Deutschland 2025: ISO 27001:2022-Übergangsfrist abgelaufen, NIS2-Gesetz in Kraft – Validato Regulations digitalisiert das ISMS-Management und die Zert
Seit dem 31. Oktober 2025 sind alle ISO-27001:2013-Zertifikate ungültig. Gleichzeitig macht NIS2 die ISO 27001 für rund 29.500 Unternehmen in Deutschland zur De-facto-Pflicht. Gemeinsam mit DORA, DSGVO und TISAX entsteht ein regulatorisches Netz, das

Frankfurt, 22.05.2026 (PresseBox) - Das Informationssicherheitsmanagement erlebt in Deutschland und Europa gerade die grösste regulatorische Verdichtung seit Jahren: ISO/IEC 27001:2022, NIS2-Umsetzungsgesetz (seit Dezember 2025 in Kraft), Digital Operational Resilience Act (DORA, seit Januar 2025 anwendbar), EU AI Act und das KRITIS-Dachgesetz (seit März 2026 in Kraft) treffen Unternehmen aus fast allen Branchen gleichzeitig.

ISO 27001 bildet dabei das organisatorische Fundament – und Validato sorgt mit dem Modul „Validato Regulations ISO 27001“ dafür, dass dieses Fundament digital, strukturiert und revisionssicher gebaut wird.

Deutschland 2025/2026: Dreifachdruck aus ISO-Transition, NIS2 und KRITIS-Dachgesetz

• ISO 27001:2022-Übergangsfrist abgelaufen: Seit dem 31. Oktober 2025 sind alle Zertifikate nach ISO/IEC 27001:2013 ungültig. Seit dem 1. Mai 2024 werden Erst- und Rezertifizierungsaudits ausschliesslich nach ISO/IEC 27001:2022 durchgeführt.
• NIS2-Umsetzungsgesetz (NIS2UmsuCG) seit Dezember 2025: Rund 29.500 Unternehmen in 18 Sektoren sind betroffen. ISO 27001 deckt 65–75 % der NIS2-Anforderungen ab. Bussgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes; persönliche Geschäftsleiterhaftung.
• KRITIS-Dachgesetz seit März 2026: Das Bundesgesetz schafft zusätzliche Überschneidungen mit dem ISMS-Management und dem NIS2-Rahmen.

Die neue ISO/IEC 27001:2022: Was sich wirklich geändert hat

• Neue Normstruktur (Harmonized Structure, HS): Erleichtert Integration mit ISO 9001, ISO 14001 oder ISO 22301 und reduziert Dokumentationsredundanzen.
• Neue Annex-A-Architektur: 114 Controls in 14 Kategorien → 93 Controls in 4 Kategorien: Organisatorisch (37), Personell (8), Physisch (14), Technisch (34).
• 11 neue Controls: u. a. Threat Intelligence (5.7), Cloud Services (5.23), ICT Readiness (5.30), Configuration Management (8.9), Data Masking (8.11), Data Leakage Prevention (8.12), Secure Coding (8.28).
• Schärfere operative Anforderungen: Klausel 6.3 fordert formale Planung jeder ISMS-Änderung; Klausel 8.1 verlangt explizite Dokumentation geplanter und ungeplanter Änderungen.
• Statement of Applicability (SoA): Pflichtdokument mit allen 93 Controls inkl. Begründung für Einbeziehung oder Ausschluss.

Österreich hat NIS2 durch das NISG 2024 umgesetzt. Über 3.000 österreichische Unternehmen in wesentlichen und wichtigen Sektoren sind betroffen. Zuständige Behörden sind CERT.at und die RTR. Akkreditierte Audits führen TÜV Austria, Quality Austria und OFI Zert durch.

Schweiz: nDSG, FINMA-Anforderungen und ISO 27001 als Goldstandard

Die Schweiz hat das neue Datenschutzgesetz (nDSG) seit September 2023 in Kraft. Für Finanzinstitute gelten zusätzlich FINMA-Anforderungen (RS 2023/1), die weitgehend ISO-27001-kompatibel sind. Über 1.200 Schweizer Unternehmen sind aktuell nach ISO 27001 zertifiziert; Zertifizierungen durch SQS und SGS sind international anerkannt.

Das regulatorische Netz: ISO 27001 als Compliance-Wirbelsäule

• NIS2 (Deutschland: NIS2UmsuCG seit Dezember 2025): ISO 27001 deckt 65–75 % ab. Zusätzlich: BSI-Registrierung, 24-Stunden-Erstmeldung bei Vorfällen, persönliche Geschäftsleiterhaftung.
• DORA (seit 17. Januar 2025): Grundlage für IKT-Risikomanagement. Zusätzlich: TLPT alle 3 Jahre, Register of Information aller IKT-Drittanbieter, BaFin-Meldung innerhalb 4 Stunden.
• DSGVO: ISO 27001 deckt 80–90 % der technischen und organisatorischen Massnahmen (TOMs) nach Art. 32 DSGVO ab.
• TISAX (Automotive): 75 % der TISAX-Anforderungen abgedeckt – de facto Pflicht im automobilen Liefernetz.
• BSI IT-Grundschutz: Seit der Harmonisierung gut kompatibel; IT-Grundschutz-Zertifizierungen basieren auf ISO 27001.

• ISO-27001:2022-Anforderungsmanagement: Alle 10 Hauptklauseln und 93 Annex-A-Controls; automatische Updates bei Normänderungen; Zuweisung an verantwortliche Teams.
• Gap-Analyse und Reifegradbewertung: Ist-Zustand vs. ISO-27001:2022; Reifegrad Level 0–5 für alle 93 Controls; priorisierte Massnahmenpläne.
• SoA-Management: Digitale Erstellung und Versionierung mit Begründungen; automatische Konsistenzprüfung bei Änderungen im Risikoregister.
• Risikomanagement-Workflow: Identifikation, Bewertung (Wahrscheinlichkeit × Auswirkung), Behandlung und Restrisiko-Akzeptanz nach Klausel 6.1; Verknüpfung mit Annex-A-Controls.
• Massnahmen- und Audit-Management: Internes Audit-Programm (Klausel 9.2), Befundverwaltung, Management-Review-Dokumentation (Klausel 9.3).
• NIS2 / DORA / DSGVO-Mapping: Automatisches Mapping auf NIS2-Massnahmenbereiche, DORA-Anforderungen und DSGVO-TOMs; Lückenidentifikation bei regulatorischen Änderungen.
• Lieferanten- und Drittpartei-Management: Controls 5.19–5.22; DORA-kompatibles Register of Information für IKT-Drittanbieter.
• Zertifizierungsvorbereitung: Dokumentenpakete und Checklisten für Stufe-1- und Stufe-2-Audits durch DAkkS-akkreditierte Stellen (TÜV, DEKRA, DQS, GUTcert); Terminmonitor für 3-Jahres-Zyklus.
• Revisionssicherer Audit-Trail: Zeitgestempelt, bereit für Zertifizierungsaudits, NIS2-BSI-Nachweise und DORA-BaFin-Prüfungen.

• Oktober 2022: Veröffentlichung der ISO/IEC 27001:2022 – Übergangsfrist 36 Monate.
• Mai 2024: Alle Erst- und Rezertifizierungsaudits ausschliesslich nach ISO/IEC 27001:2022.
• Oktober 2025: Übergangsfrist endet – ISO/IEC 27001:2013-Zertifikate ungültig.
• Über 5.500 zertifizierte Unternehmen in Deutschland (+ 127 % seit 2018); weltweit über 70.000 Zertifikate in mehr als 150 Ländern (Quelle: ISO Survey).
• 93 Controls in 4 Kategorien (2022) statt 114 Controls in 14 Kategorien (2013); 11 neue Controls zu Cloud, Threat Intelligence, Data Masking.
• 500 Unternehmen in Deutschland von NIS2 betroffen (seit Dezember 2025); ISO 27001 deckt 65–75 % der Anforderungen ab.
• Bussgelder NIS2: Bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes; persönliche Haftung der Geschäftsleitung.
• 30–40 % Einsparung durch integriertes Compliance-Management (ISO 27001 + NIS2 + DORA) gegenüber Einzelprojekten (Quelle: Digital Chiefs, 2026).
• 3-Jahres-Zyklus: Zertifizierung gültig 3 Jahre mit jährlichen Überwachungsaudits; Erstimplementierung dauert typisch 6–18 Monate.