Es gibt kein NIS2-Zertifikat für Unternehmen. Die Richtlinie schafft keines, und keine Zertifizierungsstelle ist akkreditiert, eine Organisation für „NIS2-konform“ zu erklären. Stattdessen erlaubt NIS2 den Behörden, zertifizierte IKT-Produkte nach EU-Schemata vorzuschreiben (Artikel 24), fördert Normen wie ISO/IEC 27001 (Artikel 25) und sieht Prüfungen der Einrichtungen vor (Artikel 32 und 33).
Dieser Leitfaden erklärt, was mit „NIS2-Zertifizierung“ meist gemeint ist, was Artikel 24 erlaubt, welche EU-Schemata es gibt, welche Rolle ISO 27001 spielt, welche Audits eine Behörde anordnen kann, welche nationalen Verfahren bestehen und was die Kommission im Januar 2026 vorgeschlagen hat. Am Ende steht eine Checkliste.
| Was als „NIS2-Zertifizierung“ bezeichnet wird | Was es tatsächlich ist | Pflicht? |
|---|---|---|
| Ein „NIS2-Zertifikat“ von einer Beratung oder einem Tool | Eine eigene Bescheinigung des Anbieters ohne rechtliche Wirkung | Nein |
| Zertifikat nach ISO/IEC 27001 | Akkreditierte Zertifizierung Ihres Managementsystems, der übliche Nachweis für Artikel 21 | Nein, außer das nationale Recht baut darauf auf |
| EU-Cybersicherheitszertifikat (EUCC) | Zertifizierung eines IKT-Produkts nach dem Rechtsakt zur Cybersicherheit | Nur wenn ein Mitgliedstaat oder ein delegierter Rechtsakt der Kommission es verlangt |
| Sicherheitsprüfung (Audit) | Ein Aufsichtsinstrument Ihrer zuständigen Behörde | Wesentliche Einrichtungen: regelmäßig und gezielt. Wichtige Einrichtungen: gezielt, im Nachhinein |
| Nationales Konformitätsverfahren | Eine nationale Bewertung, etwa CyberFundamentals in Belgien | Wo das nationale Recht es vorschreibt |
| EU-Zertifikat über die „Cyberabwehr“ (cyber posture) | Vorgeschlagen in COM(2026) 11 und COM(2026) 13 | Nicht in Kraft |
Gibt es eine NIS2-Zertifizierung?
Nein. NIS2 verpflichtet wesentliche und wichtige Einrichtungen, „geeignete und verhältnismäßige“ Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu ergreifen (Artikel 21), erhebliche Sicherheitsvorfälle zu melden (Artikel 23) und diese Maßnahmen von ihren Leitungsorganen billigen und überwachen zu lassen (Artikel 20). Ob Sie die Vorgaben einhalten, beurteilt Ihre zuständige Behörde, nicht ein Zertifikat.
Das lässt Raum für einen Markt mit Siegeln. Ein Tool oder eine Beratung kann Sie anhand der eigenen NIS2-Checkliste bewerten und ein Dokument ausstellen. Das kann eine nützliche Gap-Analyse sein. Eine Zertifizierung im rechtlichen Sinn ist es nicht, und Ihre Behörde ist daran nicht gebunden.
Was sagt Artikel 24 zur Zertifizierung?
Artikel 24 betrifft zertifizierte IKT-Produkte, -Dienste und -Prozesse, nicht die Zertifizierung eines Unternehmens.
- Die Mitgliedstaaten können wesentliche und wichtige Einrichtungen verpflichten, bestimmte IKT-Produkte, -Dienste und -Prozesse zu verwenden, die im Rahmen europäischer Schemata für die Cybersicherheitszertifizierung zertifiziert sind, die gemäß Artikel 49 der Verordnung (EU) 2019/881 (Rechtsakt zur Cybersicherheit) angenommen wurden. Der Zweck ist, „die Erfüllung bestimmter in Artikel 21 genannter Anforderungen nachzuweisen“.
- Die Mitgliedstaaten sind verpflichtet, die Nutzung qualifizierter Vertrauensdienste zu fördern.
- Die Kommission kann delegierte Rechtsakte erlassen, die festlegen, welche Kategorien von Einrichtungen zertifizierte Produkte, Dienste oder Prozesse nutzen oder ein Zertifikat im Rahmen eines europäischen Schemas erlangen müssen. Das darf sie nur, wenn ein unzureichendes Niveau der Cybersicherheit festgestellt wurde, nach einer Folgenabschätzung und mit einer Umsetzungsfrist.
- Wenn kein geeignetes Schema existiert, kann die Kommission die ENISA auffordern, ein mögliches Schema auszuarbeiten.
In der Praxis heißt das: Ihr Mitgliedstaat oder die Kommission per delegiertem Rechtsakt könnte eines Tages zum Beispiel ein zertifiziertes Produkt für eine bestimmte Funktion vorschreiben. Es heißt nicht, dass Sie ein Zertifikat kaufen können, das NIS2 abdeckt.
Welche EU-Schemata für die Cybersicherheitszertifizierung gibt es?
Wenige, und keines zertifiziert heute eine Organisation.
- EUCC, das europäische Schema auf Grundlage der Common Criteria, eingeführt durch die Durchführungsverordnung (EU) 2024/482. Es zertifiziert IKT-Produkte und Schutzprofile auf zwei Vertrauenswürdigkeitsstufen, „mittel“ und „hoch“. Es gilt seit dem 27. Februar 2025, und Zertifikate sind bis zu fünf Jahre gültig.
- Cloud (EUCS) und 5G (EU5G) sind mögliche Schemata, die nicht angenommen wurden. Die Kommission hat erklärt, dass die Arbeit daran voraussichtlich wieder aufgenommen wird.
- Verwaltete Sicherheitsdienste. Die Verordnung (EU) 2025/37 hat den Rechtsakt zur Cybersicherheit so geändert, dass verwaltete Sicherheitsdienste zertifiziert werden können. Im April 2025 hat die Kommission die ENISA beauftragt, ein mögliches Schema auszuarbeiten. Es befindet sich noch in Arbeit.
Für die meisten betroffenen Unternehmen ändert keines dieser Schemata etwas an dem, was sie in diesem Jahr tun müssen.
Verlangt NIS2 ISO 27001?
Nein. Artikel 25 verlangt von den Mitgliedstaaten, die Anwendung „europäischer und internationaler Normen und technischer Spezifikationen“ für die Sicherheit von Netz- und Informationssystemen zu fördern, und zwar „ohne Auferlegung oder willkürliche Bevorzugung der Verwendung einer bestimmten Technologieart“. Nach Artikel 21 Absatz 1 sollen Ihre Maßnahmen den Stand der Technik und gegebenenfalls die einschlägigen europäischen und internationalen Normen berücksichtigen.
ISO/IEC 27001 ist die Norm, mit der die meisten Unternehmen diese Erwartung erfüllen, weil ein ISMS den Großteil der zehn Maßnahmen aus Artikel 21 abdeckt und einem Prüfer etwas gibt, das er testen kann. Die Zuordnung und ihre Grenzen stehen in ISO 27001 und NIS2 im Vergleich. Die Maßnahmen selbst sind in den zehn Maßnahmen nach Artikel 21 erklärt.
Für eine Gruppe gelten genauere Anforderungen. DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter müssen die Durchführungsverordnung (EU) 2024/2690 anwenden. Ihr Anhang legt die technischen und methodischen Anforderungen für jede Maßnahme nach Artikel 21 fest.
Welche Audits kann eine NIS2-Behörde anordnen?
Hier kommt NIS2 einer Zertifizierung am nächsten: Eine externe Stelle prüft Ihre Maßnahmen, und die Behörde liest das Ergebnis.
| Aufsichtsbefugnis | Wesentliche Einrichtungen (Artikel 32) | Wichtige Einrichtungen (Artikel 33) |
|---|---|---|
| Erforderlicher Auslöser | Keiner | Nachweise, Hinweise oder Informationen über einen Verstoß |
| Kontrollen | Vor Ort und extern, einschließlich Stichprobenkontrollen | Vor Ort und extern, im Nachhinein |
| Sicherheitsprüfungen | Regelmäßig und gezielt, durch eine unabhängige Stelle oder die Behörde | Gezielt, durch eine unabhängige Stelle oder die Behörde |
| Ad-hoc-Prüfungen | Ja, zum Beispiel nach einem erheblichen Sicherheitsvorfall | Nicht aufgeführt |
| Sicherheitsscans | Ja | Ja |
| Anforderung von Nachweisen | Dokumentierte Konzepte, Ergebnisse von Prüfungen durch einen qualifizierten Prüfer und die zugrunde liegenden Nachweise | Dieselben |
Gezielte Sicherheitsprüfungen stützen sich auf Risikobewertungen der Behörde oder der geprüften Einrichtung oder auf sonstige verfügbare risikobezogene Informationen. Die Ergebnisse gehen an die Behörde. Die geprüfte Einrichtung trägt die Kosten einer gezielten Prüfung durch eine unabhängige Stelle, es sei denn, die Behörde entscheidet in hinreichend begründeten Fällen anders.
Beachten Sie, was die Behörde verlangt. Die Richtlinie spricht von „Nachweisen für die Umsetzung der Cybersicherheitskonzepte“. Eine Sammlung von Konzepten allein ist kein Nachweis. Aufzeichnungen, die belegen, dass die Controls laufen, sind es.
Gibt es in einigen Ländern ein nationales NIS2-Konformitätsverfahren?
Ja. Die Mitgliedstaaten können über die Richtlinie hinausgehen, und einige haben eine formelle Konformitätsbewertung in ihr Recht aufgenommen.
Belgien ist das deutlichste Beispiel. Bis zum 18. April 2026 mussten wesentliche Einrichtungen eines von drei Dingen vorweisen: eine CyberFundamentals-Verifizierung auf Stufe Basic oder Important (erhalten, laufend oder mit einer akkreditierten Stelle vertraglich vereinbart), einen Weg über ISO/IEC 27001 (Geltungsbereich, Erklärung zur Anwendbarkeit und letzter interner Auditbericht eingereicht, mit vollständiger Zertifizierung bis April 2027) oder eine Selbstbewertung mit einem Antrag auf Inspektion. Die Einzelheiten stehen in NIS2 in Belgien.
Wenn Sie in mehreren Ländern tätig sind, prüfen Sie jedes nationale Gesetz. Dasselbe Unternehmen kann in einem Mitgliedstaat einer formellen Bewertung unterliegen und in einem anderen nur auf Anfrage beaufsichtigt werden.
Wird es ein NIS2-Zertifikat auf EU-Ebene geben?
Möglicherweise, aber noch nicht. Am 20. Januar 2026 hat die Kommission zwei miteinander verbundene Texte vorgeschlagen.
- Eine Überarbeitung des Rechtsakts zur Cybersicherheit (COM(2026) 11). EU-Schemata könnten die „Cyberabwehr“ (cyber posture) einer Einrichtung zertifizieren, nicht nur IKT-Produkte und -Dienste. Die Kommission stellt dies als Weg dar, mit dem Unternehmen die Einhaltung von NIS2 und anderem EU-Recht nachweisen können.
- Gezielte Änderungen an NIS2 (COM(2026) 13). Ein neuer Artikel 24 Absatz 4 würde es den Mitgliedstaaten erlauben, von wesentlichen und wichtigen Einrichtungen ein solches Zertifikat zum Nachweis der Einhaltung von Artikel 21 zu verlangen. Belegt ein Zertifikat die Einhaltung der einschlägigen Anforderungen, könnten die Behörden für die davon abgedeckten Anforderungen keine zusätzlichen gezielten Sicherheitsprüfungen anordnen. Die eigene Verantwortung der Einrichtung für die Einhaltung bliebe vom Zertifikat unberührt.
Beides sind Vorschläge. Solange das Europäische Parlament und der Rat sie nicht angenommen haben und solange es kein EU-Schema für die Cyberabwehr gibt, ändert sich nichts. Bauen Sie auf dem auf, was bereits zählt: umgesetzte Maßnahmen und Nachweise, dass sie wirken.
Was kostet eine NIS2-Zertifizierung?
Es gibt kein NIS2-Zertifikat, für das Sie bezahlen könnten. Die Kosten liegen in der Compliance-Arbeit, und sie hängen davon ab, wie weit Ihre aktuellen Controls von Artikel 21 entfernt sind.
Wenn Sie ISO 27001 als Nachweis nutzen, gilt die Kostenaufstellung für ISO 27001: etwa 12.000 bis 22.500 € für das Zertifizierungsaudit eines Unternehmens mit 26 bis 125 Beschäftigten und rund 50.000 bis 150.000 € für das erste Jahr insgesamt. Seien Sie vorsichtig bei jedem Angebot, das ein „NIS2-Zertifikat“ als Produkt verkauft.
Was ein Zertifikat nicht beweist
Ein Zertifikat ist eine Momentaufnahme auf Basis einer Stichprobe. Ein ISO-27001-Auditor liest Ihre Sicherheitskonzepte, testet eine Auswahl von Controls und unterschreibt. Eine NIS2-Behörde stellt eine andere Frage: Sind die Maßnahmen jetzt vorhanden und wirksam, und zwar für alle betroffenen Dienste?
Beantwortet wird das mit betrieblichen Nachweisen, nicht mit einem Dokument. Beispiele sind ein Asset-Inventar, das der Realität entspricht, Multi-Faktor-Authentifizierung (MFA) auf jedem Administratorkonto, Patch-Zeiten für kritische Schwachstellen, durchsuchbare Logs, eine getestete Wiederherstellung und ein Ablauf eines Sicherheitsvorfalls, den Sie auf die Stunde genau rekonstruieren können. Das meiste davon lässt sich laufend direkt aus den Systemen erheben. Genau das macht die CloudSoul-Plattform, wobei ein Mensch prüft, was die Daten nicht klären. Wenn Sie zuerst wissen möchten, wo Sie stehen, ist ein Security Audit gegen Artikel 21 der schnellste Weg. Das gesamte Programm finden Sie auf der Seite zur NIS2-Compliance.
Checkliste zur NIS2-Zertifizierung
- Klären Sie, ob Sie in den Anwendungsbereich fallen und ob Sie eine wesentliche oder eine wichtige Einrichtung sind.
- Prüfen Sie Ihr nationales Recht auf eine verpflichtende Konformitätsbewertung oder ein anerkanntes Verfahren.
- Legen Sie fest, was Ihr Nachweis sein wird: ISO 27001, ein nationales Verfahren oder Ihre eigenen dokumentierten Maßnahmen.
- Ordnen Sie Ihre Controls den zehn Maßnahmen nach Artikel 21 zu und schließen Sie die Lücken.
- Wenn Sie Anbieter von Cloud-, Rechenzentrums- oder DNS-Diensten, Anbieter verwalteter Dienste oder ein anderer in der Durchführungsverordnung (EU) 2024/2690 aufgeführter Anbieter sind, prüfen Sie Ihre Controls anhand ihres Anhangs.
- Bewahren Sie Nachweise der Umsetzung auf, nicht nur Konzepte: Aufzeichnungen, Logs, Testergebnisse.
- Lassen Sie die Maßnahmen von Ihrem Leitungsorgan billigen und dokumentieren Sie das (Artikel 20).
- Ignorieren Sie Angebote für ein „NIS2-Zertifikat“, das keine Behörde anerkennt.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 20, 21, 24, 25, 32 und 33, EUR-Lex.
- Durchführungsverordnung (EU) 2024/482 der Kommission (EUCC), EUR-Lex-Zusammenfassung.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, EUR-Lex.
- ENISA, mögliches Schema für verwaltete Sicherheitsdienste (EUMSS), ENISA-Zertifizierung.
- Europäische Kommission, Fragen und Antworten zum Cybersicherheitspaket, 20. Januar 2026, Shaping Europe’s digital future.
- Vorschlag für eine Richtlinie zur Änderung der Richtlinie (EU) 2022/2555, COM(2026) 13 final, Register des Rates.
- Zentrum für Cybersicherheit Belgien, „NIS2: 18 April 2026 deadline“, aktualisiert am 16. April 2026, CCB.
Häufige Fragen
Gibt es eine NIS2-Zertifizierung?
Nein. Die NIS2-Richtlinie schafft kein Zertifikat für Unternehmen, und keine Stelle ist akkreditiert, eine Organisation als NIS2-konform zu zertifizieren. Ein „NIS2-Zertifikat“ von einer Beratung oder einem Toolanbieter ist eine eigene Bescheinigung dieses Anbieters und bindet keine Behörde.
Wie erhalte ich eine NIS2-Zertifizierung?
Als solche gar nicht. Sie erfüllen die Pflichten, vor allem die Risikomanagementmaßnahmen nach Artikel 21 und die Meldepflichten nach Artikel 23, und halten Nachweise dafür bereit. Eine Zertifizierung nach ISO/IEC 27001 ist der gängigste Weg, den Teil zu Artikel 21 zu belegen, und einige Mitgliedstaaten erkennen sie in nationalen Konformitätsverfahren an.
Welche Audits verlangt NIS2?
Behörden können wesentliche Einrichtungen regelmäßigen und gezielten Sicherheitsprüfungen durch eine unabhängige Stelle oder durch die Behörde selbst unterziehen (Artikel 32). Wichtige Einrichtungen müssen mit gezielten Prüfungen im Nachhinein rechnen, wenn es Hinweise gibt, dass sie die Vorgaben nicht einhalten (Artikel 33). Eine gezielte Prüfung durch eine unabhängige Stelle bezahlt die geprüfte Einrichtung, sofern die Behörde nichts anderes entscheidet.
Was kostet eine NIS2-Zertifizierung?
Es gibt kein NIS2-Zertifikat, für das Sie bezahlen könnten. Die Kosten liegen in der Compliance-Arbeit selbst. Wenn Sie ISO 27001 als Nachweis nutzen, kostet das Zertifizierungsaudit für ein Unternehmen mit 26 bis 125 Beschäftigten etwa 12.000 bis 22.500 €, und das erste Jahr kostet insgesamt rund 50.000 bis 150.000 €.
Wird es ein EU-weites NIS2-Zertifikat geben?
Möglicherweise. Im Januar 2026 hat die Kommission eine Überarbeitung des Rechtsakts zur Cybersicherheit (COM(2026) 11) vorgeschlagen, die EU-Schemata zur Zertifizierung der Cyberabwehr einer Einrichtung ermöglichen würde, sowie Änderungen an NIS2 (COM(2026) 13), mit denen Mitgliedstaaten ein solches Zertifikat verlangen könnten. Beides sind Vorschläge, kein geltendes Recht, und ein solches Schema gibt es noch nicht.
