NIS-2 in Finnland und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe betreibt eine Tochtergesellschaft in Tampere. Das gemeinsame ISMS ist nach ISO 27001 zertifiziert, die finnische Gesellschaft steht im Scope und irgendwann sagt jemand: „Prima. Dann schicken wir Traficom einfach das Zertifikat. Die Finnen mögen es doch ohnehin ordentlich.“

Ordentlich ist schon einmal gut. Die finnische Behörde möchte trotzdem noch wissen, ob das Unternehmen betroffen ist, welchem Sektor es angehört, welche IP-Adressbereiche es verwendet und wer einen erheblichen Incident binnen 24 Stunden meldet.

Ein Zertifikat ist eben kein Behörderegister. Und auch in der Sauna wird aus einer 24-Stunden-Frist keine 72-Stunden-Frist.

Die gute Nachricht: ISO 27001 und das finnische NIS-2-Recht passen fachlich sehr gut zusammen. Finnland beschreibt zwölf Themenblöcke für das Cyberrisikomanagement, die sich weitgehend auf die Managementsystemanforderungen und Anhang A abbilden lassen. Die weniger gute Nachricht: Aus „sehr hohe fachliche Deckung“ wird dadurch nicht automatisch „Gesetz vollständig erfüllt“.

Die kurze Antwort

Finnland hat NIS-2 vor allem mit dem Kyberturvallisuuslaki (124/2025) umgesetzt, auf Englisch meist Cybersecurity Act genannt. Das Gesetz gilt seit dem 8. April 2025. Für die öffentliche Verwaltung stehen wesentliche Vorgaben im geänderten Gesetz über das Informationsmanagement in der öffentlichen Verwaltung. Weitere Ergänzungen betreffen unter anderem elektronische Kommunikationsdienste.

ISO 27001 deckt den betrieblichen Kern sehr gut ab:

• Governance und Verantwortung der Leitung,
• Risikomanagement und Wirksamkeitskontrolle,
• Richtlinien und Asset Management,
• sichere Beschaffung, Entwicklung und Wartung,
• Lieferkettensicherheit,
• Personalsicherheit und Schulung,
• Zugriffskontrolle, Authentisierung und Kryptografie,
• Incident Management,
• Backups, Wiederherstellung, Krisenmanagement und Business Continuity,
• physische Sicherheit.

Finnland ergänzt dieses Gerüst um gesetzliche Registrierung, konkrete Registerdaten, feste Meldefristen, sektorale Aufsicht und staatliche Sanktionen. Die Kurzform lautet deshalb: ISO 27001 kann das Betriebssystem für die Umsetzung sein. Das Gesetz bleibt trotzdem die Aufgabenliste, die vollständig abgearbeitet werden muss.

Wie hat Finnland NIS-2 umgesetzt?

Der zentrale Rechtsakt ist das finnische Cybersecurity Act 124/2025. Es regelt Cyberrisikomanagement, Leitungspflichten, Incident-Meldungen, Aufsicht, Sanktionen und das Register der betroffenen Unternehmen. Das Gesetz trat am 8. April 2025 in Kraft.

Bei der öffentlichen Verwaltung liegt die Umsetzung nicht vollständig in diesem Gesetz. Dafür wurde insbesondere das Gesetz über das Informationsmanagement in der öffentlichen Verwaltung angepasst. Außerdem spielen je nach Tätigkeit sektorale Vorschriften und für bestimmte digitale Anbieter die EU-Durchführungsverordnung 2024/2690 eine Rolle.

Das ist praktisch wichtig: Wer in Finnland tätig ist, darf nicht nur „NIS-2 Finnland“ auf eine Checkliste schreiben und dann genau ein Gesetz lesen. Zuerst muss geklärt werden, welcher Sektor, welche Rechtsperson, welche Behörde und welche ergänzenden Regeln tatsächlich passen.

Wer fällt in Finnland unter NIS-2?

Das finnische Recht erfasst wesentliche und wichtige Einrichtungen aus den von NIS-2 vorgegebenen Sektoren. Entscheidend sind insbesondere Tätigkeit, Unternehmensgröße und Kritikalität. Zu den betroffenen Bereichen gehören je nach Einzelfall unter anderem:

• Energie und Verkehr,
• Banken und Finanzmarktinfrastrukturen,
• Gesundheit, Trinkwasser und Abwasser,
• digitale Infrastruktur und B2B-IKT-Services,
• öffentliche Verwaltung und Weltraum,
• Post- und Kurierdienste,
• Abfall, Chemie, Lebensmittel und bestimmte Produktionen,
• digitale Anbieter und Forschung.

Bei einigen besonders kritischen Diensten greift die übliche Größenschwelle nicht. Bei europaweit tätigen digitalen Diensten kann außerdem der Hauptsitz in der EU darüber entscheiden, welcher Mitgliedstaat zuständig ist.

Finnland verteilt die Aufsicht auf mehrere sektorale Behörden. Traficom beaufsichtigt unter anderem Verkehr, digitale Infrastruktur, digitale Dienste, IKT-Service-Management, Post, Weltraum, Forschung und Teile der öffentlichen Verwaltung. Daneben gibt es beispielsweise die Energiebehörde, Tukes, die Arzneimittelbehörde Fimea und weitere sektorale Stellen.

Wenn ein Unternehmen in mehreren erfassten Sektoren arbeitet, kann es sich sogar bei mehreren Behörden registrieren müssen. „Wir haben doch schon ein Formular ausgefüllt“ ist dann zwar menschlich verständlich, rechtlich aber nicht zwingend das Ende der Reise.

Das Mapping: Finnland und ISO 27001 auf einen Blick

Wo passen Finnland und ISO 27001 besonders gut zusammen?

Finnlands zwölf Maßnahmenblöcke lesen sich fast wie ein ISMS-Inhaltsverzeichnis

Das finnische Gesetz verlangt ein aktuelles Modell für das Cyberrisikomanagement. Die darauf beruhenden Maßnahmen müssen mindestens zwölf Bereiche berücksichtigen. Dazu gehören Richtlinien und Wirksamkeitsbewertung, Netz- und Informationssystemsicherheit, sichere Beschaffung und Entwicklung, Lieferkette, Asset Management, Personalsicherheit, Zugriffe, Kryptografie, Incident Management, Kontinuität, grundlegende Sicherheitspraktiken und physische Sicherheit.

Das passt hervorragend zum Risikomanagement nach ISO 27001. Die Norm liefert eine Methode für Identifikation, Bewertung, Behandlung und Akzeptanz von Risiken. Ein ordentliches Asset Management zeigt, welche Informationen, Prozesse, Systeme, Standorte, Personen und Lieferanten geschützt werden müssen.

Finnland verlangt dabei keine blinde Maximalausstattung. Die Maßnahmen sollen zur Art und Größe des Betriebs, zu den absehbaren Auswirkungen, zur Eintrittswahrscheinlichkeit, zur Schwere, zu den Kosten und zum Stand der Technik passen. Das ist ziemlich genau die Stelle, an der ein belastbares ISMS mehr hilft als ein Katalog mit 600 Kästchen, die vorsichtshalber alle grün angemalt wurden.

Incident Management mit drei festen Stationen

ISO 27001 organisiert Erkennung, Bewertung, Reaktion, Eskalation, Beweissicherung und das Lernen aus Vorfällen. Ein funktionierendes Informationssicherheitsvorfall-Management ist deshalb die richtige operative Grundlage.

Finnland setzt die gesetzliche Stoppuhr daneben. Bei einem erheblichen Incident gilt grundsätzlich:

• Frühwarnung binnen 24 Stunden nach Kenntnis,
• Incident-Meldung binnen 72 Stunden nach Kenntnis,
• Abschlussbericht grundsätzlich binnen eines Monats nach der Incident-Meldung beziehungsweise bei länger andauernden Incidents nach ihrer Behandlung.

Wenn der Vorfall die Erbringung von Diensten wahrscheinlich beeinträchtigt, müssen außerdem die Nutzer ohne unnötige Verzögerung informiert werden. Die Meldung geht an die zuständige Aufsichtsbehörde; die Informationen werden auch dem CSIRT beim National Cyber Security Centre Finland zugänglich gemacht.

Das muss im Prozess stehen und geübt werden. Ein Zertifikat wählt am Sonntagmorgen weder die zuständige Behörde aus noch schreibt es den ersten Lagebericht.

Lieferkette, Kontinuität und physische Sicherheit

Das finnische Gesetz nennt nicht nur Lieferanten abstrakt. Es verlangt den Blick auf Qualität und Resilienz der Produkte und Dienste direkter Lieferanten, eingebaute Sicherheitsmaßnahmen und deren eigene Sicherheitspraxis. Das lässt sich sehr gut mit einem sicherheitsbezogenen Lieferantenmanagement nach A.5.19 bis A.5.23 verbinden.

Auch Backups, Wiederherstellung, Krisenmanagement und Business Continuity stehen ausdrücklich im Gesetz. Ein sauber aufgebautes Business Continuity Management liefert Pläne, Verantwortlichkeiten und Tests. Und weil Finnland auch die physische Umgebung nennt, endet die Betrachtung nicht am Rack: Strom, Kühlung, Räume und Zutritt gehören ebenfalls dazu.

Wo ist Finnland konkreter als ISO 27001?

Registrierung bei der richtigen sektoralen Behörde

Betroffene Einrichtungen müssen sich bei der für ihren Sektor zuständigen Behörde registrieren. Zu den Angaben gehören Name, aktuelle Kontaktdaten, IP-Adressbereiche, Sektor und Teilsektor, die Einordnung als wesentliche Einrichtung, die EU-Staaten mit erfassten Diensten und gegebenenfalls die Teilnahme an einem freiwilligen Informationsaustausch.

Änderungen müssen ohne unnötige Verzögerung und bei den wesentlichen Registerangaben spätestens binnen zwei Wochen gemeldet werden. Für bestimmte europaweit tätige digitale Anbieter kommen zusätzliche Angaben hinzu.

ISO 27001 hilft bei Zuständigkeiten, Assetdaten, Änderungsprozessen und Compliance-Steuerung. Die Registrierung selbst ist trotzdem eine finnische Rechtspflicht. Das Zertifikat aktualisiert keine IP-Adressbereiche, nur weil der Cloud-Admin am Freitag noch schnell die Architektur umgebaut hat.

Die Leitung ist ausdrücklich verantwortlich

Nach dem Cybersecurity Act trägt die Leitung Verantwortung dafür, Umsetzung und Überwachung des Cyberrisikomanagements zu organisieren. Sie genehmigt das Risikomanagementmodell, überwacht dessen Umsetzung und muss ausreichend mit dem Thema vertraut sein.

Das passt sehr gut zu Führung, Ressourcen, Kompetenz und Managementbewertung in ISO 27001. Finnland formuliert den gesetzlichen Griff an die Schulter aber ausgesprochen klar: „Das ist ein IT-Thema“ ist keine vollständige Antwort der Geschäftsführung.

Ein offizielles Maßnahmenmodell – aber kein vorgeschriebener Standard

Traficom hat eine Empfehlung zu Cyberrisikomanagementmaßnahmen veröffentlicht. Sie verweist auf verbreitete Standards, Frameworks und Werkzeuge und nennt auch ISO/IEC 27001 als fachlich verwandte Grundlage.

Wichtig ist die andere Hälfte der Aussage: Die Empfehlung schreibt keinen bestimmten Standard und kein bestimmtes Framework vor. Ein ISO 27001-Zertifikat ist damit ein sehr guter Nachweisbaustein, aber keine gesetzliche Abkürzung mit eingebauter Vermutungswirkung.

Wo ist ISO 27001 systematischer?

Das finnische Gesetz ist bei den Schutzthemen erstaunlich konkret. ISO 27001 beschreibt dafür vollständiger, wie aus einzelnen Pflichten ein dauerhaft funktionierendes Managementsystem wird.

Die Norm verbindet Kontext, interessierte Parteien, Anwendungsbereich, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, dokumentierte Information, Betrieb, Messung, Internes Audit, Management Review, Korrekturmaßnahmen und fortlaufende Verbesserung. So wird nicht nur festgelegt, was sicher sein soll, sondern auch, wie Verantwortung, Entscheidungen und Verbesserungen dauerhaft organisiert werden.

Besonders nützlich ist die Anwendbarkeitserklärung. Sie zeigt, welche Controls aus Anhang A anwendbar sind, warum sie ausgewählt oder ausgeschlossen wurden, wie sie umgesetzt sind und welchen Status sie haben. Das finnische Gesetz verlangt keine Anwendbarkeitserklärung nach ISO-Logik. Als Brücke zwischen finnischer Pflicht, Risiko, Maßnahme und Nachweis ist sie dennoch sehr wertvoll.

Auch die regelmäßige Wirksamkeitsbewertung lässt sich mit ISO 27001 sauber operationalisieren. Der finnische Gesetzgeber verlangt sie ausdrücklich; die Norm liefert mit Messung, Internem Audit, Management Review und Verbesserungsprozess gleich mehrere Stellen, an denen aus „haben wir eingeführt“ die wichtigere Frage wird: „Bringt das wirklich etwas?“

Reicht ein ISO 27001-Zertifikat für NIS-2 in Finnland?

Nein. Im finnischen Gesetz steht keine Regel nach dem Muster: Zertifikat hochladen, Registrierung schließen, Meldeuhr wegwerfen.

Ein passendes Zertifikat ist trotzdem ein sehr starker Ausgangspunkt. Entscheidend ist zuerst der Scope: Ist die finnische Rechtsperson mit ihren betroffenen Diensten, Standorten, Systemen und Abhängigkeiten tatsächlich erfasst? Ein Konzernzertifikat, auf dem die finnische Tochter nur in der PowerPoint-Präsentation vorkommt, hilft wenig.

Danach braucht es ein nachvollziehbares Mapping:

1. Welche finnische Pflicht wird durch welchen ISMS-Prozess und welche Controls erfüllt?
2. Welche Nachweise zeigen, dass die Maßnahmen tatsächlich wirksam sind?
3. Welche nationalen Ergänzungen fehlen – etwa Registrierung, Registerpflege, Behördenkontakt oder Meldeablauf?
4. Welche sektoralen Vorschriften oder EU-Durchführungsakte gelten zusätzlich?
5. Wer überwacht Änderungen an Gesetz, Behördenpraxis und technischen Vorgaben?

Eine Gap-Analyse ist dafür sinnvoller als ein finnisches Schatten-ISMS. Zwei getrennte Maßnahmenwelten sorgen selten für doppelte Sicherheit, aber ziemlich zuverlässig für doppelte Pflege.

Wie wird NIS-2 in Finnland geprüft?

Finnland arbeitet mit sektoralen Aufsichtsbehörden. Welche Behörde zuständig ist, hängt von der Tätigkeit ab. Die Behörden überwachen die Einhaltung des Cybersecurity Act, der darauf gestützten Vorschriften und einschlägiger EU-Durchführungsakte.

Sie können Informationen und Nachweise verlangen, Prüfungen durchführen beziehungsweise veranlassen, Anordnungen zur Herstellung der Konformität erlassen und Verstöße dem Sanktionsgremium vorlegen. Bei wesentlichen Einrichtungen ist die Aufsicht grundsätzlich proaktiver; bei wichtigen Einrichtungen setzt sie typischerweise an Hinweisen auf Verstöße an.

Ein ISO 27001-Zertifizierungsaudit und die Internen Audits des Unternehmens liefern dafür wertvolle Nachweise. Sie ersetzen die finnische Behördenaufsicht nicht. Umgekehrt sollte das Unternehmen seine Nachweise möglichst nicht doppelt bauen: Risikoregister, SoA, Lieferantenbewertungen, Incident-Unterlagen, Übungen, Messungen und Auditberichte können – passend gemappt – mehrere Anforderungen gleichzeitig bedienen.

Welche Bußgelder drohen in Finnland?

Für wesentliche Einrichtungen beträgt der Höchstbetrag zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – maßgeblich ist der höhere Betrag.

Für andere erfasste Einrichtungen liegt die Obergrenze bei sieben Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Die Geldbußen werden von einem Sanktionsgremium auf Vorschlag der zuständigen Aufsichtsbehörde verhängt.

Das Bußgeld ist trotzdem nicht der beste Grund, Informationssicherheit vernünftig zu organisieren. Der bessere Grund ist, dass kritische Leistungen funktionieren sollen. Die Sanktionen helfen nur dabei, den Satz „Wir kümmern uns darum, wenn einmal weniger los ist“ nicht als unbefristete Cyberstrategie durchgehen zu lassen.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie die finnische Rechtsperson anhand von Tätigkeit, Sektor, Größe, Konzernbeziehungen und Sondertatbeständen.
2. Klären Sie die Einordnung als wesentliche oder wichtige Einrichtung und die zuständige sektorale Behörde.
3. Registrieren Sie die Organisation bei allen zuständigen Stellen und organisieren Sie die laufende Pflege der Angaben.
4. Prüfen Sie, ob die finnische Einheit tatsächlich im Scope Ihres ISO 27001-Zertifikats liegt.
5. Mappen Sie die zwölf finnischen Maßnahmenblöcke auf ISMS-Prozesse, Anhang A und belastbare Nachweise.
6. Ergänzen und testen Sie die 24- und 72-Stunden-Meldewege sowie den Abschlussbericht.
7. Sorgen Sie dafür, dass die Leitung das Risikomanagementmodell genehmigt, überwacht und fachlich versteht.
8. Berücksichtigen Sie sektorale Regeln und gegebenenfalls die EU-Durchführungsverordnung 2024/2690.
9. Schließen Sie die verbleibenden Lücken und prüfen Sie die Wirksamkeit, bevor ein echter Incident die Uhr startet.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Finnland betreiben oder Ihr bestehendes ISMS gegen das finnische NIS-2-Recht prüfen möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.