NIS-2 in Lettland und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe betreibt eine Tochtergesellschaft in Riga. Das gemeinsame ISMS ist nach ISO 27001 zertifiziert. Als jemand fragt, ob die lettische Gesellschaft unter das dortige NIS-2-Recht fällt, lautet die spontane Antwort: „Wir haben doch das Zertifikat. Dann kreuzen wir bei der Selbstauskunft einfach überall Ja an.“

Das ist schön entschlossen. Es ist nur leider keine Selbstauskunft, sondern eher eine Glaubensfrage mit Ankreuzkästchen.

Lettland möchte unter anderem wissen, ob sich das Unternehmen registriert hat, wer als Cybersecurity Manager benannt ist, welche ICT-Ressourcen und Systeme vorhanden sind, in welche Sicherheitsklasse sie fallen und ob die konkret geforderten Maßnahmen wirklich umgesetzt sind. Das Zertifikat hilft dabei erheblich. Es füllt das lettische Formular aber nicht nachts heimlich aus.

Die kurze Antwort

ISO 27001 und das lettische NIS-2-Recht passen fachlich gut zusammen. Beide verlangen ein risikobasiertes Sicherheitsmanagement mit Verantwortlichkeiten, Richtlinien, Incident Management, Business Continuity, Lieferantensicherheit, Schulungen, technischen Maßnahmen und Wirksamkeitskontrolle.

Lettland wird jedoch an mehreren Stellen genauer. Das Nationale Cybersicherheitsgesetz – lettisch Nacionālās kiberdrošības likums, kurz NKDL – und die Kabinettsverordnung Nr. 397 über Mindestanforderungen an die Cybersicherheit verlangen beispielsweise:

• eine Selbsteinschätzung, ob das Unternehmen betroffen ist,
• die Registrierung als wesentlicher oder wichtiger Diensteanbieter,
• einen benannten Cybersecurity Manager,
• ein Verzeichnis der ICT-Ressourcen und Informationssysteme,
• die Klassifizierung von Systemen in A, B oder C,
• konkrete Regeln und teilweise feste Intervalle für Kontrollen,
• wiederkehrende Selbstauskunftsberichte,
• gesetzliche Incident-Meldungen,
• und gegebenenfalls behördlich veranlasste Compliance-Audits.

Die Kurzform: Ein ISO 27001-ISMS kann das Betriebssystem für die lettische Umsetzung sein. Das Zertifikat allein ist aber kein lettischer Freifahrtschein.

Wie hat Lettland NIS-2 umgesetzt?

Das lettische Nationale Cybersicherheitsgesetz gilt seit dem 1. September 2024. Es setzt NIS-2 um und unterscheidet insbesondere zwischen wesentlichen und wichtigen Diensteanbietern sowie Eigentümern beziehungsweise rechtmäßigen Besitzern kritischer ICT-Infrastruktur.

Für die praktische Umsetzung ist außerdem die Kabinettsverordnung Nr. 397 entscheidend. Sie gilt seit dem 2. Juli 2025 und enthält die Mindestanforderungen: von Governance und Dokumentation über Risikomanagement, Systemklassen und Backups bis zu Lieferanten, Schulungen, Selbstauskunft und Audits.

Der Rechtsstand ist in Bewegung. Am 18. Juni 2026 sind Änderungen des Gesetzes in Kraft getreten. Sie präzisieren den Kreis der Betroffenen, reduzieren einzelne bürokratische Pflichten und führen zusätzliche Anforderungen an die Personalsicherheit für Beschäftigte mit privilegierten Zugriffen ein. Zum 1. Oktober 2026 tritt eine weitere Erweiterung für bestimmte für die nationale Sicherheit bedeutsame Organisationen in Kraft.

Wer in Lettland tätig ist, sollte deshalb nicht nur nachsehen, was irgendwann 2024 in einer Präsentation stand. Maßgeblich sind das aktuelle Gesetz, die aktuelle Verordnung und die eigene Einordnung.

Wer fällt in Lettland unter NIS-2?

Betroffen sein können öffentliche und private Organisationen aus den NIS-2-Sektoren. Dazu gehören unter anderem Energie, Verkehr, Banken und Finanzmarktinfrastrukturen, Gesundheit, Wasser, digitale Infrastruktur, ICT-Dienstleister, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, bestimmte Hersteller, Online-Dienste und Forschung.

Tätigkeit und Größe spielen eine wichtige Rolle. Daneben gibt es besondere Tatbestände, etwa für kritische Infrastruktur oder Organisationen, deren Ausfall erhebliche Auswirkungen hätte. Die bloße Feststellung „Wir sind ja nur die kleine lettische Tochter“ ist keine Betroffenheitsanalyse. Manchmal sitzt in der kleinen Tochter genau der Dienst, von dem die ganze Gruppe abhängt.

Lettland setzt zunächst auf Selbsteinordnung. Nach den Hinweisen des National Cyber Security Centre muss jede in Lettland tätige oder dort Dienste anbietende Organisation prüfen, ob sie unter das Gesetz fällt. Betroffene Unternehmen melden ihren Status und übermitteln unter anderem Grunddaten, Tätigkeiten, Kontaktinformationen, Länderbezug und IP-Adressbereiche.

Die ursprüngliche Registrierungsfrist war der 1. April 2025. Wer erst später in den Anwendungsbereich fällt oder feststellt, dass die damalige Einordnung etwas optimistisch war, sollte nicht auf eine neue historische Frist warten. Dann ist die aktuelle Meldepflicht zu klären.

Das Mapping: Lettland und ISO 27001 auf einen Blick

Wo passen Lettland und ISO 27001 besonders gut zusammen?

Risikomanagement und dokumentierte Steuerung

Lettland verlangt angemessene und verhältnismäßige technische und organisatorische Maßnahmen zur Beherrschung von Cyberrisiken. Das passt sehr gut zum Risikomanagement nach ISO 27001: Risiken identifizieren, bewerten, behandeln, Verantwortliche bestimmen und später nachsehen, ob die Behandlung tatsächlich funktioniert.

Auch Richtlinien, Rollen, Freigaben und Nachweise sind kein Fremdkörper. Ein sauber gelenktes ISMS liefert bereits viele der Informationen, die Lettland sehen möchte. Nur muss das Mapping ausdrücklich zeigen, welche lettische Pflicht wo erfüllt wird. „Steht bestimmt irgendwo in unserer Informationssicherheitsrichtlinie“ ist kein Mapping. Das ist eine Schatzsuche ohne Karte.

Asset Management und Systemklassifizierung

Die Verordnung verlangt ein Verzeichnis der ICT-Ressourcen und Informationssysteme. Jedes System wird anhand seiner Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit einer Klasse A, B oder C zugeordnet. Daraus ergeben sich unterschiedliche Anforderungen.

Wer bereits ein belastbares Asset Management betreibt, hat eine gute Grundlage. Das Verzeichnis muss aber lettische Systeme, Abhängigkeiten und Klassifizierungsmerkmale vollständig erfassen. Eine Assetliste, in der „Cloud“ eine einzelne Zeile ist und darunter das ganze Unternehmen verschwindet, wird auch in Riga nicht plötzlich präzise.

Lieferanten und ausgelagerte Dienste

Die lettischen Anforderungen an Outsourcing sind ausgesprochen praktisch. Verträge sollen unter anderem Sicherheitsanforderungen, Zugriffs- und Protokollierungsrechte, Incident-Meldungen, den Einsatz von Unterauftragnehmern, Vertraulichkeit, Tests, Datenrückgabe beziehungsweise -löschung und eine Exit-Strategie regeln.

Das passt sehr gut zu sicherheitsbezogenem Lieferantenmanagement nach Anhang A.5.19 bis A.5.23. ISO 27001 liefert die Methode. Lettland legt an mehreren Stellen noch einen konkreten Einkaufszettel daneben.

Incident Management und Business Continuity

Ein wirksames Informationssicherheitsvorfall-Management braucht Erkennung, Bewertung, Eskalation, Reaktion, Kommunikation und Lernen. Lettland ergänzt den Behördenweg: Für erhebliche Incidents nennt CERT.LV grundsätzlich eine Frühwarnung innerhalb von 24 Stunden, den ersten Bericht innerhalb von 72 Stunden und den Abschlussbericht innerhalb eines Monats. Ist der Incident dann noch nicht gelöst, kommt zunächst ein Fortschrittsbericht.

Auch Business Continuity Management passt fachlich gut. Die lettische Verordnung erwartet je nach Betroffenheit und Systemklasse einen Cyberrisiko- und Kontinuitätsplan. Darin spielen Wiederanlaufziel, maximal tolerierbarer Datenverlust und maximal tolerierbare Ausfallzeit eine konkrete Rolle. Wer RPO, RTO und Ausfalltoleranz bisher nur als drei Buchstaben auf einer Folie kannte, muss daraus nun Arbeitsfähigkeit machen.

Wo ist Lettland genauer als ISO 27001?

Ein Cybersecurity Manager mit echten Aufgaben

Betroffene Organisationen müssen einen Cybersecurity Manager benennen. Die Rolle organisiert die Cybersicherheit, koordiniert Tests und Verbesserungen, nimmt an vorgesehenen Schulungen teil und sorgt für die regelmäßige Unterweisung der Beschäftigten. Änderungen bei der benannten Person sind kurzfristig zu melden.

Das erinnert an die in Deutschland übliche Rolle des Informationssicherheitsbeauftragten. ISO 27001 schreibt diese Stellenbezeichnung jedoch nicht vor. Lettland tut es wesentlich konkreter. Bei kritischer ICT-Infrastruktur gelten noch strengere Anforderungen an Qualifikation und Zuverlässigkeit.

A, B oder C statt nur „kritisch irgendwie“

ISO 27001 verlangt risikobasiertes Vorgehen, aber keine weltweit einheitlichen Systemklassen. Lettland klassifiziert Informationssysteme anhand der Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit in A, B oder C. Daran hängen weitere Anforderungen und Prüfintervalle.

Das ist nützlich, weil die Klassifizierung technische Konsequenzen bekommt. Es reicht nicht, ein System im Workshop feierlich „sehr kritisch“ zu nennen und es danach wieder genauso zu behandeln wie den Speiseplan im Intranet.

Konkrete Intervalle und technische Mindestmaßnahmen

Die Verordnung enthält feste oder klassenspezifische Anforderungen, etwa für Reviews, Schulungen, Wiederherstellungstests, Penetrationstests und Selbstauskünfte. Beispielsweise sind Backups von A-Systemen mindestens halbjährlich und von B-Systemen mindestens jährlich zu testen. A-Systeme sind vor der Produktivsetzung und danach grundsätzlich mindestens alle drei Jahre einem Penetrationstest zu unterziehen.

ISO 27001 schreibt viele dieser Themen ebenfalls vor, lässt Frequenz und Tiefe aber stärker aus Risiken und Kontext ableiten. In Lettland muss das ISMS deshalb beides können: risikobasiert denken und gesetzliche Mindestintervalle zuverlässig im Kalender behalten.

Selbstauskunft statt Zertifikat hochhalten

Betroffene Organisationen reichen wiederkehrend einen Compliance-Selbstauskunftsbericht ein. Für Eigentümer kritischer Infrastruktur und Organisationen mit mindestens einem A-System gilt grundsätzlich ein jährlicher Rhythmus; ohne A-System sieht die Verordnung grundsätzlich einen Drei-Jahres-Rhythmus vor, sofern die Aufsicht nichts anderes verlangt.

Das ist keine kleine Kopie des ISO-Zertifikats. Die Selbstauskunft bezieht sich auf das lettische Gesetz und seine Verordnung. Wer sie unterschreibt, sollte wissen, worauf sich jedes Ja stützt.

Personalsicherheit seit Juni 2026

Die Gesetzesänderung von Juni 2026 enthält zusätzliche Regeln für Beschäftigte mit privilegierten Zugriffsrechten auf Systeme oder ICT-Ressourcen, die die Kerntätigkeit unmittelbar beeinflussen. Das Unternehmen muss die damit verbundenen Sicherheitsrisiken bewerten und darf für bestimmte Zuverlässigkeitsprüfungen Informationen aus dem Strafregister anfordern.

Anhang A.6 der ISO 27001 enthält Personalsicherheit und Überprüfungen. Die konkrete lettische Rechtsgrundlage, Abwägung und Dokumentation muss dennoch national sauber umgesetzt werden. Das ist spätestens der Punkt, an dem Informationssicherheit und Datenschutz gemeinsam an einen Tisch gehören.

Wo ist ISO 27001 systematischer?

Lettland ist bei nationaler Organisation, Fristen und technischen Details konkreter. ISO 27001 beschreibt dafür vollständiger, wie aus all diesen Einzelpflichten ein dauerhaft steuerbares Managementsystem wird.

Die Norm verbindet Kontext, interessierte Parteien, Scope, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, dokumentierte Information, Betrieb, Messung, Internes Audit, Management Review, Korrekturmaßnahmen und fortlaufende Verbesserung. Die lettische Checkliste sagt Ihnen an vielen Stellen sehr genau, was vorhanden sein muss. Das ISMS sorgt dafür, dass diese Dinge nicht als lose Sammlung von Word-Dateien im Ordner „NIS2 final neu wirklich final“ enden.

Besonders wertvoll ist die Anwendbarkeitserklärung. Sie kann gemeinsam mit einem Compliance-Mapping zeigen, welche Controls aus Anhang A und welche internen Prozesse welche lettischen Pflichten erfüllen. Hinzu kommt die Wirksamkeitsprüfung: Nicht nur „Haben wir ein Backup?“, sondern „Konnten wir es wiederherstellen, und zwar rechtzeitig?“

Reicht ein ISO 27001-Zertifikat für NIS-2 in Lettland?

Nein. Es gibt keine allgemeine Regel, nach der ein ISO 27001-Zertifikat die lettischen gesetzlichen Pflichten ersetzt.

Es ist trotzdem eine sehr gute Grundlage. Entscheidend ist zunächst der Scope: Sind die lettische Gesellschaft, ihre betroffenen Tätigkeiten, Standorte, Systeme und Dienstleister tatsächlich vom zertifizierten ISMS erfasst? Danach braucht es ein Mapping:

1. Welche lettische Pflicht gilt für welche Gesellschaft und Tätigkeit?
2. Welcher ISMS-Prozess und welche Controls erfüllen sie?
3. Welche Nachweise zeigen Umsetzung und Wirksamkeit?
4. Welche A/B/C-Klassifizierung gilt für welches System?
5. Welche nationalen Fristen, Formulare oder Meldewege fehlen?
6. Wer hält Registrierung, Selbstauskunft und Behördenkommunikation aktuell?

So entsteht kein zweites ISMS für Lettland. Es entsteht ein gemeinsames ISMS mit einer lettischen Compliance-Schicht. Das ist erheblich wirtschaftlicher als zwei Sicherheitsmanagementsysteme, die sich gegenseitig E-Mails schicken und trotzdem unterschiedliche Assetlisten führen.

Wie wird NIS-2 in Lettland geprüft?

Zentrale Aufsicht ist das National Cyber Security Centre beim Verteidigungsministerium. Für kritische ICT-Infrastruktur übernimmt das Constitution Protection Bureau, lettisch Satversmes aizsardzības birojs oder kurz SAB, besondere Aufsichtsfunktionen. CERT.LV beziehungsweise in bestimmten Fällen MilCERT unterstützen bei Incidents.

Die Aufsicht erhält Selbstauskunftsberichte und kann Informationen oder Nachweise anfordern. Nach Artikel 44 des Gesetzes kann sie bei Verdacht auf Verstöße oder bei festgestellten Verstößen selbst ein Compliance-Audit durchführen oder ein externes Audit anordnen. Das ist wichtig: Lettland verlangt nicht pauschal von jedem betroffenen Unternehmen alle drei Jahre ein externes Gesetzesaudit. Ein solches Audit ist ein Aufsichtsinstrument für konkrete Anlässe.

Der externe Auditor muss unabhängig und passend qualifiziert sein. Die Verordnung nennt als mögliche Kompetenznachweise unter anderem CISA, CISSP oder ISO/IEC 27001 Lead Auditor. Daraus folgt aber nicht, dass jedes ISO 27001-Zertifizierungsaudit automatisch ein lettisches Compliance-Audit ist. Qualifikation des Auditors und Anerkennung des Zertifikats sind zwei verschiedene Schubladen.

Welche Sanktionen drohen in Lettland?

Das Gesetz ermöglicht Anordnungen, Zwangsmaßnahmen und erhebliche Geldbußen. Für wesentliche Diensteanbieter liegt die gesetzliche Obergrenze grundsätzlich bei zehn Millionen Euro; übersteigt der Nettojahresumsatz 500 Millionen Euro, kann die Grenze bei zwei Prozent des Nettojahresumsatzes liegen. Für wichtige Diensteanbieter sind es grundsätzlich bis zu sieben Millionen Euro beziehungsweise bei einem Nettojahresumsatz über 500 Millionen Euro bis zu 1,4 Prozent.

Diese lettische Formulierung ist etwas spezieller als das häufig wiederholte NIS-2-Kurzreferat „Prozent oder Millionenbetrag, je nachdem, was höher ist“. Für konkrete Sanktionsfragen lohnt sich deshalb der Blick in die aktuelle nationale Vorschrift – und nicht in die Erinnerung an irgendein Webinar.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie die lettische Gesellschaft anhand von Tätigkeit, Größe und besonderen Kriterien.
2. Klären Sie Registrierung, zuständige Aufsicht und aktuelle Kontaktdaten.
3. Mappen Sie Gesetz und Verordnung Nr. 397 auf das vorhandene ISMS.
4. Benennen Sie einen geeigneten Cybersecurity Manager und regeln Sie Aufgaben, Vertretung und Berichtslinie.
5. Vervollständigen Sie ICT-Verzeichnis und A/B/C-Klassifizierung.
6. Ergänzen Sie gesetzliche Mindestintervalle für Reviews, Schulungen, Backuptests und Penetrationstests.
7. Testen Sie 24-/72-Stunden-Meldewege und Behördenkommunikation praktisch.
8. Planen Sie Selbstauskunft, Freigabe und Nachweise rechtzeitig.
9. Prüfen Sie die seit Juni 2026 geltenden Personalsicherheitsanforderungen.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Lettland betreiben oder ein bestehendes ISMS gegen das lettische NIS-2-Recht prüfen möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.