Seit dem 31. Oktober 2025 sind Zertifikate nach der alten ISO/IEC 27001:2013 weltweit ungültig. Gleichzeitig weitet die NIS-2-Richtlinie die gesetzlichen Pflichten zur Cybersicherheit auf deutlich mehr Unternehmen aus. Ein ISMS nach der 2022er-Fassung deckt beides ab.
Alte Zertifikate sind erloschen
Die Übergangsfrist für die Revision der ISO/IEC 27001 endete am 31. Oktober 2025: Zertifikate nach der Fassung von 2013 haben seitdem ihre Gültigkeit verloren – unabhängig vom aufgedruckten Ablaufdatum. Wer die Umstellung verpasst hat, ist formal nicht mehr zertifiziert und muss ein Neuzertifizierungsverfahren nach ISO/IEC 27001:2022 durchlaufen.
Die 2022er-Fassung bringt einen neu strukturierten Maßnahmenkatalog: 93 Controls in vier Themenfeldern (organisatorisch, personell, physisch, technologisch), darunter elf neue Maßnahmen wie Threat Intelligence, Cloud-Sicherheit und Data Leakage Prevention.
NIS-2: Cybersicherheit wird Pflicht
Parallel verschärft die europäische NIS-2-Richtlinie die gesetzlichen Anforderungen: Deutlich mehr Unternehmen als bisher – von der Energieversorgung über das produzierende Gewerbe bis zur digitalen Infrastruktur – werden zu Risikomanagement, Vorfallsmeldungen und Nachweispflichten verpflichtet, mit persönlicher Verantwortung der Geschäftsleitung. Ob Ihr Unternehmen unter die deutsche Umsetzung fällt, lässt sich über die Betroffenheitsprüfung des BSI klären.
Ein ISMS nach ISO/IEC 27001 ist der etablierte Weg, diese Anforderungen strukturiert und prüffähig umzusetzen: Risikomanagement, technische und organisatorische Maßnahmen, Incident-Prozesse und Lieferkettensicherheit sind dort bereits systematisch verankert.
Quellen und weiterführende Links
- BSI: NIS-2 – betroffene Unternehmen
- ISO/IEC 27001 – Informationssicherheit (iso.org)
- Verinorm: ISO 27001:2022-Umstellung und NIS2
Stand: 5. März 2026. Redaktionelle Fachinformation, keine Rechtsberatung.