NIS-2 auf Basis von ISO 9001 umsetzen
Vom bestehenden QM-System zum wirksamen Informationssicherheitsmanagement – mit Praxisbeispiel, Fahrplan und Nachweismodell für den Mittelstand
Für die Geschäftsführung und QM-Verantwortliche in Unternehmen, die unter NIS-2 fallen, bereits ein zertifiziertes Qualitätsmanagementsystem nach ISO 9001 betreiben und noch kein Informationssicherheits-Managementsystem nach ISO/IEC 27001 haben.
Die Registrierung beim BSI ist erst der Anfang
Seit dem 6. Dezember 2025 ist das deutsche NIS-2-Umsetzungsgesetz (NIS2UmsuCG / BSIG) ohne Übergangsfrist in Kraft. Die schiere Zahl der Betroffenen ist gewaltig: Zum 30. September 2026 waren beim Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits 20.141 Einrichtungen registriert – darunter 13.252 als „wichtige Einrichtungen“ (BSI, NIS-2 in Zahlen).
Mit der reinen BSI-Registrierung haben Unternehmen jedoch erst eine einzige Anforderung erfüllt (§ 33 BSIG). Die eigentliche gesetzliche Pflicht – das dauerhafte Umsetzen und Belegen wirksamer Sicherheitsmaßnahmen nach § 30 BSIG – besteht unverändert fort.
NIS-2: Bestehende Prozesse nutzen. Budget gezielt einsetzen. Schneller umsetzen.
Wer ein funktionierendes ISO-9001-System hat, muss den organisatorischen Rahmen für NIS-2 nicht neu aufbauen. Er erweitert das bestehende System und setzt Budget und Fachwissen dort ein, wo NIS-2 tatsächlich Neues verlangt: bei den Sicherheitsmaßnahmen.
Im Vergleich zu einem eigenständigen Informationssicherheits-Managementsystem, das neben dem QM-System aufgebaut wird, hat dieser Weg vier Vorteile:
- Ihr Budget fließt in die Sicherheit, nicht in die Organisation. Dokumentenverwaltung, interne Audits, Korrekturmaßnahmen und die regelmäßige Bewertung durch die Geschäftsführung bestehen bereits. Ein eigenständiges System müsste diese Verfahren ein zweites Mal aufbauen. Die Arbeit beginnt deshalb gleich bei den Sicherheitsmaßnahmen.
- Die Geschäftsführung überwacht die Informationssicherheit in einem Ablauf, den sie schon kennt. Nach § 38 BSIG muss die Geschäftsführung dafür sorgen, dass die Sicherheitsmaßnahmen umgesetzt werden, und die Umsetzung überwachen. Die regelmäßige Bewertung im QM-System bietet dafür einen festen, dokumentierten Termin. Ein eigenständiges System bräuchte einen neuen.
- Ein System statt zwei. Beschäftigte, Auditoren und Geschäftsführung arbeiten mit einem Satz von Abläufen und einem Auditprogramm. Doppelte Dokumente und doppelte Audits entfallen.
- Der Weg zur Zertifizierung bleibt offen. ISO 9001 und ISO/IEC 27001 haben dieselbe Grundstruktur. Verlangt ein Kunde später ein Zertifikat nach ISO/IEC 27001, erweitern Sie das System ein weiteres Mal, statt es neu aufzubauen.
Die klare Grenze dieses Ansatzes: Ein QM-System ersetzt keine technischen oder IT-spezifischen Sicherheitsmaßnahmen. Die fachlichen Schutzmechanismen der Informationssicherheit müssen Sie gezielt aufbauen. ISO 9001 liefert dafür jedoch einen geeigneten organisatorischen Rahmen.
Welche Fragen das Whitepaper beantwortet
- Was müssen Sie sofort tun, und welche Fristen gelten?
- Woran erkennen Sie, ob eine Anforderung tatsächlich erfüllt ist – und nicht nur auf dem Papier?
- Welche Ihrer QM-Prozesse können Sie weiterverwenden, und wo reicht das QM-System nicht aus?
- Welche Sicherheitsmaßnahmen müssen Sie neu aufbauen?
- In welcher Reihenfolge gehen Sie vor?
- Mit welchem Aufwand müssen Sie rechnen, und wovon hängt er ab?
- Wie belegen Sie die Umsetzung, und wie behält die Geschäftsführung den Überblick?
Das Wichtigste in Kürze für die Geschäftsführung
Was sofort geklärt werden muss: Sind Ihre Registrierungsdaten beim BSI aktuell, und ist jemand dafür zuständig? Kann Ihr Unternehmen einen erheblichen Sicherheitsvorfall innerhalb von 24 Stunden melden – auch am Wochenende? Hat die Geschäftsführung an einer Schulung teilgenommen? Diese Pflichten gelten bereits.
Was Sie schon haben: Mit ISO 9001 bestehen Dokumentenverwaltung, interne Audits, Korrekturmaßnahmen und die regelmäßige Bewertung durch die Geschäftsführung. Diese Verfahren lassen sich für die Informationssicherheit nutzen – sofern sie im Alltag gelebt werden und auf das ganze Unternehmen ausgeweitet werden.
Wo Sie wahrscheinlich investieren müssen: zuerst in Fachwissen der Informationssicherheit – intern oder von außen. Denn erst eine fachkundige Risikobewertung zeigt, welche Maßnahmen Ihr Unternehmen wirklich braucht und welche nicht; ohne sie investieren Sie leicht an der falschen Stelle. Aus der Risikobewertung ergeben sich dann die technischen Investitionen, typischerweise eine vom Netz getrennte Datensicherung, Mehr-Faktor-Authentifizierung für Fernzugänge, die Erkennung von Vorfällen und gegebenenfalls die Trennung von Büro- und Produktionsnetz.
Was Sie entscheiden müssen: wer die Informationssicherheit koordiniert; welche Risiken zuerst behandelt und welche Restrisiken akzeptiert werden; welches Budget bereitsteht; und ob Sie später eine Zertifizierung nach ISO/IEC 27001 anstreben.
Die nächsten drei Schritte:
- Meldefähigkeit herstellen und die Geschäftsführung schulen – diese Pflichten gelten sofort.
- Eine Bestandsaufnahme über alle zehn Bereiche des § 30 BSIG durchführen, einschließlich aller Standorte.
- Auf dieser Grundlage einen Maßnahmenplan mit Prioritäten beschließen.
Das vollständige Whitepaper
Mit durchgängigem Praxisbeispiel, Fahrplan, Aufwandsmodell und einem Beispiel für das Ergebnis einer Bestandsaufnahme.
Ihr nächster Schritt: NIS-2-Bestandsaufnahme für Unternehmen mit ISO 9001
- Umfang: Bestandsaufnahme über alle zehn Bereiche des § 30 BSIG und alle Standorte; Einstufung Ihrer QM-Prozesse (wiederverwenden, erweitern, neu aufbauen, prüfen).
- Ergebnis: eine Lückenübersicht, ein Maßnahmenplan mit Prioritäten und eine Entscheidungsvorlage für Ihre Geschäftsführung.
- Dauer: in der Regel wenige Wochen, abhängig von Größe und Zahl der Standorte.
Mehr zur Leistung: ISMS nach ISO/IEC 27001 inkl. NIS-2-Anforderungen
Über den Autor
Derek Carson – KI-Governance und Informationssicherheit, Künzell bei Fulda. Lead-Implementer-Prüfungen für ISO/IEC 42001 und ISO/IEC 27001 bestanden · ISC2 Certified in Cybersecurity. Mehr über mich
Weiteres Whitepaper: KI-Risiken im Unternehmen sicher steuern