Framework-Vergleich: Rahmenwerke im Überblick

Problem in der Praxis

In vielen Organisationen entstehen Rahmen nacheinander, getrieben von einzelnen Anlässen: ein Großkunde verlangt SOC 2, der Regulator bringt NIS2, ein OEM fordert TISAX, das Produktgeschäft trifft auf den CRA. Jede Anforderung bekommt ihr eigenes Projekt, ihr eigenes Tool, ihr eigenes Reporting. Die gleiche Maßnahme wird mehrfach beschrieben, der gleiche Nachweis mehrfach gesucht, die gleiche Leitungsentscheidung mehrfach protokolliert.

Das Ergebnis ist teuer und fragil. Niemand kann sagen, welcher Rahmen welchen abdeckt, wo Pflichten doppelt erfüllt werden und wo eine Lücke bleibt. Besonders kritisch wird es bei Meldepflichten: Ein einziger Vorfall kann mehrere Meldewege zugleich auslösen, mit unterschiedlichen Fristen und Empfängern. Welche das sind, ist aber zu bestimmen und nicht zu addieren. Im deutschen Recht schließen sich manche Wege gerade aus: § 28 Absatz 5 und 6 BSIG nehmen Telekommunikation, Energie unter den §§ 5c bis 5e EnWG, Finanzunternehmen im Sinne der DORA sowie bestimmte Akteure der Telematikinfrastruktur von der BSIG-Meldepflicht aus. Für ein Finanzunternehmen ist der Meldeweg daher DORA und, bei personenbezogenen Daten, die DSGVO, nicht zusätzlich das BSIG. Die DSGVO bleibt in allen Fällen ein eigener Strang mit anderem Schutzzweck.

CISO-Einordnung

Der Vergleich bündelt eng verwandte Quellen zu fachlichen Themensträngen, etwa DSGVO mit ISO/IEC 27701 oder ISO/IEC 42001 mit dem EU AI Act; in Typologie und Vergleichstabelle erscheinen diese Quellen einzeln.

Der erste Ordnungsschritt ist eine saubere Typologie. Die Rahmen fallen in vier Familien.

Familie (a), Managementsysteme und Governance-Steuerungsrahmen: ISO/IEC 27001 (ISMS) und ISO/IEC 42001 (AIMS, das KI-Managementsystem) sind zertifizierbare Managementsysteme nach der Harmonized Structure. IT-Grundschutz ist demgegenüber die BSI-ISMS-Methodik (BSI-Standards 200-1/2/3/4 + IT-Grundschutz-Kompendium als Prüfkatalog) und keine eigene HLS-Norm; zertifiziert wird ein ISMS über das BSI-Schema „ISO 27001 auf Basis von IT-Grundschutz". NIST CSF 2.0 gehört funktional in dieselbe Steuerungsfamilie, ist aber ein outcome-/governance-orientierter Rahmen mit den sechs Functions Govern, Identify, Protect, Detect, Respond, Recover; er ist kein Managementsystem im ISO-Sinn und nicht zertifizierbar. Diese Familie liefert den Regelkreis: planen, betreiben, prüfen, verbessern.

Familie (b), Control- und Kriterienkataloge: ISO/IEC 27002 (Umsetzungsleitfaden zu den 93 Annex-A-Controls), NIST SP 800-53 (granularer Katalog mit 20 Familien), BSI C5 (Cloud-Kriterien), PCI DSS (Kartenzahlungs-Anforderungen) und VDA ISA / TISAX (Automotive). Sie beschreiben das Was der Maßnahmen, nicht das Wie der Steuerung.

Familie (c), Rechtsakte und Pflichten: NIS2, DORA, CRA, CER / KRITIS-Dachgesetz, DSGVO und EU AI Act. Sie sagen, was eine Organisation oder ein Produkt rechtlich leisten muss, schreiben aber kein bestimmtes Managementsystem vor.

Familie (d), Nachweis-, Attestierungs- und Zertifizierungsformen: das akkreditierte ISO-Zertifikat, das SOC-2-Attestat (SSAE 18, durch eine CPA-Firma), das C5-Attestat (ISAE 3000, durch Wirtschaftsprüfer), das TISAX-Label (gegenseitige Anerkennung über die ENX-Plattform) und der KRITIS-Nachweis nach Paragraf 39 BSIG, oft gestützt auf einen branchenspezifischen Sicherheitsstandard (B3S).

Wichtig ist die Diagonale: Manche Instrumente treten in mehreren Familien auf. ISO/IEC 27001 ist Managementsystem und zugleich Quelle einer Nachweisform (Zertifikat). DSGVO ist Pflicht, ihr typisches Nachweisinstrument ist ISO/IEC 27701. Diese Doppelrollen sind kein Widerspruch, sondern der Hebel für Mehrfachnutzung.

Vergleichstabelle der Rahmen

Die Tabelle führt die Einzelnormen und Rechtsakte der verglichenen Rahmenwerke auf; gebündelte Themenstränge erscheinen daher in mehreren Zeilen. ISO/IEC 27701 (Privacy, eigenständig zertifizierbar seit Ausgabe 2025) ist als DSGVO-Nachweisinstrument einzuordnen; ISO/IEC 27004 ist der Mess-Leitfaden zum ISMS-Kapitel Leistungsbewertung.

Umsetzungsperspektive

Der eigentliche Mapping-Nutzen liegt darin, dass dieselben Bausteine über alle Rahmen wiederkehren. Wer sie im ISMS einmal sauber aufsetzt, bedient sie vielfach. Die folgende Tabelle zeigt das Querschnitts-Mapping auf Konzeptebene; sie ist bewusst keine Control-zu-Control-Crosswalk.

Meldefristen im Vergleich

Meldepflichten sind der Bereich mit dem höchsten Praxisnutzen und dem größten Fehlerrisiko, weil ein Vorfall mehrere Pflichten parallel auslösen kann.

EU-weit unmittelbar fix sind die Verordnungen DSGVO und CRA (sowie die DORA-Grundpflichten, wobei die konkreten Meldefristen aus Level-2-Recht stammen und zu prüfen sind). NIS2 ist eine Richtlinie: Die dreistufige Logik ist europaweit angelegt, Schwellen und Auslegung folgen der nationalen Umsetzung. CER ist im KRITIS-Dachgesetz national umgesetzt; einzelne Fristen sind am Gesetzestext gegenzuprüfen.

Geltungstermine der Rechtsakte

Für die Planung kommt es auf die Anwendungstermine an. DORA ist seit dem 17.01.2025 anwendbar. Beim CRA gelten die Meldepflichten ab dem 11.09.2026, die Vollanwendung der Hauptpflichten (inklusive Konformitätsbewertung und CE-Kennzeichnung) ab dem 11.12.2027. Das KRITIS-Dachgesetz ist seit dem 17.03.2026 in Kraft (Ausnahme: Paragraf 14 Absatz 3 bis 5 ab dem 01.01.2030). Beim EU AI Act ist der maßgebliche Rechtsstand Art. 113 der Verordnung (EU) 2024/1689 in der Fassung der Digital-Omnibus-Verordnung (EU) 2026/1744: Die Änderungsverordnung vom 08.07.2026 (ABl. L, 2026/1744 vom 24.07.2026) ist am 27.07.2026 in Kraft getreten und hat die Verschiebung der Hochrisiko-Termine verbindlich gemacht. Die Hochrisiko-Pflichten gelten für Anhang-III-Systeme ab dem 02.12.2027 und für Anhang-I-Produkte (Art. 6 Abs. 1) ab dem 02.08.2028 (Art. 113 Abs. 3 Buchst. c in der Fassung von Art. 1 Nr. 40 der Verordnung (EU) 2026/1744); die früheren Stichtage 02.08.2026 (Anhang III) und 02.08.2027 (Anhang I) sind damit überholt und keine geltende Rechtslage mehr. Unverändert gelten der allgemeine Geltungsbeginn 02.08.2026 und die bereits laufenden Stufen (Verbote und KI-Kompetenz seit 02.02.2025, GPAI-Pflichten seit 02.08.2025); Art. 4 (KI-Kompetenz) wurde durch Art. 1 Nr. 5 der Verordnung (EU) 2026/1744 neu gefasst, und Art. 1 Nr. 7 ergänzt Art. 5 um neue Verbote mit Geltung ab dem 02.12.2026. (Stand 2026-08-02)

Typische Fehler

1. Typen verwechseln: einen Rechtsakt wie NIS2 als zertifizierbares Schema behandeln oder ein Attestat (SOC 2, C5) für ein Zertifikat halten.
2. Pro Anforderung ein eigenes Silo bauen, statt alles auf ein ISMS-Rückgrat zu mappen.
3. Annehmen, ein ISO-27001-Zertifikat decke automatisch NIS2, DORA, KRITIS oder DSGVO ab. Es liefert das Wie, ersetzt aber keine rechtliche Pflicht und keinen spezifischen Scope.
4. Meldepflichten isoliert betrachten und übersehen, dass ein Vorfall mehrere Fristen parallel auslöst.
5. Lizenzierte Inhalte (ISO, PCI, VDA, AICPA) im Wortlaut reproduzieren, statt nur zu referenzieren.

Risiken und Trade-offs

Ein gemeinsames Rückgrat erhöht die Effizienz, schafft aber auch eine Abhängigkeit: Ist das ISMS schwach, schwächt das alle aufsitzenden Nachweise. Standardisierung quer über Rahmen reduziert Aufwand, kann aber branchenspezifische Tiefen verfehlen, etwa den Prototypenschutz bei TISAX, die CDE-Segmentierung bei PCI DSS oder das Threat-Led Penetration Testing bei DORA.

Es gibt zudem ein Vorrangverhältnis: DORA ist für Finanzunternehmen lex specialis gegenüber NIS2. Wer hier doppelt steuert, erzeugt Reibung. Und nicht jede Überschneidung ist eine Äquivalenz: ISO 27001 und PCI DSS überschneiden sich inhaltlich stark, ersetzen einander aber nicht.

Entscheidungspunkte

• Welches Rückgrat passt: ISO/IEC 27001 (international, marktgetrieben) oder IT-Grundschutz (DE-Behörden, Stand der Technik)?
• Welche Pflichten gelten zwingend (NIS2, DORA, CRA, DSGVO, CER/KRITIS, AI Act) und in welcher Reihenfolge?
• Welche Nachweisform fordert der Markt: Zertifikat, Attestat, Label oder behördlicher Nachweis?
• Welche Evidenz lässt sich mehrfach nutzen, und wo sind echte Zusatztiefen nötig?
• Wie wird der Incident-Prozess mit Mehrfach-Trigger-Mapping aufgesetzt, damit parallele Meldefristen eingehalten werden?

Praktische Empfehlungen

1. Etablieren Sie EIN ISMS als Rückgrat und mappen Sie alle anderen Rahmen darauf, statt parallele Programme zu betreiben.
2. Nutzen Sie eine einfache Entscheidungslogik nach Branche und Pflicht: Finanz führt zu DORA (vor NIS2); Automotive zu TISAX; US-/SaaS-Vertrieb zu SOC 2; Cloud-Anbieter in DE und für die öffentliche Hand zu BSI C5; KRITIS-Betreiber zu NIS2 plus CER/KRITIS-DachG plus B3S/Paragraf 39 BSIG, soweit nicht die Bereichsausnahme des Paragrafen 28 Absatz 5 BSIG greift (Energie unter den Paragrafen 5c bis 5e EnWG, Telekommunikation), die auch die Nachweispflicht ausnimmt; Hersteller von Produkten mit digitalen Elementen zum CRA; KI-Entwicklung und -Einsatz zum EU AI Act plus ISO/IEC 42001; Kartenzahlung zu PCI DSS; Datenschutz quer über alles zur DSGVO (mit ISO/IEC 27701 als Nachweis).
3. Bauen Sie die acht Querschnittsthemen einmal sauber und erzeugen Sie Evidenz als Nebenprodukt des Regelbetriebs.
4. Richten Sie einen einheitlichen Incident-Prozess mit Mehrfach-Trigger-Mapping ein und klären Sie darin zuerst, welche Meldewege für Ihre Einheit überhaupt angeordnet sind (Bereichsausnahmen des Paragrafen 28 Absatz 5 und 6 BSIG), bevor Sie NIS2/BSIG, DSGVO, DORA, CRA und CER nebeneinanderstellen.
5. Behandeln Sie lizenzierte Kataloge (ISO, PCI, VDA, AICPA) konsequent reference-only und ziehen Sie für Tiefe die vertiefenden Artikel je Rahmenwerk und die jeweilige Originalquelle heran.

Relevante Normreferenzen

• ISO/IEC 27001, 27002, 27004, 27701, 42001, 22301: Referenzen für Managementsysteme, Controls, Messung, Privacy, KI und BCM (lizenziert).
• NIST CSF 2.0, SP 800-53, SP 800-61, SP 800-161, SP 800-34: Referenzen (Public Domain).
• BSI-Standards 200-1/2/3/4, IT-Grundschutz-Kompendium, BSI C5, B3S, BSIG (Paragrafen 30/31/39): BSI-/DE-Quellen.
• EU-Recht: NIS2 (RL 2022/2555), DORA (VO 2022/2554), CRA (VO 2024/2847), CER (RL 2022/2557), DSGVO (VO 2016/679), EU AI Act (VO 2024/1689, geändert durch die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026); DE: KRITIS-Dachgesetz.
• Reference-only nach Markt/Vertrag: PCI DSS, VDA ISA / TISAX, SOC 2 / Trust Services Criteria.