NIS-2 in Bulgarien und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe betreibt eine Tochtergesellschaft in Bulgarien. Der Konzern ist nach ISO 27001 zertifiziert, Sofia hängt am gemeinsamen ISMS und irgendwann fällt der beruhigende Satz: „Dann schicken wir der bulgarischen Behörde bei Bedarf einfach das Zertifikat.“

Das kann man tun. Es ist sogar ein guter Nachweis. Nur ist ein Zertifikat leider kein besonders begabter Behördenmitarbeiter: Es prüft nicht selbst, ob die bulgarische Gesellschaft unter das Gesetz fällt. Es hält keine Registerdaten aktuell, meldet keinen Incident binnen 24 Stunden und schickt die Geschäftsführung auch nicht alle zwei Jahre zur gesetzlich vorgesehenen Schulung.

Die gute Nachricht lautet trotzdem: Das bulgarische NIS-2-Recht und ISO 27001 passen fachlich sehr gut zusammen. Wer ein vernünftiges ISMS betreibt, muss keine zweite Cybersicherheitswelt danebenbauen. Er muss nur sauber feststellen, welche bulgarischen Pflichten zusätzlich in das bestehende System gehören.

Die kurze Antwort

Bulgarien hat NIS-2 durch Änderungen seines Cybersecurity Act, auf Bulgarisch Закон за киберсигурност, umgesetzt. Das Änderungsgesetz wurde am 13. Februar 2026 im bulgarischen Staatsanzeiger veröffentlicht und trat am 17. Februar 2026 in Kraft.

Die inhaltliche Überschneidung mit ISO 27001 ist groß. Beide verlangen insbesondere:

• ein risikobasiertes Vorgehen,
• klare Verantwortung der Leitung,
• Incident Management,
• Business Continuity und Wiederherstellung,
• Lieferkettensicherheit,
• sichere Beschaffung, Entwicklung und Wartung,
• Wirksamkeitsbewertung,
• Schulung und Cyberhygiene,
• Kryptografie, Zugriffskontrolle und Asset Management.

Bulgarien ergänzt dieses Gerüst unter anderem um ein staatliches Register, nationale Meldewege und Fristen, konkrete Aufsichtsbefugnisse, Bußgelder sowie eine besonders handfeste Schulungspflicht für Leitungsorgane: alle zwei Jahre.

Die praktische Formel lautet: ISO 27001 organisiert die Sicherheitsarbeit. Das bulgarische Gesetz bestimmt zusätzlich Betroffenheit, Registrierung, Behördenkommunikation, Aufsicht und Sanktionen.

Wie hat Bulgarien NIS-2 umgesetzt?

Das bulgarische Parlament verabschiedete die Änderungen des Cybersecurity Act am 5. Februar 2026. Der amtliche Text erschien am 13. Februar 2026 im Staatsanzeiger. Auch das bulgarische Parlament beschreibt ausdrücklich, dass die Änderungen die NIS-2-Richtlinie in nationales Recht überführen.

Das Gesetz unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Es erweitert den bisherigen Anwendungsbereich erheblich und ordnet die Aufsicht mehreren nationalen, zum jeweiligen Sektor passenden Behörden zu. Das Ministerium für E-Government spielt dabei eine zentrale koordinierende Rolle; daneben wirken unter anderem sektorale Behörden, das Innen- und Verteidigungsministerium sowie die Staatliche Agentur für Nationale Sicherheit mit.

Im August 2026 ist allerdings noch Bewegung im System. Das Änderungsgesetz gibt der Regierung mehrere Monate Zeit, Behördenzuordnung, Methodik und untergesetzliche Regelungen anzupassen. Wer betroffen ist, sollte deshalb nicht auf den letzten Erlass warten, bevor er mit Risikomanagement, Incident-Prozess oder Lieferantensteuerung beginnt. Die gesetzlichen Grundpflichten sind bereits da.

Wer fällt in Bulgarien unter NIS-2?

Grundsätzlich erfasst das Gesetz öffentliche und private Einrichtungen aus den Sektoren der Anlagen I und II, wenn sie mindestens die Kriterien eines mittleren Unternehmens erreichen oder darüber liegen und ihre Dienste oder Tätigkeiten in der Europäischen Union anbieten.

Zu den betroffenen Bereichen gehören je nach konkreter Tätigkeit unter anderem:

• Energie und Verkehr,
• Banken und Finanzmarktinfrastrukturen,
• Gesundheit,
• Trinkwasser und Abwasser,
• digitale Infrastruktur,
• Cloud-, Rechenzentrums-, Managed-Service- und Managed-Security-Anbieter,
• öffentliche Verwaltung,
• Post und Kurierdienste,
• Abfallwirtschaft, Chemie und Lebensmittel,
• bestimmte produzierende Unternehmen,
• digitale Plattformen und Forschung.

Für verschiedene Anbieter und besonders kritische Einrichtungen greift das Gesetz unabhängig von der normalen Größenschwelle. Dazu gehören beispielsweise qualifizierte Vertrauensdiensteanbieter, TLD-Register und DNS-Dienste. Bulgarien nimmt außerdem unter bestimmten Voraussetzungen Einrichtungen mit elektronischen Verwaltungsdiensten, Organe der Justiz und Bildungseinrichtungen mit kritischer Forschung in den Blick.

Das ist wichtig für deutsche Gruppen: Die Frage lautet nicht nur „Wie viele Menschen arbeiten im Büro in Sofia?“ Entscheidend sind die konkrete Tätigkeit, die Unternehmensgröße nach den einschlägigen Regeln, Konzernbeziehungen und mögliche Sondertatbestände.

Das Mapping: Bulgarien und ISO 27001 auf einen Blick

Wo passen Bulgarien und ISO 27001 besonders gut zusammen?

Risikomanagement statt Maßnahmenlotterie

Der bulgarische Cybersecurity Act verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. Berücksichtigt werden sollen unter anderem Größe, Risikoexposition, Eintrittswahrscheinlichkeit sowie gesellschaftliche und wirtschaftliche Auswirkungen.

Das passt hervorragend zum Risikomanagement nach ISO 27001: Assets und Abhängigkeiten verstehen, Risiken bewerten, Behandlungen beschließen und anschließend prüfen, ob sie funktionieren. Auch der bulgarische All-Gefahren-Ansatz passt zu der Einsicht, dass Informationssicherheit nicht an der Firewall endet. Stromausfall, Brand, menschliche Fehler und Lieferantenausfälle können genauso wirkungsvoll sein wie ein Hacker mit Kapuzenpullover.

Incident Management und die Uhr an der Wand

ISO 27001 bringt die organisatorische Grundlage: Ereignisse erkennen, bewerten, eskalieren, behandeln, dokumentieren und aus ihnen lernen. Ein gutes Informationssicherheitsvorfall-Management ist deshalb eine starke Basis.

Bulgarien ergänzt die gesetzliche Stoppuhr. Bei einem erheblichen Incident sind grundsätzlich vorgesehen:

• eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden,
• eine Incident-Meldung innerhalb von 72 Stunden,
• auf Anforderung ein Zwischenbericht,
• ein Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung.

Für Vertrauensdiensteanbieter beträgt auch die zweite Frist 24 Stunden. Das gehört als konkrete Regel in den Incident-Prozess. Ein Zertifikatsaudit übt nicht automatisch, wer nachts die bulgarische Meldung absetzt.

Lieferkettensicherheit mit tatsächlichem Inhalt

Das Gesetz verlangt, die spezifischen Schwachstellen direkter Lieferanten und Dienstleister sowie die Qualität ihrer Sicherheitspraktiken zu berücksichtigen. Das deckt sich mit einem wirksamen Lieferantenmanagement nach NIS-2 und den Controls A.5.19 bis A.5.23.

Die bloße Sammlung von ISO-Zertifikaten der Lieferanten genügt nicht immer. Entscheidend ist, was der Dienstleister liefert, welche Zugriffe oder Abhängigkeiten bestehen und welches Problem sein Ausfall oder Fehlverhalten für die bulgarische Gesellschaft verursachen kann.

Business Continuity und Wiederanlauf

Backups, Wiederherstellung nach Katastrophen und Krisenmanagement stehen ausdrücklich im bulgarischen Gesetz. ISO 27001 liefert dafür eine gute Systematik, wenn das Business Continuity Management aus kritischen Prozessen, abhängigen Assets und echten Ausfallrisiken entwickelt wird.

Ein Backup mit grünem Haken ist noch kein Wiederanlauf. Entscheidend ist, ob die kritische Leistung innerhalb der tolerierbaren Ausfallzeit wieder funktioniert – und ob das einmal jemand ausprobiert hat.

Wo ist Bulgarien konkreter als ISO 27001?

Schulung der Leitung alle zwei Jahre

ISO 27001 verlangt Kompetenz und Awareness, schreibt der Geschäftsführung aber kein starres zweijährliches Schulungsintervall vor. Bulgarien tut genau das: Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen alle zwei Jahre eine Schulung absolvieren, die sie zur Identifikation von Risiken und Bewertung der Sicherheitspraktiken befähigt.

Die Leitung muss außerdem entsprechende Schulungen für Beschäftigte anbieten und organisieren. Das ist mehr als eine hübsche Teilnahmeurkunde. Die Schulung sollte zur Rolle, zu den Risiken und zur tatsächlichen Verantwortung passen.

Änderungsmanagement als eigener gesetzlicher Punkt

Bemerkenswert ist, dass Bulgarien das Management von Änderungen an Informationsassets ausdrücklich als eigenen Maßnahmenpunkt nennt. Das passt sehr gut zu ISO 27001 A.8.32.

In der Praxis betrifft das nicht nur Software-Releases. Auch neue Cloud-Dienste, Firmenzukäufe, Standortwechsel, Umstrukturierungen oder ausgelagerte IT können Sicherheitsrisiken verändern. Wer Änderungen erst bemerkt, wenn das Organigramm schon hängt und der neue Dienstleister Administratorrechte hat, betreibt Änderungsmanagement eher archäologisch.

Register und Datenpflege

Das Ministerium für E-Government führt ein nichtöffentliches Register der erfassten Einrichtungen. Darin stehen unter anderem Name, Kontaktangaben, IP-Adressbereiche, Sektor und gegebenenfalls die Mitgliedstaaten, in denen Dienste erbracht werden.

Bestimmte digitale Anbieter müssen zusätzliche Angaben zu ihrer Hauptniederlassung beziehungsweise ihrem Vertreter übermitteln. Änderungen an übermittelten Daten sind grundsätzlich innerhalb von zwei Wochen an die zuständige Behörde zu melden.

ISO 27001 kann den Prozess, die Zuständigkeit und die Nachweise dafür liefern. Sie trägt die Daten aber nicht selbst in ein bulgarisches Register ein.

Staatliche Aufsicht statt freiwilliger Zertifizierung

Wesentliche Einrichtungen können planmäßig und anlassbezogen, vor Ort oder aus der Ferne geprüft werden. Die Behörden dürfen reguläre, gezielte und bei erheblichen Incidents auch außerplanmäßige Sicherheitsaudits veranlassen. Sie können Richtlinien, Daten, Dokumente und Nachweise verlangen.

Wichtige Einrichtungen unterliegen im Grundsatz einer nachgelagerten Aufsicht, wenn Anhaltspunkte für Verstöße bestehen. Auch bei ihnen sind Vor-Ort-Prüfungen, gezielte Audits und umfangreiche Nachweisanforderungen möglich.

Ein ISO 27001-Zertifikat ist hier wertvoll: Es zeigt ein geprüftes Managementsystem und liefert geordnete Nachweise. Es begrenzt aber nicht die Befugnisse der bulgarischen Aufsicht.

Wo ist ISO 27001 systematischer?

Das bulgarische Gesetz benennt Pflichten und Maßnahmenfelder. ISO 27001 baut daraus ein vollständiges Managementsystem. Sie verbindet Kontext, interessierte Parteien, Scope, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, Dokumentenlenkung, Betrieb, Messung, Internes Audit, Management Review und Verbesserung.

Dadurch ist die Norm bei der dauerhaften Steuerung oft genauer. Sie fragt nicht nur, ob ein Incident-Prozess existiert, sondern auch, ob Zuständigkeiten geklärt, Dokumente gelenkt, Ergebnisse gemessen, Abweichungen behandelt und Verbesserungen verfolgt werden.

Besonders hilfreich sind dabei:

• ein belastbares Asset Management,
• eine nachvollziehbare Anwendbarkeitserklärung,
• ein funktionierendes Internes Audit,
• und eine Managementbewertung, die nicht nur aus einem Kalendertermin mit Kaffee besteht.

Reicht ein ISO 27001-Zertifikat für NIS-2 in Bulgarien?

Nein. Das Gesetz enthält keine Regel, nach der ein ISO 27001-Zertifikat automatisch sämtliche bulgarischen Pflichten erfüllt.

Es kann aber ein sehr starker Nachweis sein. Entscheidend ist der Scope: Deckt das zertifizierte ISMS die bulgarische Gesellschaft, ihre relevanten Tätigkeiten, Systeme, Standorte und Abhängigkeiten tatsächlich ab? Ein Konzernzertifikat mit einem hübschen Logo hilft wenig, wenn Sofia im Anwendungsbereich gar nicht vorkommt.

Danach braucht es ein Mapping:

1. Welche bulgarische Pflicht wird durch welchen ISMS-Prozess und welche Controls erfüllt?
2. Welche Nachweise existieren dafür?
3. Welche nationalen Ergänzungen fehlen – etwa Registerdaten, Meldeweg, Zweijahresschulung oder Behördenkontakt?
4. Wer hält diese Ergänzungen aktuell?

Genau dafür ist eine Gap-Analyse sinnvoll. Sie trennt vorhandene Substanz von bloßer Hoffnung und verhindert, dass neben dem ISMS ein zweites, schlechter gepflegtes Compliance-System entsteht.

Welche Bußgelder drohen?

Für wesentliche Einrichtungen können Verstöße gegen Risiko- und Meldepflichten mit bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes des Unternehmens geahndet werden – maßgeblich ist der höhere Betrag. Das bulgarische Gesetz nennt zugleich eine Mindesthöhe von 25.000 Euro.

Bei wichtigen Einrichtungen liegt der Rahmen bei bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes, wiederum der höhere Betrag, mindestens jedoch 12.500 Euro. Für Verstöße der Leitungsorgane gegen ihre Governance-Pflichten sind zusätzlich persönliche Geldbußen vorgesehen.

Der sinnvollste Grund für ein ISMS bleibt trotzdem nicht die Bußgeldangst. Ein vernünftiges System soll verhindern, dass ein Incident das Unternehmen oder seine Kunden ernsthaft trifft. Die Sanktionen sorgen nur dafür, dass dieses Thema nicht dauerhaft unter „machen wir später“ abgelegt wird.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie die bulgarische Rechtsperson anhand von Tätigkeit, Größe, Konzernbeziehungen und Sondertatbeständen.
2. Klären Sie, welche bulgarische Behörde und welcher CSIRT-Weg zuständig sind.
3. Prüfen Sie, ob die bulgarische Einheit im Scope des vorhandenen ISO 27001-Zertifikats liegt.
4. Mappen Sie Artikel 21 bis 23 des bulgarischen Cybersecurity Act auf Ihr ISMS.
5. Ergänzen Sie Register- und Meldepflichten als konkrete Compliance-Prozesse.
6. Planen Sie die zweijährliche Schulung der Leitungsorgane nachvollziehbar ein.
7. Nehmen Sie das ausdrücklich verlangte Änderungsmanagement in Prozesse und Projekte auf.
8. Halten Sie Nachweise so bereit, dass eine bulgarische Behörde nicht erst gemeinsam mit Ihnen den Fileserver durchsuchen muss.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Bulgarien betreiben oder Ihr bestehendes ISMS gegen den bulgarischen Cybersecurity Act prüfen möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.