NIS2, CRA, SOC 2 oder ISO 27001: 4 Frameworks im direkten Vergleich für Softwareanbieter

• Pflicht oder freiwillig: NIS2 und CRA sind gesetzliche Regelwerke. ISO 27001 und SOC 2 sind freiwillige Markt- und Vertrauensinstrumente.
• Der CRA richtet sich nach dem Produkt. Wer Produkte mit digitalen Elementen auf dem EU-Markt bereitstellt, sollte den Anwendungsbereich prüfen. Für reine SaaS-Dienste kann die Einordnung anders ausfallen.
• NIS2 kann für mittlere und große Unternehmen in 18 erfassten Sektoren gelten. Schwellenwerte und Zuordnung sind sektor- und einzelfallabhängig.
• ISO 27001 kann als Fundament dienen, weil ein ISMS viele gemeinsame Kontrollen strukturiert.
• Ein Kontroll-Mapping zu NIS2, CRA, SOC 2 und DSGVO kann doppelte Nachweise und Parallelstrukturen vermeiden.
• SOC 2 ist vor allem bei US-Kunden und internationalen Enterprise-Verträgen relevant.

Nicht alle Compliance-Anforderungen stehen zur freien Auswahl. Die Unterscheidung zwischen gesetzlicher Pflicht und Marktentscheidung bestimmt, ob Sie ein Framework wählen oder verbindliche Anforderungen umsetzen müssen.

NIS2 gilt für Unternehmen in 18 erfassten Sektoren. Schwellenwerte sind nach Sektor und Anlagenzuordnung abgestuft. Für Anlage-2-Sektoren gelten typischerweise 50 oder mehr Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz als Orientierung; für Anlage-1-Sektoren liegen die Schwellen in der Regel höher. Cloud-Computing-, Rechenzentrums- und Managed-Service-Angebote gehören zu den erfassten Kategorien. Maßgeblich sind das nationale Umsetzungsgesetz und die Einordnung des konkreten Unternehmens.

Der CRA folgt einer anderen Logik: Er richtet sich nicht nach Umsatz oder Beschäftigtenzahl, sondern nach Produktrolle und Produkt. Hersteller, Importeure und Händler von Produkten mit digitalen Elementen auf dem EU-Markt müssen den Anwendungsbereich prüfen. Reine SaaS-Dienste ohne eigenständige Produktkomponente können je nach Einordnung ausgenommen sein.

• NIS2 – gesetzliche Pflicht für betroffene Unternehmen in den erfassten Sektoren: Risikomanagement, Vorfallreaktion, Betriebskontinuität, Lieferkettensicherheit, Schwachstellenmanagement, Zugriffsschutz und Meldepflichten. Typische Nachweise sind ISMS-Dokumentation, Risikoanalysen, Audits und Meldungen; eine allgemeine NIS2-Zertifizierung gibt es nicht.
• CRA – gesetzliche Produktanforderungen: Security by Design, Risikobewertung, Schwachstellenmanagement, Sicherheitsupdates, technische Dokumentation und eine maschinenlesbare SBOM. Je nach Produkt sind Konformitätsbewertung, CE-Kennzeichnung und EU-Konformitätserklärung relevant.
• ISO 27001 – freiwilliger internationaler Standard: ein systematisch betriebenes ISMS mit Geltungsbereich, Risikoanalyse, Risikobehandlung, Leitlinien, Lieferantenmanagement, Vorfallreaktion, Betriebskontinuität und internen Audits. Nachweis ist die Zertifizierung durch eine akkreditierte Stelle.
• SOC 2 – freiwilliger Prüfungsstandard, besonders für US-Geschäft: Trust Services Criteria mit Security als Pflichtkriterium und optional Availability, Processing Integrity, Confidentiality und Privacy. Ein unabhängiger Prüfer erstellt einen Attestierungsbericht; Type I betrachtet einen Stichtag, Type II einen Prüfzeitraum.

ISO 27001 und SOC 2 sind keine Ersatzlösung für gesetzliche Pflichten. Eine ISO-27001-Zertifizierung hebt weder NIS2-Registrierungs- und Meldepflichten noch CRA-Anforderungen auf.

Viele technische und organisatorische Maßnahmen zahlen auf mehrere Rahmenwerke ein: etwa MFA, Schwachstellenmanagement, dokumentierte Vorfallpläne, Kontinuitätstests, Kryptografie und Lieferantenprüfungen. Ein gemeinsames Kontrollregister kann diese Maßnahmen den jeweiligen Anforderungen zuordnen.

Im deutschen Kontext bietet der IT-Grundschutz des BSI eine ergänzende Perspektive. Seine Bausteine und Prüfkataloge überschneiden sich teilweise mit ISO 27001 und können als Ausgangsbasis für Sicherheitsmaßnahmen dienen.

Für SaaS-Anbieter mit EU-Enterprise-Kunden kann ISO 27001 eine passende Basiszertifizierung sein. Zusätzlich sollte geprüft werden, ob der Dienst unter Cloud-Computing, Managed Services oder digitale Infrastruktur fällt: Dann kann NIS2 ab einer bestimmten Unternehmensgröße verbindlich sein.

Softwarehersteller, die Produkte auf dem EU-Markt bereitstellen, sollten den CRA-Anwendungsbereich prüfen. ISO 27001 kann helfen, technische Dokumentation und SBOM-Prozesse in ein ISMS einzubetten; sie ersetzt aber weder die Konformitätsbewertung noch die EU-Konformitätserklärung.

Für SaaS-Anbieter mit US-Kunden oder internationalen Enterprise-Verträgen kann SOC 2 Type II ein wichtiges Marktziel sein. Ein anschließendes Mapping auf ISO 27001 kann sinnvoll werden, wenn EU-Expansion oder europäische Ausschreibungen anstehen.

Unternehmen mit weniger als 50 Beschäftigten sind von NIS2 häufig nicht erfasst; die genaue Abgrenzung hängt jedoch vom Sektor und den gesetzlichen Kriterien ab. Der CRA gilt unabhängig von der Unternehmensgröße, wenn die jeweilige Rolle und das Produkt in seinen Anwendungsbereich fallen.

Bei 50 bis 250 Beschäftigten sollte die NIS2-Anwendbarkeit besonders sorgfältig geprüft werden, wenn das Unternehmen in einem erfassten Sektor tätig ist. ISO 27001 kann die Umsetzung gemeinsamer Sicherheitsmaßnahmen strukturieren.

Größere Unternehmen können mehrere Rahmenwerke parallel benötigen. Ein systematisches Kontroll-Mapping hilft, Nachweise nicht mehrfach aufzubauen und dennoch die unterschiedlichen Prüfziele zu erfüllen.

Für ein mittelständisches SaaS-Unternehmen wird die Umsetzung bis zur ISO-27001-Zertifizierung häufig mit etwa 9 bis 12 Monaten und 0,5 bis 1,5 Vollzeitstellen über mehrere Funktionen veranschlagt. Die im Ausgangsbeitrag genannten Kostenschätzungen liegen für das erste Jahr bei rund 75.000 bis 150.000 Euro; Umfang und Kosten hängen stark von Ausgangslage und Geltungsbereich ab.

Bei SOC 2 Type II ist die Beobachtungsperiode von 6 bis 12 Monaten oft der entscheidende Zeitfaktor. Einschließlich Vorbereitung kann ein erster Bericht etwa 9 bis 15 Monate in Anspruch nehmen. Der Ausgangsbeitrag nennt für den ersten Zyklus Kostenschätzungen von 60.000 bis 150.000 Euro.

Solche Zahlen sind Richtwerte aus den jeweils genannten Vergleichsquellen, keine individuellen Angebote. Wenn ISO 27001 und SOC 2 gemeinsam geplant werden, können wiederverwendbare Kontrollen den Aufwand gegenüber zwei getrennten Projekten verringern.

NIS2 verlangt neben technischen Maßnahmen auch Registrierung, Meldepflichten und dokumentierte Verantwortung der Geschäftsleitung. Für erhebliche Vorfälle sind eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats vorgesehen. Nationale Regeln bestimmen die konkreten Meldewege.

Seit dem 11. September 2026 gelten außerdem CRA-Meldepflichten für bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Für diese Meldungen sind eine Frühwarnung innerhalb von 24 Stunden und eine ausführlichere Meldung innerhalb von 72 Stunden vorgesehen.

CRA-Meldungen erfolgen über die zentrale Single Reporting Platform der ENISA an das zuständige CSIRT. Die 24-Stunden-Frühwarnung ist dabei nicht mit einer vollständigen technischen Abschlussmeldung gleichzusetzen.

Der CRA verlangt vor dem Inverkehrbringen eine Konformitätsbewertung und technische Dokumentation; eine maschinenlesbare SBOM ist ebenfalls vorgesehen. Der Unterstützungszeitraum für Sicherheitsupdates orientiert sich an der erwarteten Nutzungsdauer des Produkts und muss nachvollziehbar festgelegt werden. Ein ISMS kann viele Prozesse unterstützen, ersetzt aber nicht die produktspezifischen Pflichten.

Ein Common-Control-Modell kann mehrere Frameworks ohne redundante Parallelstrukturen zusammenführen. MFA, rollenbasierte Zugriffskontrollen, Schwachstellenscans, Vorfallpläne, Lieferantenprüfungen und Backuptests können gleichzeitig zu ISO 27001, NIS2, SOC 2 und DSGVO-Maßnahmen beitragen.

Dieselbe Maßnahme erfüllt jedoch nicht automatisch alle Nachweiserwartungen. ISO 27001 verlangt ihre Einbettung in ein ISMS; SOC 2 prüft je nach Berichtstyp den Stichtag oder die Wirksamkeit über einen Zeitraum; die DSGVO verlangt eine risikobezogene Betrachtung der konkreten Verarbeitung. Umfang, Verantwortlichkeiten und Prüfziele müssen daher nachvollziehbar bleiben.

Zuerst sollte geklärt werden, ob gesetzliche Pflichten aus NIS2 oder CRA gelten. Danach kann ISO 27001 als strukturelles Fundament helfen, gemeinsame Kontrollen und Nachweise aufzubauen. SOC 2 ergänzt dieses Fundament, wenn US-Kunden oder internationale Enterprise-Verträge es konkret verlangen.

Ein Kontroll-Mapping sollte parallel zur Planung beginnen. Wer etwa SOC 2 startet, ohne zuvor eine mögliche NIS2-Anwendbarkeit zu prüfen, kann trotz hohen Aufwands eine regulatorische Lücke behalten.

Das passende Paket hängt davon ab, ob gesetzliche Pflichten wie NIS2 oder CRA greifen, welche Kunden bedient werden und welche Ressourcen zur Verfügung stehen. Eine klare Einordnung kann sowohl regulatorische Lücken als auch unnötige Parallelprojekte vermeiden.

Die größte Effizienzfalle ist, Rahmenwerke isoliert umzusetzen und dieselben Kontrollen mehrfach zu dokumentieren. Bei Axel Hoehnke liegt der Schwerpunkt darauf, passende Frameworks für Unternehmen einzuordnen und bestehende Sicherheitsmaßnahmen auf die jeweiligen Anforderungen abzubilden.

Wer klären möchte, ob NIS2, CRA, ISO 27001, SOC 2 oder eine Kombination davon für das eigene Unternehmen verbindlich oder sinnvoll ist, sollte zunächst die konkrete Rolle, das Produkt und den Zielmarkt prüfen.

• Muss jede Software auf dem EU-Markt eine SBOM bereitstellen? Der CRA sieht eine maschinenlesbare SBOM für Produkte mit digitalen Elementen vor. Sie ist Teil der technischen Dokumentation und muss nicht pauschal öffentlich veröffentlicht werden.
• Welche Fristen gelten für erhebliche Sicherheitsvorfälle unter NIS2? Vorgesehen sind eine erste Meldung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats; die nationalen Meldewege sind zu beachten.
• Sind kleine SaaS-Anbieter automatisch von NIS2 ausgenommen? Nein. Sektorzuordnung, Unternehmensgröße und nationale Umsetzung sind im konkreten Fall zu prüfen.
• Hebt eine ISO-27001-Zertifizierung Pflichten aus NIS2 oder CRA auf? Nein. Sie kann gemeinsame Kontrollen strukturieren, ersetzt aber keine gesetzlichen Pflichten.