NIS-2 in Litauen und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe betreibt eine Gesellschaft in Vilnius. Das gemeinsame ISMS ist nach ISO 27001 zertifiziert. Als die litauische Tochter ins Register der Cybersecurity Entities aufgenommen wird, sagt jemand: „Wunderbar. Dann schicken wir denen einfach das Zertifikat und sind durch.“

Eine Woche später stellt sich heraus: Litauen möchte einen Cybersecurity Manager mit nachweisbarer Qualifikation, Richtliniendaten im staatlichen KSIS, regelmäßige Schulungen, konkrete technische Kontrollen, Incident-Meldungen und spätestens nach drei Jahren ein unabhängiges Cybersecurity Audit.

Das Zertifikat ist immer noch ausgesprochen nützlich. Es hat sich nur geweigert, nebenbei Litauisch zu lernen und die gesetzlichen Termine selbst in den Kalender einzutragen.

Litauen hat NIS-2 früh umgesetzt. Das aktualisierte Cybersecurity Law gilt seit dem 18. Oktober 2024. Daneben stehen der Cybersecurity Requirements Description – KSRA, der nationale Incident-Management-Plan und weitere Ausführungsregeln. Das Ergebnis ist ein System, das fachlich sehr gut zu ISO 27001 passt, an mehreren Stellen aber wesentlich konkreter wird.

Die kurze Antwort

ISO 27001 deckt einen großen Teil des in Litauen verlangten Sicherheitsmanagements ab:

• Leitung, Verantwortlichkeiten und Ressourcen,
• systematisches Risikomanagement,
• Richtlinien und dokumentierte Prozesse,
• Lieferanten- und Lieferkettensicherheit,
• Incident Management und Business Continuity,
• technische und physische Schutzmaßnahmen,
• Kompetenz, Schulung und Wirksamkeitskontrolle,
• Interne Audits, Management Review und Verbesserung.

Litauen ergänzt dieses Gerüst um nationale Detailanforderungen. Dazu gehören die Aufnahme ins KSS-Register, Fristen von zwölf beziehungsweise 24 Monaten für die Umsetzung, ein gesetzlich vorgesehener Cybersecurity Manager, wiederkehrende Schulungen, Datenpflege im Cybersecurity Information System KSIS, konkrete Meldekriterien, ein unabhängiges Audit und Aufsicht durch das National Cyber Security Centre NKSC.

Die Kurzform lautet: ISO 27001 kann das zentrale Managementsystem für die litauische Umsetzung sein. Die litauischen Zusatzpflichten müssen trotzdem sichtbar hineingebaut werden.

Wie hat Litauen NIS-2 umgesetzt?

Litauen hat die Richtlinie mit dem aktualisierten Cybersecurity Law umgesetzt. Es trat am 18. Oktober 2024 in Kraft und unterscheidet zwischen wesentlichen und wichtigen Cybersecurity Entities.

Das Gesetz steht nicht allein. Für die praktische Umsetzung sind insbesondere wichtig:

• das Cybersecurity Law – litauisch KSĮ,
• die Cybersecurity Requirements Description – KSRA,
• der nationale Cyber Incident Management Plan,
• die Methode zur Identifikation von Einrichtungen anhand besonderer Kriterien,
• die Regeln für Aufsicht und Durchsetzungsmaßnahmen,
• für bestimmte digitale Anbieter die unmittelbar geltende EU-Durchführungsverordnung 2024/2690.

Wer betroffen ist, sollte deshalb nicht nur einen hübschen Ausdruck der NIS-2-Richtlinie auf den Tisch legen. Die eigentliche Handarbeit steckt in den litauischen Ausführungsregeln. Dort stehen beispielsweise Umsetzungsfristen, Auditvorgaben, Dokumentationspflichten und technische Mindestanforderungen.

Wer fällt in Litauen unter NIS-2?

Erfasst werden wesentliche und wichtige Einrichtungen aus den in den beiden gesetzlichen Anhängen genannten Sektoren. Entscheidend sind Tätigkeit, Größe und gegebenenfalls besondere Kriterien. Zu den betroffenen Bereichen gehören unter anderem:

• Energie, Verkehr, Banken und Finanzmarktinfrastrukturen,
• Gesundheit, Trinkwasser und Abwasser,
• digitale Infrastruktur, Cloud, Rechenzentren, Managed Services und Cybersecurity Services,
• öffentliche Verwaltung und Weltraum,
• Post, Abfall, Chemie und Lebensmittel,
• bestimmte Hersteller,
• Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Forschung.

Die Identifikation erfolgt in Litauen nicht nur durch eine Selbsteinschätzung des Unternehmens. Das NKSC wertet Daten aus Registern, Informationssystemen, Behörden und von den Unternehmen selbst aus und nimmt betroffene Organisationen in das Register of Cybersecurity Entities – KSS-Register auf.

Nach der offiziellen FAQ des NKSC ist die Aufnahme ins Register der praktische Auslöser für zahlreiche Umsetzungsfristen. Wer nicht im Register steht, muss die entsprechenden NIS-2-Anforderungen derzeit grundsätzlich nicht erfüllen. Das Register wird aber fortlaufend überprüft. „Wir haben keine Post bekommen“ ist deshalb eher eine Momentaufnahme als eine ewige Rechtsposition.

Auch Lieferanten können indirekt oder über besondere Kriterien betroffen sein. Litauen schaut ausdrücklich auf die Lieferkette. Unternehmen, die wesentliche Dienste langfristig beeinflussen, können dadurch selbst näher an den gesetzlichen Anwendungsbereich rücken.

Das Mapping: Litauen und ISO 27001 auf einen Blick

Wo passen Litauen und ISO 27001 besonders gut zusammen?

Risikomanagement mit ziemlich konkretem Nachweis

Litauen verlangt Cybersecurity-Risikobewertung und einen Risikomanagementplan. Das passt hervorragend zum Risikomanagement nach ISO 27001.

Ein belastbares Asset Management zeigt, welche Prozesse, Informationen, Systeme, Standorte, Personen und Dienstleister betrachtet werden müssen. Risiken lassen sich danach nachvollziehbar bewerten und behandeln.

Litauen bleibt allerdings nicht bei „Wir haben da irgendwo eine Exceldatei“. Im KSIS müssen Genehmigungsdaten der Risikobewertung und des Risikomanagementplans sowie zusammengefasste Ergebnisse erfasst werden: identifizierte Bedrohungen, Wahrscheinlichkeit, Auswirkungen, Risikoniveaus und Maßnahmen. Die Unterlagen sind mindestens drei Jahre aufzubewahren und bei einer Prüfung bereitzustellen.

Das ist kein Widerspruch zu ISO 27001. Es ist eine nationale Berichtsschicht auf einem hoffentlich funktionierenden Risikoprozess.

Lieferkettensicherheit wird ernst genommen

Das litauische Recht verlangt die laufende Betrachtung von Risiken aus direkten Lieferanten- und Dienstleisterbeziehungen. Verträge sollen Sicherheitsanforderungen, Incident-Zusammenarbeit und weitere Kontrollrechte abbilden. Zertifikate oder unabhängige Berichte können als Nachweise dienen.

Das passt sehr gut zu einem sicherheitsbezogenen Lieferantenmanagement nach A.5.19 bis A.5.23. Wichtig ist das kleine Wort „laufend“. Ein Lieferant wird nicht für alle Zeiten sicher, weil er beim Onboarding einmal einen Fragebogen zurückgeschickt hat – vermutlich sogar mit sehr vielen grünen Häkchen.

Incident Management mit zusätzlicher litauischer Schärfe

Ein funktionierendes Informationssicherheitsvorfall-Management organisiert Erkennung, Bewertung, Eskalation, Reaktion, Kommunikation, Beweissicherung und Lernen.

Litauen legt konkrete Fristen daneben:

• große Cyberincidents: Frühmeldung binnen 24 Stunden,
• ausführlichere Incident-Meldung binnen 72 Stunden,
• Abschlussbericht grundsätzlich binnen eines Monats nach Registrierung des Incidents,
• kleinere Cyberincidents: Meldung spätestens binnen 72 Stunden,
• Zwischenberichte, wenn das NKSC sie anfordert.

Besonders praktisch sind die litauischen Kriterien für große Incidents. Dazu zählen beispielsweise eine Störung von mindestens zwei Stunden, eine bestimmte Zahl oder Quote betroffener Nutzer, erhebliche finanzielle Schäden, der Verlust von Geschäftsgeheimnissen, wiederholte gleichartige Incidents oder Auswirkungen auf Gesundheit und Leben.

Das lässt sich gut mit Business Continuity Management verbinden. Der Incident-Prozess muss diese Kriterien aber kennen. Ein Zertifikat erkennt nicht automatisch, dass gerade die litauische Zwei-Stunden-Schwelle überschritten wurde.

Wo ist Litauen konkreter als ISO 27001?

Der Cybersecurity Manager ist keine bloße Visitenkarte

Litauen verlangt grundsätzlich die Benennung eines Cybersecurity Managers beziehungsweise Security Officers. Diese Person unterstützt die Leitung, organisiert Compliance-Bewertungen, hält Richtlinien aktuell, koordiniert Incident-Untersuchungen, organisiert Risikobewertungen und Schulungen und berichtet direkt an die Leitung.

Auch die Qualifikation ist konkret. Verlangt werden grundsätzlich mindestens zwei Jahre einschlägige Erfahrung oder ein passender Hochschulabschluss, ein international anerkannter Qualifikationsnachweis beziehungsweise eine NKSC-Schulung mit Prüfung. Zusätzlich gelten Anforderungen an die Zuverlässigkeit.

Die Funktion darf extern bezogen werden. Die Verantwortung des Unternehmens verschwindet dadurch nicht. Das passt recht gut zu unserem Artikel über die Rolle des Informationssicherheitsbeauftragten: Eine Rolle kann Arbeit koordinieren, aber die Geschäftsführung nicht von ihrer eigenen Verantwortung erlösen.

Feste Schulungsintervalle

Mitglieder der Leitung und andere gesetzlich benannte Verantwortliche müssen mindestens alle zwei Jahre eine Cybersecurity-Schulung nach den Vorgaben des NKSC absolvieren. Für Beschäftigte ist Cyberhygiene grundsätzlich mindestens jährlich zu schulen.

ISO 27001 verlangt Kompetenz und Awareness risikogerecht, nennt aber keine allgemeine Ein- oder Zwei-Jahres-Stoppuhr. In Litauen gehört die Frequenz deshalb in den Schulungsprozess und in den Nachweiskalender.

Richtliniendaten binnen fünf Arbeitstagen

Policy-Dokumente müssen nicht vorsorglich vollständig ins KSIS hochgeladen werden. Innerhalb von fünf Arbeitstagen nach Genehmigung sind dort aber Titel, Genehmigungsdatum und Registrierungsnummer zu erfassen. Fordert das NKSC die Dokumente bei einer Prüfung an, sind Kopien ebenfalls binnen fünf Arbeitstagen bereitzustellen.

Außerdem müssen vorzulegende Cybersecurity-Policy-Dokumente nach der offiziellen NKSC-Auskunft litauisch sein. Das ist eine dieser Anforderungen, bei denen ein englisches Konzern-ISMS zwar fachlich hilfreich bleibt, aber nicht von selbst die Landessprache wechselt.

Schwachstellenprüfung mindestens halbjährlich

Der KSRA verlangt eine regelmäßige Bewertung technischer Schwachstellen und eine vollständige Bewertung der Netzwerk- und Informationssysteme mindestens alle sechs Monate. Bei neuen Systemen empfiehlt das NKSC die Prüfung vor der Inbetriebnahme.

Anhang A.8.8 der ISO 27001 passt inhaltlich sehr gut. Die konkrete Frequenz ist aber eine litauische Ergänzung. Wer bisher nur „regelmäßig“ in die Richtlinie geschrieben hat, weiß nun zumindest für diesen Teil, wie regelmäßig regelmäßig ist.

Das unabhängige Cybersecurity Audit: Hilft das ISO-Zertifikat?

Nach Aufnahme ins KSS-Register ist das erste unabhängige Cybersecurity Audit spätestens innerhalb von drei Jahren durchzuführen. Das NKSC hat dafür im Februar 2026 eine eigene Auditmethodik veröffentlicht. Auch an Unabhängigkeit, Qualifikation und Zuverlässigkeit der Auditoren bestehen Anforderungen.

Die interessante offizielle Antwort lautet: Eine ISO 27001-Konformitätsbewertung kann im Rahmen dieses Audits genutzt werden. Geprüft werden müssen aber die Anforderungen aus KSRA, KSĮ und den anwendbaren internen Cybersecurity-Richtlinien. Alternativ beziehungsweise ergänzend kann die NKSC-Methodik verwendet werden.

Das bedeutet praktisch:

• Ein gewöhnliches ISO 27001-Zertifikat wird nicht automatisch zum litauischen Pflichaudit.
• Das Audit kann sinnvoll kombiniert werden, wenn Scope, Kriterien, Auditorenqualifikation und Bericht alle litauischen Anforderungen abdecken.
• Vorher muss geklärt werden, ob Zertifizierungsgesellschaft und Auditteam diese zusätzliche Prüfung überhaupt verbindlich leisten.

Ein Zertifizierungsauditor, der ausschließlich ISO 27001 prüfen soll, wird nicht dadurch zum litauischen Gesetzesauditor, dass man ihm beim Mittagessen noch eine 80-seitige Checkliste hinlegt.

Wo ist ISO 27001 systematischer?

Das litauische Regelwerk ist bei Zuständigkeiten, Fristen und technischen Details ausgesprochen konkret. ISO 27001 beschreibt dafür vollständiger, wie daraus ein dauerhaft gesteuertes Managementsystem wird.

Die Norm verbindet Kontext, interessierte Parteien, Scope, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, dokumentierte Information, Betrieb, Messung, Internes Audit, Management Review, Korrekturmaßnahmen und fortlaufende Verbesserung.

Besonders nützlich ist die Anwendbarkeitserklärung. Sie zeigt, welche Controls aus Anhang A anwendbar sind, warum sie ausgewählt oder ausgeschlossen wurden, wie sie umgesetzt sind und welchen Status sie haben. Litauen verlangt keine Anwendbarkeitserklärung nach ISO-Logik. Als Mapping zwischen KSĮ, KSRA, internen Vorgaben, Risiken, Maßnahmen und Nachweisen ist sie trotzdem ausgesprochen wertvoll.

Auch die Wirksamkeitsprüfung lässt sich mit ISO 27001 gut organisieren. Litauen kann eine halbjährliche Schwachstellenprüfung vorschreiben. Das ISMS sorgt zusätzlich dafür, dass jemand aus den Ergebnissen Maßnahmen macht, Verantwortliche benennt und später nachsieht, ob der Maßnahmenfriedhof schon wieder neue Grabsteine bekommen hat.

Reicht ein ISO 27001-Zertifikat für NIS-2 in Litauen?

Nein. Das Zertifikat ersetzt weder die Aufnahme ins KSS-Register noch KSRA-Anforderungen, KSIS-Datenpflege, litauische Dokumente, Schulungsintervalle, Incident-Meldungen oder das gesetzlich passende unabhängige Audit.

Es ist trotzdem eine hervorragende Grundlage. Entscheidend ist zuerst der Scope: Sind die litauische Rechtsperson, ihre betroffenen Tätigkeiten, Systeme, Standorte und Abhängigkeiten tatsächlich erfasst? Ein Konzernzertifikat hilft wenig, wenn Vilnius darin nur in der Fußnote eines Organigramms auftaucht.

Danach braucht es ein nachvollziehbares Mapping:

1. Welche litauische Pflicht gilt für welche Gesellschaft und Tätigkeit?
2. Welcher ISMS-Prozess und welche Controls erfüllen sie?
3. Welche Nachweise zeigen die Umsetzung und Wirksamkeit?
4. Welche festen Fristen oder technischen Details fehlen noch?
5. Welche Daten müssen ins KSIS und wer hält sie aktuell?
6. Wie wird das unabhängige Audit rechtzeitig und passend organisiert?

So entsteht kein zweites ISMS nur für Litauen. Es entsteht ein gemeinsames ISMS mit einer sauber gepflegten litauischen Compliance-Schicht.

Wie wird NIS-2 in Litauen geprüft?

Das NKSC ist die zentrale Aufsichts- und Durchsetzungsstelle. Es kann Unterlagen und Nachweise verlangen, Prüfungen durchführen, Monitoring einsetzen, Abhilfemaßnahmen anordnen und Sanktionen verhängen beziehungsweise weitere Maßnahmen einleiten.

Bei wesentlichen Einrichtungen ist die Aufsicht grundsätzlich proaktiver. Wichtige Einrichtungen werden typischerweise aufgrund von Hinweisen oder Verdachtsmomenten geprüft. Hinzu kommt das vorgeschriebene unabhängige Cybersecurity Audit.

Bei wesentlichen Einrichtungen können in schweren Fällen sogar die Erlaubnis zur Tätigkeit beziehungsweise Leistungserbringung vorübergehend ausgesetzt und Leitungspersonen gerichtlich zeitweise von ihren Aufgaben entbunden werden. Das ist deutlich mehr als eine freundliche Empfehlung im Auditbericht.

Welche Bußgelder drohen in Litauen?

Für wesentliche Einrichtungen sind Geldbußen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres möglich – maßgeblich ist der höhere Betrag.

Für wichtige Einrichtungen liegt die Obergrenze bei sieben Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Das NKSC berücksichtigt dabei unter anderem Schwere, Wiederholung, Zusammenarbeit, Vertuschung und die Beseitigung von Mängeln.

Nach der offiziellen NKSC-FAQ wird die Geldbuße wegen Nichterfüllung der Cybersecurity-Anforderungen an die Leitung der Cybersecurity Entity adressiert, nicht einfach an den Cybersecurity Manager weitergereicht. Der Manager darf also hinterherlaufen, erinnern, koordinieren und vermutlich gelegentlich tief seufzen. Die Verantwortung bleibt oben.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie die litauische Gesellschaft anhand von Tätigkeit, Größe und besonderen Kriterien.
2. Klären Sie, ob sie im KSS-Register steht und ab welchem Datum die Fristen laufen.
3. Erstellen Sie ein Mapping von KSĮ, KSRA und Incident-Plan auf das vorhandene ISMS.
4. Benennen Sie einen qualifizierten Cybersecurity Manager und regeln Sie Aufgaben, Vertretung und Berichtslinie.
5. Setzen Sie organisatorische Anforderungen binnen zwölf und technische Anforderungen binnen 24 Monaten um.
6. Organisieren Sie KSIS-Datenpflege, litauische Richtlinienfassungen und die Fünf-Arbeitstage-Prozesse.
7. Testen Sie die 24-/72-Stunden-Meldewege und die Kriterien für große und kleinere Incidents.
8. Planen Sie Leitungs-, Beschäftigten- und Fachschulungen mit den geforderten Intervallen.
9. Terminieren Sie Schwachstellenprüfungen und das erste unabhängige Audit rechtzeitig.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Litauen betreiben oder Ihr bestehendes ISMS gegen das litauische NIS-2-Recht prüfen möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.