NIS-2 in Rumänien und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe betreibt eine Gesellschaft in Cluj. Die rumänische Einheit arbeitet im gemeinsamen ISMS mit, die Gruppe ist nach ISO 27001 zertifiziert und irgendwann fällt der beruhigende Satz: „Dann hängen wir das Zertifikat ins rumänische Behördenportal und sind mit NIS-2 durch.“

Das wäre ausgesprochen praktisch. Nur hat Rumänien die gesetzliche Compliance leider nicht an Zertifikatslogos ausgelagert.

Das Zertifikat kann ein sehr starker Nachweis sein. Es registriert die rumänische Gesellschaft aber nicht bei der zuständigen Behörde. Es benennt nicht automatisch die gesetzlich vorgesehene verantwortliche Person. Es verschickt keine Frühwarnung, wenn nachts ein erheblicher Incident bekannt wird. Und es prüft auch nicht, ob die rumänische Rechtsperson überhaupt vom Zertifizierungsscope erfasst ist.

Die gute Nachricht lautet trotzdem: Das rumänische NIS-2-Recht und ISO 27001 passen fachlich sehr gut zusammen. Wer ein wirksames ISMS betreibt, hat einen großen Teil der Sicherheitsarbeit bereits sinnvoll organisiert. Rumänien setzt an einigen Stellen aber deutlich konkretere Häkchen daneben – und eines davon trägt den Namen NIS2@RO.

Die kurze Antwort

Rumänien hat NIS-2 durch die Dringlichkeitsverordnung OUG 155/2024 umgesetzt. Sie trat zum Jahreswechsel 2024/2025 in Kraft und wurde im Juli 2025 durch das Gesetz 124/2025 bestätigt und geändert. Hinzu kommen Vorgaben und Verfahren des Directoratul Național de Securitate Cibernetică, kurz DNSC. Der Rechtsrahmen ist also kein einzelnes, für alle Zeiten in Stein gemeißeltes Dokument.

Die Überschneidung mit ISO 27001 ist groß. Beide verlangen insbesondere:

• risikobasierte, angemessene Sicherheitsmaßnahmen,
• Verantwortung und Beteiligung der Leitung,
• Richtlinien, Rollen, Ressourcen und Kompetenz,
• Incident Management,
• Business Continuity, Backups und Wiederherstellung,
• Sicherheit der Lieferkette,
• sichere Beschaffung, Entwicklung und Wartung,
• Asset Management und Zugriffskontrolle,
• Kryptografie, Schulung, Wirksamkeitsprüfung und Verbesserung.

Das rumänische Recht ergänzt dieses Gerüst um staatliche Registrierung, feste Meldefristen, jährliche Reifegrad-Selbsteinschätzungen, behördlich geprägte Sicherheitsaudits, eine ausdrücklich zu benennende Sicherheitsrolle und bei bestimmten wesentlichen Einrichtungen recht konkrete Anforderungen an deren Stellung und Qualifikation.

Die Kurzform lautet: ISO 27001 ist ein sehr gutes Betriebssystem für die Sicherheitsarbeit. Das rumänische Recht installiert darauf zusätzliche Pflichtprogramme – samt Behördenzugang und Terminkalender.

Wie hat Rumänien NIS-2 umgesetzt?

Der zentrale Rechtsakt ist die OUG 155/2024 im rumänischen Gesetzesportal. Ihr vollständiger Titel beschreibt einen Rahmen für die Cybersicherheit von Netz- und Informationssystemen im nationalen zivilen Cyberraum. Das klingt nicht ganz so handlich wie „rumänisches NIS-2-Gesetz“, trifft die Sache aber genauer.

Die Verordnung wurde durch das Gesetz 124/2025 gebilligt und an verschiedenen Stellen verändert. Danach kamen weitere Durchführungsvorgaben hinzu – etwa zur Registrierung sowie Ende 2025 zu Aufsicht, Kontrolle und risikobasierter Priorisierung. Im Juli 2026 wurde außerdem der Umgang mit Schwachstellen und koordinierter Offenlegung weiterentwickelt.

Zentrale Behörde ist das DNSC. Es führt das Register, nimmt Meldungen entgegen, erlässt Konkretisierungen und kann beaufsichtigen, kontrollieren, Maßnahmen anordnen und Sanktionen verhängen. Wer in Rumänien betroffen ist, sollte deshalb nicht nur eine deutsche Übersetzung der NIS-2-Richtlinie lesen. Maßgeblich sind das rumänische Gesetz in seiner aktuellen Fassung und die dazugehörigen nationalen Vorgaben.

Wer fällt in Rumänien unter NIS-2?

Rumänien folgt im Kern der europäischen Systematik und unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Erfasst werden Unternehmen und öffentliche Stellen aus den in den beiden Gesetzesanhängen genannten Sektoren, wenn die Größenkriterien oder besondere gesetzliche Tatbestände erfüllt sind.

Zu den betroffenen Bereichen gehören je nach Tätigkeit unter anderem:

• Energie, Verkehr, Banken und Finanzmarktinfrastrukturen,
• Gesundheit, Trinkwasser und Abwasser,
• digitale Infrastruktur, öffentliche Verwaltung und Weltraum,
• Cloud-, Rechenzentrums-, Managed-Service- und Managed-Security-Anbieter,
• Post- und Kurierdienste,
• Abfallwirtschaft, Chemie, Lebensmittel und bestimmte Produktionen,
• digitale Plattformen und Forschung.

Große Einrichtungen aus den besonders kritischen Sektoren werden regelmäßig als wesentlich eingeordnet. Große und mittlere Einrichtungen aus den erfassten Sektoren, die nicht wesentlich sind, gelten grundsätzlich als wichtig. Für bestimmte Anbieter und besonders kritische Fälle gelten Sonderregeln unabhängig von der gewöhnlichen Größe – beispielsweise für DNS-Dienste, TLD-Registries, qualifizierte Vertrauensdienste oder als kritisch identifizierte Einrichtungen.

Bei Unternehmensgruppen reicht deshalb die Frage „Wie viele Menschen beschäftigen wir in Rumänien?“ nicht. Tätigkeit, Rechtsperson, Größenberechnung, Konzernbeziehungen, Niederlassung und mögliche Sondertatbestände gehören gemeinsam auf den Tisch.

Das Mapping: Rumänien und ISO 27001 auf einen Blick

Wo passen Rumänien und ISO 27001 besonders gut zusammen?

Risikomanagement – mit Assets und Lieferkette

Das rumänische Recht verlangt angemessene technische, operative und organisatorische Maßnahmen, um Risiken zu identifizieren, zu bewerten und zu behandeln. Dabei sind Stand der Technik, Kosten, Größe, Exposition, Eintrittswahrscheinlichkeit und mögliche gesellschaftliche oder wirtschaftliche Auswirkungen zu berücksichtigen.

Das passt sehr gut zum Risikomanagement nach ISO 27001. Die Norm bringt Methode, Risikoeigentümer, Behandlung, Akzeptanz und regelmäßige Neubewertung mit. Ein belastbares Asset Management hilft dabei erheblich: Rumänien kann auf Anforderung sogar die Liste relevanter Assets und die aus der Analyse hervorgegangene Risikoliste verlangen.

Auch die Lieferkette liegt eng beieinander. Das Gesetz nennt Schwachstellen direkter Lieferanten, die Qualität von Produkten und Sicherheitspraktiken sowie die Sicherheit der Entwicklungsprozesse. ISO 27001 liefert mit A.5.19 bis A.5.23 ein starkes Gerüst für sicherheitsbezogenes Lieferantenmanagement.

Incident Management – in Rumänien läuft eine zusätzliche Stoppuhr

ISO 27001 organisiert Erkennung, Bewertung, Eskalation, Behandlung, Beweissicherung und Lernen aus Sicherheitsereignissen. Ein gutes Informationssicherheitsvorfall-Management ist deshalb die richtige operative Grundlage.

Rumänien ergänzt feste Meldewege und Fristen. Für erhebliche Incidents sieht Artikel 15 grundsätzlich vor:

• Frühwarnung binnen 24 Stunden nach Kenntniserlangung,
• Incident-Meldung binnen 72 Stunden,
• auf Anforderung einen Zwischenbericht,
• Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung.

Eine rumänische Besonderheit steht noch davor: Sobald Informationen vorliegen, aus denen die nationale Reaktionsstelle eine grenzüberschreitende Wirkung erkennen kann, ist grundsätzlich spätestens binnen sechs Stunden zu berichten. Das ist keine Frist, über die man erst am nächsten Jour fixe gemütlich abstimmt.

BCM, Zugriffsschutz und sichere Entwicklung

Business Continuity, Backups, Disaster Recovery und Krisenmanagement nennt das rumänische Recht ausdrücklich. Ein sinnvoll aufgebautes Business Continuity Management passt dazu hervorragend – insbesondere dann, wenn es von schützenswerten Prozessen, Ausfalltoleranzen und Abhängigkeiten ausgeht.

Auch Kryptografie, Zugriffskontrolle, Personalsicherheit, sichere Beschaffung, Entwicklung, Wartung und Schwachstellenbehandlung lassen sich gut über Anhang A abdecken. Entscheidend bleibt die Wirksamkeit. Eine Richtlinie mit grünem Freigabehaken ist kein Ersatz für getestete Wiederherstellung, tatsächlich entzogene Altberechtigungen oder zeitnah behandelte Schwachstellen.

Wo ist Rumänien konkreter als ISO 27001?

Registrierung über NIS2@RO

Betroffene Einrichtungen müssen DNSC grundsätzlich binnen 30 Tagen informieren, sobald die gesetzlichen Voraussetzungen auf sie anwendbar sind. Die nationalen Registrierungsvorgaben sehen dafür das Instrument NIS2@RO zur Bewertung und Datenerzeugung sowie die Platforma NIS2@RO für Registrierung, Information und Zusammenarbeit vor. DNSC entscheidet anschließend über Identifikation und Registereintrag.

Ein Zertifikat erledigt davon exakt nichts. Es kann viel – Behördenportale ausfüllen gehört weiterhin nicht dazu.

Eine ausdrücklich benannte Sicherheitsrolle

Die Leitung muss binnen 30 Tagen nach der DNSC-Entscheidung Verantwortliche für die Sicherheit der Netz- und Informationssysteme benennen. Für die verantwortliche Person bei bestimmten wesentlichen Einrichtungen geht Rumänien noch weiter: Sie muss über Managementbefugnis verfügen, direkt der Leitung unterstellt sein, unabhängig von IT und OT arbeiten, Zugriff auf die nötigen Ressourcen haben und innerhalb von zwölf Monaten einen von DNSC anerkannten akkreditierten Fachkurs absolvieren.

ISO 27001 verlangt klare Rollen, Verantwortlichkeiten, Befugnisse und Kompetenz. Eine so konkret beschriebene nationale Funktion schreibt sie nicht vor. Ein vorhandener ISB oder CISO kann passen – aber nur, wenn Stellung, Aufgaben, Unabhängigkeit, Ressourcen und Qualifikation tatsächlich passen. „Das macht bei uns der Admin nebenbei“ ist hier ein bemerkenswert kurzer Weg zu einer längeren Diskussion.

Jährliche Selbsteinschätzung und nationales Auditregime

Die Einrichtung muss jährlich eine Selbsteinschätzung zum Reifegrad ihrer Cybersicherheits-Risikomaßnahmen erstellen und an DNSC sowie gegebenenfalls die sektorale Behörde übermitteln. Außerdem sind Cybersicherheitsaudits nach Bedingungen und Periodizität vorgesehen, die sich am Risikoniveau orientieren. Ergebnisse eines solchen Audits sind spätestens fünf Tage nach Abschluss weiterzugeben.

Das Interne Audit nach ISO 27001 ist fachlich sehr hilfreich, aber nicht automatisch dasselbe Instrument. Ebenso wenig ersetzt ein Zertifizierungsaudit ohne weitere Prüfung ein nach rumänischem Recht verlangtes Cybersicherheitsaudit.

Wo ist ISO 27001 systematischer?

Das rumänische Recht ist bei Registrierung, Rollen, Meldefristen, Auditkommunikation und Behördenaufsicht konkreter. ISO 27001 ist dafür die durchgängigere Betriebsanleitung für ein dauerhaft funktionierendes Managementsystem.

Sie verbindet Kontext, interessierte Parteien, Scope, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, dokumentierte Information, Betrieb, Messung, Internes Audit, Management Review, Korrekturmaßnahmen und fortlaufende Verbesserung. Dadurch entsteht nicht nur eine Sammlung gesetzlich verlangter Maßnahmen, sondern ein Steuerungssystem.

Auch die Anwendbarkeitserklärung ist für das Mapping ausgesprochen nützlich: Sie zeigt, welche Controls aus Anhang A anwendbar sind, warum sie ausgewählt oder ausgeschlossen wurden, wie sie umgesetzt sind und welchen Status sie haben. Das rumänische Recht verlangt keine SoA nach ISO-Logik. Für einen belastbaren Überblick ist sie trotzdem Gold wert.

Reicht ein ISO 27001-Zertifikat für NIS-2 in Rumänien?

Nein. Die OUG 155/2024 enthält keine Abkürzung nach dem Muster: Zertifikat vorhanden, gesetzliche Verpflichtungen erledigt.

Ein Zertifikat ist dennoch ein sehr guter Ausgangspunkt und Nachweis – wenn sein Scope passt. Deckt das zertifizierte ISMS die rumänische Rechtsperson, ihre Leistungen, Standorte, Systeme, Personen und Abhängigkeiten wirklich ab? Oder steht Rumänien zwar auf einer Organigrammfolie, findet im Zertifizierungsscope aber nicht statt?

Danach braucht es ein sauberes Mapping:

1. Welche rumänische Pflicht wird durch welchen ISMS-Prozess und welche Controls erfüllt?
2. Welche belastbaren Nachweise gibt es dafür?
3. Welche nationalen Ergänzungen fehlen – etwa Registrierung, Sechs-Stunden-Meldeweg, Sicherheitsrolle, jährliche Selbsteinschätzung oder Auditübermittlung?
4. Wer hält diese Ergänzungen aktuell und berichtet darüber?

Eine Gap-Analyse verhindert, dass neben dem ISMS eine zweite Compliance-Welt aus Excel-Dateien entsteht, deren wichtigste Steuerungsfunktion darin besteht, gelbe Zellen irgendwann grün anzumalen.

Wie wird NIS-2 in Rumänien beaufsichtigt?

DNSC und gegebenenfalls sektorale Behörden können beaufsichtigen und kontrollieren. Möglich sind unter anderem Informations- und Nachweisanforderungen, Vor-Ort-Kontrollen, Ad-hoc-Audits durch zugelassene Cybersicherheitsauditoren und angekündigte, nicht intrusive Sicherheitsscans. DNSC kann Zugriff auf Daten, Hardware, Software und Auskünfte von Beschäftigten verlangen.

Festgestellte Mängel können zu verbindlichen Maßnahmenplänen, Fristen und Nachweispflichten führen. Bei wesentlichen Einrichtungen kann DNSC unter bestimmten Voraussetzungen sogar Schritte zur vorübergehenden Aussetzung einer Zertifizierung oder Genehmigung anstoßen oder eine zeitweilige Untersagung von Leitungsfunktionen verlangen.

Für wichtige Einrichtungen ist die Aufsicht grundsätzlich stärker anlassbezogen; bei wesentlichen Einrichtungen darf sie proaktiver ausfallen. Wer glaubt, ein ISO 27001-Zertifizierungsaudit und staatliche Kontrolle seien dasselbe, verwechselt freundliche Verwandte mit eineiigen Zwillingen.

Welche Bußgelder drohen?

Für bestimmte schwerwiegende Verstöße reichen die Höchstgrenzen bei wesentlichen Einrichtungen bis 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes – maßgeblich ist der höhere Wert. Bei wichtigen Einrichtungen sind es bis 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes, ebenfalls nach dem höheren Wert.

Daneben gibt es weitere Bußgeldrahmen für andere Verstöße. DNSC kann außerdem Abhilfemaßnahmen, Fristen, Audits, öffentliche Bekanntmachung von Verstößen und weitere Aufsichtsmaßnahmen anordnen.

Das Bußgeld ist trotzdem nicht der beste Grund für ein ISMS. Ein gutes System soll verhindern, dass ein Incident kritische Leistungen, Kunden und das eigene Unternehmen beschädigt. Die Sanktionen sorgen lediglich dafür, dass „Das machen wir nach dem nächsten Quartalsabschluss“ keine dauerhaft überzeugende Compliance-Strategie bleibt.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie die rumänische Rechtsperson anhand von Tätigkeit, Sektor, Größe, Konzernbeziehungen und Sondertatbeständen.
2. Organisieren Sie die Registrierung über NIS2@RO und die Pflege der gemeldeten Daten.
3. Prüfen Sie, ob die rumänische Einheit tatsächlich im Scope Ihres ISO 27001-Zertifikats liegt.
4. Mappen Sie OUG 155/2024, die Änderungen und aktuellen DNSC-Vorgaben auf Ihr ISMS.
5. Benennen Sie die vorgeschriebene Sicherheitsrolle und prüfen Sie Stellung, Unabhängigkeit, Ressourcen und Qualifikation.
6. Ergänzen Sie den Sechs-, 24- und 72-Stunden-Meldeweg sowie den Abschlussbericht in Ihrem Incident-Prozess.
7. Planen Sie jährliche Reifegrad-Selbsteinschätzung, Cybersicherheitsaudits und Behördenübermittlung ausdrücklich ein.
8. Schließen Sie verbleibende Lücken und testen Sie die Abläufe, bevor nachts tatsächlich die Uhr läuft.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Rumänien betreiben oder Ihr bestehendes ISMS gegen das rumänische NIS-2-Recht prüfen möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.