NIS-2 in Estland und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe hat eine Tochtergesellschaft in Tallinn. Das gemeinsame ISMS ist nach ISO 27001 zertifiziert und irgendwer sagt: „Estland ist doch der digitale Musterstaat. Da laden wir das Zertifikat bestimmt irgendwo hoch, klicken zweimal auf Weiter und sind fertig.“

Der erste Teil stimmt: Estland ist beeindruckend digital. Der zweite Teil ist ungefähr so belastbar wie die Annahme, dass eine digitale Steuererklärung automatisch zu weniger Steuern führt.

Estland hat NIS-2 mit Wirkung zum 1. Januar 2026 in sein Cybersecurity Act eingebaut. Das Gesetz verlangt Risikomanagement, Sicherheitsmaßnahmen, Leitungseinbindung, Incident-Meldungen und Nachweise. Es bringt aber auch ziemlich estnische Zutaten mit: den nationalen Informationssicherheitsstandard E-ITS, vereinfachte Basismaßnahmen für kleinere Organisationen, eine ausdrücklich verantwortliche Person im Vorstand und eine zentrale Rolle der Estonian Information System Authority RIA.

Die gute Nachricht: ISO 27001 passt fachlich sehr gut dazu. Die weniger gute: Ein Zertifikat erfüllt nicht automatisch jede estnische Rechtspflicht. Es kann das tragende System sein – die nationale To-do-Liste verschwindet deshalb aber nicht im baltischen Nebel.

Die kurze Antwort

Estland hat NIS-2 durch eine umfangreiche Änderung des estnischen Cybersecurity Act umgesetzt. Die neue Fassung gilt seit dem 1. Januar 2026. Nach Angaben der RIA stieg die Zahl der erfassten Unternehmen und Institutionen dadurch von ungefähr 3.500 auf fast 6.500.

ISO 27001 deckt den betrieblichen Kern der estnischen Anforderungen sehr gut ab:

• Verantwortung der Leitung,
• systematisches Risikomanagement,
• technische, operative und organisatorische Sicherheitsmaßnahmen,
• Sicherheit von Lieferanten und ausgelagerten IT-Leistungen,
• Incident Management und Business Continuity,
• Kompetenz, Schulung und kontinuierliche Verbesserung,
• Nachweise, Interne Audits und Management Review.

Estland ergänzt dieses Gerüst um nationale Vorgaben, Registrierung bei der RIA, konkrete Fristen für Incident-Meldungen, behördliche Prüf- und Eingriffsrechte sowie erhebliche Bußgelder. Deshalb gilt: ISO 27001 ist eine sehr gute Umsetzungsplattform. Es ist keine gesetzliche Generalquittung.

Wie hat Estland NIS-2 umgesetzt?

Der zentrale Rechtsakt ist das estnische Cybersecurity Act. Die am 1. Januar 2026 in Kraft getretene Fassung unterscheidet zwischen wesentlichen und wichtigen Einrichtungen, regelt deren Pflichten und bestimmt die RIA zur zentralen zuständigen Behörde, zentralen Anlaufstelle und CSIRT.

Das Gesetz ist erstaunlich konkret. Es verlangt dauerhaft angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen. Diese sollen Risiken beherrschen, Auswirkungen auf Leistungsempfänger und andere Dienste begrenzen sowie Incidents verhindern, erkennen und behandeln.

Bei der Angemessenheit zählen unter anderem:

• aktuelle europäische und internationale Standards,
• Kosten der Maßnahmen,
• Größe und Risikoexposition der Organisation,
• Wahrscheinlichkeit und Schwere möglicher Incidents,
• gesellschaftliche und wirtschaftliche Auswirkungen,
• ein systematischer Gesamtansatz einschließlich der physischen Umgebung.

Das ist eine ziemlich gute Beschreibung dessen, was ein vernünftig betriebenes ISMS ohnehin leisten soll. Nur eben mit Gesetz dahinter und einer Behörde, die mehr Möglichkeiten hat als ein Zertifizierungsauditor mit hochgezogener Augenbraue.

Wer fällt in Estland unter NIS-2?

Das Gesetz erfasst wesentliche und wichtige Einrichtungen. Entscheidend sind Tätigkeit, Größe, Umsatz beziehungsweise Bilanzsumme und einige Sondertatbestände. Zu den betroffenen Bereichen gehören unter anderem:

• Energie, Verkehr, Wasser und Abwasser,
• Banken und Finanzmarktinfrastrukturen,
• Gesundheit und bestimmte pharmazeutische Tätigkeiten,
• digitale Infrastruktur, Rechenzentren, Cloud, Managed Services und Informationssicherheitsdienste,
• öffentliche elektronische Kommunikation und Vertrauensdienste,
• öffentliche Verwaltung,
• Post, Abfall, Chemie, Lebensmittel und bestimmte Hersteller,
• Online-Marktplätze, Suchmaschinen, soziale Plattformen und Forschung.

Estland hat die Schwellenwerte direkt im Gesetz ausformuliert. Für zahlreiche Tätigkeiten gelten 50 Beschäftigte und mehr als zehn Millionen Euro Umsatz oder Bilanzsumme als wichtige Schwelle. Große Einrichtungen mit mindestens 250 Beschäftigten und zusätzlich den genannten Finanzkennzahlen werden in vielen Sektoren als wesentlich eingeordnet. Daneben gibt es Dienste, die unabhängig von dieser üblichen Logik besonders behandelt werden.

Die Betroffenheitsprüfung sollte deshalb nicht bei „Wir haben weniger als 250 Leute, also sind wir raus“ enden. Tätigkeitsart, Rechtsform, estnische Gesellschaft, digitale Dienste und Sonderregelungen gehören gemeinsam auf den Tisch.

Das Mapping: Estland und ISO 27001 auf einen Blick

Wo passen Estland und ISO 27001 besonders gut zusammen?

Risikomanagement ist auf beiden Seiten der Motor

Das estnische Gesetz verlangt ausdrücklich eine Risikobewertung und Maßnahmen, die zur Organisation und zu ihren Risiken passen. Das deckt sich sehr gut mit dem Risikomanagement nach ISO 27001.

Ein belastbares Asset Management hilft dabei, Dienste, Prozesse, Informationen, Systeme, Standorte und Abhängigkeiten überhaupt sichtbar zu machen. Danach lassen sich Risiken bewerten und Maßnahmen begründet auswählen. Genau das ist besser als die beliebte Compliance-Methode „Wir installieren überall MFA und hoffen, dass es das gewesen ist.“

Die estnische Regelung verlangt außerdem einen systematischen und umfassenden Blick auf Bedrohungen. ISO 27001 liefert dafür den Managementkreislauf: Risiken erkennen, behandeln, Wirksamkeit prüfen, Abweichungen korrigieren und Veränderungen nachziehen.

Verantwortung bleibt auch beim Outsourcing im Haus

Wenn ein Unternehmen sein System von einem Dritten betreiben oder hosten lässt, bleibt es nach dem Cybersecurity Act dafür verantwortlich, dass dort die notwendigen Sicherheitsmaßnahmen umgesetzt werden. Das ist angenehm eindeutig.

ISO 27001 passt dazu mit den Controls für ein sicherheitsbezogenes Lieferantenmanagement. Verträge, Sicherheitsanforderungen, Leistungsüberwachung, Änderungen und Exit-Regeln gehören zusammen. „Unser Cloudanbieter ist groß und wird das schon machen“ ist weder eine Lieferantenbewertung noch eine Verantwortungsklausel.

Incidents brauchen einen Prozess und eine Uhr

Ein funktionierendes Informationssicherheitsvorfall-Management organisiert Erkennung, Bewertung, Eskalation, Reaktion, Kommunikation, Beweissicherung und das Lernen aus Vorfällen.

Estland stellt daneben eine gesetzliche Stoppuhr. Bei einem erheblichen Cyberincident gilt grundsätzlich:

• erste Meldung unverzüglich, spätestens binnen 24 Stunden nach Kenntnis,
• aktualisierte Incident-Meldung spätestens binnen 72 Stunden,
• Abschlussbericht binnen eines Monats nach der 72-Stunden-Meldung,
• bei einem noch laufenden Incident zunächst Zwischenbericht und später ein neuer Abschlussbericht.

Die Meldungen gehen an die RIA. Das Gesetz beschreibt außerdem recht greifbar, wann ein Incident erheblich ist: etwa bei schwerwiegenden Folgen gemäß Risikobewertung, Überschreitung der maximal tolerierbaren Ausfallzeit, Beeinträchtigung anderer Dienste oder erheblichem Schaden.

Das passt gut zum Business Continuity Management. Denn wer seine tolerierbaren Ausfallzeiten nie bestimmt hat, entdeckt beim Incident womöglich gleichzeitig den Schaden und die noch nicht beantwortete Frage, ab wann er eigentlich erheblich ist.

Was ist E-ITS – und wo passt ISO 27001 hinein?

E-ITS ist der Estonian Information Security Standard. Die RIA stellt dazu Anforderungen an das Informationssicherheitsmanagement, einen Referenzmaßnahmenkatalog und Auditregeln bereit. Das estnische Cybersecurity Act schafft ausdrücklich die Grundlage dafür, E-ITS sowie allgemeine und besondere Sicherheitsanforderungen verbindlich festzulegen.

Nach Darstellung der RIA mussten unter der früheren Rechtslage alle erfassten Einrichtungen E-ITS anwenden. Seit der Änderung können kleinere Organisationen stattdessen auf allgemeine Anforderungen beziehungsweise 2025 definierte grundlegende Informationssicherheitsmaßnahmen zurückgreifen. Das soll die Umsetzung verhältnismäßiger machen.

Damit hat Estland mehr als nur die abstrakte Forderung „Machen Sie angemessene Sicherheit“. Es gibt ein nationales Maßnahmenmodell. ISO 27001 und E-ITS konkurrieren trotzdem nicht zwingend miteinander:

• ISO 27001 organisiert das Managementsystem, Risiken, Verantwortlichkeiten, Wirksamkeit und Verbesserung.
• E-ITS beziehungsweise die estnischen Basismaßnahmen konkretisieren nationale Erwartungen an die Umsetzung.
• Ein Mapping verhindert, dass dieselbe Kontrolle unter drei Namen dreimal gepflegt wird.

Ob für die konkrete Organisation E-ITS, allgemeine Anforderungen, besondere Anforderungen oder ein EU-Durchführungsakt gilt, muss im Einzelfall geprüft werden. Ein ISO 27001-Zertifikat sollte deshalb als starke Grundlage verwendet werden – aber nicht als Radiergummi für estnische Detailvorgaben.

Wo ist Estland konkreter als ISO 27001?

Registrierung und laufende Datenpflege

Betroffene Einrichtungen müssen der RIA unter anderem Name und Registercode, Geschäftsanschrift, aktuelle Kontaktdaten, IP-Adressbereiche, Sektor beziehungsweise Teilsektor und die Länder mit erfassten Diensten melden. Neu betroffene Unternehmen haben dafür grundsätzlich drei Monate. Änderungen sind unverzüglich, spätestens binnen zwei Wochen mitzuteilen; für bestimmte digitale Dienste gelten besondere Regeln.

ISO 27001 hilft bei Zuständigkeiten, Assetdaten und Änderungsprozessen. Das Zertifikat meldet aber keine neue IP-Range an die Behörde, während der Admin überzeugt erklärt, sie stehe doch im Cloudportal.

Persönlich greifbare Leitungsverantwortung

Mindestens ein Vorstandsmitglied muss die Sicherheitsmaßnahmen genehmigen, ihre Umsetzung überwachen und dafür verantwortlich sein. Diese Person muss regelmäßig geschult werden, um Risiken, Auswirkungen und Behandlungswege verstehen und bewerten zu können. Wird niemand benannt, trifft die Pflicht alle Vorstandsmitglieder.

Das passt sehr gut zu Abschnitt 5.1 und 7.2 der ISO 27001. Estland ist aber konkreter darin, wer im Leitungsgremium den Hut sichtbar aufhat. Die IT darf weiterhin sehr viel tun. Den rechtlichen Hut kann sie der Geschäftsführung nicht abnehmen und heimlich im Serverschrank verstecken.

Behördliche Eingriffsrechte

Die RIA kann Vor-Ort- und Fernprüfungen durchführen, Sicherheitsscans vornehmen und gezielte Security Audits verlangen. Deren Kosten können grundsätzlich beim Unternehmen landen. Sie kann Abhilfe anordnen, Fristen setzen und bei wesentlichen Einrichtungen unter bestimmten Voraussetzungen sogar auf die vorübergehende Aussetzung von Zertifizierungen, Genehmigungen oder Leitungsbefugnissen hinwirken.

Ein ISO 27001-Audit funktioniert anders. Eine Zertifizierungsgesellschaft prüft Konformität mit der Norm; sie ist keine estnische Aufsichtsbehörde. Auditberichte und Nachweise sind dennoch ausgesprochen hilfreich, wenn die RIA sehen möchte, ob das System nicht nur auf dem Papier freundlich lächelt.

Wo ist ISO 27001 systematischer?

Das estnische Gesetz formuliert Schutz- und Meldepflichten sowie behördliche Befugnisse. ISO 27001 beschreibt vollständiger, wie eine Organisation daraus ein dauerhaft funktionierendes Managementsystem macht.

Dazu gehören Kontext, interessierte Parteien, Scope, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, dokumentierte Information, Betrieb, Messung, Internes Audit, Management Review, Korrekturmaßnahmen und fortlaufende Verbesserung.

Besonders nützlich ist die Anwendbarkeitserklärung. Sie zeigt, welche Controls aus Anhang A anwendbar sind, warum sie ausgewählt oder ausgeschlossen wurden, wie sie umgesetzt sind und welchen Status sie haben. Estlands Gesetz verlangt keine Anwendbarkeitserklärung nach ISO-Logik. Für das Mapping von Gesetz, E-ITS, Risiko, Maßnahme und Nachweis ist sie trotzdem ein hervorragendes Scharnier.

Auch die Wirksamkeitsprüfung ist mit ISO 27001 gut verankert. So wird aus „Wir haben da eine Richtlinie“ irgendwann die sinnvollere Frage: „Funktioniert das Verfahren, wenn am Sonntagmorgen wirklich etwas passiert?“

Reicht ein ISO 27001-Zertifikat für NIS-2 in Estland?

Nein. Ein Zertifikat ersetzt weder Betroffenheitsprüfung und Registrierung noch E-ITS beziehungsweise anwendbare estnische Sicherheitsanforderungen, Leitungspflichten, Incident-Meldungen und RIA-Aufsicht.

Es ist trotzdem ein sehr starker Ausgangspunkt. Entscheidend ist zunächst der Scope: Sind die estnische Rechtsperson, ihre betroffenen Dienste, Systeme, Standorte und Abhängigkeiten tatsächlich erfasst? Ein Zertifikat der deutschen Muttergesellschaft hilft nur begrenzt, wenn Tallinn darin hauptsächlich als hübscher Punkt auf der Landkarte vorkommt.

Danach braucht es ein nachvollziehbares Mapping:

1. Welche estnische Pflicht gilt für welche Rechtsperson und welchen Dienst?
2. Welcher ISMS-Prozess und welche Controls erfüllen sie?
3. Welche Nachweise zeigen die tatsächliche Wirksamkeit?
4. Welche E-ITS-, Basis- oder sektoralen Anforderungen fehlen noch?
5. Wer pflegt Registrierung, Meldewege und Rechtsmonitoring?

Die dreijährige Übergangsfrist für die vollständige Herstellung der Konformität sollte nicht als dreijährige Einladung zum Nichtstun gelesen werden. Die Registrierung hat eine wesentlich kürzere Frist, und ein Cyberincident erkundigt sich vor seinem Auftreten eher selten nach dem Projektplan.

Wie wird NIS-2 in Estland geprüft?

Die RIA übt grundsätzlich die staatliche und administrative Aufsicht aus. Wesentliche Einrichtungen können proaktiv und auch stichprobenartig kontrolliert werden. Bei wichtigen Einrichtungen ist die Aufsicht grundsätzlich reaktiv, wenn Anhaltspunkte für eine Nichterfüllung bestehen.

Möglich sind unter anderem:

• Vor-Ort- und Fernprüfungen,
• gezielte Security Audits,
• technische Sicherheitsscans,
• Anforderungen an Informationen und Nachweise,
• Warnungen und verbindliche Abhilfeanordnungen,
• Vorgaben zur Umsetzung von Audit-Empfehlungen,
• bei wesentlichen Einrichtungen zeitweise ein verpflichtender Compliance Officer.

ISO 27001-Zertifizierungsaudits und Interne Audits liefern dafür wertvolle Nachweise. Sie ersetzen die Prüfung durch die RIA nicht. Sinnvoll ist ein gemeinsamer Nachweisbestand: Risikoregister, SoA, Lieferantenbewertungen, Incident-Unterlagen, Übungen, Messungen und Auditberichte sollten mehrere Anforderungen bedienen können, ohne zu einem estnisch-deutschen Dokumentenzoo zu werden.

Welche Bußgelder drohen in Estland?

Bei wesentlichen Einrichtungen sind Geldbußen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres möglich – maßgeblich ist der höhere Betrag.

Bei wichtigen Einrichtungen liegt die Obergrenze bei sieben Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Hinzu kommen die erwähnten Aufsichts- und Abhilfemaßnahmen.

Die RIA berücksichtigt bei Maßnahmen unter anderem Schwere, Dauer, Schäden, betroffene Personen, Vorsatz oder Fahrlässigkeit, ergriffene Schutzmaßnahmen, Zertifizierungsmechanismen und die Zusammenarbeit mit der Behörde. Ein Zertifikat ist also durchaus relevant. Nur eben nicht in der magischen Bedeutung „Bitte einmal von allen übrigen Pflichten befreien“.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie die estnische Rechtsperson anhand von Tätigkeit, Größe, Finanzkennzahlen und Sondertatbeständen.
2. Klären Sie die Einordnung als wesentliche oder wichtige Einrichtung.
3. Erfüllen Sie die Registrierungspflicht gegenüber der RIA und organisieren Sie die laufende Datenpflege.
4. Prüfen Sie, ob E-ITS, allgemeine Basismaßnahmen, besondere Anforderungen oder EU-Durchführungsakte gelten.
5. Prüfen Sie den Scope des bestehenden ISO 27001-Zertifikats einschließlich der estnischen Dienste und Abhängigkeiten.
6. Mappen Sie Gesetz, nationale Maßnahmen, ISMS-Prozesse, Anhang A und Nachweise in einer gemeinsamen Struktur.
7. Benennen und schulen Sie das verantwortliche Vorstandsmitglied.
8. Bauen und testen Sie den 24-/72-Stunden-Meldeweg sowie den Abschlussbericht.
9. Schließen Sie Lücken und prüfen Sie die Wirksamkeit, bevor die RIA oder ein echter Incident das für Sie übernimmt.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Estland betreiben oder Ihr bestehendes ISMS gegen das estnische NIS-2-Recht prüfen möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.