¶ NIS2–ISO-27001–TISAX-Mapping
Keine automatische Gleichwertigkeit: Eine ISO/IEC-27001-Zertifizierung oder ein TISAX®-Label ersetzt weder die organisationsbezogene Betroffenheits- und Scope-Prüfung noch Geschäftsleitungs-, Registrierungs-, Melde- oder Nachweispflichten nach dem BSIG. Das Mapping zeigt mögliche Wiederverwendungspfade. Jede Zuordnung ist für die betroffene Einrichtung, ihre relevanten Dienste, Standorte, Systeme und Nachweise einzeln zu prüfen.
¶ NIS2, ISO 27001 und TISAX sinnvoll miteinander verbinden
Viele Unternehmen verfügen bereits über ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 oder haben für Kunden aus der Automobilindustrie ein TISAX®-Assessment durchgeführt. Diese Strukturen sind für die NIS2-Umsetzung wertvoll: Risikobewertungen, Sicherheitsrichtlinien, Incident-Response-Prozesse, Lieferantensteuerung, Notfallvorsorge, Schulungen, interne Audits und Wirksamkeitsnachweise müssen nicht ohne Grund neu aufgebaut werden.
Entscheidend ist jedoch, welche Organisationseinheit und welche Dienste tatsächlich erfasst sind. Ein ISO-27001-Geltungsbereich kann enger als die NIS2-relevante Einrichtung sein. Auch ein TISAX-Assessment bezieht sich auf den registrierten Assessment Scope, die einbezogenen Standorte und die ausgewählten Assessment Objectives. Deshalb ist ein vorhandenes Zertifikat oder Label nur ein Ausgangspunkt für die Wiederverwendungsprüfung – kein pauschaler NIS2-Nachweis.
Diese Seite hilft, vorhandene Regelungen und Nachweise systematisch den Anforderungen des BSIG zuzuordnen. Das Ergebnis ist keine bloße Kreuztabelle, sondern eine steuerbare Gap-Analyse: Für jede Anforderung werden Scope, Umsetzungsstatus, Nachweisqualität, Wirksamkeit, verbleibende Lücke, verantwortliche Rolle und Termin dokumentiert.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-MAP-00-05 |
| Dokumentenart | Navigations-, Anforderungs- und Nachweismapping |
| Wiki.js-Pfad | /NIS2/00-Start-und-Navigation/NIS2-ISO27001-TISAX-Mapping |
| Status | Entwurf – Musterzuordnungen, organisationsbezogene Prüfung und Freigabe ausstehend |
| Version / Stand | 0.2 / 09.08.2026 |
| Schutzklasse | Intern |
| Rechtsbezug | Insbesondere §§ 28, 30, 32, 33 und 38 BSIG |
| Normativer Bezug | ISO/IEC 27001:2022 einschließlich Amendment 1:2024; TISAX®/VDA ISA in der für das Assessment maßgeblichen Fassung |
| Verantwortlich | Informationssicherheitsbeauftragte Funktion in Abstimmung mit Geschäftsleitung, Recht/Compliance und Fachbereichen |
Anforderungen auf vorhandene Regeln und Nachweise abbilden, Aussagegrenzen prüfen und Lücken sichtbar behandeln. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Drei unterschiedliche Bezugsrahmen
| Merkmal | NIS2 / deutsches BSIG | ISO/IEC 27001:2022 | TISAX® / VDA ISA |
|---|---|---|---|
| Charakter | Gesetzliche Pflichten für betroffene Einrichtungen | Internationaler, zertifizierbarer Managementsystemstandard | Prüf- und Austauschmechanismus der Automobilindustrie auf Basis des VDA ISA |
| Ausgangspunkt | Einrichtungsart, Sektor, Größe, Sonderrolle und relevante Dienste | selbst festgelegter und begründeter ISMS-Geltungsbereich | registrierter Assessment Scope, Standorte, Schutzobjekte und Assessment Objectives |
| Schwerpunkt | Cybersicherheitsrisiken, Dienste, gesellschaftliche und wirtschaftliche Auswirkungen | systematisches Management von Informationssicherheitsrisiken | Reife und Umsetzung der für das Assessment anwendbaren ISA-Anforderungen |
| Ergebnis | dokumentierte Erfüllung gesetzlicher Pflichten und behördlich verwertbare Nachweise | Zertifikat für den festgelegten Scope, sofern ein Zertifizierungsaudit erfolgreich ist | TISAX-Label und Ergebnisaustausch nach erfolgreichem Assessment |
| Typische Aussagegrenze | keine Zertifizierung vorgesehen; nationale Spezialpflichten bleiben maßgeblich | Zertifikat gilt nur für den zertifizierten Scope | Label gilt nur für Assessment Scope, Standorte und Assessment Objectives |
| Ausschlusslogik | gesetzliche Anforderungen können nicht durch interne Nichtanwendbarkeit beseitigt werden | Annex-A-Controls werden über Risikobehandlung und Statement of Applicability begründet ein- oder ausgeschlossen | Anwendbare Kontrollfragen können im regulären TISAX-Assessment nicht wie in einer ISO-SoA pauschal als nicht anwendbar ausgeschlossen werden |
Merksatz: ISO 27001 stellt den Managementsystemrahmen bereit, TISAX konkretisiert und bewertet Anforderungen für definierte Automotive-Schutzobjekte, und NIS2/BSIG bestimmt die gesetzlichen Pflichten der betroffenen Einrichtung. Gemeinsam nutzbar sind Prozesse und Nachweise – nicht automatisch die Konformitätsaussage.
¶ 2. Bewertungsstatus für jede Zuordnung
Eine belastbare Mapping-Tabelle verwendet nicht nur „erfüllt“ oder „nicht erfüllt“. Empfohlen werden mindestens diese Statuswerte:
| Status | Bedeutung | Erforderliche Behandlung |
|---|---|---|
| Direkt abgedeckt | Anforderung, Scope, Umsetzung und wirksamer Nachweis stimmen vollständig überein | Zuordnung fachlich freigeben und Reviewtermin festlegen |
| Teilweise abgedeckt | Regelung oder Nachweis ist vorhanden, deckt aber beispielsweise nicht alle Dienste, Standorte oder Rechtsanteile ab | konkrete Restlücke mit Maßnahme, Owner und Frist dokumentieren |
| Unterstützend | Vorhandener Baustein liefert Grundlagen, erfüllt die NIS2-/BSIG-Anforderung aber nicht allein | ergänzende NIS2-Regelung oder Nachweisführung einrichten |
| Nicht abgedeckt | Kein geeigneter Baustein oder Nachweis vorhanden | Gap in den Risikobehandlungs- oder Maßnahmenplan übernehmen |
| Nicht geprüft | Zuordnung wurde noch nicht fachlich bewertet | keine Abdeckungsbehauptung; Prüftermin und Verantwortlichen festlegen |
Ein Dokument gilt erst dann als belastbarer Nachweis, wenn es freigegeben, aktuell, im richtigen Scope umgesetzt und durch geeignete Aufzeichnungen bestätigt ist. Eine Richtlinie allein belegt noch keine wirksame Durchführung.
¶ 3. Mapping der Risikomanagementmaßnahmen nach § 30 Absatz 2 BSIG
Die folgenden Tabellen sind Arbeitshilfen. Die ISO- und TISAX-Bezüge sind thematische Anknüpfungspunkte und keine offizielle Gleichwertigkeitserklärung. Die Aufteilung in zwei Matrizen hält die Darstellung auch auf kleineren Bildschirmen lesbar.
¶ 3.1 Normative und assessmentbezogene Anknüpfungspunkte
| BSIG-Mindestthema | ISO/IEC-27001-Bezug – Auswahl | Möglicher TISAX-/ISA-Bezug |
|---|---|---|
| 1. Risikoanalyse und Sicherheitskonzepte | Kapitel 4, 6.1, 8.2 und 8.3; Annex A u. a. Bedrohungsinformationen und Asset-Steuerung | ISMS, Risikomanagement, Informationswerte und Schutzbedarf |
| 2. Bewältigung von Sicherheitsvorfällen | Annex A 5.24 bis 5.28; operative Planung und Verbesserung | Vorfallmanagement, Erkennung, Bewertung, Reaktion und Lernen |
| 3. Aufrechterhaltung des Betriebs, Backup, Wiederherstellung und Krisenmanagement | Annex A 5.29, 5.30, 8.13 und 8.14 | Business Continuity, Datensicherung, Wiederanlauf und Krisenorganisation |
| 4. Sicherheit der Lieferkette | Annex A 5.19 bis 5.23 | Lieferantenbeziehungen, Fremdleistungen, Cloud und Informationsaustausch |
| 5. Erwerb, Entwicklung und Wartung einschließlich Schwachstellen | Annex A 5.8, 8.8, 8.9 sowie 8.25 bis 8.32 | Beschaffung, sichere Entwicklung, Änderungs- und Schwachstellenmanagement |
| 6. Bewertung der Wirksamkeit | Kapitel 9 und 10; insbesondere Überwachung, internes Audit und Managementbewertung | Reifegradbewertung, interne Prüfungen, Maßnahmen- und Abweichungssteuerung |
| 7. Cyberhygiene und Schulungen | Kapitel 7.2 und 7.3; Annex A 6.3 | Awareness, rollenbezogene Kompetenz und Schulungsnachweise |
| 8. Kryptografische Verfahren | Annex A 8.24 | Kryptografiekonzepte, Schlüsselmanagement und geschützte Kommunikation |
| 9. Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT | Annex A 5.9, 5.15 bis 5.18, 6.1 bis 6.6 sowie technische Zugriffssteuerung | Personal, Identitäts- und Berechtigungsmanagement, Asset- und IT-Betrieb |
| 10. MFA und gesicherte Kommunikation | Annex A 5.14, 8.5 sowie 8.20 bis 8.22 | Authentisierung, Netze, Kommunikations- und Fernzugriffsschutz |
¶ 3.2 Umsetzung im Wiki und NIS2-spezifische Restprüfung
| BSIG-Mindestthema | Führende Wiki-Seiten | NIS2-spezifisch zusätzlich zu prüfen |
|---|---|---|
| 1. Risikoanalyse und Sicherheitskonzepte | NIS2-Risikomethodik, NIS2-Risikoregister | relevante Dienste, All-Gefahren-Ansatz, Risikoexposition sowie gesellschaftliche und wirtschaftliche Auswirkungen |
| 2. Bewältigung von Sicherheitsvorfällen | Meldeweg, Incident Response | Erheblichkeitsentscheidung, 24-/72-Stunden-Prozess, Zwischen- und Abschlussmeldung, behördlicher Kommunikationsweg |
| 3. Aufrechterhaltung des Betriebs, Backup, Wiederherstellung und Krisenmanagement | Notfallvorsorge und BCM, Wiederanlaufplanung | Auswirkungen auf NIS2-relevante Dienste, Wiederanlaufziele, Abhängigkeiten, Übungen und Leitungseskalation |
| 4. Sicherheit der Lieferkette | Lieferanten und Dienstleister, Externe Dienste und Cloud | unmittelbare Anbieter und Diensteanbieter, Schwachstellenqualität, sichere Entwicklung, Konzentrationsrisiken, Unterauftragnehmer und Exit |
| 5. Erwerb, Entwicklung und Wartung einschließlich Schwachstellen | Sichere Entwicklung, Schwachstellen- und Patchmanagement | dienstbezogene Priorisierung, koordinierte Behandlung und gegebenenfalls Offenlegung von Schwachstellen |
| 6. Bewertung der Wirksamkeit | Wirksamkeitsprüfung, Interne Audits | Wirksamkeit speziell im NIS2-Scope, Mängeltrend, Leitungsbericht, behördlich belastbare Nachweise |
| 7. Cyberhygiene und Schulungen | Personal und Schulungen, Schulung der Geschäftsleitung | regelmäßige Geschäftsleitungsschulung nach § 38 BSIG, funktionsbezogene Übungen und Wirksamkeitskontrolle |
| 8. Kryptografische Verfahren | Kryptografie und Schlüssel | risikogerechter Einsatz für relevante Dienste, Schlüsselnotfall, regulatorische und sektorale Vorgaben |
| 9. Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT | Zugriff und Berechtigungen, Asset- und Systeminventar | privilegierte Konten, Dienstbezug, sichere Administration, Joiner-Mover-Leaver, regelmäßige Berechtigungsreviews |
| 10. MFA und gesicherte Kommunikation | Netzwerke und Kommunikation, Informationsübertragung | begründeter Einsatz von MFA oder kontinuierlicher Authentisierung, gesicherte Sprach-, Video-, Text- und gegebenenfalls Notfallkommunikation |
¶ 4. Anforderungen, die nicht in einer reinen Control-Matrix verschwinden dürfen
Ein technisches oder normatives Control-Mapping allein reicht nicht aus. Folgende Themen benötigen eigenständige Entscheidungen und Nachweise:
| NIS2-/BSIG-Thema | Warum ein ISO- oder TISAX-Nachweis nicht automatisch genügt | Führende Seite |
|---|---|---|
| Betroffenheit und Einstufung | Sektor, Einrichtungsart, Größe, Sonderrollen und Unternehmensverbund sind gesetzlich zu bewerten | Betroffenheits- und Einstufungsprüfung |
| Gesetzlicher Geltungsbereich | NIS2-relevante Dienste, Systeme, Standorte und Abhängigkeiten können über einen vorhandenen Audit-Scope hinausgehen | Geltungsbereich und relevante Dienste |
| Geschäftsleitungsverantwortung | Billigung, Überwachung und Schulung sind gesetzliche Leitungsaufgaben und nicht an ISB oder IT delegierbar | Pflichten der Geschäftsleitung |
| Registrierung | Stammdaten, Sektor, EU-Mitgliedstaaten und zuständige Aufsichtsbehörden müssen fristgerecht gemeldet und aktuell gehalten werden | Registrierung und Aktualisierung |
| Gesetzliche Vorfallmeldung | Interne Incident-Prozesse müssen um Erheblichkeitsprüfung, Meldefristen, Meldeinhalte und Behördenkanal ergänzt werden | Behörden und Kontaktstellen |
| Verhältnismäßigkeit und Stand der Technik | Auswahl und Ausgestaltung der Maßnahmen müssen anhand der gesetzlichen Kriterien nachvollziehbar begründet werden | Verhältnismäßigkeit und Stand der Technik |
¶ 5. Scope-Abgleich vor jeder Wiederverwendung
Die häufigste Mapping-Lücke ist nicht das fehlende Dokument, sondern ein abweichender Geltungsbereich. Vor einer positiven Zuordnung sind daher mindestens diese Fragen zu beantworten:
- Welche juristische Person ist als Einrichtung betroffen?
- Welche Dienste begründen die NIS2-/BSIG-Betroffenheit?
- Welche Prozesse, Informationen, Netz- und Informationssysteme, Standorte und Lieferanten tragen diese Dienste?
- Sind diese Elemente vollständig im ISO-27001-Geltungsbereich beziehungsweise im TISAX Assessment Scope enthalten?
- Decken die ausgewählten TISAX Assessment Objectives die tatsächliche Risikoexposition und die relevanten Schutzziele ab?
- Bestehen zentrale Konzernregelungen, deren lokale Umsetzung an jedem betroffenen Standort nachgewiesen werden muss?
- Welche Elemente liegen außerhalb des bestehenden Scopes und müssen ergänzt oder separat gesteuert werden?
Prüfregel: Nur wenn Anforderungsscope, Dokumentenscope, Umsetzungsscope und Nachweisscope übereinstimmen, darf eine Zuordnung als „direkt abgedeckt“ bewertet werden.
¶ 6. Praktischer Mapping-Datensatz
Für jede Zuordnung sollte ein strukturierter Datensatz geführt werden. Die Tabelle kann als Register in einem geschützten System umgesetzt werden.
| Pflichtfeld | Beispielinhalt |
|---|---|
| Mapping-ID | MAP-NIS2-030-02-001 |
| Rechtsanforderung | § 30 Abs. 2 Nr. 2 BSIG – Bewältigung von Sicherheitsvorfällen |
| Relevanter Dienst | Muster: Betrieb einer digitalen Plattform |
| ISO-Bezug | ISO/IEC 27001 Kapitel 8 und Annex A 5.24–5.28 |
| TISAX-/ISA-Bezug | einschlägige ISA-Kontrollfragen zum Vorfallmanagement; Fassung und Assessment Objective angeben |
| Führendes Dokument | Incident-Response-Verfahren |
| Umsetzungsnachweis | freigegebener Prozess, Übungsprotokoll, Ticket-Stichprobe, Alarmierungs- und Meldeprotokoll |
| Scope-Prüfung | betroffene Gesellschaft, Standorte, Systeme und Rufbereitschaft einbezogen |
| Status | teilweise abgedeckt |
| Restlücke | gesetzliche 24-/72-Stunden-Meldelogik noch nicht in Bereitschaftsverfahren integriert |
| Maßnahme / Owner / Termin | Meldeentscheidung ergänzen / CISO und Recht / Termin gemäß Maßnahmenplan |
| Wirksamkeitskriterium | Übung weist rechtzeitige Erkennung, Entscheidung, Freigabe und Meldungsfähigkeit nach |
| Freigabe / Review | Geschäftsleitung beziehungsweise benannte Freigaberolle; nächster Reviewtermin |
Musterwerte sind ausdrücklich keine Aussage über eine konkrete Organisation. Reale Vorfall-, Audit- oder Kundennachweise gehören nicht in das öffentliche Wiki, sondern in eine geschützte Nachweisablage.
¶ 7. Arbeitsablauf für die Gap-Analyse
Betroffenheit bestätigen → NIS2-Scope festlegen → Rechtsanforderungen erfassen → ISO-/TISAX-Bausteine zuordnen → Umsetzung und Nachweise prüfen → Status bewerten → Lücken priorisieren → Maßnahmen umsetzen → Wirksamkeit testen → Geschäftsleitung berichten
¶ Schritt 1 – Anforderungsbasis festlegen
Rechtskataster, BSIG-Fassung, anwendbare Durchführungsrechtsakte, sektorspezifische Regeln und vertragliche Anforderungen werden versioniert erfasst. Das Mapping nennt immer die geprüfte Fassung.
¶ Schritt 2 – Vorhandene Bausteine inventarisieren
Berücksichtigt werden Richtlinien, Verfahren, technische Kontrollen, Verträge, Rollen, Schulungen, Auditberichte und operative Aufzeichnungen. Zertifikate und TISAX-Labels werden mit Scope und Gültigkeit erfasst.
¶ Schritt 3 – Inhalt und Umsetzung getrennt bewerten
Die fachliche Regelung kann vollständig sein, obwohl die operative Umsetzung lückenhaft ist. Deshalb werden Dokumentenabdeckung, Implementierung, Nachweisqualität und Wirksamkeit als getrennte Kriterien geführt.
¶ Schritt 4 – Restlücken steuern
Jede Restlücke erhält Risiko, Priorität, Maßnahme, Budgetbedarf, verantwortliche Rolle, Termin und Abnahmekriterium. Wesentliche oder überfällige Lücken werden an die Geschäftsleitung eskaliert.
¶ Schritt 5 – Aussage freigeben
Eine Abdeckungsbewertung wird erst nach Prüfung durch die fachlich zuständigen Rollen freigegeben. Änderungen an Diensten, Standorten, Rechtslage, ISO-Scope, TISAX-Scope oder Assessment Objectives lösen einen Review aus.
¶ 8. Rollen und Verantwortlichkeiten
| Rolle | Aufgabe im Mapping |
|---|---|
| Geschäftsleitung | Scope- und Risikoentscheidungen billigen, Ressourcen bereitstellen, wesentliche Lücken überwachen |
| Informationssicherheitsbeauftragte Funktion | Mapping methodisch führen, Anforderungen koordinieren, Status konsolidieren |
| Recht / Compliance | gesetzliche Anforderungen, Betroffenheit, Fristen und Aussagegrenzen prüfen |
| Dienst- und Prozessverantwortliche | dienstbezogene Umsetzung und Auswirkungen bestätigen |
| IT- und Control Owner | technische beziehungsweise organisatorische Maßnahme betreiben und Nachweise liefern |
| Interne Revision / unabhängige Prüffunktion | Stichproben, Wirksamkeit und Belastbarkeit der Abdeckungsbewertung prüfen |
| Dokumentenlenkung | Fassungen, Freigaben, Aufbewahrung und geschützte Originalablage steuern |
¶ 9. Qualitätskontrolle vor Freigabe
- Betroffene juristische Person und relevante Dienste sind eindeutig benannt.
- ISO- und TISAX-Scope wurden mit dem NIS2-Scope verglichen.
- TISAX Assessment Objectives, Assessment Level, Standorte und ISA-Fassung sind dokumentiert.
- Jede Zuordnung nennt Regelung, Umsetzung und mindestens einen belastbaren Nachweis.
- Gesetzliche Zusatzpflichten wurden nicht in allgemeinen Controls versteckt.
- Teilabdeckungen und offene Punkte haben Owner, Frist und Wirksamkeitskriterium.
- Keine Formulierung behauptet allein aufgrund eines Zertifikats oder Labels vollständige NIS2-Konformität.
- Geschäftsleitung und zuständige Fachrollen haben wesentliche Bewertungen nachvollziehbar freigegeben.
- Reale vertrauliche Nachweise sind ausschließlich in der geschützten Ablage referenziert.
¶ 10. Verknüpfte Arbeitsseiten
- NIS2-Anforderungen im Vergleich
- NIS2-Maßnahmenkatalog nach BSIG
- ISO–TISAX-Mapping
- Statement of Applicability
- NIS2-Nachweisregister
- Risikobehandlungsplan
- Wirksamkeitsprüfung
¶ 11. Offizielle Grundlagen und fachliche Quellen
- § 30 BSIG – Risikomanagementmaßnahmen
- § 32 BSIG – Meldepflichten
- § 33 BSIG – Registrierungspflicht
- Richtlinie (EU) 2022/2555 – NIS-2-Richtlinie
- ISO/IEC 27001:2022 – offizielle ISO-Übersicht
- ENX Download Center – VDA ISA und TISAX-Unterlagen
- ENX Working Group ISA – NIS2 fulfilment through TISAX
Einordnung der ENX-Analyse: Die Veröffentlichung untersucht die Abdeckung der NIS2-Richtlinie durch TISAX unter festgelegten Voraussetzungen. Sie weist zugleich darauf hin, dass nationale Umsetzungsanforderungen parallel zu prüfen sind, alle betroffenen Standorte im Scope liegen müssen und reine Prototypenschutz-Assessments für Aussagen zur Informations- und Cybersicherheit nicht genügen. Für dieses Wiki bleibt deshalb die organisations- und BSIG-bezogene Gap-Prüfung verbindliche Arbeitslogik.
¶ 12. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung beim integrierten Mapping von NIS2/BSIG, ISO/IEC 27001 und TISAX® sowie bei Scope-, Gap- und Nachweisprüfungen
- NIS2-Beratung und dokumentierte Umsetzung
- Synergien zwischen ISO 27001 und TISAX®
- TISAX®-Assessment-Vorbereitung
- ISMS-Handbuch nach ISO 27001 und TISAX®
¶ 13. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 0.2 | 09.08.2026 | SEO-Beschreibung, sichtbare Facheinleitung, Bezugsrahmen, Bewertungsstatus, responsives §-30-Mapping, gesetzliche Zusatzpflichten, Scope-Abgleich, Mapping-Datensatz, Gap-Ablauf, Rollen, Qualitätskontrolle und Quellen ergänzt | Ausstehend |
| 0.1 | 08.08.2026 | Navigationsmapping mit Aussagegrenzen und Nachweisprüfung erstellt | Ausstehend |