NIS-2 in Malta und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe übernimmt einen Dienstleister auf Malta. Die Gesellschaft ist klein, die Büros schauen hübsch auf den Hafen und das Konzern-ISMS ist nach ISO 27001 zertifiziert. Im Integrationsprojekt sagt jemand: „Malta ist so klein. Die werden doch nicht noch ein eigenes NIS-2-System erfunden haben.“

Malta hat tatsächlich kein zweites Internet erfunden. Ein eigenes Aufsichts- und Umsetzungssystem aber durchaus.

Das maltesische Recht verlangt unter anderem Selbstregistrierung, Risikomanagement, einen Operator Security Plan, Business-Continuity-Planung, Incident-Meldungen und CSIRT-Monitoring. ISO 27001 passt dazu sehr gut. Das Zertifikat nimmt die Eintragung jedoch ebenso wenig vor wie ein ISO 9001-Zertifikat den maltesischen Handelsregistereintrag.

Die kurze Antwort

ISO 27001 deckt die in Malta verlangten Management- und Sicherheitsmaßnahmen weitgehend ab:

• Verantwortung und Überwachung durch die Leitung,
• ganzheitliches Risikomanagement,
• Incident Handling und Business Continuity,
• Lieferketten- und Dienstleistersicherheit,
• sichere Beschaffung, Entwicklung und Wartung,
• Schwachstellenmanagement, Kryptographie und Zugriffsschutz,
• Personalsicherheit, Asset Management und Schulung,
• Prüfung von Wirksamkeit und Verbesserung.

Malta baut darauf ein nationales System mit mehreren Besonderheiten. Dazu gehören der Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order, die Selbstregistrierung, die Rolle des Critical Infrastructure Protection Department, mögliche sektorale Behörden, Operator Security Plans, Business-Continuity-Pläne und der Nachweis von CSIRT-Monitoring.

Die Kurzform: ISO 27001 ist ein sehr gutes Fundament. Für maltesische Compliance braucht es darüber eine sichtbar gepflegte nationale Schicht.

Wie hat Malta NIS-2 umgesetzt?

Das zentrale Regelwerk ist der Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order, kurz S.L. 460.41. Er wurde als Legal Notice 71 of 2025 veröffentlicht und durch eine Commencement Notice im Januar 2026 in Kraft gesetzt. Im April 2026 folgte bereits ein Änderungserlass.

Das ist ein recht frisches Regelwerk. Unternehmen sollten daher mit weiteren Leitlinien, Formularen und praktischer Aufsichtsentwicklung rechnen. Die Behörden rufen uns auch in Malta nicht zuverlässig an, bevor sie ein Formular ändern.

Wer fällt in Malta unter NIS-2?

Der Order unterscheidet wesentliche und wichtige Einrichtungen aus den in First und Second Schedule genannten Sektoren. Erfasst sind unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, ICT-Dienstleister, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, bestimmte Hersteller, Online-Dienste und Forschung.

Größe und Tätigkeit sind wesentliche Kriterien. Bestimmte Einrichtungen – etwa qualifizierte Vertrauensdienste, Top-Level-Domain-Register und DNS-Dienste – können unabhängig von ihrer Größe als wesentlich gelten. Weitere Organisationen können aufgrund ihrer Kritikalität oder als kritische Einrichtung einbezogen werden.

Malta sieht einen nationalen Selbstregistrierungsmechanismus vor. Er umfasst wesentliche und wichtige Einrichtungen, die in Malta Dienste erbringen, sowie bestimmte CSIRTs und Domain-Registrierungsdienste. Das CIP Department führt auf dieser Grundlage ein Register und überprüft es regelmäßig.

Wer nicht sicher ist, ob er betroffen ist, sollte deshalb nicht argumentieren: „Wir sind auf einer kleinen Insel in einem kleinen Büro, also sind wir eine kleine Ausnahme.“ NIS-2 betrachtet Dienste, Größe und Auswirkungen. Die Aussicht aus dem Konferenzraum ist kein Größenkriterium.

Das Mapping: Malta und ISO 27001 auf einen Blick

Wo passen Malta und ISO 27001 besonders gut zusammen?

Risikomanagement und Operator Security Plan

Malta verlangt angemessene technische, operative und organisatorische Maßnahmen auf Basis eines ganzheitlichen Gefahrenansatzes. Das passt sehr gut zum Risikomanagement nach ISO 27001.

Der Operator Security Plan kann auf dem ISMS aufsetzen. Er sollte nicht als zweites, isoliertes Handbuch entstehen, das einmal für die Behörde geschrieben und danach in Ruhe gelassen wird. Sinnvoller ist ein Mapping auf Richtlinien, Prozesse, Verantwortliche, Risiken, Maßnahmen und Nachweise.

Ein belastbares Asset Management hilft dabei, kritische Dienste und ihre Abhängigkeiten nachvollziehbar zu erfassen. Sonst wird der Operator Security Plan schnell zur literarischen Beschreibung einer Infrastruktur, die so gar nicht mehr existiert.

Business Continuity, Backups und Krisenmanagement

Malta nennt Business Continuity, Backup Management, Disaster Recovery und Krisenmanagement ausdrücklich. Das lässt sich gut mit Business Continuity Management und den Controls A.5.29 und A.5.30 verbinden.

Entscheidend ist die Wirksamkeit: Welche Leistungen müssen weiterlaufen? Welche Ausfälle sind tolerierbar? Welche Ressourcen und Dienstleister werden benötigt? Wie wird wiederhergestellt? Ein Plan, der im Ernstfall zuerst erklärt, wo der Plan liegt, ist eher ein Rätselheft.

Lieferkette und Dienstleister

Die maltesischen Anforderungen an Lieferkettensicherheit passen gut zu einem sicherheitsbezogenen Lieferantenmanagement. Das Unternehmen muss verstehen, welche direkten Lieferanten und Dienstleister sicherheitsrelevant sind, welche Risiken entstehen und wie Anforderungen vertraglich sowie laufend gesteuert werden.

Das ist besonders wichtig, wenn Konzernleistungen von außerhalb Maltas kommen. Zentraler Einkauf bedeutet nicht zentrale Haftungsverdunstung.

Incident Management

Ein funktionierendes Informationssicherheitsvorfall-Management deckt Erkennung, Bewertung, Eskalation, Eindämmung, Wiederherstellung, Kommunikation und Lernen ab. Malta folgt grundsätzlich dem NIS-2-Meldemodell: Frühwarnung binnen 24 Stunden, ausführlichere Meldung binnen 72 Stunden und Abschlussbericht grundsätzlich binnen eines Monats.

Das lässt sich in einen Konzernprozess integrieren. Der Prozess muss aber wissen, wann Malta betroffen ist, wer das maltesische CSIRT beziehungsweise die zuständige Behörde kontaktiert und wer die Meldung freigibt.

Wo ist Malta genauer als ISO 27001?

Selbstregistrierung und Registerpflege

ISO 27001 kennt kein nationales Register wesentlicher oder wichtiger Einrichtungen. Malta verlangt Selbstregistrierung und die Pflege bestimmter Unternehmens-, Dienst-, Kontakt- und Infrastrukturinformationen. Änderungen müssen der zuständigen Stelle mitgeteilt werden.

Das gehört in einen verbindlichen Compliance-Prozess. Sonst bleibt im Register gern die Person stehen, die seit acht Monaten in Kanada lebt und deren alte Mobilnummer bei einem maltesischen Incident sehr gelassen schweigt.

Ein Operator Security Plan mit Übungen

Das CIP Department kann sicherstellen, dass Operator Security Plans und Business-Continuity-Pläne erstellt und gepflegt werden. Es kann außerdem Simulationen beziehungsweise Übungen anstoßen.

ISO 27001 verlangt ebenfalls dokumentierte, wirksame und getestete Steuerung. Der konkrete nationale Plan und die Rolle der Behörde sind aber maltesische Ergänzungen. Vorhandene Dokumente sollten nicht einfach umbenannt werden; sie müssen die geforderten Inhalte tatsächlich abdecken.

CSIRT-Monitoring als sichtbare Leistung

Der Order verlangt von betroffenen Einrichtungen, Monitoringdienste eines internen oder autonomen CSIRT zu beziehen. Das ist konkreter als ISO 27001. Die Norm verlangt Überwachung und Ereigniserkennung risikogerecht, schreibt aber keine bestimmte maltesische CSIRT-Konstruktion vor.

Unternehmen müssen daher klären, wer diese Leistung erbringt, welche Systeme abgedeckt sind, wie Eskalationen funktionieren und welche Nachweise das CIP Department erhalten kann. „Unser IT-Dienstleister schaut manchmal ins Dashboard“ ist keine sehr belastbare Dienstbeschreibung.

Mehrere Behörden können beteiligt sein

Das Critical Infrastructure Protection Department ist zentrale Aufsichtsinstanz. Für bestimmte Sektoren können daneben benannte Fachbehörden zuständig sein. Wer unter DORA oder anderes sektorspezifisches EU-Recht fällt, muss außerdem prüfen, wo gleichwertige Regelungen gelten und wo Malta weiterhin eigene Pflichten anwendet.

Ein Compliance-Mapping sollte deshalb nicht nur „Malta – erledigt“ sagen, sondern zuständige Behörde, Rechtsgrundlage, Dienst und Nachweis getrennt abbilden.

Wo ist ISO 27001 systematischer?

Malta beschreibt Pflichten, Pläne, Meldungen und Aufsicht sehr konkret. ISO 27001 ist systematischer darin, diese Anforderungen dauerhaft in die Unternehmenssteuerung einzubauen.

Die Norm verbindet Kontext, interessierte Parteien, Scope, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, dokumentierte Information, Betrieb, Messung, Internes Audit, Management Review, Korrekturmaßnahmen und Verbesserung. Die Anwendbarkeitserklärung zeigt, welche Controls aus Anhang A anwendbar sind und wie sie umgesetzt werden.

Besonders wertvoll ist die Wirksamkeitsprüfung. Das maltesische Recht kann einen Plan verlangen. Das ISMS hilft zusätzlich sicherzustellen, dass er aktuell, bekannt und praktisch funktionsfähig ist – also mehr kann, als in einem sehr ordentlichen Ordner auf Englisch zu liegen.

Reicht ein ISO 27001-Zertifikat für NIS-2 in Malta?

Nein. Das Zertifikat ersetzt weder Selbstregistrierung, nationale Pläne, CSIRT-Monitoring, Incident-Meldungen noch die Aufsicht durch CIP Department oder sektorale Behörden.

Es ist trotzdem eine hervorragende Grundlage, wenn der Scope stimmt. Die maltesische Gesellschaft, ihre betroffenen Dienste, Standorte, Systeme und Abhängigkeiten müssen tatsächlich erfasst sein. Danach braucht es ein klares Mapping:

1. Welche maltesische Pflicht gilt für welche Leistung?
2. Welcher ISMS-Prozess erfüllt sie?
3. Welche Nachweise belegen Umsetzung und Wirksamkeit?
4. Decken vorhandene Pläne die maltesischen Inhalte ab?
5. Wer erbringt das erforderliche CSIRT-Monitoring?
6. Wer pflegt Registerdaten und Behördenkontakte?

Wie wird NIS-2 in Malta geprüft?

Wesentliche Einrichtungen können proaktiv durch Inspektionen, Offsite-Aufsicht, Security Scans, Informationsanforderungen und gezielte Sicherheits-Audits geprüft werden. Bei wichtigen Einrichtungen erfolgt die Aufsicht typischerweise ex post, wenn Hinweise auf eine mögliche Nichtkonformität vorliegen.

Die Behörde kann Ergebnisse von Audits und die zugrunde liegenden Nachweise anfordern. Gezielte Audits können durch unabhängige Stellen erfolgen; die Kosten trägt grundsätzlich die geprüfte Einrichtung, soweit keine begründete Ausnahme greift.

Ein ISO 27001-Zertifizierungsaudit kann viele hilfreiche Nachweise erzeugen. Es prüft aber nicht automatisch Operator Security Plan, Selbstregistrierung, CSIRT-Monitoring und sämtliche Anforderungen aus S.L. 460.41. Dafür müssen Auditkriterien und Scope ausdrücklich erweitert werden.

Welche Sanktionen drohen in Malta?

Für wesentliche Einrichtungen sind Geldbußen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes möglich – maßgeblich ist der höhere Betrag. Für wichtige Einrichtungen sind es bis zu sieben Millionen Euro oder 1,4 Prozent.

Daneben stehen Warnungen, verbindliche Anweisungen, Fristen, Überwachungsmaßnahmen und weitere Durchsetzungsinstrumente zur Verfügung. Malta mag klein sein. Die Bußgeldzahlen wurden trotzdem nicht im Maßstab der Landkarte verkleinert.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie Tätigkeit, Größe und Kritikalität der maltesischen Gesellschaft.
2. Klären Sie Selbstregistrierung und zuständige Behörde.
3. Mappen Sie S.L. 460.41 auf das vorhandene ISMS.
4. Prüfen Sie Operator Security Plan und Business-Continuity-Plan auf Vollständigkeit.
5. Regeln und dokumentieren Sie CSIRT-Monitoring und Eskalation.
6. Testen Sie 24-/72-Stunden-Meldewege praktisch.
7. Halten Sie Auditnachweise, Registerdaten und Kontakte aktuell.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Malta betreiben oder Ihr bestehendes ISMS gegen das maltesische NIS-2-Recht prüfen möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.