NIS-2 in Schweden und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe hat eine Tochtergesellschaft in Göteborg. Die schwedische Gesellschaft arbeitet im gemeinsamen ISMS mit, die Gruppe besitzt ein ISO 27001-Zertifikat und irgendwann fällt der Satz: „Die Schweden sind doch unkompliziert. Wir schicken denen das Zertifikat und dann ist das erledigt.“

Das wäre schön. Das schwedische Recht möchte aber ein wenig mehr wissen – zum Beispiel, ob die Gesellschaft überhaupt betroffen ist, welche Tätigkeiten sie ausübt, unter welchen Internetkennungen sie erreichbar ist und wer im Ernstfall innerhalb von 24 Stunden eine Meldung absetzt.

Ein Zertifikat kann sehr viel. IP-Adressen und Domainnamen bei einer schwedischen Behörde aktuell zu halten, gehört nicht zu seinen versteckten Funktionen.

Die gute Nachricht lautet trotzdem: ISO 27001 und das schwedische NIS-2-Recht passen fachlich ausgesprochen gut zusammen. Wer ein wirksames ISMS betreibt, hat für Risikomanagement, Vorfälle, Lieferanten, Kontinuität und Zugriffsschutz bereits eine belastbare Grundlage. Nur wird aus „gute Grundlage“ eben nicht automatisch „Gesetz vollständig erfüllt“.

Die kurze Antwort

Schweden hat NIS-2 mit der Cybersäkerhetslag (2025:1506) umgesetzt. Das Gesetz trat am 15. Januar 2026 in Kraft. Ergänzt wird es durch die Cybersäkerhetsförordning (2025:1507) und mehrere konkrete Behördenvorschriften – unter anderem zu Registrierung, Incident-Meldungen, Sicherheitsmaßnahmen, Leitungsschulung sowie Sicherheitsaudits und Sicherheitsscans.

Die Überschneidung mit ISO 27001 ist groß. Beide verlangen insbesondere:

• risikobasierte technische, operative und organisatorische Sicherheitsmaßnahmen,
• klare Verantwortung der Leitung,
• Incident Management,
• Business Continuity und Krisenmanagement,
• Sicherheit der Lieferkette,
• sichere Beschaffung, Entwicklung und Wartung,
• Wirksamkeitskontrolle,
• Security Awareness und Kompetenz,
• Kryptografie, Zugriffskontrolle und Asset Management.

Schweden ergänzt dieses Gerüst um staatliche Registrierung, konkrete Registrierungsdaten, feste Meldefristen, ausdrückliche Schulungspflichten für die Leitung, sektorale Aufsicht, behördliche Sicherheitsaudits und Sanktionen.

Die Kurzform lautet: ISO 27001 organisiert die Sicherheitsarbeit. Das schwedische Recht setzt zusätzliche Pflichten, Ansprechpartner und Stoppuhren daneben.

Wie hat Schweden NIS-2 umgesetzt?

Der zentrale Rechtsakt ist die Cybersäkerhetslag (2025:1506). Ihr Zweck ist ein hohes Cybersicherheitsniveau in der schwedischen Gesellschaft. Die Cybersäkerhetsförordning (2025:1507) ergänzt das Gesetz und verteilt unter anderem Zuständigkeiten.

Hinzu kommen Detailvorschriften. MCFFS 2026:1 beschreibt die Registrierung. MCFFS 2026:8 konkretisiert Incident-Meldungen und Informationspflichten. MCFFS 2026:11 regelt Sicherheitsmaßnahmen und die Schulung der Leitung; sie gilt ab dem 1. Oktober 2026. MCFFS 2026:12 beschäftigt sich mit Sicherheitsaudits und Sicherheitsscans.

Damit ist Schweden ein gutes Beispiel dafür, warum ein Unternehmen nicht nur die europäische Richtlinie lesen darf. Die eigentliche Musik spielt im nationalen Gesetz, in der Verordnung und in den dazugehörigen Detailregeln.

Wer fällt in Schweden unter NIS-2?

Schweden unterscheidet wie die Richtlinie zwischen wesentlichen und wichtigen Betreibern. Erfasst werden private und öffentliche Organisationen aus den in NIS-2 genannten Sektoren, wenn die Größenkriterien oder besondere gesetzliche Tatbestände erfüllt sind.

Zu den erfassten Bereichen gehören je nach Tätigkeit unter anderem:

• Energie, Verkehr, Banken und Finanzmarktinfrastrukturen,
• Gesundheit, Trinkwasser und Abwasser,
• digitale Infrastruktur und Verwaltung von IKT-Diensten,
• öffentliche Verwaltung und Weltraum,
• Post- und Kurierdienste, Abfallwirtschaft, Chemie und Lebensmittel,
• bestimmte Produktionen, digitale Plattformen und Forschung.

Für einzelne besonders kritische Anbieter gelten Regeln unabhängig von der üblichen Unternehmensgröße – etwa für bestimmte Vertrauensdienste, DNS-Dienste oder TLD-Registries. Auch Einrichtungen, deren Ausfall erhebliche Auswirkungen hätte oder die auf nationaler oder regionaler Ebene besonders wichtig sind, können erfasst werden.

Bei Unternehmensgruppen sollte deshalb niemand nur Beschäftigte in einer Excel-Spalte zählen. Tätigkeit, Rechtsperson, Niederlassung, Größe, verbundene Unternehmen und Sondertatbestände gehören gemeinsam geprüft.

Eine interessante Abgrenzung steht ausdrücklich im schwedischen Gesetz: Soweit für einen Betreiber die entsprechenden Vorgaben aus DORA gelten, sind die schwedischen Pflichten zu Sicherheitsmaßnahmen, Leitungsschulung und Incident-Meldungen in diesem Umfang ausgenommen. Das ist keine pauschale Freikarte für die Finanzbranche, sondern eine gesetzliche Schnittstelle, die sauber geprüft werden muss.

Das Mapping: Schweden und ISO 27001 auf einen Blick

Wo passen Schweden und ISO 27001 besonders gut zusammen?

Risikomanagement mit einem All-Gefahren-Ansatz

Die Cybersäkerhetslag verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. Sie sollen Netz- und Informationssysteme sowie deren physische Umgebung schützen. Dabei ist ein All-Gefahren-Ansatz zu verwenden.

Das passt sehr gut zum Risikomanagement nach ISO 27001. Die Norm bringt Methode, Risikoeigentümer, Bewertung, Behandlung und Akzeptanz mit. Ein vernünftiges Asset Management macht Abhängigkeiten sichtbar: Welche Information, welcher Prozess, welches System, welcher Standort und welcher Lieferant muss funktionieren?

Wichtig ist das Wort All-Gefahren. Wer nur Cyberangriffe betrachtet, denkt zu schmal. Stromausfall, Feuer, Wasserschaden, der Verlust wichtiger Personen oder eine Störung beim Telekommunikationsanbieter können dieselbe kritische Leistung ausknipsen – ganz ohne Kapuzenpullover vor sechs Monitoren.

Incident Management mit gesetzlicher Stoppuhr

ISO 27001 organisiert Erkennung, Bewertung, Eskalation, Reaktion, Beweissicherung und das Lernen aus Vorfällen. Ein funktionierendes Informationssicherheitsvorfall-Management ist damit die richtige operative Grundlage.

Schweden setzt feste Zeiten daneben. Bei einem erheblichen Incident verlangt das Gesetz grundsätzlich:

• eine Frühwarnung so schnell wie möglich, spätestens binnen 24 Stunden nach Kenntnis,
• eine Incident-Meldung so schnell wie möglich, bei den meisten Betreibern spätestens binnen 72 Stunden,
• auf Anforderung einen Zwischenbericht,
• einen Abschlussbericht grundsätzlich binnen eines Monats nach der Incident-Meldung.

Für Anbieter von Vertrauensdiensten gilt für die Incident-Meldung eine 24-Stunden-Frist. Dauert der Vorfall noch an, wird zunächst ein Fortschrittsbericht fällig und der Abschlussbericht folgt nach der Behandlung.

Das muss geübt werden. Eine Telefonnummer in einer Richtlinie rettet niemanden, wenn am Samstagmorgen zunächst vier Stunden darüber diskutiert wird, ob das Ereignis nun wirklich „erheblich genug“ aussieht.

Lieferkette, Kontinuität und sichere Entwicklung

Das schwedische Recht nennt die Sicherheit der Lieferkette, Incident Management, Business Continuity, Krisenmanagement sowie sichere Beschaffung, Entwicklung und Wartung ausdrücklich. ISO 27001 liefert dafür ein solides System.

Die Controls A.5.19 bis A.5.23 helfen beim sicherheitsbezogenen Lieferantenmanagement. Für Kontinuität und Wiederherstellung bietet ein sinnvoll aufgebautes Business Continuity Management die passende Struktur. Entscheidend ist, dass die Prozesse tatsächlich getestet werden. Ein Backup-Logo in einer Architekturzeichnung hat noch nie eine Datenbank wiederhergestellt.

Wo ist Schweden konkreter als ISO 27001?

Registrierung – einschließlich IP-Adressen und Domains

Betroffene Betreiber müssen sich selbst identifizieren und so schnell wie möglich registrieren. Änderungen an den registrierten Daten sind grundsätzlich binnen 14 Tagen mitzuteilen. Nach den schwedischen Detailregeln gehören dazu nicht nur Name, Anschrift, Organisationsnummer, Kontakt und Sektor, sondern auch verwendete IP-Adressbereiche und Domainnamen.

Das ist angenehm konkret. Es ist aber auch eine kleine Pflegeaufgabe mit Zähnen. Wer Cloud-Umgebungen, Domains oder Netzbereiche verändert, braucht einen Prozess, der nicht erst beim nächsten Überwachungsaudit zufällig bemerkt, dass die Behördenangaben seit acht Monaten überholt sind.

Ein ISO 27001-Zertifikat weist eine funktionierende Organisation nach. Registrieren kann es die Gesellschaft nicht. Es ist ein Zertifikat, kein besonders festliches Behördenformular.

Die Leitung muss geschult werden

Die Cybersäkerhetslag verlangt ausdrücklich, dass die Leitung eine Schulung zu den Sicherheitsmaßnahmen absolviert. Damit soll sie Risiken erkennen, Maßnahmen beurteilen und die Umsetzung überwachen können.

ISO 27001 verlangt Kompetenz, Bewusstsein und wirksame Führung. Sie schreibt aber nicht in derselben Form eine besondere gesetzliche Schulung für das Leitungsorgan vor. Schweden macht hier unmissverständlich klar: „Das macht unsere IT“ ist keine ausreichende Governance-Antwort.

Nationale Detailregeln und behördliche Prüfungen

Mit MCFFS 2026:11 werden die Sicherheitsmaßnahmen weiter konkretisiert – etwa bei Steuerung und Überwachung, Incident- und Kontinuitätsmanagement, Entwicklung und Outsourcing, Personalsicherheit und physischer Sicherheit. MCFFS 2026:12 regelt Sicherheitsaudits und Sicherheitsscans.

Ein Internes Audit nach ISO 27001 und ein Zertifizierungsaudit liefern dafür wertvolle Nachweise. Sie sind trotzdem nicht automatisch dasselbe wie eine Prüfung unter dem schwedischen Aufsichtsrecht.

Wo ist ISO 27001 systematischer?

Das schwedische Recht beschreibt konkrete Pflichten und staatliche Durchsetzung. ISO 27001 ist dafür die vollständigere Betriebsanleitung für ein Managementsystem.

Sie verbindet Kontext, interessierte Parteien, Scope, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, dokumentierte Information, Betrieb, Messung, Internes Audit, Management Review, Korrekturmaßnahmen und fortlaufende Verbesserung. So entsteht nicht bloß eine Liste von Maßnahmen, sondern ein dauerhaftes Steuerungssystem.

Auch die Anwendbarkeitserklärung ist für das Mapping sehr nützlich. Sie zeigt, welche Controls aus Anhang A anwendbar sind, warum sie ausgewählt oder ausgeschlossen wurden, wie sie umgesetzt sind und welchen Status sie haben. Das schwedische Recht verlangt keine SoA nach ISO-Logik. Als nachvollziehbare Brücke zwischen Risiko, Maßnahme und Nachweis ist sie trotzdem Gold wert.

Reicht ein ISO 27001-Zertifikat für NIS-2 in Schweden?

Nein. Die Cybersäkerhetslag enthält keine Regel nach dem Muster: Zertifikat hochladen, Gesetz erledigt.

Ein Zertifikat ist dennoch ein starker Ausgangspunkt – sofern sein Scope passt. Ist die schwedische Rechtsperson mit ihren Tätigkeiten, Standorten, Systemen, Personen und Abhängigkeiten wirklich erfasst? Oder steht Schweden nur in der Konzernpräsentation, während das zertifizierte ISMS bei der deutschen Mutter endet?

Danach braucht es ein nachvollziehbares Mapping:

1. Welche schwedische Pflicht wird durch welchen ISMS-Prozess und welche Controls erfüllt?
2. Welche Nachweise zeigen, dass die Regel tatsächlich gelebt wird?
3. Welche nationalen Ergänzungen fehlen – beispielsweise Registrierung, Pflege der Internetkennungen, Meldeweg oder Leitungsschulung?
4. Wer überwacht Änderungen an Gesetz, Detailvorschriften und Behördenpraxis?

Eine Gap-Analyse ist dafür wesentlich sinnvoller als eine zweite Compliance-Welt aus Tabellen, in denen dieselben Maßnahmen noch einmal mit schwedischen Spaltenüberschriften verwaltet werden.

Wie wird NIS-2 in Schweden beaufsichtigt?

Schweden arbeitet mit sektoralen Aufsichtsbehörden. Welche Behörde zuständig ist, hängt von der Tätigkeit des Betreibers ab. Registrierung, Incident-Meldung und Aufsicht sind deshalb nicht gedanklich in einen einzigen großen Behördenbriefkasten zu werfen.

Bei wesentlichen Betreibern kann die Aufsicht proaktiv erfolgen. Das Gesetz sieht unter anderem regelmäßige Sicherheitsaudits vor. Bei wichtigen Betreibern wird grundsätzlich tätig, wenn Anlass zu der Annahme besteht, dass Pflichten nicht eingehalten werden.

Die Behörden können Informationen und Dokumente verlangen, Zugang zu Betriebsbereichen erhalten, gezielte Audits und Sicherheitsscans durchführen lassen und Anordnungen erlassen. Solche Anordnungen können mit Zwangsgeld verbunden werden.

Bei schwerwiegenden Pflichtverletzungen eines wesentlichen privaten Betreibers kann außerdem beantragt werden, einer verantwortlichen Leitungsperson vorübergehend die Ausübung ihrer Leitungsfunktion zu untersagen. Spätestens dort bekommt „Das Zertifikat liegt doch irgendwo im SharePoint“ eine eher überschaubare Überzeugungskraft.

Welche Bußgelder drohen in Schweden?

Bei wesentlichen privaten Betreibern kann die Verwaltungsgebühr bis zum höheren Betrag aus zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes reichen. Bei wichtigen privaten Betreibern sind es bis zum höheren Betrag aus sieben Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes.

Für öffentliche Betreiber liegt die Obergrenze bei zehn Millionen schwedischen Kronen. Die gesetzliche Untergrenze beträgt 5.000 Kronen. Bei der Bemessung werden unter anderem Schwere, Dauer, Vorsatz oder Fahrlässigkeit, frühere Verstöße und Kooperation berücksichtigt.

Das Bußgeld ist trotzdem nicht der beste Grund für ein ISMS. Sinn der Sache ist, kritische Leistungen, Kunden und das eigene Unternehmen zu schützen. Die Sanktionen verhindern nur, dass „Wir machen das irgendwann, wenn weniger los ist“ zu einer zeitlich unbegrenzten Cyberstrategie wird.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie die schwedische Rechtsperson anhand von Tätigkeit, Sektor, Größe, Konzernbeziehungen und Sondertatbeständen.
2. Klären Sie die Einstufung als wesentlicher oder wichtiger Betreiber und die zuständige sektorale Aufsicht.
3. Registrieren Sie die Organisation und organisieren Sie die Pflege der gemeldeten Angaben – einschließlich IP-Adressbereichen und Domains.
4. Prüfen Sie, ob die schwedische Einheit tatsächlich im Scope Ihres ISO 27001-Zertifikats liegt.
5. Mappen Sie Gesetz, Verordnung und schwedische Detailvorschriften auf Ihr ISMS.
6. Ergänzen Sie die 24- und 72-Stunden-Meldewege sowie Zwischen- und Abschlussbericht im Incident-Prozess.
7. Planen und dokumentieren Sie die verlangte Schulung der Leitung.
8. Schließen Sie verbleibende Lücken und testen Sie die Abläufe, bevor tatsächlich die Uhr läuft.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Schweden betreiben oder Ihr bestehendes ISMS gegen das schwedische NIS-2-Recht prüfen möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.