NIS-2 in Griechenland und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe hat eine Tochtergesellschaft in Athen. Die Gruppe ist nach ISO 27001 zertifiziert, die griechische Gesellschaft hängt am gemeinsamen ISMS und irgendwann fällt in einer Besprechung der beruhigende Satz: „Wenn die griechische Behörde etwas sehen will, schicken wir einfach unser Zertifikat.“

Das ist besser als gar nichts. Es ist sogar ein ziemlich brauchbarer Nachweis. Nur erledigt ein Zertifikat leider keine Behördenkommunikation: Es prüft nicht selbst, ob die griechische Gesellschaft unter NIS-2 fällt. Es trägt sie nicht in das griechische Register ein. Es meldet keinen erheblichen Sicherheitsvorfall binnen 24 Stunden. Und es bestellt auch nicht den in Griechenland vorgesehenen Verantwortlichen für die Sicherheit der Informations- und Kommunikationssysteme.

Die gute Nachricht lautet trotzdem: Das griechische NIS-2-Recht und ISO 27001 passen fachlich ausgesprochen gut zusammen. Griechenland hat seine Vorgaben inzwischen sogar in einem nationalen Rahmenwerk mit 22 Anforderungen konkretisiert. Wer ein wirksames ISMS betreibt, hat deshalb sehr viel von der eigentlichen Sicherheitsarbeit bereits organisiert. Die nationalen Pflichten müssen aber ausdrücklich ergänzt werden.

Die kurze Antwort

Griechenland hat NIS-2 mit dem Gesetz 5160/2024 umgesetzt. Es wurde am 27. November 2024 im griechischen Staatsanzeiger veröffentlicht. Im Mai 2025 kam die Gemeinsame Ministerialentscheidung 1689/2025 hinzu: das nationale Rahmenwerk der Cybersicherheitsanforderungen für wesentliche und wichtige Einrichtungen.

Die Überschneidung mit ISO 27001 ist groß. Beide verlangen insbesondere:

• risikobasiertes und verhältnismäßiges Handeln,
• Verantwortung der Leitung,
• Sicherheitsrichtlinien und klare Rollen,
• Incident Management,
• Business Continuity und Wiederherstellung,
• Lieferkettensicherheit,
• Asset Management und Zugriffskontrolle,
• sichere Beschaffung, Entwicklung und Wartung,
• Wirksamkeitskontrolle, Audits und Verbesserung,
• Kompetenz, Schulung und Awareness.

Griechenland ergänzt dieses Gerüst um staatliche Registrierung, gesetzliche Meldefristen, einen ausdrücklich vorgesehenen Sicherheitsverantwortlichen, detaillierte nationale Maßnahmen, behördliche Aufsicht und Bußgelder.

Die praktische Formel lautet: ISO 27001 organisiert die Sicherheitsarbeit. Das griechische Recht bestimmt zusätzlich, wer betroffen ist, was der Staat konkret verlangt und wann welche Information an welche Stelle gehen muss.

Wie hat Griechenland NIS-2 umgesetzt?

Der zentrale Rechtsakt ist das griechische Gesetz 5160/2024. Es überführt NIS-2 in griechisches Recht, unterscheidet zwischen wesentlichen und wichtigen Einrichtungen und weist der Nationalen Cybersicherheitsbehörde, griechisch Εθνική Αρχή Κυβερνοασφάλειας, zentrale Aufgaben bei Registrierung, Aufsicht und Incident-Meldungen zu.

Damit war die Arbeit aber nicht beendet. Die Gemeinsame Ministerialentscheidung 1689/2025 beschreibt ein nationales Rahmenwerk mit 22 Anforderungen. Es enthält technische, organisatorische und operative Maßnahmen und geht an einigen Stellen deutlich weiter ins Detail als der reine Gesetzestext.

Das ist für das Mapping wichtig. Wer nur Artikel 21 der europäischen Richtlinie neben Anhang A legt, sieht die große Linie. Wer in Griechenland tatsächlich compliant sein muss, sollte zusätzlich das nationale Rahmenwerk durcharbeiten. Dort stehen beispielsweise Mindestthemen für schriftliche Sicherheitsrichtlinien, Anforderungen an Nachweise, Rollen, unabhängige Audits und Compliance-Überwachung.

Wer fällt in Griechenland unter NIS-2?

Das Gesetz folgt im Kern der europäischen Systematik. Erfasst werden öffentliche und private Einrichtungen aus den gesetzlich aufgeführten Sektoren, wenn sie die maßgeblichen Größenkriterien erreichen oder ein Sondertatbestand greift.

Zu den betroffenen Bereichen gehören je nach Tätigkeit unter anderem:

• Energie und Verkehr,
• Banken und Finanzmarktinfrastrukturen,
• Gesundheit,
• Trinkwasser und Abwasser,
• digitale Infrastruktur,
• Cloud-, Rechenzentrums-, Managed-Service- und Managed-Security-Anbieter,
• öffentliche Verwaltung und Weltraum,
• Post- und Kurierdienste,
• Abfallwirtschaft, Chemie und Lebensmittel,
• bestimmte produzierende Unternehmen,
• digitale Plattformen und Forschung.

Für bestimmte besonders kritische Anbieter gelten Sonderregeln unabhängig von der gewöhnlichen Größenschwelle. Die griechische Behörde bietet dafür einen offiziellen Betroffenheitstest an.

Gerade bei Unternehmensgruppen genügt die Frage „Wie viele Leute sitzen in Athen?“ nicht. Zu prüfen sind konkrete Tätigkeit, Rechtsperson, Unternehmensgröße einschließlich der einschlägigen Konzernbeziehungen, Niederlassung und mögliche Sondertatbestände. Und selbst wer nicht unmittelbar erfasst ist, kann über Verträge in die Sache hineingeraten: Betroffene Kunden müssen ihre Lieferkette absichern.

Das Mapping: Griechenland und ISO 27001 auf einen Blick

Wo passen Griechenland und ISO 27001 besonders gut zusammen?

Risikomanagement mit einem Plan dahinter

Das griechische Rahmenwerk verlangt ein zur Gesamtstrategie passendes Risikomanagement, regelmäßige Risikoanalysen und einen Behandlungsplan. Risiken aus Beziehungen zu Dritten, Lieferanten und Dienstleistern sind einzubeziehen. Aktualisiert werden soll nicht nur nach Kalender, sondern auch nach erheblichen Incidents, wesentlichen Änderungen oder einer veränderten Bedrohungslage.

Das passt beinahe bilderbuchmäßig zum Risikomanagement nach ISO 27001. Die Norm liefert Methode, Verantwortlichkeiten, Behandlung, Akzeptanz und Nachverfolgung. Das griechische Recht setzt an einigen Stellen einen kräftigeren Textmarker daneben.

Incident Management – plus gesetzliche Stoppuhr

ISO 27001 bringt die operative Grundlage: Ereignisse erkennen, bewerten, eskalieren, behandeln, dokumentieren und aus ihnen lernen. Ein gutes Informationssicherheitsvorfall-Management ist deshalb eine sehr starke Basis.

Griechenland ergänzt die Uhr an der Wand. Bei einem erheblichen Incident sind nach Artikel 16 des Gesetzes grundsätzlich vorgesehen:

• eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden,
• eine Incident-Meldung innerhalb von 72 Stunden,
• auf Anforderung ein Zwischenbericht,
• ein Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung.

Die Nationale Cybersicherheitsbehörde stellt dafür aktuelle Formulare und Meldewege bereit. Der Prozess muss also nicht nur erklären, wie ein Server wieder hochkommt. Er muss auch festlegen, wer die Meldepflicht prüft, wer die Behörde kontaktiert und wer nachts um 02:17 Uhr zeichnungsfähig ist.

Lieferkette, BCM und technische Kontrollen

Beim Lieferantenmanagement liegen beide Welten eng beieinander. Das griechische Recht verlangt, Beziehungen und Risiken der Lieferkette einzubeziehen. ISO 27001 liefert mit A.5.19 bis A.5.23 die passende Struktur für ein sicherheitsbezogenes Lieferantenmanagement.

Auch Business Continuity, Backups und Wiederherstellung passen gut. Ein belastbares Business Continuity Management beginnt bei kritischen Prozessen und ihren Abhängigkeiten – nicht bei einer Word-Vorlage mit dem Titel „Notfallplan final neu 3.docx“.

Für Assets, Zugriffe, Kryptografie, Netzsicherheit, Schwachstellen und sichere Entwicklung liefert Anhang A ebenfalls viele passende Controls. Besonders hilfreich ist ein vernünftiges Asset Management, weil sich Risiken ohne Wissen über Systeme, Informationen, Prozesse und Abhängigkeiten nur mit bemerkenswerter Fantasie bewerten lassen.

Wo ist Griechenland konkreter als ISO 27001?

Ein nationales Rahmenwerk mit 22 Anforderungen

Die größte Besonderheit ist die Ministerialentscheidung 1689/2025. Sie macht aus allgemeinen Pflichten ein recht detailliertes Arbeitsprogramm. Das Rahmenwerk beschreibt nicht nur Themenfelder, sondern auch mögliche Nachweise: Richtlinien und Verfahren, Protokolle der Leitung, Verträge, Schulungsnachweise, Netzwerkpläne, Kontinuitätspläne, Auditberichte, technische Stichproben und Interviews.

Das ist ausgesprochen prüfbar gedacht. „Ja doch, machen wir“ ist auch in Griechenland kein Nachweis. Wer sich vorbereitet, sollte deshalb nicht nur Dokumente sammeln, sondern pro Anforderung zeigen können: Vorgabe, Verantwortung, Umsetzung und Beleg.

Elf ausdrücklich genannte Themenrichtlinien

Das Rahmenwerk verlangt neben einer allgemeinen Informationssicherheitsrichtlinie mindestens Richtlinien zu Zugriffskontrolle, Asset Management, zulässiger Nutzung, Wechseldatenträgern, Incident Management, Lieferkette, Netzwerksicherheit, Sicherheitsaudits, Backups, Kryptografie sowie physischer und umgebungsbezogener Sicherheit.

ISO 27001 verlangt nicht unter allen Umständen elf getrennte Dokumente mit exakt diesen Überschriften. Inhaltlich ist fast alles abgedeckt, die Dokumentenarchitektur bleibt aber flexibler. In Griechenland sollte man daher prüfen, ob das eigene Richtlinienpaket die national genannten Themen erkennbar und vollständig enthält. Elf PDFs nur für die Zählmaschine zu produzieren wäre allerdings auch keine Sternstunde der Informationssicherheit.

Sicherheitsverantwortlicher mit direktem Berichtsweg

Griechenland sieht einen Verantwortlichen für die Sicherheit der Informations- und Kommunikationssysteme vor. Das nationale Rahmenwerk verlangt außerdem, dass diese Person zu Cybersicherheitsthemen direkt an das oberste Leitungsorgan berichtet.

ISO 27001 verlangt klare Rollen, Verantwortlichkeiten und Befugnisse, schreibt aber keine Rolle mit genau dieser nationalen Bezeichnung vor. Wer bereits einen ISB oder CISO hat, muss deshalb prüfen, ob Aufgaben, Bestellung und Berichtsweg die griechischen Anforderungen tatsächlich abdecken. Ein Name im Organigramm ist noch keine funktionierende Rolle.

Jährliche Schulung für Beschäftigte

Artikel 14 des Gesetzes verpflichtet die Leitungsorgane zur Schulung und verlangt, dass die Einrichtung vergleichbare Schulungen für Beschäftigte mindestens jährlich bereitstellt. ISO 27001 fordert Kompetenz und Awareness, nennt aber kein starres jährliches Intervall für alle Beschäftigten.

Das lässt sich gut in das ISMS integrieren. Wichtig ist nur, den nationalen Takt nicht im allgemeinen Awareness-Konzept zu verstecken. Und eine jährlich weitergeleitete Präsentation mit dem Betreff „Bitte lesen“ wird als Wirksamkeitsnachweis erfahrungsgemäß nur mittelprächtig altern.

Unabhängige Audits und Compliance-Überwachung

Das griechische Rahmenwerk verlangt von wesentlichen Einrichtungen regelmäßige unabhängige Audits des gesamten Sicherheitsprogramms. Die Prüfer dürfen intern oder extern sein, ihre Unparteilichkeit muss aber gewährleistet werden. Für wesentliche und wichtige Einrichtungen kommt eine regelmäßige Überwachung der regulatorischen Compliance hinzu, deren Ergebnisse der Leitung berichtet werden.

Ein funktionierendes Internes Audit nach ISO 27001 hilft enorm. Trotzdem sollte das Unternehmen ausdrücklich mappen, ob Umfang, Unabhängigkeit und Berichterstattung auch die griechische Anforderung erfüllen.

Wo ist ISO 27001 systematischer?

Das griechische Recht ist bei manchen Einzelpflichten konkreter. ISO 27001 ist dafür die bessere Betriebsanleitung für ein dauerhaft funktionierendes Managementsystem. Sie verbindet Kontext, interessierte Parteien, Scope, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, Dokumentenlenkung, Betrieb, Messung, Internes Audit, Management Review und Verbesserung.

Die Anwendbarkeitserklärung schafft beispielsweise einen systematischen Überblick über Anhang A: Was ist anwendbar, warum, wie ist es umgesetzt und welchen Status hat es? Das griechische Recht verlangt keine SoA nach ISO-Logik. Für ein belastbares Mapping ist sie trotzdem ausgesprochen nützlich.

ISO 27001 fragt zudem konsequent nach Wirksamkeit und Verbesserung. Nicht nur: „Gibt es eine Backup-Richtlinie?“ Sondern: Funktionieren die Backups, wurden Wiederherstellungen getestet, wurden Probleme behandelt und hat die Leitung das Thema auf dem Tisch?

Reicht ein ISO 27001-Zertifikat für NIS-2 in Griechenland?

Nein. Das griechische Gesetz enthält keine Abkürzung nach dem Muster: Zertifikat hochladen, Gesetz erledigt.

Ein Zertifikat kann aber ein starker Nachweis sein. Entscheidend ist zunächst sein Scope. Deckt das zertifizierte ISMS die griechische Rechtsperson, ihre relevanten Leistungen, Standorte, Systeme und Abhängigkeiten tatsächlich ab? Ein Gruppenzertifikat hilft wenig, wenn Athen darin nur als hübscher Punkt auf der Landkarte vorkommt.

Danach braucht es ein Mapping:

1. Welche griechische Anforderung wird durch welchen ISMS-Prozess und welche Controls erfüllt?
2. Welche belastbaren Nachweise gibt es dafür?
3. Welche nationalen Ergänzungen fehlen – etwa Registrierung, Meldeweg, Sicherheitsverantwortlicher, jährliche Schulung oder unabhängige Audits?
4. Wer hält diese Ergänzungen aktuell und berichtet darüber?

Genau dafür ist eine Gap-Analyse sinnvoll. Sie verhindert, dass das Unternehmen neben seinem ISMS eine zweite Compliance-Ablage errichtet, die nach sechs Monaten nur noch von dem Menschen verstanden wird, der die Excel-Datei ursprünglich angelegt hat.

Wie wird NIS-2 in Griechenland beaufsichtigt?

Die Nationale Cybersicherheitsbehörde ist die zentrale Aufsichts- und Kontrollbehörde. Wesentliche Einrichtungen können proaktiv und anlassbezogen geprüft werden. Das Gesetz nennt Vor-Ort-Prüfungen, externe Aufsicht, regelmäßige und gezielte Sicherheitsaudits, außerordentliche Prüfungen, Sicherheitsscans sowie weitreichende Anforderungen an Informationen und Nachweise.

Bei wichtigen Einrichtungen ist die Aufsicht grundsätzlich reaktiv: Die Behörde wird tätig, wenn Hinweise oder Anhaltspunkte für einen Verstoß vorliegen. Dann sind ebenfalls Prüfungen, Audits und Nachweisanforderungen möglich.

Das nationale Rahmenwerk passt dazu: Es beschreibt ausdrücklich, welche Dokumente, technischen Beobachtungen und Interviews als Nachweise herangezogen werden können. Ein ISO 27001-Zertifizierungsaudit ist damit nützlich, aber nicht dasselbe wie staatliche Aufsicht. Die Behörde ist weder an die Stichprobe des Zertifizierungsauditors noch an dessen gute Laune gebunden.

Welche Bußgelder drohen?

Bei Verstößen gegen die Risiko- und Meldepflichten können wesentliche Einrichtungen mit bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes belegt werden – maßgeblich ist der höhere Betrag.

Bei wichtigen Einrichtungen liegt der Höchstbetrag bei 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes, ebenfalls je nachdem, welcher Betrag höher ist. Für Verstöße gegen Governance-Pflichten und behördliche Anordnungen sieht das Gesetz weitere Bußgeldtatbestände vor.

Der bessere Grund für ein ISMS bleibt trotzdem nicht die Angst vor dem Bußgeld. Ein vernünftiges System soll verhindern, dass ein Incident das Unternehmen, seine Kunden oder kritische Leistungen ernsthaft trifft. Die Sanktionen sorgen lediglich dafür, dass „machen wir irgendwann nach der Saison“ kein dauerhaft tragfähiger Projektplan wird.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie die griechische Rechtsperson anhand von Tätigkeit, Größe, Konzernbeziehungen und Sondertatbeständen.
2. Registrieren Sie die betroffene Einrichtung im offiziellen NIS-2-Register der griechischen Cybersicherheitsbehörde und regeln Sie die Datenpflege.
3. Prüfen Sie, ob die griechische Einheit tatsächlich im Scope Ihres ISO 27001-Zertifikats liegt.
4. Mappen Sie Gesetz 5160/2024 und das nationale Rahmenwerk mit seinen 22 Anforderungen auf Ihr ISMS.
5. Benennen Sie den vorgesehenen Sicherheitsverantwortlichen und schaffen Sie einen direkten Berichtsweg zur Leitung.
6. Ergänzen Sie die griechischen Incident-Meldewege und Fristen in Ihrem Vorfallprozess.
7. Planen Sie jährliche Beschäftigtenschulungen und geeignete Schulung der Leitung mit Nachweisen ein.
8. Prüfen Sie Richtlinienpaket, unabhängige Audits und Compliance-Überwachung gegen die nationalen Details.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Griechenland betreiben oder Ihr bestehendes ISMS gegen das griechische NIS-2-Recht prüfen möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.