NIS-AD in Andorra und ISO 27001 im Vergleich

Eine deutsche Unternehmensgruppe betreibt auch in Andorra eine Gesellschaft. In einer Besprechung fällt irgendwann der beruhigende Satz: „Andorra ist doch gar nicht in der EU. Dann kann uns NIS-2 dort ja egal sein.“

Der erste Teil stimmt. Andorra gehört nicht zur Europäischen Union und setzt deshalb die EU-Richtlinie NIS-2 nicht als Mitgliedstaat um. Der zweite Teil ist ungefähr so belastbar wie „In den Pyrenäen gibt es keine Verkehrsregeln, weil dort keine deutsche Straßenverkehrsordnung gilt.“

Andorra hat ein eigenes Cybersicherheitsgesetz: die NIS-AD. Dazu kommt mit der ENS-AD ein nationaler Sicherheitsrahmen, der erstaunlich konkret wird. Er verlangt unter anderem ein Informationssicherheitsmanagementsystem, eine Anwendbarkeitserklärung, einen Sicherheitsbeauftragten, Asset-Klassifizierung und regelmäßige Audits.

Die gute Nachricht: Ein wirksames, passend gescoptes ISO 27001-Managementsystem nimmt einem davon sehr viel Arbeit ab. Die weniger bequeme Nachricht: Das Zertifikat ist kein Freifahrtschein. Es meldet keine Vorfälle an die andorranische Behörde, benennt keinen DSI und wird auch nicht automatisch zum staatlichen ENS-AD-Zertifikat, nur weil beide Dokumente das Wort Sicherheit enthalten.

Die kurze Antwort

Andorra hat mit dem Gesetz 22/2022 vom 9. Juni 2026 über Maßnahmen zur Sicherheit von Netzen und Informationssystemen ein eigenes Regelwerk geschaffen. Es wird kurz NIS-AD genannt. Das Gesetz orientiert sich an der ersten europäischen NIS-Richtlinie und berücksichtigte bei seiner Entstehung bereits den damaligen Vorschlag für NIS-2.

Der Esquema Nacional de Seguretat d’Andorra, kurz ENS-AD, konkretisiert die Sicherheitsanforderungen. Seine zentrale Besonderheit: Er verlangt ausdrücklich ein SGSI, also ein Informationssicherheitsmanagementsystem. Deshalb ist die fachliche Überschneidung mit ISO 27001 besonders groß.

Gleich sind vor allem Risikomanagement, Governance, Asset Management, Incident Management, Lieferkettensicherheit, Business Continuity, Audits und Verbesserung. Andorra ist an mehreren Stellen konkreter: etwa bei der Rolle des DSI, der Klassifizierung von Assets, der Einreichung einer Anwendbarkeitserklärung, der behördlichen Vorfallmeldung und der ENS-AD-Zertifizierung.

Die praktische Formel lautet: ISO 27001 ist eine ausgezeichnete fachliche Basis für NIS-AD und ENS-AD. Sie ersetzt die andorranischen Rechts-, Melde-, Rollen- und Zertifizierungspflichten aber nicht.

Was sind NIS-AD und ENS-AD?

Die konsolidierte Fassung der NIS-AD regelt, welche Einrichtungen betroffen sind, welche grundlegenden Sicherheits- und Meldepflichten gelten, wie die Leitung eingebunden wird und wie Aufsicht und Sanktionen funktionieren.

Die ENS-AD-Verordnung macht daraus ein Arbeitsprogramm. Sie beschreibt, wie das Managementsystem aufgebaut, wie Assets klassifiziert und wie Sicherheitsmaßnahmen ausgewählt, dokumentiert, geprüft und verbessert werden sollen. Änderungen aus dem Jahr 2024 haben den Rahmen weiterentwickelt und unter anderem Anforderungen an Dienstleister nachgeschärft.

Zuständig ist die Agència Nacional de Ciberseguretat d’Andorra, kurz ANC-AD. Sie veröffentlicht auf ihrer Ressourcenseite Leitfäden, Formulare und Hilfsmittel. Das ist wichtig, weil nicht nur das Gesetz zählt. Auch Verordnungen, aktuelle Anwendungshilfen und behördliche Praxis entscheiden darüber, was ein betroffenes Unternehmen tatsächlich tun und zeigen muss.

Und genau deshalb nennen wir diesen Artikel nicht „NIS-2 in Andorra“. Das wäre zwar für eine Serienüberschrift bequem, rechtlich aber schlampig. Andorra hat NIS-AD und ENS-AD – nicht die nationale Umsetzung einer EU-Richtlinie, an die das Land als Nichtmitglied gar nicht gebunden ist.

Wer muss sich in Andorra danach richten?

NIS-AD unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Erfasst werden bestimmte öffentliche und private Organisationen aus kritischen Bereichen. Dazu gehören je nach konkreter Tätigkeit etwa Energie, Verkehr, Finanzwesen, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung sowie weitere wichtige Dienste und Branchen.

Nach den aktuellen FAQ der ANC-AD spielt grundsätzlich die Unternehmensgröße eine Rolle. Als Schwelle nennt die Behörde 50 Beschäftigte oder mehr als zehn Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Dazu kommen sektorbezogene Regeln und Fälle, in denen eine Einrichtung unabhängig von der gewöhnlichen Größe erfasst oder ausdrücklich identifiziert wird.

Eine belastbare Betroffenheitsprüfung fragt deshalb nicht nur: „Wie viele Menschen sitzen im Büro in Andorra la Vella?“ Sie prüft mindestens:

• Welche andorranische Rechtsperson erbringt welche Dienste?
• Zu welchem gesetzlich genannten Sektor gehört die konkrete Tätigkeit?
• Welche Größenwerte und Konzernbeziehungen sind zu berücksichtigen?
• Wurde die Organisation behördlich als wesentlich oder wichtig identifiziert?
• Welche ausgelagerten Leistungen und Abhängigkeiten tragen den Dienst?

Ist eine Einrichtung erfasst, muss sie der Behörde Identifikationsdaten mitteilen. Änderungen dieser Daten sind ebenfalls fristgebunden nachzupflegen. Ein ISO-Zertifikat erledigt diese Registrierung nicht im Hintergrund. Zertifikate sind bislang bemerkenswert schlecht darin, Behördenportale selbstständig auszufüllen.

Das Mapping: Andorra und ISO 27001 auf einen Blick

Wo passen NIS-AD, ENS-AD und ISO 27001 gut zusammen?

Ein Managementsystem statt einer Sammlung schöner PDFs

ENS-AD verlangt ausdrücklich ein Sistema de Gestió de la Seguretat de la Informació. Das ist kein zufälliger Gleichklang mit dem ISMS aus ISO 27001. Beide Ansätze wollen, dass Informationssicherheit geplant, betrieben, geprüft und verbessert wird.

Das betrifft Leitung, Rollen, Ressourcen, Risiken, Ziele, dokumentierte Informationen, Betrieb, Bewertung und Verbesserung. Wer bereits ein wirksames ISMS hat, muss daher nicht nebenan ein zweites andorranisches Sicherheitsmanagementsystem errichten. Sinnvoller ist ein gemeinsames System mit einem sauberen Mapping der zusätzlichen nationalen Pflichten.

Risikomanagement und passende Behandlung

NIS-AD verlangt, dass Risiken für Netze und Informationssysteme beherrscht und Maßnahmen dem Risiko angemessen sowie verhältnismäßig gewählt werden. Auch Stand der Technik, Abhängigkeiten und Lieferkette spielen eine Rolle.

Das passt sehr gut zum Risikomanagement nach ISO 27001. Die Norm verbindet Risikoidentifikation, Bewertung, Behandlung, Akzeptanz und Nachverfolgung. Andorra ergänzt nationale Mindestanforderungen und eine konkretere Asset-Systematik.

Assets, Abhängigkeiten und Business Continuity

ENS-AD schaut nicht nur auf Laptops und Server. Relevant sind die Assets, die für die betroffenen Dienste benötigt werden, einschließlich ihrer Abhängigkeiten. Wer sein Asset Management bislang als Inventarliste mit Gerätenummern betreibt, wird deshalb nacharbeiten müssen.

Ausfallrisiken führen direkt zum Business Continuity Management: Welche kritischen Leistungen hängen von welchen Menschen, Standorten, Daten, Systemen und Lieferanten ab? Wie lange darf etwas ausfallen? Wie wird wiederhergestellt? Beide Regelwerke wollen darauf belastbare Antworten und nicht nur einen Notfallordner, der im eigentlichen Notfall im ausgefallenen Fileserver liegt.

Lieferanten- und Incident Management

NIS-AD verlangt die Berücksichtigung der Lieferkette und externer Abhängigkeiten. ISO 27001 liefert dafür mit A.5.19 bis A.5.23 eine passende Struktur für sichere Lieferantenbeziehungen.

Auch beim Management von Informationssicherheitsvorfällen ist die fachliche Deckung hoch: erkennen, bewerten, eskalieren, reagieren, Beweise sichern und aus dem Ereignis lernen. Andorra hängt daran zusätzlich eine gesetzliche Stoppuhr und einen Behördenprozess.

Wo ist Andorra konkreter als ISO 27001?

Ein DSI – samt Vertretung

NIS-AD verlangt einen Delegat de la Seguretat de la Informació, kurz DSI. Diese Funktion kann je nach Organisation durch eine Person, eine Einheit oder ein Organ wahrgenommen werden. Außerdem ist eine Vertretung vorzusehen. Kontaktdaten sind der zuständigen Stelle mitzuteilen.

ISO 27001 verlangt Rollen, Verantwortlichkeiten und Befugnisse, schreibt aber keine Rolle namens DSI vor. Ein vorhandener ISB oder CISO kann die Aufgabe möglicherweise übernehmen. Das sollte jedoch ausdrücklich geprüft, vereinbart und dokumentiert werden. „Macht wahrscheinlich unsere IT irgendwie mit“ ist weder eine Rollenbeschreibung noch eine belastbare Vertretungsregel.

Eine sehr konkrete Asset-Klassifizierung

ENS-AD arbeitet mit einer detaillierten Klassifizierung nach Verfügbarkeit, Integrität und Vertraulichkeit. Daraus werden Sicherheitsniveaus und passende Maßnahmen abgeleitet. Die ANC-AD stellt zudem einen Standardkatalog für Asset-Arten bereit.

ISO 27001 verlangt ebenfalls, Informationen und andere zugehörige Assets zu identifizieren, angemessen zu schützen und Risiken zu behandeln. Sie lässt dem Unternehmen bei Klassifikationsmodell und Detailgrad aber deutlich mehr Freiheit. Ein ISO-konformes Verfahren ist deshalb eine hervorragende Basis – es muss nur gegen das andorranische Modell geprüft und bei Bedarf erweitert werden.

Eine Anwendbarkeitserklärung, die zur Behörde geht

Die ENS-AD verlangt eine Erklärung, in der anwendbare Sicherheitsmaßnahmen, Umsetzungsstatus und Begründungen für Ausschlüsse nachvollziehbar werden. Diese Erklärung wird von der Leitung genehmigt und der Behörde übermittelt.

Das erinnert sehr deutlich an die Anwendbarkeitserklärung der ISO 27001. Inhaltlich ist das ein großer Vorteil. Trotzdem sollte niemand die ISO-SoA ungelesen hochladen und hoffen, dass die Überschrift schon Eindruck macht. Katalog, Terminologie, Statusangaben und Einreichungspflicht müssen zur ENS-AD passen.

Nationale Audits und eine eigene Zertifizierung

Nach den aktuellen Leitfäden und FAQ der ANC-AD sind ordentliche interne Audits jährlich durchzuführen. Bei wesentlichen Veränderungen können außerordentliche Audits erforderlich werden. Das lässt sich gut mit dem Internen Audit nach ISO 27001 verbinden, sofern Prüfgrundlage, Umfang, Kompetenz und Unparteilichkeit beide Regelwerke abdecken.

Zusätzlich kennt Andorra eine ENS-AD-Zertifizierung durch die ANC-AD. Sie ist zwei Jahre gültig; die Behörde führt eine Liste zertifizierter Dienste. Das ist nicht dasselbe wie ein ISO 27001-Zertifikat einer akkreditierten Zertifizierungsstelle. Zwei Zertifikate können auf derselben guten Sicherheitsarbeit aufbauen. Sie werden dadurch aber nicht zu demselben Zertifikat.

Eigene gesetzliche Meldefristen

Bei einem erheblichen Vorfall sieht NIS-AD grundsätzlich eine erste Meldung innerhalb von 24 Stunden nach Kenntnisnahme vor. Danach können Zwischenberichte erforderlich werden; der Abschlussbericht ist spätestens einen Monat nach der ersten Meldung vorgesehen.

Wichtig ist die Abweichung von der vertrauten NIS-2-Erzählung: In der andorranischen gesetzlichen Struktur steht nicht einfach dieselbe feste 24/72-Stunden/Ein-Monats-Kaskade wie in der EU-Richtlinie. Wer für mehrere Länder einen gemeinsamen Incident-Prozess betreibt, sollte daher eine Fristenmatrix bauen. Sonst meldet am Ende jemand korrekt nach Brüssel, aber zu spät nach Andorra la Vella.

Wo ist ISO 27001 systematischer oder flexibler?

ISO 27001 ist international einsetzbar und als vollständiges Managementsystem besonders stark bei Kontext, interessierten Parteien, Scope, Sicherheitszielen, Kompetenz, Dokumentenlenkung, Leistungsbewertung, Management Review und kontinuierlicher Verbesserung.

Die Norm verlangt nicht, für jede Organisation dasselbe starre Sicherheitsmodell anzuwenden. Maßnahmen werden auf Grundlage der konkreten Risiken und Anforderungen ausgewählt. Diese Flexibilität ist nützlich, weil ein Krankenhaus, ein Cloudanbieter und ein kleines Versorgungsunternehmen nicht mit derselben technischen Blaupause sinnvoll arbeiten können.

ENS-AD ist dafür näher an der nationalen Aufsicht. Es definiert Rollen, Klassifikationen, Einreichungen, Audit- und Zertifizierungslogik konkreter. Das ist kein Widerspruch. ISO 27001 kann das Betriebssystem sein; NIS-AD und ENS-AD liefern zusätzliche nationale Pflichtmodule.

Reicht ein ISO 27001-Zertifikat in Andorra aus?

Nein. NIS-AD enthält keine Vorschrift nach dem Muster: Zertifikat einreichen, alle Pflichten erledigt.

Ein ISO 27001-Zertifikat kann trotzdem ein starker Nachweis sein – wenn sein Scope die betroffene andorranische Einheit, ihre relevanten Dienste, Standorte, Systeme und Abhängigkeiten tatsächlich umfasst. Danach braucht es ein belastbares Mapping:

1. Welche NIS-AD- und ENS-AD-Anforderung wird durch welchen ISMS-Prozess und welche Controls erfüllt?
2. Welche Nachweise zeigen, dass das nicht nur auf dem Papier steht?
3. Wo muss die ISO-Systematik an das andorranische Asset- und Maßnahmenmodell angepasst werden?
4. Welche nationalen Pflichten fehlen noch – etwa DSI, Registrierung, Einreichung, Incident-Meldung oder ENS-AD-Zertifizierung?
5. Wer hält das Mapping aktuell, wenn sich Gesetz, Verordnung, Leitfaden oder das Unternehmen ändern?

Eine Gap-Analyse ist dafür der vernünftige Einstieg. Sie verhindert, dass parallel zum ISMS noch eine NIS-AD-Exceldatei entsteht, deren wichtigste Kontrolle darin besteht, dass niemand wagt, die Spaltenbreite zu verändern.

Wie wird die Einhaltung in Andorra geprüft?

Die Aufsicht unterscheidet im Grundsatz zwischen wesentlichen und wichtigen Einrichtungen. Wesentliche Einrichtungen können proaktiv geprüft werden. Bei wichtigen Einrichtungen setzt die Aufsicht typischerweise an, wenn Hinweise oder Nachweise auf mögliche Verstöße vorliegen.

Die Behörde kann Informationen, Dokumente und Nachweise verlangen, Prüfungen und Audits veranlassen sowie Korrekturmaßnahmen anordnen. Das ENS-AD-Zertifizierungsverfahren kommt als eigener Prüfweg hinzu.

Bei Verstößen sieht NIS-AD abgestufte Sanktionen vor. Sehr schwere Verstöße können mit 30.001 bis 100.000 Euro, schwere mit 15.001 bis 30.000 Euro und leichtere Verstöße mit einer Verwarnung oder 500 bis 15.000 Euro geahndet werden.

Diese Beträge sind deutlich niedriger als die bekannten Maximalbußgelder der EU-NIS-2. Daraus folgt allerdings nicht, dass Sicherheitsmanagement in Andorra zum günstigen Freizeitprogramm wird. Ausfälle, Kundenverluste und Wiederherstellungskosten fragen ohnehin selten höflich nach dem gesetzlichen Bußgeldrahmen.

Was sollten Unternehmen jetzt praktisch tun?

1. Prüfen Sie die konkrete andorranische Rechtsperson, Tätigkeit, Größe und behördliche Einordnung.
2. Klären Sie Registrierungs- und Aktualisierungspflichten gegenüber der ANC-AD.
3. Prüfen Sie, ob die andorranischen Dienste wirklich im Scope Ihres ISO 27001-ISMS und Zertifikats liegen.
4. Mappen Sie NIS-AD, ENS-AD und die aktuellen ANC-AD-Leitfäden gegen Ihr ISMS.
5. Gleichen Sie Asset-Katalog, Klassifizierung und Sicherheitsniveaus mit der ENS-AD ab.
6. Benennen Sie DSI und Vertretung, vereinbaren Sie Aufgaben und regeln Sie den Berichtsweg zur Leitung.
7. Ergänzen Sie andorranische Incident-Meldewege und Fristen im Vorfallprozess.
8. Planen Sie interne Audits, mögliche außerordentliche Audits und gegebenenfalls die ENS-AD-Zertifizierung.

Interesse geweckt?

Wenn Sie eine Gesellschaft oder kritische Leistungen in Andorra betreiben, prüfen wir mit Ihnen Betroffenheit, Scope und die Deckung Ihres bestehenden ISMS. So wird aus „Wir haben doch schon ISO“ ein belastbares Mapping – und nicht erst im Behördenkontakt eine überraschende Fortbildungsmaßnahme.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.