OpenKRITIS hat die NIS2-Durchführungsverordnung (EU) 2024/2690 jetzt auf C5:2026 und ISO/IEC 27001:2022 gemappt. Für Cloud-Anbieter, Rechenzentren und Managed Service Provider ist das eine wertvolle Abkürzung durch drei Regelwerke. Für alle anderen – auch Stadtwerke – lohnt der Blick ebenfalls, denn ihre IT-Dienstleister stehen genau unter dieser Verordnung. Was das Mapping leistet, wo es endet und wie Sie es im ISMS praktisch nutzen.
Was OpenKRITIS veröffentlicht hat
Das neue Mapping ordnet die Anforderungen aus dem Anhang der Durchführungsverordnung (DVO) den Kriterien des BSI-Cloud-Katalogs C5:2026 und den Kapiteln und Annex-A-Kontrollen der ISO 27001:2022 zu. Es ergänzt die bestehende Mapping-Familie von OpenKRITIS: NIS2 (BSIG) auf ISO 27001, KRITIS-Dachgesetz auf ISO 27001/22301 und die Kataloge O-Kat Cloud, O-Kat KRITIS und O-Kat Energie.
Die Tabelle folgt den 13 Kapiteln des DVO-Anhangs mit zusammen über 150 Einzelanforderungen. Jede Zeile nennt die DVO-Nummer (etwa 11.7.1), die passende Anforderung aus der deutschen NIS2-Umsetzung im BSIG (NS.-Nummern), die C5:2026-Kriterien (etwa IAM-08 oder OIS-02) und die ISO-27001-Kapitel bzw. Annex-A-Kontrollen. Für Business Continuity kommt ISO 22301:2019 als weitere Spalte hinzu.
Die C5-Zuordnungen beruhen unter anderem auf der Kreuzreferenztabelle, die das BSI im Mai 2026 zu C5:2026 veröffentlicht hat. Der aktuelle Stand der Tabelle ist der 6. Oktober 2026. Wo eine Norm eine DVO-Anforderung nur teilweise trifft, ist das ausdrücklich als „partial“ markiert – wo gar nichts passt, steht ein Strich.
Für wen die Durchführungsverordnung verbindlich ist
Die DVO (EU) 2024/2690 vom 17. Oktober 2024 gilt unmittelbar, ohne nationale Umsetzung, für einen klar umrissenen Kreis digitaler Anbieter:
- DNS-Diensteanbieter und TLD-Namenregister
- Anbieter von Cloud-Computing-Diensten und Rechenzentrumsdiensten
- Betreiber von Content Delivery Networks
- Managed Service Provider (MSP) und Managed Security Service Provider (MSSP)
- Online-Marktplätze, Suchmaschinen und soziale Netzwerke
- Vertrauensdiensteanbieter
Für diese Einrichtungen konkretisiert ihr Anhang die Risikomanagementmaßnahmen aus Art. 21 NIS2 in 13 Themenblöcken – von Richtlinien über Lieferkette und Kryptografie bis zu physischer Sicherheit. Nach § 30 Abs. 4 BSIG hat sie Vorrang vor den allgemeinen Maßnahmen des § 30 Abs. 2.
Für alle übrigen NIS2-Einrichtungen ist die DVO nicht verbindlich. OpenKRITIS nutzt sie in den Katalogen für Energie und kritische Anlagen trotzdem als fachliche Orientierung – sie ist schlicht das detaillierteste Maßnahmenset, das die EU bisher vorgelegt hat.
Warum gerade C5:2026 und ISO 27001
Die DVO selbst nennt ISO/IEC 27001 und 27002 als Grundlage ihrer Anforderungen und erlaubt, Normen zum Nachweis der Einhaltung heranzuziehen. ISO 27001 ist damit der natürliche Ankerpunkt für jedes bestehende ISMS.
C5:2026 ist der zweite Anker für Cloud-Anbieter in Deutschland. Das BSI hat den Katalog im April 2026 veröffentlicht; er wächst von 121 auf 168 Kriterien in 17 Themenbereichen und bringt neue Anforderungen zu Containern, Post-Quanten-Kryptografie und Confidential Computing (wir haben ihn im Sommer eingeordnet). Ab Prüfzeiträumen, die am 1. Juni 2027 beginnen, gilt ausschließlich C5:2026.
C5:2026 wurde ausdrücklich mit Blick auf ISO 27001 und NIS2 entwickelt. Ein Mapping auf beide Welten zeigt also, wo ein künftiges C5-Testat zugleich DVO-Pflichten belegt – und wo nicht.
Ein paar Zeilen aus dem Mapping zeigen, wie das in der Praxis aussieht:
| DVO | Anforderung (verkürzt) | C5:2026 | ISO 27001:2022 |
|---|---|---|---|
| 1.1.1 | Leitlinie zur Sicherheit, von der Leitung freigegeben | OIS-01, OIS-02 | 4.1–10.2, A.5.1, A.5.2, A.5.4 |
| 2.1.1 | Rahmenwerk für das Risikomanagement | OIS-07, OIS-09 | 6.1, 8.2, 8.3 |
| 3.2.1 | Überwachung und Erkennung von Ereignissen | SIM-06, COS-01, OPS-10/13/14/19/20 | A.5.28, A.8.15, A.8.16 |
| 4.2.2 | Backup-Pläne mit RTO/RPO | OPS-06, OPS-09 | A.8.13, A.8.14 |
| 5.1.4 | Sicherheitsanforderungen in Lieferantenverträgen | SSO-01/03/07/08 | A.5.19–A.5.23 |
| 6.6.1 | Patchmanagement mit Fristen und Ausnahmen | OPS-23, OPS-27, OPS-28 | A.8.8, A.8.19, A.5.7, A.8.32 |
| 9.2 | Kryptokonzept: Algorithmen, Schlüssellängen, Schlüsselmanagement | CRY-01, CRY-04 bis CRY-17 | A.5.14, A.8.24 |
| 11.7.1 | Multi-Faktor-Authentisierung nach Schutzbedarf | PSS-05, PSS-06, IAM-08 | A.5.17, A.8.5, A.8.24 |
| 12.4.1 | Vollständiges Asset-Inventar mit Änderungshistorie | AM-02 bis AM-04 | A.5.9 |
Auswahl aus dem OpenKRITIS-Mapping, Stand 6.10.2026.
Wo die Lücken liegen
Die spannendsten Zeilen sind die mit Strich. Für einige DVO-Anforderungen bieten weder C5:2026 noch ISO 27001 ein passendes Gegenstück:
| DVO | Anforderung (verkürzt) | C5:2026 | ISO 27001:2022 |
|---|---|---|---|
| 1.2.3 | Direkte Berichtslinie des CISO an die Leitung | – | – |
| 4.3.1/4.3.2 | Krisenmanagement-Prozess mit Rollen und Kommunikation | – | allenfalls A.5.26 |
| 4.3.4 | Regelmäßiger Test des Krisenmanagementplans | – | – |
| 5.1.3 | Koordinierte EU-Risikobewertungen kritischer Lieferketten berücksichtigen | SSO-02 | – |
| 6.3.3 | Konfigurationen regelmäßig überprüfen und aktualisieren | – | A.8.9 |
| 3.6.3 | Prüfen, ob nach Vorfällen tatsächlich Reviews stattfanden | – | A.5.26, A.5.27 |
Dazu kommen zahlreiche Zeilen, die nur teilweise abgedeckt sind – etwa Business-Continuity-Pläne und BIA, die ISO 27001 lediglich streift. Hier hilft ISO 22301, die das Mapping für Kapitel 4 eigens ergänzt.
OpenKRITIS fasst die Abweichungen gegenüber ISO 27001 so zusammen:
- Deutlich mehr Gewicht auf Krisen- und Notfallmanagement
- Überprüfungs- und Aktualisierungspflichten in fast jedem Kapitel
- Anforderungen erstrecken sich häufig ausdrücklich auf Dritte
- Einige sehr konkrete Vorgaben, etwa zu Netzen, privilegierten Konten und Administrationssystemen
Bemerkenswert: Netzsicherheit und Malware-Schutz (Kapitel 6.7–6.9) sowie physische Sicherheit (Kapitel 13) stehen nicht ausdrücklich in Art. 21 NIS2 – die DVO ergänzt sie. Ein bestehendes ISMS oder Testat muss für diese Punkte also erweitert werden.
Was ein Mapping leistet – und was nicht
Ein Mapping zeigt, wo Sie suchen müssen. Es sagt nicht, dass Sie gefunden haben.
Aus Auditorensicht sind vier Grenzen wichtig.
- Zuordnung ist nicht Gleichwertigkeit. Die DVO ist an vielen Stellen konkreter als ISO 27001, etwa bei Fristen, Überprüfungsintervallen oder den Schwellen für erhebliche Sicherheitsvorfälle. Eine passende Annex-A-Kontrolle deckt das nicht automatisch ab.
- Die Anwendbarkeitserklärung ist kein Ausweg. Im ISMS dürfen Sie Kontrollen begründet ausschließen. Eine verbindliche DVO-Anforderung lässt sich nicht per SoA wegdefinieren.
- Zertifikat ist nicht Testat. ISO 27001 wird zertifiziert, C5 testiert ein Wirtschaftsprüfer – mit anderer Prüftiefe und anderem Nachweischarakter. Beides sind Bausteine, kein Persilschein gegenüber dem BSI.
- Der Geltungsbereich entscheidet. Ein Zertifikat für ein Rechenzentrum belegt nichts für den MSP-Dienst desselben Unternehmens. Prüfen Sie immer, ob Scope und regulierter Dienst deckungsgleich sind.
Warum das Stadtwerke angeht
Für Energieversorger ist die DVO nicht verbindlich, die IT-Sicherheitskataloge der BNetzA stehen weiter aus. Trotzdem landet die Verordnung im Alltag jedes Stadtwerks – über die Lieferkette.
Ihr Rechenzentrumsbetreiber, Ihr Cloud-Anbieter und Ihr IT-Dienstleister mit Fernwartung fallen oft genau unter die DVO. Das Mapping hilft Ihnen, deren Nachweise zu lesen: Ein C5-Testat oder ISO-Zertifikat lässt sich gegen die DVO-Abschnitte legen, die für Ihren Auftrag zählen.
Praktisch heißt das: Fragen Sie Ihre Dienstleister nicht nur nach dem Zertifikat, sondern nach ihrem DVO-Abgleich. Wer unter die Verordnung fällt, muss diese Arbeit ohnehin machen – Sie profitieren davon in Ihrer eigenen Lieferantenbewertung nach § 30 BSIG.
So arbeiten Sie mit dem Mapping
- Betroffenheit klären. Fällt Ihr Dienst unter die DVO, oder nutzen Sie sie als Orientierung? Davon hängt ab, ob Lücken Pflicht- oder Kür-Themen sind.
- Scope abgleichen. Legen Sie den Geltungsbereich Ihres ISMS bzw. C5-Testats neben die regulierten Dienste.
- SoA erweitern. Ergänzen Sie Ihre Anwendbarkeitserklärung um eine Spalte mit den DVO-Abschnitten aus dem Mapping.
- Delta bewerten. Prüfen Sie je Zeile, ob Ihre Umsetzung die DVO-Detailtiefe erreicht – nicht nur, ob eine Kontrolle existiert.
- C5:2026 einplanen. Wer ein C5-Testat hat, sollte die Umstellung bis Juni 2027 mit dem DVO-Delta in einem Projekt bündeln.
- Lieferanten fragen. Fordern Sie von DVO-pflichtigen Dienstleistern den Abgleich an und hinterlegen Sie ihn in Ihrer Lieferantenbewertung.
Fazit
Das OpenKRITIS-Mapping spart Ihnen die mühsamste Fleißarbeit: drei Regelwerke nebeneinanderzulegen. Die eigentliche Arbeit beginnt danach – bei der Frage, ob Ihre Umsetzung die Detailtiefe der DVO trägt und ob Ihr Scope passt.
Sie möchten wissen, wo Ihr ISMS gegenüber der DVO oder C5:2026 steht? regelwerker.de unterstützt bei Delta-Analysen, Lieferantenbewertung und der Vorbereitung auf Audits.
regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.