18 DSD 3 | 2026 SICHERHEITSTECHNIK ISO/IEC 27001: der beste Weg zu NIS-2? Von Markus Jegelka Das deutsche NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft und damit in Deutschland rechtskräftig und verbindlich umzusetzen. Dabei müssen Unternehmen gar nicht direkt unter das Gesetz fallen: Wer zum Beispiel als Facherrichter vernetzte Sicherheits-, Gebäude- oder Kommunikationstechnik installiert, betreibt und wartet, ist als Teil der Lieferkette ebenfalls betroffen. Um die Anforderungen zur Informationssicherheit gegenüber Kunden und Behörden effektiv zu erfüllen, ist die IS0/IEC 27001 ein geeignetes Werkzeug. Die europäische NIS-2-Richtlinie gilt für „wichtige“ und „besonders wichtige“ Einrichtungen, etwa Betreiber kritischer Anlagen oder Unternehmen, deren Mitarbeiter- und Umsatzzahlen vorgegebene Schwellenwerte überschreiten (§ 28 BSIG). Diese beginnen bereits bei 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz. Doch auch Unternehmen unterhalb dieser Schwellenwerte können indirekt betroffen sein, da NIS-2 die gesamte Lieferkette erfasst. Betroffene Einrichtungen sind hier verpflichtet, Cyber-Resilienz- und Business-Continuity-Anforderungen an ihre Zulieferer weiterzugeben. Wenn Dienstleister wie Facherrichter also keine entsprechenden Maßnahmen nachweisen könnten, riskieren sie den Verlust wichtiger Aufträge. Das methodische Gerüst: ISO/IEC 27001 Wer NIS-2 systematisch angehen will, findet in der ISO/IEC 27001 eine bewährte Umsetzungshilfe. Die Norm beschreibt, wie Unternehmen ein risikobasiertes und prozessorientiertes Informationssicherheits-Managementsystem (ISMS) aufbauen, betreiben und kontinuierlich verbessern. Exemplarisch hierfür steht der zu implementierende Plan-Do-Check-Act-Regelkreis, um Risiken zu evaluieren, Gegenmaßnahmen einzuführen und anzupassen. Dies stellt ein„lebendiges" Risikomanagement sicher, wie es auch NIS-2 verlangt. Das Grundprinzip ist bei beiden identisch: Informationssicherheit ist kein einmaliger Zustand, sondern ein kontinuierlicher Prozess, der zudem lückenlos zu dokumentieren ist. Die Überschneidungen der NIS-2-Anforderungen mit der ISO/IEC 27001 sind beachtlich: Risikomanagement, Lieferkettensicherheit, Incident & Business Continuity Management sowie konkrete technisch-organisatorische Maßnahmen sind Kernbestandteil der ISO/IEC 27001 wie auch der NIS-2-Pflichten in § 30 BSIG. Insgesamt deckt die ISO/IEC 27001 mehr als 80 Prozent der technischorganisatorischen NIS-2-Anforderungen ab. Das operative Herzstück der ISO/IEC 27001 ist Anhang A mit 93 sogenannten Controls. Dies sind konkrete Handlungsempfehlungen für organisatorische, personelle, physische und technische Maßnahmen. Unternehmen wählen auf Basis ihrer Risikoanalyse angemessene Maßnahmen aus und dokumentieren dies. Für Facherrichter sind diese Controls in zweierlei Hinsicht interessant: zum einen als Leitfaden für die eigene NIS-2-Compliance, zum anderen, um zu wissen, welche Anforderungen Kundensysteme erfüllen müssen. Einblick in die Praxis: relevante ISO-Controls Nicht alle 93 Controls betreffen Facherrichter gleichermaßen – Lieferkettensicherheit (A.5.19A.5.22) aber definitiv: Formale Richtlinien für Lieferantenbeziehungen, vertragliche Vereinbarungen für nachhaltige Informationssicherheit – auch bei Hard- und Softwarekomponenten – sowie regelmäßige Verifizierungen der Vertragserfüllung sind vorgegeben. Der Abschnitt Physische Sicherheit (A.7) ist stärker umsetzungsorientiert und betrifft einen Kernbereich der Errichtertätigkeit: Hier finden sich Controls zur Festlegung von Sicherheitsbereichen, Schutz vor physischen Bedrohungen, Zutrittskontrollen sowie sichere Verkabelung, Instandhaltung und Entsorgung. Im technischen Bereich werden Sicherheitskonfigurationen von Systemen und Netzwerken (A.8.9) angesprochen, explizit auch Hardware wie IP-Kameras zur physischen Sicherheitsüberwachung (A.7.04). Die Controls A.5.16, A.8.2 und A.8.3 umfassen den„Lebenszyklus“ von ZugangsDQS-Produktexperte für Informationssicherheits- Managementsysteme (ISMS) Die Erstveröffentlichung des Beitrages erfolgte in der Fachzeitschrift Security Insight, Ausgabe 3/2026. www.prosecurity.de Wir bedanken uns für die Abdruckgenehmigung. Markus Jegelka
RkJQdWJsaXNoZXIy Mjc4MQ==