NIS-2 in Irland und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe betreibt eine große irische Gesellschaft. Das gemeinsame ISMS ist nach ISO 27001 zertifiziert. Im Compliance-Meeting sagt jemand: „Irland hat NIS-2 noch gar nicht umgesetzt. Dann müssen wir dort im Moment auch nichts vorbereiten.“

Das ist ungefähr so, als würde man den Regenschirm erst kaufen, wenn man bereits mitten im irischen Regen steht. Der Regen ist dann zwar sehr aktuell. Die Beschaffungslage aber unnötig ungemütlich.

Irland ist in unserer EU-Serie ein Sonderfall: Stand August 2026 ist der geplante National Cyber Security Bill noch nicht als Gesetz verabschiedet. Das irische NCSC veröffentlicht trotzdem bereits Leitlinien und Vorbereitungsinstrumente. Unternehmen kennen also die europäische Richtung und einen erheblichen Teil der erwarteten nationalen Ausgestaltung – auch wenn die endgültige Gesetzesfassung, Starttermine und Registrierung noch ausstehen.

Die kurze Antwort

ISO 27001 deckt die voraussichtlichen irischen NIS-2-Sicherheitsanforderungen fachlich sehr gut ab:

• Verantwortung der Leitung,
• systematisches Risikomanagement,
• Incident Management und Business Continuity,
• Lieferketten- und Dienstleistersicherheit,
• sichere Entwicklung und Schwachstellenmanagement,
• Kryptographie, Zugriffsschutz und Asset Management,
• Kompetenz, Awareness und Wirksamkeitsprüfung,
• Internes Audit, Management Review und Verbesserung.

Aber: Irland hat NIS-2 noch nicht vollständig umgesetzt. Maßgeblich sind derzeit der EU-Rahmen, das General Scheme of the National Cyber Security Bill 2024, die laufende Gesetzgebung und vorbereitende NCSC-Leitlinien. Registrierung und NIS-2-Meldeportal sind nach den öffentlich verfügbaren NCSC-Informationen noch nicht aktiv.

Die Kurzform: ISO 27001 ist eine ausgezeichnete Vorbereitung. Welche irischen Zusatzpflichten endgültig gelten, entscheidet erst das verabschiedete Gesetz samt nachgelagerten Vorgaben.

Wie ist der Stand der NIS-2-Umsetzung in Irland?

Die irische Regierung hat 2024 das General Scheme of the National Cyber Security Bill veröffentlicht. Der Bill soll NIS-2 umsetzen und das National Cyber Security Centre – NCSC auf eine gesetzliche Grundlage stellen.

Die Frist zur Umsetzung der Richtlinie endete am 17. Oktober 2024. Irland hat sie verpasst. Im Februar 2026 schloss der zuständige Parlamentsausschuss seine Vorprüfung des Entwurfs ab. Im Regierungsprogramm für Frühjahr 2026 wurde der National Cyber Security Bill weiterhin als prioritär zu veröffentlichendes Gesetzesvorhaben geführt. Öffentlich auffindbar war bis August 2026 aber noch kein verabschiedeter National Cyber Security Act.

Das NCSC weist selbst darauf hin, dass Registrierung und Meldeportale erst nach Umsetzung der Richtlinie in irisches Recht starten. Die alte NIS-1-Regelung gilt für bereits benannte Operators of Essential Services zunächst weiter.

Das macht den Artikel zwangsläufig zeitabhängig. Sobald das Gesetz verabschiedet wird, müssen Betroffenheit, Fristen, Behördenzuständigkeiten und Details gegen die Endfassung geprüft werden.

Wer wird in Irland voraussichtlich unter NIS-2 fallen?

Der geplante Rechtsrahmen folgt den NIS-2-Sektoren und unterscheidet wesentliche und wichtige Einrichtungen. Erfasst werden voraussichtlich unter anderem:

• Energie, Verkehr, Banken und Finanzmarktinfrastrukturen,
• Gesundheit, Trinkwasser und Abwasser,
• digitale Infrastruktur, Cloud, Rechenzentren und Managed Services,
• öffentliche Verwaltung und Weltraum,
• Post, Abfall, Chemie und Lebensmittel,
• bestimmte Hersteller,
• Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Forschung.

Größe und Tätigkeit spielen eine zentrale Rolle. Bestimmte Anbieter können unabhängig von ihrer Größe erfasst sein. Auch besonders kritische oder alleinige Anbieter können einbezogen werden.

Das irische Modell sieht mehrere sektorspezifische zuständige Behörden vor. Das NCSC soll zentrale Koordinierungs-, Sicherheits- und Incident-Funktionen übernehmen. Für Unternehmen mit mehreren Tätigkeiten ist deshalb nicht nur die Frage „Sind wir betroffen?“ wichtig, sondern auch: „Mit welchem Dienst sind wir bei welcher Behörde betroffen?“

Das Mapping: Irland und ISO 27001 auf einen Blick

Der linke Teil der Tabelle beschreibt bewusst den erwarteten Rechtsrahmen. Bis das Gesetz verabschiedet ist, darf aus einem General Scheme keine erfundene geltende Pflicht werden. Ein Entwurf ist ein ziemlich ernst gemeinter Plan – aber eben noch kein Gesetz.

Wo passen Irland und ISO 27001 besonders gut zusammen?

Risikomanagement und die irischen RMM

Das NCSC hat bereits einen Entwurf für Risk Management Measures – RMM veröffentlicht. Er beschreibt, welche Maßnahmen aus Sicht des NCSC mindestens erforderlich sein sollen. Daneben steht das irische Cyber Fundamentals Framework – CyFun, das Unternehmen einen gestuften Weg zu besserer Cybersicherheit geben soll.

Das passt sehr gut zum Risikomanagement nach ISO 27001. ISO 27001 liefert Managementsystem, Risikoanalyse, Risikobehandlung, Ziele, Verantwortlichkeiten und Wirksamkeitskontrolle. RMM beziehungsweise CyFun können als zusätzliche irische Erwartungsschicht gemappt werden.

Ein belastbares Asset Management ist dafür unverzichtbar. Ohne Systeme, Informationen, Prozesse und Abhängigkeiten kann man sehr überzeugend über Cyberrisiken sprechen und trotzdem nicht sagen, was eigentlich ausfallen könnte.

Lieferanten und internationale Konzernstrukturen

NIS-2 verlangt Lieferkettensicherheit. ISO 27001 bietet mit Anhang A.5.19 bis A.5.23 ein gutes Gerüst für sicherheitsbezogenes Lieferantenmanagement.

Gerade Irland beherbergt viele europäische Gesellschaften internationaler Technologie- und Dienstleistungskonzerne. Das macht Abhängigkeiten nicht kleiner, sondern oft interessanter: Ein Dienst wird in Irland erbracht, in Deutschland gesteuert, in den USA entwickelt und aus drei Clouds geliefert. In der Lieferantenliste steht trotzdem gern nur „Konzern-IT“.

Incident Management und Business Continuity

Ein funktionierendes Informationssicherheitsvorfall-Management deckt Erkennung, Bewertung, Eskalation, Reaktion und Kommunikation ab. Business Continuity Management ergänzt die Aufrechterhaltung und Wiederherstellung kritischer Leistungen.

Der geplante irische Rahmen folgt voraussichtlich dem NIS-2-Meldemodell: Frühwarnung binnen 24 Stunden, ausführlichere Meldung binnen 72 Stunden und später ein Abschlussbericht. Die endgültigen Meldewege, Portale und Zuständigkeiten hängen jedoch vom Gesetz und seiner Umsetzung ab.

Wo wird Irland voraussichtlich genauer als ISO 27001?

Registrierung und mehrere zuständige Behörden

ISO 27001 kennt weder ein irisches NIS-2-Register noch sektorspezifische Behördenzuständigkeiten. Das geplante System soll betroffene Einrichtungen erfassen und Angaben zu Unternehmen, Kontakt, Sektor, Diensten und technischen Bereichen erhalten.

Das NCSC will dafür ein Portal bereitstellen. Nach aktueller NCSC-FAQ besteht bis zur gesetzlichen Umsetzung noch keine NIS-2-Registrierungspflicht. Nach Inkrafttreten dürften neue Termine veröffentlicht werden. Unternehmen sollten dann nicht noch drei Monate darüber beraten, wer das Formular ausfüllen darf.

Nationale Mindestmaßnahmen

ISO 27001 bleibt risikobasiert und technikneutral. Die irischen RMM werden voraussichtlich konkreter beschreiben, welche Governance-, Schutz-, Erkennungs-, Reaktions- und Wiederherstellungsmaßnahmen erwartet werden.

Ein zertifiziertes Unternehmen sollte daher nicht fragen: „Haben wir ISO?“, sondern: „Welche irische Maßnahme erfüllen wir womit, und wo ist der Nachweis?“

NCSC auf gesetzlicher Grundlage

Der Bill soll das NCSC erstmals umfassend gesetzlich verankern und ihm zusätzliche Aufsichts-, Informations- und Scanbefugnisse geben. Dazu gehören nach dem General Scheme auch Möglichkeiten, auf Wunsch proaktiv nach besonders relevanten Schwachstellen zu scannen.

ISO 27001 kennt keine nationale Cybersicherheitsbehörde. Das ISMS muss deshalb Prozesse für behördliche Kommunikation, Auskünfte, Prüfungen und Maßnahmen enthalten.

Wo ist ISO 27001 systematischer?

Der geplante irische Rahmen konzentriert sich auf Cyberrisiken, Mindestmaßnahmen, Incident-Meldungen, Registrierung und Aufsicht. ISO 27001 beschreibt umfassender, wie daraus ein dauerhaft gesteuertes Managementsystem wird.

Die Norm verbindet Kontext, interessierte Parteien, Scope, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, dokumentierte Information, Betrieb, Messung, Internes Audit, Management Review, Korrekturmaßnahmen und fortlaufende Verbesserung.

Besonders nützlich sind Anwendbarkeitserklärung und Wirksamkeitsprüfung. Sie machen sichtbar, welche Controls gelten, wie sie umgesetzt sind und ob sie tatsächlich funktionieren. Das wird auch bei irischen RMM-Nachweisen helfen. Ein grünes Häkchen ist schließlich noch kein Sicherheitsmechanismus. Es ist zunächst nur sehr kleines farbiges Vertrauen.

Reicht ein ISO 27001-Zertifikat für NIS-2 in Irland?

Nein. Schon deshalb nicht, weil das endgültige irische Gesetz zusätzliche nationale Registrierung, Meldewege, Behördenzuständigkeiten und Nachweise festlegen wird.

Das Zertifikat ist dennoch eine hervorragende Vorbereitung, wenn der Scope stimmt. Die irische Gesellschaft, ihre betroffenen Dienste, Standorte, Systeme und Abhängigkeiten müssen tatsächlich erfasst sein. Danach braucht es ein lebendes Mapping:

1. Welche NIS-2-Pflicht ist bereits durch welchen ISMS-Prozess abgedeckt?
2. Welche RMM- oder CyFun-Anforderung kommt zusätzlich hinzu?
3. Welche Nachweise zeigen Umsetzung und Wirksamkeit?
4. Welche Gesellschaft und welcher Dienst werden voraussichtlich registrierungspflichtig?
5. Welche sektorspezifische Behörde wird zuständig?
6. Was muss nach Verabschiedung des Gesetzes aktualisiert werden?

Wie wird NIS-2 in Irland geprüft werden?

Der geplante Ansatz folgt der NIS-2-Systematik: Wesentliche Einrichtungen sollen einer proaktiveren Aufsicht unterliegen. Bei wichtigen Einrichtungen soll die Behörde typischerweise ex post tätig werden, wenn Hinweise oder Verdachtsmomente vorliegen.

Mögliche Instrumente umfassen Informationsanforderungen, Vor-Ort- und Fernprüfungen, Security Scans, Audits, Anordnungen und weitere Durchsetzungsmaßnahmen. Das NCSC soll zentrale Aufgaben übernehmen; daneben sind sektorspezifische Behörden vorgesehen.

Ein ISO 27001-Audit kann starke Nachweise liefern. Es wird aber nicht automatisch gegen das zukünftige irische Gesetz, RMM und individuelle Behördenvorgaben prüfen. Das muss ausdrücklich in Auditkriterien und Scope aufgenommen werden.

Welche Sanktionen sind vorgesehen?

Das General Scheme orientiert sich am NIS-2-Rahmen: Für wesentliche Einrichtungen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu sieben Millionen Euro oder 1,4 Prozent – jeweils nach dem einschlägigen Mechanismus.

Auch weitergehende Anordnungen bis hin zu Eingriffen in Genehmigungen sind im Entwurf vorgesehen. Die endgültige irische Regelung ist jedoch erst nach Verabschiedung belastbar. Wer heute bereits die genaue Paragraphennummer in seine Richtlinie schreibt, produziert möglicherweise sehr ordentlich gelenkte historische Literatur.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie die irische Gesellschaft anhand der NIS-2-Sektoren und Größenkriterien.
2. Erfassen Sie betroffene Dienste, Systeme, Standorte und Abhängigkeiten.
3. Mappen Sie ISO 27001 auf den NIS-2-Katalog und die NCSC-RMM.
4. Nutzen Sie CyFun bei Bedarf als ergänzende Reifegrad- und Umsetzungsstruktur.
5. Testen Sie Incident-Eskalation und 24-/72-Stunden-Meldefähigkeit.
6. Bestimmen Sie Verantwortliche für Gesetzesmonitoring, Registrierung und Behördenkontakte.
7. Prüfen Sie unmittelbar nach Verabschiedung des Gesetzes Fristen und Endfassung.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Irland betreiben oder Ihr bestehendes ISMS auf den kommenden irischen NIS-2-Rahmen vorbereiten möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.