Anders als der EU AI Act, die DSGVO, der Cyber Resilience Act oder NIS2 ist ISO 27001 kein Gesetz, sondern eine internationale Norm. Sie beschreibt Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) und wird von der Internationalen Organisation für Normung (ISO) herausgegeben. Eine Zertifizierung ist freiwillig – gewinnt aber durch neue Regulierung wie NIS2 zunehmend an praktischer Verbindlichkeit.
Worum es geht
ISO 27001 legt fest, wie Unternehmen systematisch mit Informationssicherheitsrisiken umgehen: von der Risikobewertung über technische und organisatorische Maßnahmen bis zur kontinuierlichen Verbesserung des ISMS. Die Norm ist branchenunabhängig anwendbar und weltweit als Nachweis für ein funktionierendes Sicherheitsmanagement anerkannt.
Die aktuelle Version: ISO 27001:2022
Die Übergangsfrist von der alten Version ISO 27001:2013 zur überarbeiteten Fassung ISO 27001:2022 ist am 31. Oktober 2025 abgelaufen. Seither ist ausschließlich die Version 2022 zertifizierungsfähig – Zertifikate nach der 2013er-Norm sind ungültig. Wer die Umstellung verpasst hat, muss eine vollständige Neuzertifizierung mit Stage-1- und Stage-2-Audit durchlaufen, statt nur die Änderungen in einem Delta-Audit prüfen zu lassen. Das bedeutet spürbar mehr Aufwand und Kosten.
Inhaltlich hat die Version 2022 die Controls im Anhang A von 114 auf 93 reduziert und in vier statt vierzehn Kategorien neu geordnet. Hinzugekommen sind elf neue Controls, die aktuelle Risikofelder wie Cloud Security, Threat Intelligence und Data Masking abdecken.
Die Verbindung zu NIS2
Auch wenn ISO 27001 formal freiwillig bleibt, macht die NIS2-Richtlinie die Norm für viele Unternehmen faktisch zur Pflicht: Rund 29.500 Unternehmen in Deutschland fallen unter NIS2 und müssen ein Risikomanagement für Cybersicherheit nachweisen. ISO 27001 bietet dafür ein anerkanntes, prüfbares Rahmenwerk – eine Zertifizierung erleichtert es erheblich, die NIS2-Anforderungen im Ernstfall auch gegenüber Aufsichtsbehörden zu belegen.
Was Unternehmen jetzt tun sollten
Wer noch nach der alten Norm zertifiziert war oder ein ISMS plant, sollte zunächst prüfen, ob die Umstellung auf ISO 27001:2022 bereits erfolgt ist. Bestehende Risikobewertungen und Controls sollten mit der neuen Struktur des Anhangs A abgeglichen werden, insbesondere im Hinblick auf die elf neuen Controls. Unternehmen, die gleichzeitig unter NIS2 fallen, sollten die Zertifizierung von vornherein als Baustein ihrer regulatorischen Compliance einplanen – nicht als separates Projekt.
Mit dem Cyber Resilience Act (CRA) hat die EU erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen geschaffen. Die Verordnung trat am 20. November 2024 in Kraft und wird seither in gestaffelten Fristen wirksam – 2026 markiert dabei einen wichtigen Wendepunkt.
Worum es geht
Der CRA verpflichtet Hersteller, Importeure und Händler von Hardware- und Softwareprodukten mit digitalen Elementen – von IoT-Geräten über Betriebssysteme bis zu Industriesteuerungen – dazu, Cybersicherheit von der Entwicklung bis zum Support-Ende mitzudenken. Ziel ist es, das oft unzureichende Sicherheitsniveau vernetzter Produkte anzuheben und Verbrauchern wie Unternehmen mehr Orientierung zu geben, welche Produkte sicher sind.
Die wichtigsten Fristen
Der CRA gilt nicht auf einen Schlag, sondern in mehreren Stufen. Bis zum 11. Juni 2026 müssen die nationalen Behörden die Verfahren zur Benennung von Konformitätsbewertungsstellen etabliert haben. Ab dem 11. September 2026 greift die Meldepflicht für Hersteller: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen innerhalb von 24 Stunden erstmalig gemeldet werden, nach 72 Stunden folgen weitere Details, und spätestens 14 Tage nach einem Sicherheitsupdate ist ein Abschlussbericht fällig. Bis zum 11. Dezember 2026 müssen die Mitgliedstaaten für eine ausreichende Zahl notifizierter Stellen sorgen. Ab dem 11. Dezember 2027 gelten schließlich alle CRA-Anforderungen vollumfänglich – einschließlich der grundlegenden Cybersicherheitsanforderungen vor Markteinführung, dem Schwachstellenmanagement über den gesamten Produktlebenszyklus und der Transparenzpflichten gegenüber Nutzern.
Was das für Unternehmen bedeutet
Besonders die Meldepflicht ab September 2026 sollte auf dem Radar jedes Unternehmens stehen, das vernetzte Produkte in der EU in Verkehr bringt – die kurzen Fristen von 24 und 72 Stunden erfordern etablierte interne Prozesse und klare Zuständigkeiten. Wer erst reagiert, wenn die Frist beginnt, wird es schwer haben, sie einzuhalten.
Was Unternehmen jetzt tun sollten
Zunächst gilt es zu klären, ob eigene Produkte überhaupt in den Anwendungsbereich des CRA fallen und welcher Risikoklasse sie zuzuordnen sind. Anschließend sollten Prozesse für Schwachstellen- und Vorfallmeldung aufgebaut oder bestehende IT-Sicherheitsprozesse entsprechend angepasst werden. Auch die Softwarelieferkette gehört auf den Prüfstand, da der CRA Verantwortung über den gesamten Produktlebenszyklus vorsieht. Wer frühzeitig mit der Umsetzung beginnt, vermeidet Zeitdruck, wenn die Fristen im Herbst 2026 und Ende 2027 näher rücken.
Die NIS2-Richtlinie ist ein europäisches Gesetz – erlassen von der EU und in Deutschland längst kein Zukunftsthema mehr, sondern geltendes Recht. Mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) hat der Bundestag am 13. November 2025 die deutsche Umsetzung beschlossen, der Bundesrat bestätigte sie am 20. November 2025. Seit Inkrafttreten am 6. Dezember 2025 gelten die Pflichten – ohne Übergangsfrist.
Wer betroffen ist
Das Gesetz erfasst rund 29.500 Unternehmen in 18 Sektoren. In den elf als „wesentlich“ eingestuften Sektoren – etwa Energie, Verkehr, Gesundheit, Bankwesen und digitale Infrastruktur – gilt NIS2 ab 250 Mitarbeitenden oder 50 Millionen Euro Jahresumsatz. In sieben weiteren „wichtigen“ Sektoren, etwa Post- und Kurierdienste, Abfallwirtschaft oder Chemie, greift die Regulierung bereits ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz. Auch viele mittelständische Zulieferer und Dienstleister fallen damit erstmals unter eine Cybersicherheitsregulierung.
Was NIS2 fordert
Betroffene Unternehmen müssen ein Risikomanagement für Cybersicherheit etablieren, das unter anderem Vorfallsbehandlung, Business Continuity, Lieferkettensicherheit, Verschlüsselung und Zugriffskontrollen umfasst. Hinzu kommen Melde- und Registrierungspflichten sowie eine persönliche Verantwortung der Geschäftsleitung – Vorstände und Geschäftsführer haften künftig auch persönlich für Versäumnisse bei der Umsetzung.
Die wichtigsten Fristen
Die Registrierungsfrist beim BSI ist bereits am 6. März 2026 abgelaufen. Wer sich noch nicht registriert hat, sollte das umgehend nachholen. Bis zum 30. Juni 2026 mussten betroffene Unternehmen zudem die erste Prüfung ihrer Sicherheitsmaßnahmen fristgerecht erbringen. Da keine allgemeine Übergangsfrist besteht, gelten die materiellen Pflichten faktisch bereits seit Dezember 2025 – wer bislang nicht aktiv geworden ist, hat also Nachholbedarf.
Sanktionen
Verstöße können mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Zusätzlich drohen behördliche Anordnungen bis hin zur vorübergehenden Untersagung von Führungsfunktionen bei schweren und wiederholten Verstößen.
NIS2 und die USA: Gibt es eine Verbindung?
NIS2 ist ausschließlich EU-Recht. Es gibt keine amerikanische Entsprechung mit derselben Rechtsgrundlage, und die Richtlinie entfaltet außerhalb der EU auch keine unmittelbare rechtliche Wirkung – auch wenn US-Unternehmen mit Niederlassungen oder kritischen Diensten in der EU betroffen sein können. Trotzdem taucht in der Praxis immer wieder Verwechslungsgefahr mit zwei US-amerikanischen Begriffen auf.
NIST – die häufigste Verwechslung
Am ehesten wird NIS2 mit dem NIST Cybersecurity Framework verwechselt, das vom National Institute of Standards and Technology in den USA entwickelt wurde. Die Ähnlichkeit der Abkürzungen („NIS2“ und „NIST“) begünstigt das. Inhaltlich sind beide jedoch grundlegend verschieden: NIST ist ein freiwilliges Rahmenwerk zum Risikomanagement, das Unternehmen weltweit als Orientierung nutzen können. NIS2 dagegen ist eine bindende EU-Richtlinie mit klaren Anwendungsschwellen, Melde- und Registrierungspflichten sowie empfindlichen Bußgeldern bei Verstößen. Beide schließen sich nicht aus – viele Unternehmen nutzen das NIST-Framework als praktisches Werkzeug, um die NIS2-Anforderungen umzusetzen.
National Intelligence Strategy – ein anderes „NIS“
Die Abkürzung „NIS“ steht in den USA außerdem für die National Intelligence Strategy, ein strategisches Grundsatzdokument des Office of the Director of National Intelligence. Es richtet die US-Nachrichtendienste strategisch aus und behandelt auch Cyberbedrohungen – hat aber mit einer Unternehmenspflicht oder einem Gesetz im Sinne der EU-NIS2-Richtlinie nichts zu tun. Eine inhaltliche oder rechtliche Verbindung zur europäischen NIS2-Richtlinie besteht nicht; die Namensähnlichkeit ist Zufall.
Fazit
Wer auf „NIS“ oder „NIST“ im US-Kontext stößt, sollte genau hinschauen: Es handelt sich weder um eine Vorstufe noch um ein amerikanisches Pendant zur europäischen NIS2-Richtlinie, sondern um eigenständige, rechtlich unabhängige Konzepte.
Was Unternehmen jetzt tun sollten
Zuerst gilt es zu klären, ob das eigene Unternehmen unter den Anwendungsbereich fällt und ob die BSI-Registrierung bereits erfolgt ist. Anschließend sollte der Status des Risikomanagements gegen die NIS2-Anforderungen geprüft und dokumentiert werden – insbesondere Vorfallmeldeprozesse und Lieferkettensicherheit verdienen besondere Aufmerksamkeit. Da die Geschäftsleitung persönlich in der Verantwortung steht, sollte NIS2 auch auf Ebene der Unternehmensführung verankert sein, nicht nur in der IT-Abteilung.
Hinweis: Für verbindliche rechtliche Einschätzungen zum NIS2-Umsetzungsgesetz sollte fachkundiger Rat eingeholt werden.
Der EU AI Act ist die weltweit erste umfassende Verordnung zur Regulierung künstlicher Intelligenz. Seit Inkrafttreten im August 2024 gilt er stufenweise – und 2026 wird für viele Unternehmen zum entscheidenden Jahr.
Der risikobasierte Ansatz
Das Gesetz teilt KI-Systeme in vier Risikoklassen ein: unannehmbares Risiko (verboten), Hochrisiko (streng reguliert), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (kaum Auflagen). Je höher das Risiko, desto umfangreicher die Pflichten für Anbieter und Betreiber.
Wichtige Fristen im Überblick
Verbotene Praktiken – etwa Social Scoring oder manipulative KI-Systeme – sind bereits seit Februar 2025 untersagt. Seit August 2025 müssen Anbieter neuer General-Purpose-AI-Modelle (GPAI) die Transparenz-, Urheberrechts- und Sicherheitsanforderungen der Artikel 51–55 erfüllen; für bereits am Markt befindliche Modelle gilt eine Übergangsfrist bis August 2027.
Ab dem 2. August 2026 greifen zudem die Kennzeichnungspflichten nach Artikel 50: Chatbots, KI-generierte Inhalte, Deepfakes und Emotionserkennungssysteme müssen als solche erkennbar gemacht werden.
Wichtige Änderung: Der Digital Omnibus
Ursprünglich sollten die Pflichten für Hochrisiko-KI-Systeme ebenfalls ab August 2026 gelten. Mit dem im Mai 2026 verabschiedeten Digital-Omnibus-Paket wurde dieser Termin jedoch verschoben: Eigenständige Hochrisiko-Systeme (Anhang III, z. B. in Personalwesen, Kreditvergabe oder Strafverfolgung) müssen erst bis zum 2. Dezember 2027 konform sein. KI in bereits regulierten Produkten wie Medizingeräten oder Aufzügen (Anhang I) hat sogar bis zum 2. August 2028 Zeit.
Das ist eine spürbare Entlastung – aber kein Freifahrtschein. Die inhaltlichen Anforderungen an Risikomanagement, Datenqualität, Dokumentation und menschliche Aufsicht bleiben bestehen, nur der Zeitpunkt verschiebt sich.
Sanktionen bleiben empfindlich
Verstöße gegen verbotene Praktiken können mit Bußgeldern bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden. Bei Verstößen gegen Hochrisiko-Pflichten drohen bis zu 15 Millionen Euro oder 3 % des Umsatzes.
Was Unternehmen jetzt tun sollten
Auch wenn sich einzelne Fristen verschoben haben, lohnt sich die Vorbereitung schon jetzt: KI-Systeme im Unternehmen inventarisieren und Risikoklassen zuordnen, bestehende Kennzeichnungspflichten ab August 2026 im Blick behalten, interne Zuständigkeiten für KI-Governance festlegen und Dokumentations- sowie Meldeprozesse frühzeitig aufbauen. Wer jetzt startet, vermeidet späteren Zeitdruck – und ist auf die nächste Verschärfung vorbereitet, bevor sie greift.
Hinweis: Der EU AI Act befindet sich weiterhin im Wandel, insbesondere durch das Digital-Omnibus-Paket. Für verbindliche rechtliche Einschätzungen sollte fachkundiger Rat eingeholt werden.
Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018 und ist nach wie vor das zentrale Regelwerk für den Umgang mit personenbezogenen Daten in der EU (GDPR). Auch acht Jahre nach Inkrafttreten bleibt sie für Unternehmen eine der größten Compliance-Baustellen – nicht zuletzt, weil sich gerade jetzt eine Reform abzeichnet.
Die Grundprinzipien
Kernpunkt der DSGVO ist, dass personenbezogene Daten nur auf einer Rechtsgrundlage verarbeitet werden dürfen – etwa Einwilligung, Vertragserfüllung oder berechtigtes Interesse. Hinzu kommen Grundsätze wie Zweckbindung, Datenminimierung, Transparenz und die Pflicht, Verstöße innerhalb von 72 Stunden zu melden. Betroffene haben umfassende Rechte: Auskunft, Berichtigung, Löschung und Datenübertragbarkeit.
Bußgelder bleiben empfindlich
Verstöße können mit Bußgeldern bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Die Aufsichtsbehörden haben in den vergangenen Jahren gezeigt, dass sie auch bei mittelständischen Unternehmen konsequent durchgreifen.
Reform in Sicht: Der Digital Omnibus
Im November 2025 hat die EU-Kommission im Rahmen des sogenannten Digital-Omnibus-Pakets weitreichende Änderungsvorschläge zur DSGVO vorgelegt. Geplant sind unter anderem: eine engere Definition personenbezogener Daten bei pseudonymisierten Datensätzen, Erleichterungen bei der Zweckänderung für wissenschaftliche und statistische Zwecke, die Möglichkeit, KI-Modelle auf Basis berechtigter Interessen statt Einwilligung zu trainieren, gelockerte Cookie-Regeln mit Opt-out statt Opt-in sowie eine Beschränkung der Meldepflicht auf Fälle mit hohem Risiko für Betroffene.
Wichtig: Es handelt sich bislang nur um einen Gesetzesvorschlag. Bis zur endgültigen Verabschiedung durch Rat und Parlament gilt die DSGVO unverändert weiter. Unternehmen sollten die Entwicklung dennoch im Blick behalten, da sich insbesondere die Regeln zu KI-Training und Cookie-Consent direkt auf bestehende Prozesse auswirken könnten.
Was Unternehmen jetzt tun sollten
Auch ohne Reform lohnt sich eine regelmäßige Überprüfung der Datenschutz-Compliance: Verzeichnis von Verarbeitungstätigkeiten aktuell halten, Rechtsgrundlagen für Datenverarbeitungen dokumentieren, Auftragsverarbeiterverträge prüfen und Prozesse für Betroffenenanfragen sowie Meldepflichten bei Datenschutzverletzungen testen. Wer zusätzlich die Entwicklung des Digital Omnibus verfolgt, kann rechtzeitig reagieren, sobald aus dem Vorschlag geltendes Recht wird.
Hinweis: Der Digital Omnibus befindet sich noch im Gesetzgebungsverfahren und kann sich bis zur endgültigen Fassung noch ändern. Für verbindliche rechtliche Einschätzungen sollte fachkundiger Rat eingeholt werden.