 2 S. 2 Nr. 8 | Kryptografische Verfahren | A.5.31, A.8.24 | Kryptografische Maßnahmen sind entsprechend Schutzbedarf und Risiko einzusetzen. Dazu gehören insbesondere sichere Transportverschlüsselung, Verschlüsselung besonders schützenswerter gespeicherter Daten, geregelter Schlüssellebenszyklus und dokumentierte Verantwortlichkeiten für Schlüsselmanagement. |
| § 30 Abs. 2 S. 2 Nr. 9 | Personalsicherheit, Zugriffskontrolle + Assetmanagement | 7.1, 7.2, 9, A.5.9, A.5.10, A.5.11, A.5.12, A.5.13, A.5.14, Α.5.15, Α.5.16, Α.5.17, Α.5.18, A.5.28, A.8.24, A.6.1, A.6.2, A.6.3, A.6.4, A.6.5, A.7.1, A.7.2, A.7.4, A.7.7, A.7.10, Α.8.2, Α.8.3, Α.8.5, A.8.18, Α.8.21 | Erforderlich sind geregelte Prozesse für Rollen, Berechtigungen, Benutzerlebenszyklus, Rezertifizierung, Zugriffskontrolle und Personalsicherheit. Ein aktuelles Inventar relevanter Informationswerte und IT-Systeme bildet die Grundlage für Schutzbedarfs-, Risiko- und Berechtigungsentscheidungen. |
| § 30 Abs. 2 S. 2 Nr. 10 | Multi-Faktor-Authentisierung +gesicherte Kommunikation | 9, Α.5.15, Α.5.16, Α.5.17, Α.5.18, A.7.2, Α.8.2, Α.8.3, Α.8.5, A.8.18, Α.8.21 | MFA bzw. starke oder kontinuierliche Authentifizierung ist risikobasiert für besonders schützenswerte Zugriffe umzusetzen. In der Praxis betrifft dies insbesondere privilegierte Konten, Remote-Zugriffe, Cloud-Dienste, externe Dienstleisterzugriffe und kritische Systeme. Ergänzend sind gesicherte Kommunikationswege für interne und externe Kommunikation zu berücksichtigen. |
MR DATENTECHNIK – IHR PARTNER FÜR NIS-2
Ein ISO-27001-Zertifikat ist ein starkes Fundament, reicht allein jedoch nicht aus, um sämtliche NIS-2-/BSIG-Anforderungen abzudecken. Betroffene Einrichtungen müssen die gesetzlichen Pflichten strukturiert in ihr ISMS, ihre technischen Maßnahmen, ihre Lieferkettenprozesse und ihre Nachweisführung integrieren. Die MR Datentechnik unterstützt Organisationen dabei, bestehende Sicherheitsstrukturen belastbar weiterzuentwickeln, Compliance-Lücken zu identifizieren und eine praxistaugliche Roadmap für die Umsetzung zu erstellen.
HÄUFIG GESTELLTE FRAGEN (FAQ)
Warum reicht eine ISO 27001-Zertifizierung nicht für die Erfüllung von NIS-2 aus?
Eine ISO/IEC-27001-Zertifizierung allein reicht nicht aus, weil NIS-2 bzw. das BSIG zusätzliche gesetzliche Pflichten enthalten. ISO 27001 stellt ein Managementsystem für Informationssicherheit bereit und unterstützt Risikobewertung, Risikobehandlung, interne Audits und kontinuierliche Verbesserung. NIS-2/BSIG ergänzt dies jedoch um konkrete gesetzliche Anforderungen, insbesondere Registrierung, Meldepflichten, Nachweisführung, Lieferkettensicherheit und Verantwortung der Geschäftsleitung. Restrisiken können weiterhin bewertet und dokumentiert werden; gesetzliche Mindestpflichten dürfen jedoch nicht allein durch Risikoakzeptanz ersetzt werden.
Welche Fristen gelten für die Meldung von Sicherheitsvorfällen unter NIS-2?
Bei erheblichen Sicherheitsvorfällen sieht NIS-2/BSIG ein gestuftes Meldewesen gegenüber der zuständigen Stelle vor. In der Regel ist eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung vorgesehen, gefolgt von einer Folgemeldung innerhalb von 72 Stunden und einem Abschlussbericht spätestens nach einem Monat. ISO 27001 und ISO 27002 unterstützen zwar den Aufbau eines strukturierten Incident-Management-Prozesses, ersetzen jedoch nicht die gesetzlichen Meldepflichten, Meldefristen und Kommunikationswege gegenüber den Behörden.
Was passiert mit Zulieferern, die nicht direkt von NIS-2 betroffen sind?
NIS-2/BSIG verpflichtet betroffene Einrichtungen, auch Risiken aus der Lieferkette angemessen zu berücksichtigen. Dadurch können direkte Dienstleister und Lieferanten vertraglich stärker in Sicherheitsanforderungen, Meldepflichten, Nachweispflichten und Lieferantenbewertungen eingebunden werden. Auch Unternehmen, die selbst nicht unmittelbar unter NIS-2 fallen, können dadurch mittelbar betroffen sein, wenn regulierte Kunden entsprechende Anforderungen in Verträgen, Ausschreibungen oder Sicherheitsnachweisen verlangen. Entscheidend ist daher eine risikobasierte Bewertung der jeweiligen Lieferantenbeziehung und der Bedeutung des Dienstleisters für die eigenen kritischen Geschäftsprozesse.
Warum MR Datentechnik als IT-Partner wählen?
Als regional verwurzeltes IT-Systemhaus mit Standorten in ganz Deutschland kennt die MR Datentechnik die Anforderungen von Mittelstand, Behörden und regulierten Organisationen aus der Praxis. Die ISO-27001-Zertifizierung belegt ein strukturiertes Informationssicherheitsmanagement und bildet eine starke Grundlage für sichere Projekte. Für NIS-2 reicht diese Grundlage allein jedoch nicht aus. Deshalb unterstützt die MR Unternehmensgruppe ihre Kunden dabei, bestehende Sicherheitsmaßnahmen gezielt um gesetzliche Anforderungen zu erweitern – von der Betroffenheitsanalyse über das ISMS-Mapping bis hin zu Meldeprozessen, Lieferkettenanforderungen und technischer Umsetzung.