Compliance-Frameworks im Vergleich

NIS2 vs ISO 27001

NIS2 ist das Gesetz (das „Was muss ich tun“), ISO 27001 der erprobte Weg dorthin (das „Wie weise ich es nach“). Wer ein ISO-27001-ISMS betreibt, erfüllt schätzungsweise 70 bis 80 Prozent der NIS2-Anforderungen bereits, muss aber NIS2-spezifische Punkte wie Meldefristen und die Leitungsverantwortung ergänzen.

ISO 27001 vs TISAX

ISO 27001 ist der internationale, branchenübergreifende Standard mit Zertifikat. TISAX ist der Prüf- und Austauschmechanismus der Automobilindustrie, der auf demselben ISMS-Gedanken beruht, aber Prototypenschutz und Datenschutz ergänzt. Wer in die Auto-Lieferkette liefert, braucht meist TISAX; wer breit nachweisen will, ISO 27001.

DSGVO vs NIS2

Die DSGVO ist Datenschutzrecht (Schutz personenbezogener Daten und Betroffenenrechte), NIS2 ist Cybersicherheitsrecht (Schutz der Verfügbarkeit und Integrität wichtiger Dienste). Sie überschneiden sich bei den technischen Schutzmaßnahmen und den Meldepflichten, bestehen aber rechtlich unabhängig nebeneinander.

NIS2 vs DORA

NIS2 ist die breite EU-Cybersicherheitsrichtlinie für 18 Sektoren. DORA ist die spezielle Verordnung für den Finanzsektor und geht dort als spezielleres Recht (lex specialis) vor. Finanzunternehmen richten sich primär nach DORA, alle anderen betroffenen Branchen nach NIS2.

BSI IT-Grundschutz vs ISO 27001

ISO 27001 gibt einen schlanken, international anerkannten Rahmen vor und überlässt die konkreten Maßnahmen der Risikoanalyse. Der BSI IT-Grundschutz liefert einen sehr konkreten Maßnahmenkatalog mit Bausteinen. In Deutschland kann man sich nach ISO 27001 nativ oder auf Basis von IT-Grundschutz zertifizieren lassen.

NIS2 vs KRITIS

KRITIS ist das bestehende deutsche Recht für Betreiber kritischer Infrastrukturen mit hohen Schwellenwerten. NIS2 ist die neue, breitere EU-Vorgabe, die deutlich mehr Sektoren und kleinere Unternehmen einbezieht. NIS2 löst KRITIS nicht ab, sondern erweitert und integriert die Pflichten.