„Wir geben schon so viel Geld für die ISO aus, das muss doch reichen.“ Dieser Satz fällt in Erstgesprächen öfter, als man denkt. Die Logik ist nachvollziehbar, das Ergebnis aber trügerisch: Eine ISO-27001-Zertifizierung ist eine sehr gute Basis für NIS-2 – ausreichend ist sie allein nicht.
Der Denkfehler dahinter lässt sich auf eine Formel bringen: „Ich habe ISO, ich bin sicher.“ Zwei Dinge werden dabei übersehen. Erstens deckt eine Zertifizierung in erster Linie die organisatorische und operative Umsetzung ab, nicht automatisch jede technische Einzelmaßnahme. Zweitens – und das ist der eigentlich kritische Punkt – kann der Geltungsbereich (Scope) einer ISO-27001-Zertifizierung auf eine einzelne Dienstleistung oder Abteilung begrenzt sein. Der Anwendungsbereich des NISG 2026 erfasst dagegen im Regelfall das gesamte Unternehmen als Einheit. Diese Lücke zwischen zertifiziertem Scope und gesetzlichem Anwendungsbereich ist der Punkt, an dem eine Gap-Analyse ansetzt.
Was eine ISO-27001-Zertifizierung abdeckt
Ein zertifiziertes Informationssicherheits-Managementsystem (ISMS) bringt eine Reihe von Bausteinen mit, die sich direkt auf NIS-2 übertragen lassen: einen dokumentierten Risikomanagement-Prozess, definierte Sicherheitsmaßnahmen aus dem Maßnahmenkatalog der Norm – etwa Zugriffskontrolle, Kryptografie, physische Sicherheit und die Steuerung von Lieferantenbeziehungen –, etablierte Prozesse für den Umgang mit Sicherheitsvorfällen sowie die jährliche externe Überprüfung durch eine unabhängige, akkreditierte Zertifizierungsstelle. Wer das bereits aufgebaut hat, startet nicht bei null.
Was sie nicht automatisch abdeckt
Das NISG 2026 verlangt einige Dinge, die eine bestehende Zertifizierung für sich genommen nicht abbildet: die Registrierung bei der Cybersicherheitsbehörde, die Selbstdeklaration über die umgesetzten Risikomanagementmaßnahmen und die Meldung erheblicher Sicherheitsvorfälle an die Behörde – das sind eigenständige gesetzliche Pflichten, kein Nebeneffekt eines Zertifikats. Dazu kommen inhaltliche Punkte, die im Zertifizierungsaudit nicht zwingend im Detail geprüft werden, etwa ein ausgearbeitetes Krisenmanagement für den Ernstfall. Und schließlich: Ist der zertifizierte Scope enger als das Gesamtunternehmen, bleibt für die nicht erfassten Bereiche offen, ob die NISG-2026-Anforderungen überhaupt umgesetzt sind.
Was die Projekte in der Praxis oft größer macht, als sie sein müssten, ist ein anderer Effekt: Sicherheitsempfehlungen, die über Jahre nicht umgesetzt wurden, holen Unternehmen jetzt bei der NIS-2-Vorbereitung ein. Wer organisatorische und technische Maßnahmen laufend nachgezogen hätte, steht heute vor einem deutlich kleineren Projekt. Das gilt unabhängig davon, ob eine ISO-27001-Zertifizierung vorliegt oder nicht.
Was das für Unternehmen mit bestehender Zertifizierung heißt
Drei Schritte machen aus der Ausgangslage ein klares Vorgehen: Erstens den zertifizierten Scope mit dem gesetzlichen Anwendungsbereich des NISG 2026 abgleichen – deckungsgleich oder nicht? Zweitens die verbleibenden Lücken gezielt identifizieren, insbesondere Registrierung, Selbstdeklaration, Meldewege und Krisenmanagement. Drittens die Verantwortung auf Geschäftsführungsebene verankern: Die Leitungsorgane sind persönlich für die Einhaltung verantwortlich und müssen an spezifischen Cybersicherheitsschulungen teilnehmen – das lässt sich nicht vollständig an die interne IT delegieren. Eine Gap-Analyse bringt alle drei Punkte in einem strukturierten Bericht zusammen, statt sich auf das vorhandene Zertifikat zu verlassen.
Wer noch nicht sicher ist, ob und wie stark das eigene Unternehmen überhaupt betroffen ist, findet den Einstieg im Beitrag zur NISG-2026-Betroffenheitsprüfung.
Unsicher, wo Ihr zertifizierter Scope steht? Die Gegenüberstellung Zertifikat gegen NISG-2026-Anforderungen ist in wenigen Tagen erledigt – kontaktieren Sie uns gerne für ein kostenloses Strategiegespräch.
Häufige Fragen zu ISO 27001 und NIS-2
Muss ich meine ISO-27001-Zertifizierung neu machen, wenn das NISG 2026 in Kraft tritt?
Nein. Eine bestehende Zertifizierung bleibt gültig und ist eine gute Grundlage. Sinnvoll ist, sie gezielt um die NISG-2026-spezifischen Pflichten zu ergänzen, statt das ISMS neu aufzusetzen.
Was passiert, wenn mein zertifizierter Scope nicht das ganze Unternehmen abdeckt?
Dann gilt für die nicht erfassten Bereiche keine automatische Abdeckung durch das Zertifikat. Zwei Wege sind möglich: den Scope der Zertifizierung erweitern oder die NISG-2026-Anforderungen für die restlichen Bereiche separat über eine Gap-Analyse abdecken.
Deckt eine bestehende Zertifizierung die Registrierungspflicht nach dem NISG 2026 ab?
Nein. Registrierung bei der Cybersicherheitsbehörde und Selbstdeklaration sind eigenständige gesetzliche Pflichten, unabhängig davon, ob ein ISO-27001-Zertifikat vorliegt. Ein Zertifikat erleichtert die inhaltliche Vorbereitung, ersetzt die Meldewege aber nicht.
Verlängert eine bestehende Zertifizierung die Fristen des NISG 2026?
Nein. Die gesetzlichen Fristen – Registrierung bis 31. Dezember 2026, Selbstdeklaration bis 30. September 2027 – gelten unabhängig von einer bestehenden Zertifizierung für alle betroffenen Unternehmen gleich.
Was ist der erste sinnvolle Schritt, wenn mein Unternehmen schon zertifiziert ist?
Eine Gap-Analyse, die den zertifizierten Scope und den bestehenden Maßnahmenstand konkret gegen die NISG-2026-Anforderungen prüft. Das zeigt in kurzer Zeit, welche Punkte bereits abgedeckt sind und wo noch gehandelt werden muss.
Quellen: WKO — NISG 2026: neue Pflichten zur Cybersicherheit · NISG 2026, BGBl. I Nr. 94/2025 (RIS) — Stand: August 2026.
Stefan Menk berät österreichische Unternehmen zu Informationssicherheit und Compliance — ISO 27001, NIS-2 und der Aufbau von Managementsystemen (ISMS). Er ist Geschäftsführer der NEXUS Governance GmbH und bringt Erfahrung aus Prozessdigitalisierung, Automatisierung und KI-Beratung in seine Projekte ein. LinkedIn