NIS-2 in Zypern und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe eröffnet eine Gesellschaft auf Zypern. Das Konzern-ISMS ist nach ISO 27001 zertifiziert. Das Projektteam ist entspannt: „Zypern ist EU, NIS-2 ist EU und wir haben ISO. Das wird wohl dreimal dasselbe sein.“

Die Mathematik ist bestechend. Das Ergebnis stimmt trotzdem nicht.

Spätestens wenn ein erheblicher Incident nicht innerhalb von 24, sondern in Zypern bereits innerhalb von sechs Stunden erstmals gemeldet werden muss, wird aus der vermeintlichen Gleichung eine recht praktische Aufgabe. ISO 27001 liefert dafür viele Prozesse und Nachweise. Das zyprische Gesetz bestimmt aber, was zusätzlich zu tun ist, wer beaufsichtigt und welche nationalen Fristen gelten.

Die kurze Antwort

ISO 27001 deckt einen großen Teil des zyprischen NIS-2-Sicherheitsmanagements ab:

• Verantwortung der Leitung und klare Rollen,
• risikobasierte technische, operative und organisatorische Maßnahmen,
• Incident Management und Business Continuity,
• Lieferketten- und Dienstleistersicherheit,
• sichere Entwicklung und Schwachstellenmanagement,
• Kryptographie, Zugriffsschutz und Asset Management,
• Schulung, Prüfung und kontinuierliche Verbesserung.

Zypern ergänzt dieses System jedoch um nationale Besonderheiten. Dazu gehören die Identifikation und Benennung als wesentliche oder wichtige Einrichtung, Informationspflichten gegenüber der Digital Security Authority, Security by Design für neu gegründete betroffene Einrichtungen, behördliche Vorgaben und Audits sowie eine außergewöhnlich kurze Sechs-Stunden-Frist für die Frühwarnung bei erheblichen Incidents.

Die Kurzfassung lautet: ISO 27001 kann das zentrale Managementsystem für Zypern sein. Das Zertifikat ersetzt die zyprischen Rechtspflichten nicht.

Wie hat Zypern NIS-2 umgesetzt?

Zypern hatte bereits den Security of Networks and Information Systems Law von 2020, Gesetz 89(I)/2020. Mit dem Änderungsgesetz 60(I)/2025 wurde dieses Regelwerk an NIS-2 angepasst. Die Änderung wurde am 24. April 2025 veröffentlicht und trat grundsätzlich mit ihrer Veröffentlichung in Kraft; eine amtliche englische Arbeitsfassung stellt auch die Digital Security Authority bereit.

Das Gesetz enthält nicht nur den bekannten NIS-2-Katalog. Es gibt der zyprischen Aufsicht außerdem weitreichende Befugnisse, weitere Entscheidungen und Vorgaben zu erlassen. Für Unternehmen bedeutet das: Nicht nur das Gesetz lesen, sondern auch die aktuellen Entscheidungen, Leitfäden und individuellen Bescheide der DSA beachten.

Wer fällt in Zypern unter NIS-2?

Das Gesetz unterscheidet wesentliche und wichtige Einrichtungen aus den NIS-2-Sektoren. Dazu gehören unter anderem Energie, Verkehr, Gesundheit, digitale Infrastruktur, öffentliche Verwaltung, Wasser, ICT-Dienstleister, Post, Abfall, Chemie, Lebensmittel, bestimmte Hersteller und digitale Plattformen.

Größe und Tätigkeit sind wichtige Kriterien. Bestimmte Anbieter – etwa qualifizierte Vertrauensdienste, Top-Level-Domain-Register und DNS-Dienste – können unabhängig von ihrer Größe erfasst sein. Auch kleinere Einrichtungen können aufgrund ihrer Kritikalität, Alleinstellung oder möglichen Auswirkungen einbezogen werden.

Die DSA bewertet Einrichtungen und führt eine nicht öffentliche Liste. Die betroffene Organisation wird durch eine Entscheidung benannt. Neu gegründete Einrichtungen und solche, die in den Anwendungsbereich fallen, aber noch nicht auf der Liste stehen, müssen die Behörde informieren und ihre Einordnung klären. Die DSA stellt dafür ein Selbsteinschätzungswerkzeug bereit.

Das ist ein wichtiger Unterschied zur Idee „Wir warten, bis irgendwann ein Einschreiben kommt.“ Zypern erwartet von neuen oder übersehenen Einrichtungen, dass sie nicht hinter der Topfpflanze sitzen und auf behördliche Entdeckung hoffen.

Das Mapping: Zypern und ISO 27001 auf einen Blick

Wo passen Zypern und ISO 27001 besonders gut zusammen?

Risikomanagement als gemeinsames Rückgrat

Das zyprische Gesetz verlangt angemessene und verhältnismäßige Maßnahmen auf Basis eines ganzheitlichen Gefahrenansatzes. Das passt sehr gut zum Risikomanagement nach ISO 27001.

Ein belastbares Asset Management hilft, Systeme, Informationen, Prozesse, Menschen und Dienstleister mit ihren Abhängigkeiten zu erfassen. Erst dann lässt sich seriös beurteilen, welches Risiko ein Ausfall oder eine Kompromittierung auf Zypern für die dortige Gesellschaft und den Konzern hat.

Lieferanten und ausgelagerte Dienste

NIS-2 verlangt ausdrücklich die Sicherheit der Lieferkette. ISO 27001 bietet mit Anhang A.5.19 bis A.5.23 dafür ein sehr brauchbares Gerüst. Ein sicherheitsbezogenes Lieferantenmanagement erfasst, was geliefert wird, welche Risiken entstehen, welche Anforderungen vertraglich gelten und wie deren Einhaltung überwacht wird.

Das ist für einen internationalen Standort wichtig. Der Cloudvertrag mag in Frankfurt unterschrieben worden sein. Wenn darüber die zyprische Einrichtung arbeitet, bleibt die Abhängigkeit nicht am Flughafen zurück.

Incident Management und Business Continuity

Ein funktionierendes Informationssicherheitsvorfall-Management organisiert Erkennung, Bewertung, Eskalation, Eindämmung, Wiederherstellung und Kommunikation. Business Continuity Management ergänzt die Frage, wie kritische Leistungen trotz Störung aufrechterhalten oder rechtzeitig wieder aufgenommen werden.

ISO 27001 liefert dafür Prozesse. Zypern legt die nationale Meldelogik daneben. Das lässt sich gut integrieren – vorausgesetzt, im Incident-Playbook steht wirklich Zypern und nicht nur „Behörde gegebenenfalls informieren“.

Wo ist Zypern genauer als ISO 27001?

Sechs Stunden sind ziemlich wenig

Bei einem erheblichen Incident ist grundsätzlich ohne unangemessene Verzögerung und spätestens innerhalb von sechs Stunden eine Frühwarnung abzugeben. Innerhalb von 72 Stunden folgt die ausführlichere Incident-Meldung. Später sind Abschluss- beziehungsweise bei fortdauernden Incidents Fortschrittsberichte erforderlich.

Die Sechs-Stunden-Frist ist deutlich strenger als die 24 Stunden aus der NIS-2-Richtlinie. Sie läuft nicht erst, wenn am Montagmorgen der gesamte Krisenstab ausgeschlafen im Besprechungsraum sitzt. Unternehmen brauchen daher eine rund um die Uhr funktionsfähige Erkennung, Bewertung und Eskalation.

Security by Design mit Behördenkontakt

Artikel 27A verlangt von neu gegründeten betroffenen Einrichtungen, die DSA zu informieren und Rat beziehungsweise Orientierung zu den erforderlichen Sicherheitsmaßnahmen bereits beim Design der ICT-Infrastruktur einzuholen.

Das passt inhaltlich zu A.5.8 und den Controls zur sicheren Entwicklung. Zypern macht daraus aber zusätzlich einen Behördenkontakt. Wer erst kurz vor dem Go-live fragt „Müssen wir Sicherheit hier eigentlich noch mitdenken?“, hat Security by Design bereits sehr kreativ interpretiert.

Benennung statt bloßer Selbsteinschätzung

Die DSA bewertet und benennt wesentliche und wichtige Einrichtungen. Gleichzeitig haben neu gegründete oder bislang nicht erfasste Einrichtungen Informationspflichten. ISO 27001 kennt weder diese nationale Liste noch den entsprechenden Bescheid.

Nationale Entscheidungen neben dem Gesetz

Die DSA kann nähere Sicherheitsanforderungen, Nachweise und Aufsichtsmaßnahmen durch Entscheidungen konkretisieren. Ein Unternehmen braucht deshalb ein gepflegtes Rechtskataster und jemanden, der neue Vorgaben in Prozesse und Maßnahmen übersetzt. Ein Zertifikat von vor zwei Jahren ist kein Abonnement auf sämtliche zukünftigen DSA-Entscheidungen.

Wo ist ISO 27001 systematischer?

Das zyprische Recht konzentriert sich auf Cyberrisiken, Pflichten, Meldungen und Aufsicht. ISO 27001 beschreibt umfassender, wie daraus ein dauerhaft gesteuertes Managementsystem wird.

Die Norm verbindet Kontext, interessierte Parteien, Scope, Risiken, Ziele, Ressourcen, Kompetenz, Kommunikation, Dokumentenlenkung, Betrieb, Messung, Internes Audit, Management Review, Korrekturmaßnahmen und Verbesserung. Die Anwendbarkeitserklärung macht sichtbar, welche Controls aus Anhang A gelten, warum sie gelten und wie sie umgesetzt sind.

Auch die Wirksamkeitsprüfung ist ein großer Vorteil. Zypern verlangt Maßnahmen. Das ISMS zwingt das Unternehmen zusätzlich zur Frage, ob diese Maßnahmen im Ernstfall auch funktionieren – besonders um 02:13 Uhr, wenn die Sechs-Stunden-Uhr bereits läuft.

Reicht ein ISO 27001-Zertifikat für NIS-2 in Zypern?

Nein. Ein Zertifikat ersetzt weder die Benennung durch die DSA noch nationale Meldefristen, Informationspflichten, Entscheidungen, Audits oder Aufsichtsmaßnahmen.

Es ist trotzdem eine hervorragende Grundlage, wenn der Scope passt. Die zyprische Rechtsperson, ihre betroffenen Leistungen, Standorte, Systeme und Abhängigkeiten müssen tatsächlich vom ISMS erfasst sein. Danach braucht es ein nachvollziehbares Mapping:

1. Welche zyprische Pflicht gilt für welche Tätigkeit?
2. Welcher ISMS-Prozess erfüllt sie?
3. Welche Nachweise zeigen Umsetzung und Wirksamkeit?
4. Welche DSA-Entscheidungen oder Bescheide gelten zusätzlich?
5. Wie funktioniert die Sechs-Stunden-Meldung rund um die Uhr?
6. Wer hält Kontakte, Registerdaten und Nachweise aktuell?

Wie wird NIS-2 in Zypern geprüft?

Die Digital Security Authority ist nationale zuständige Behörde, zentrale Kontaktstelle, Aufsicht und Cyberkrisenbehörde. Das nationale CSIRT unterstützt bei Incidents.

Die DSA kann Informationen, Dokumente und Nachweise verlangen, Inspektionen und Sicherheitsprüfungen durchführen beziehungsweise Ergebnisse qualifizierter Audits anfordern. Wesentliche Einrichtungen unterliegen grundsätzlich einer proaktiveren Aufsicht; wichtige Einrichtungen werden typischerweise ex post bei Hinweisen oder Verdacht geprüft.

Ein ISO 27001-Audit kann wertvolle Nachweise liefern. Es prüft aber nicht automatisch gegen Gesetz 89(I)/2020, Änderungsgesetz 60(I)/2025 und sämtliche DSA-Entscheidungen. Das muss ausdrücklich im Auditkriterium und Scope stehen.

Welche Sanktionen drohen in Zypern?

Für Verstöße gegen Risikomanagement- und Meldepflichten können bei wesentlichen Einrichtungen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes verhängt werden – maßgeblich ist der höhere Betrag. Bei wichtigen Einrichtungen sind es bis zu sieben Millionen Euro oder 1,4 Prozent.

Daneben kennt das zyprische Recht weitere Anordnungen und für bestimmte Verstöße auch strafrechtliche Folgen. Das ist ein guter Grund, die Incident-Hotline nicht als Nummer eines Mitarbeiters zu definieren, der im Urlaub gern das Telefon ausschaltet.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie Tätigkeit, Größe und Kritikalität der zyprischen Gesellschaft.
2. Klären Sie DSA-Status, Bescheid und Informationspflichten.
3. Mappen Sie Gesetz und geltende DSA-Entscheidungen auf das ISMS.
4. Prüfen Sie Scope, Assets, Lieferanten und lokale Abhängigkeiten.
5. Bauen und testen Sie eine echte Sechs-Stunden-Eskalation.
6. Verankern Sie Security by Design in neuen Standorten, Systemen und Projekten.
7. Halten Sie Auditnachweise und behördlich geforderte Informationen griffbereit.

Interesse geweckt?

Wenn Sie eine Gesellschaft in Zypern betreiben oder Ihr bestehendes ISMS gegen das zyprische NIS-2-Recht prüfen möchten, unterstützen wir Sie bei Betroffenheitsprüfung, Scope, Mapping und Gap-Analyse.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.