NIS2 vs. ISO 27001: Leitfaden zur Compliance-Abstimmung
In der ständig sich wandelnden Landschaft der IT-Sicherheit sind europäische Finanzinstitute verpflichtet, verschiedene rechtliche Rahmenbedingungen einzuhalten. Zwei der weitverbreitetsten und einflussreichsten Rahmenbedingungen sind die Richtlinie zur Netz- und Informationssicherheit (NIS2) und der Standard der Internationalen Normenorganisation (ISO) 27001. Die NIS2-Richtlinie, die die NIS-Richtlinie von 2016 ersetzt, zielt darauf ab, die IT-Sicherheit in der gesamten EU zu verbessern, indem sie sich auf wesentliche und wichtige Einrichtungen konzentriert. Die ISO 27001 bietet hingegen einen umfassenden Rahmen für die Einrichtung, Implementierung und Aufrechterhaltung eines Informationssicherheitsmanagementsystems (ISMS). Dieser Artikel wird diese beiden Rahmenbedingungen untersuchen, die wichtigsten Anforderungen von NIS2 auf die ISO 27001-Steuerelemente abbilden und die zusätzlichen Maßnahmen erkennen, die für eine vollständige NIS2-Konformität benötigt werden.
Schlüsselanforderungen oder -konzepte
NIS2-Anforderungen
Die NIS2-Richtlinie, die die Mitgliedstaaten bis zum 17. Oktober 2024 umsetzen mussten, führt strengere IT-Sicherheitsanforderungen für wesentliche und wichtige Einrichtungen ein. Die Richtlinie zielt darauf ab, einen harmonisierten Ansatz zur IT-Sicherheit in der EU zu erreichen, wobei besondere Anforderungen auf das Risikomanagement, das Vorfallberichtswesen und die Zusammenarbeit zwischen den Mitgliedstaaten ausgerichtet sind.
Einige der wichtigsten Anforderungen der NIS2-Richtlinie sind:
Risikobewertung: Die NIS2-Richtlinie verlangt von Organisationen, Risiken für ihr Netzwerk und ihre Informationssysteme zu identifizieren, zu bewerten und zu verwalten (Artikel 21 Absatz 2 Buchstabe a).
Vorfallberichtswesen: Die NIS2-Richtlinie verpflichtet Organisationen, erhebliche Sicherheitsvorfälle an das CSIRT oder die zuständige Behörde zu melden (Artikel 23). Die Frühwarnung ist binnen 24 Stunden nach Kenntnisnahme fällig, die Meldung des Vorfalls binnen 72 Stunden und der Abschlussbericht binnen eines Monats.
Zusammenarbeit und Informationsaustausch: Die NIS2-Richtlinie fördert die Zusammenarbeit zwischen Mitgliedstaaten (Artikel 14 und 15) und den Informationsaustausch zwischen Einrichtungen (Artikel 29).
Sicherheitsmaßnahmen: Die NIS2-Richtlinie legt fest, dass wesentliche und wichtige Einrichtungen Sicherheitsmaßnahmen umsetzen müssen, die dem Risiko angemessen sind (Artikel 21).
Aufbau der ISO 27001:2022
ISO/IEC 27001 hat zwei Teile. Die Kapitel 4 bis 10 regeln das Managementsystem: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Anhang A enthält 93 Maßnahmen (Controls) in vier Themen:
- A.5 Organisatorische Maßnahmen (5.1 bis 5.37)
- A.6 Personenbezogene Maßnahmen (6.1 bis 6.8)
- A.7 Physische Maßnahmen (7.1 bis 7.14)
- A.8 Technologische Maßnahmen (8.1 bis 8.34)
Die Ausgabe von 2013 hatte 14 Bereiche mit anderen Nummern. Zertifikate nach der Ausgabe 2013 sind am 31. Oktober 2025 ausgelaufen. Nutzen Sie die Nummern von 2022 unten.
NIS2 Artikel 21 Absatz 2 und Artikel 23 im Abgleich mit ISO 27001:2022
| NIS2-Anforderung | ISO 27001:2022 Kapitel und Maßnahmen aus Anhang A | Lücke für NIS2 |
|---|---|---|
| Art. 21 Abs. 2 lit. a: Risikoanalyse und Sicherheitskonzepte für Informationssysteme | Kapitel 6.1.2, 6.1.3, 8.2, 8.3; 5.1 Informationssicherheitsrichtlinien | Alle Gefahren abdecken, auch physische Ereignisse. |
| lit. b: Bewältigung von Sicherheitsvorfällen | 5.24 bis 5.28 (Planung, Bewertung, Reaktion, Lernen, Beweissicherung); 6.8 Meldung von Informationssicherheitsereignissen; 8.15 Protokollierung; 8.16 Überwachung von Aktivitäten | Prüfung auf "erheblichen Sicherheitsvorfall" nach NIS2 ergänzen. |
| lit. c: Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung, Krisenmanagement | 5.29 Informationssicherheit bei Störungen; 5.30 IKT-Bereitschaft für Business Continuity; 8.13 Sicherung von Informationen; 8.14 Redundanz von informationsverarbeitenden Einrichtungen | Krisenmanagementplan schreiben. ISO 27001 nennt ihn nicht. |
| lit. d: Sicherheit der Lieferkette | 5.19 bis 5.22 (Lieferantenbeziehungen, Vereinbarungen, IKT-Lieferkette, Überwachung); 5.23 Informationssicherheit für die Nutzung von Cloud-Diensten | Ergebnisse der koordinierten EU-Risikobewertungen der Lieferketten berücksichtigen (Art. 22). |
| lit. e: Sicherheit bei Erwerb, Entwicklung und Wartung, inklusive Umgang mit und Offenlegung von Schwachstellen | 8.8 Handhabung technischer Schwachstellen; 8.9 Konfigurationsmanagement; 8.25 bis 8.29 (sichere Entwicklung und Tests); 8.32 Änderungssteuerung | Prozess zur koordinierten Offenlegung von Schwachstellen ergänzen (Art. 12). |
| lit. f: Bewertung der Wirksamkeit der Maßnahmen | Kapitel 9.1, 9.2, 9.3; 5.35 Unabhängige Überprüfung der Informationssicherheit; 5.36 Einhaltung von Richtlinien, Vorschriften und Normen | Weitgehend abgedeckt. |
| lit. g: Grundlegende Cyberhygiene und Schulungen | Kapitel 7.2, 7.3; 6.3 Sensibilisierung, Ausbildung und Schulung; 8.7 Schutz gegen Schadsoftware; 8.8; 8.9 | Auch die Geschäftsleitung schulen (Art. 20 Abs. 2). |
| lit. h: Kryptografie und Verschlüsselung | 8.24 Verwendung von Kryptografie | Weitgehend abgedeckt. |
| lit. i: Sicherheit des Personals, Zugriffskontrolle, Management von Anlagen | 6.1 bis 6.5 (Sicherheitsüberprüfung bis Pflichten nach Beschäftigungsende); 5.15 bis 5.18 (Zugangssteuerung, Identitäten, Authentisierungsinformationen, Zugangsrechte); 8.2 Privilegierte Zugangsrechte; 8.3 Einschränkung des Informationszugangs; 5.9 bis 5.11 (Inventar, zulässige Nutzung, Rückgabe) | Weitgehend abgedeckt. |
| lit. j: Multi-Faktor-Authentifizierung, gesicherte Kommunikation, gesicherte Notfallkommunikation | 8.5 Sichere Authentisierung; 5.14 Informationsübermittlung; 8.20 bis 8.22 (Netzwerksicherheit) | Gesicherte Notfallkommunikation planen. ISO 27001 nennt sie nicht. |
| Art. 23: Meldung an CSIRT oder Behörde | 5.24 bis 5.26; 6.8; 5.5 Kontakt mit Behörden | Frühwarnung in 24 Stunden, Meldung in 72 Stunden und Abschlussbericht nach einem Monat ergänzen. |
Zwei weitere Maßnahmen helfen bei NIS2. 5.7 Informationen über die Bedrohungslage unterstützt den Informationsaustausch nach Art. 29. In 5.31 Rechtliche, gesetzliche, regulatorische und vertragliche Anforderungen erfassen Sie das nationale NIS2-Gesetz, das für Sie gilt.
Implementierungsanleitung oder praktische Schritte
Wenn Sie bereits nach ISO 27001 zertifiziert sind, gleichen Sie Ihre Maßnahmen mit NIS2 ab. So gehen Sie vor:
Erklärung zur Anwendbarkeit gegen die Tabelle prüfen: Prüfen Sie, ob jede Maßnahme aus der Tabelle im Geltungsbereich liegt und umgesetzt ist. Achten Sie auf 5.23, 5.30 und 8.24. Diese werden oft ausgeschlossen.
NIS2-Meldepflichten in den Vorfallprozess einbauen: Die Maßnahmen 5.24 bis 5.26 liefern einen Prozess, aber nicht die NIS2-Fristen. Ergänzen Sie die Schritte für 24 Stunden, 72 Stunden und einen Monat, eine Prüfung der Erheblichkeit und einen festen Ansprechpartner für die Behörde.
Die benannten Lücken schließen: Schreiben Sie einen Krisenmanagementplan, einen Prozess zur Offenlegung von Schwachstellen und einen Plan für gesicherte Notfallkommunikation. Nehmen Sie die Schulung der Geschäftsleitung in Ihren Schulungsplan auf.
Verhältnismäßigkeit in der Risikobeurteilung festhalten: NIS2 verlangt Maßnahmen, die dem Risiko, der Größe der Einrichtung und den Folgen von Vorfällen angemessen sind (Art. 21 Abs. 1). Dokumentieren Sie diese Abwägung im Risikobehandlungsplan (Kapitel 6.1.3).
Beide Rahmenwerke gemeinsam auditieren: Nehmen Sie die NIS2-Punkte in Ihr internes Auditprogramm (Kapitel 9.2) und in die Managementbewertung (Kapitel 9.3) auf.
häufige Fehler oder Fallen zu vermeiden
Annahme vollständiger Abstimmung: Die Annahme, dass eine ISO 27001-Zertifizierung die Anforderungen der NIS2-Richtlinie automatisch erfüllt, kann zu Nichteinhaltung führen. Die NIS2-Richtlinie führt spezifische Verpflichtungen ein, die möglicherweise nicht vollständig durch ISO 27001-Steuerelemente abgedeckt werden.
Vernachlässigung der Angemessenheit: Das Fehlen einer Anpassung von Sicherheitsmaßnahmen an das Risikoniveau kann zu Nichteinhaltung der NIS2-Richtlinie führen. Es ist entscheidend, eine detaillierte Risikobewertung durchzuführen, um den angemessenen Sicherheitsniveau zu gewährleisten.
Ignorieren von Vorfallberichtsanforderungen: Das Übersehen der speziellen Berichterstattungsanforderungen der NIS2-Richtlinie kann zu erheblichen Bußgeldern führen. Stellen Sie sicher, dass Ihr Vorfallmanagementprozess den Zeitrahmen- und Inhaltsanforderungen der Richtlinie entspricht.
Fehlende Zusammenarbeit und Kommunikation: Das Unterbewertung der Bedeutung der Zusammenarbeit und des Informationsaustauschs mit nationalen Behörden kann zu Nichteinhaltung führen. Richten Sie klare Kommunikationskanäle und -protokolle ein, um diesen Prozess zu erleichtern.
Wie Matproof hilft
Die Compliance-Management-Plattform von Matproof vereinfacht den Prozess der Anpassung Ihrer Organisation an die Anforderungen der NIS2-Richtlinie und der ISO 27001. Unsere Plattform bietet eine umfassende Abstimmung von Anforderungen der Vorschriften auf ISO-Steuerelemente, um sicherzustellen, dass Ihre Compliance-Bemühungen effizient und wirksam sind. Mit Matproof können Sie Ihren Compliance-Fortschritt verfolgen, das Vorfallberichtswesen automatisieren und sicherstellen, dass Ihre Sicherheitsmaßnahmen dem Risiko angemessene sind, um die Einhaltung beider Rahmenbedingungen aufrechtzuerhalten.