ISO 27001 als faktische Marktanforderung
Der ISO-27001-Standard wurde ursprünglich als freiwillige Norm entwickelt. In der Praxis ist er für viele Unternehmen heute de facto verpflichtend — aus vier Richtungen:
- Kundenforderungen: Enterprise-Kunden und Konzerne verlangen von Lieferanten zunehmend ISO-27001-Zertifikate als Voraussetzung für Zusammenarbeit.
- Regulatorik: NIS2, DORA, KRITIS-Dachgesetz fordern explizit Informationssicherheits-Managementsysteme.
- Versicherungen: Cyber-Versicherer verlangen Sicherheitsnachweise — ISO 27001 ist der akzeptierteste.
- Öffentliche Auftraggeber: Ausschreibungen fordern zunehmend Informationssicherheitszertifikate.
NIS2: Wer ist betroffen?
NIS2 gilt für Unternehmen ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz in 18 kritischen Sektoren (Energie, Verkehr, Gesundheit, Finanzen, IT, Wasser, Abfall, Post, Raumfahrt u.a.). NIS2 Art. 21 fordert explizit ein risikobasiertes Sicherheitsmanagementsystem — was faktisch einem ISMS entspricht. ISO 27001 ist der schnellste Weg, NIS2-Konformität nachzuweisen.
DORA: Finanzsektor unter Pflicht
DORA (Digital Operational Resilience Act) gilt ab Januar 2025 für alle Finanzinstitute in der EU: Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister. DORA Art. 6 fordert ein IKT-Risikomanagement-Rahmenwerk — strukturell identisch mit einem ISMS. ISO-27001-zertifizierte Finanzunternehmen haben damit bereits die wesentliche Grundlage für DORA-Compliance.
KRITIS: Kritische Infrastrukturen
Betreiber Kritischer Infrastrukturen nach BSI-Gesetz (§ 8a BSIG) müssen angemessene organisatorische und technische Vorkehrungen treffen und dies gegenüber dem BSI nachweisen. ISO 27001 ist als Nachweisinstrument anerkannt. Betroffene Sektoren: Energie, Wasser, Ernährung, IT/TK, Transport, Gesundheit, Finanzen.
Wann lohnt sich ISO 27001 auch ohne Pflicht?
Auch wenn keine regulatorische Pflicht besteht, lohnt sich ISO 27001 für:
- Unternehmen mit sensiblen Kundendaten (Gesundheit, Finanzen, Recht)
- Software-Hersteller und IT-Dienstleister
- Unternehmen im Zulieferbereich großer Konzerne
- Organisationen die international expandieren
- Unternehmen die Cyber-Versicherungen mit günstigen Konditionen anstreben
Fazit: ISO 27001 wird zum Standard
Die Frage ist nicht mehr, ob Unternehmen ISO 27001 brauchen, sondern wann sie den Schritt zur Zertifizierung machen. Mit NIS2, DORA und steigenden Kundenanforderungen wird der Zertifizierungsdruck für immer mehr Branchen spürbar. Wer früh handelt, hat einen Wettbewerbsvorteil — wer wartet, riskiert Nachteile bei Ausschreibungen und Kundengesprächen.
Checkliste: Welche Unternehmen benötigen ISO 27001?
- NIS2-Betroffenheit prüfen (Sektor, Größe)
- DORA-Pflichten für Finanzbereich prüfen
- KRITIS-Einstufung beim BSI klären
- Kundenseitige Sicherheitsanforderungen erheben
- Cyber-Versicherungsanforderungen prüfen
- Gap-Analyse gegen ISO 27001 durchführen
- Scope für erste Zertifizierung definieren
- Zeitplan zur Zertifizierung erstellen
- Externe Beratung für ISO-27001-Einführung einholen
- Management-Commitment sicherstellen
Häufig gestellte Fragen
Formal ist ISO 27001 in Deutschland keine allgemeine gesetzliche Pflicht. Faktisch wird sie durch NIS2, DORA und KRITIS für viele Unternehmen zur Pflicht oder marktgetriebenen Notwendigkeit.
Dringend: Finanzdienstleister (DORA), Energie/Wasser/Gesundheit (KRITIS + NIS2), IT-Dienstleister (Kundenanforderungen), öffentliche Auftragnehmer. Empfehlenswert: alle Unternehmen mit sensiblen Daten oder internationalen Kunden.
Ja — ISO 27001 ist skalierbar. Mit einem engen Scope (z.B. nur die IT-Abteilung oder ein Produkt) ist eine Zertifizierung auch für Unternehmen ab 10–20 Mitarbeitern realistisch und kosteneffizient.
NIS2 sieht Bußgelder bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes vor. Zusätzlich haften Geschäftsführer persönlich für die Umsetzung der NIS2-Maßnahmen nach Art. 20.
NIS2 Art. 21(d) fordert explizit Supply-Chain-Sicherheit. NIS2-pflichtige Unternehmen müssen die Sicherheitsmaßnahmen ihrer Lieferanten bewerten — was faktisch Druck auf Lieferanten ausübt, Sicherheitsnachweise wie ISO 27001 vorzuweisen.