Top-Themen in der Informationssicherheit:
Seit dem 1. April 2026 gibt es mit der VdS 10100:2026-04 „Strukturierte Informationssicherheit gemäß NIS-2″ ein eigenständiges Regelwerk, das Unternehmen eine konkrete Struktur für die NIS-2-Umsetzung an die Hand gibt.
Mit dem Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 sind Unternehmen bestimmter Sektoren und Größenklassen verpflichtet, geeignete organisatorische und technische Maßnahmen zum Schutz ihrer Informationsverarbeitung umzusetzen und nachzuweisen. Betroffene Einrichtungen müssen sich innerhalb von drei Monaten ab dem Zeitpunkt, zu dem sie erstmals als wichtige oder besonders wichtige Einrichtung gelten, beim BSI registrieren (§ 33 BSIG). Für die bei Inkrafttreten bereits erfassten Unternehmen ist diese Frist abgelaufen.
Wichtig vorab: NIS-2 betrifft nicht pauschal „den Mittelstand“, sondern Unternehmen in bestimmten Sektoren (z. B. Energie, Gesundheit, digitale Infrastruktur, verarbeitendes Gewerbe), die gesetzlich definierte Schwellenwerte bei Beschäftigtenzahl, Umsatz oder Bilanzsumme überschreiten. Hinzu kommen Sonderfälle unabhängig von der Unternehmensgröße (§ 28 BSIG). Die NIS-2-Betroffenheitsprüfung des BSI ermöglicht eine erste Einschätzung; in Zweifelsfällen ist eine individuelle Prüfung erforderlich.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDie VdS 10100 kommentiert die NIS-2-Vorgaben nicht nur – sie übersetzt sie konkret in Organisationsstrukturen, Rollen, Richtlinien, Verfahren, Dokumentation und technische Mindestmaßnahmen. Für Unternehmen, die mit abstrakten Gesetzestexten und generischen Normen wenig anfangen können, liegt genau darin der eigentliche Wert: ein nachvollziehbarer Weg von der gesetzlichen Anforderung zur operativen Umsetzung.
Die VdS 10100 basiert auf der bewährten VdS 10000 und ist laut VdS in großen Teilen mit ihr kompatibel. Für Unternehmen, die bereits nach VdS 10000 arbeiten, ist der Umstieg besonders attraktiv: Die etablierten Strukturen lassen sich mit überschaubarem Aufwand auf die erweiterten NIS-2-Anforderungen hochskalieren. Ein Direkteinstieg über die VdS 10100 ist ebenfalls möglich – der Umweg über die VdS 10000 ist nicht zwingend.
Laut VdS erfordert die VdS 10000 gegenüber der ISO 27001 nur etwa 20 Prozent des organisatorischen und finanziellen Aufwands. Diese Schätzung bezieht sich auf die VdS 10000; für die VdS 10100 liegen noch keine eigenen Aufwandserhebungen vor. Der zugrunde liegende Ansatz – von VdS formuliert als „so viel wie nötig, so wenig wie möglich“ – legt aber einen ähnlich ressourcenschonenden Rahmen nahe.
Die Richtlinie ist explizit für Unternehmen konzipiert, die eine praktikable Umsetzung suchen, statt einen überdimensionierten Compliance-Apparat aufzubauen. Sie lässt sich an die Größe und Komplexität des jeweiligen Unternehmens anpassen, ohne den laufenden Betrieb zu überlasten.
Ein zentraler Vorteil der VdS 10100: Unternehmen können sich extern auditieren und zertifizieren lassen. Die Zertifizierung durch VdS ist ein strukturierter und extern geprüfter Nachweis umgesetzter Informationssicherheitsmaßnahmen und damit ein wichtiger Baustein der NIS-2-Nachweisführung.
Wichtig: Ein VdS-Zertifikat belegt die Umsetzung der VdS-Anforderungen innerhalb des definierten Geltungsbereichs. Es garantiert nicht abschließend die Einhaltung sämtlicher gesetzlicher NIS-2-Anforderungen. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen bezogen auf den konkreten Einzelfall. Das Zertifikat ist ein belastbarer Baustein in diesem Nachweis – nicht der Nachweis selbst.
Die VdS 10100 ist kein Ersatz für die ISO 27001 – sie ist eine Alternative mit anderem Zuschnitt. Für eine fundierte Entscheidung müssen Unternehmen verstehen, wo die Unterschiede liegen und welcher Weg zu ihrer Situation passt.
VdS 10000 | VdS 10100 | ISO 27001 |
|---|---|---|
Fokus: Allgemeines ISMS für KMU | Fokus: NIS-2-spezifische Informationssicherheit | Fokus: Internationaler ISMS-Standard, branchenübergreifend |
Zielgruppe: Kleine und mittlere Unternehmen allgemein | Zielgruppe: NIS-2-betroffene Einrichtungen (wichtige / besonders wichtige) | Zielgruppe: Unternehmen jeder Größe, insbesondere bei internationalen Anforderungen |
Aufwand: Laut VdS ca. 20 % des ISO-27001-Aufwands | Aufwand: Eigene Erhebungen liegen noch nicht vor; ressourcenschonender Ansatz | Aufwand: In der Regel höher, stark vom Geltungsbereich abhängig |
Zertifizierung: Ja, durch VdS | Zertifizierung: Ja, durch VdS (eigenständige Zertifizierungsgrundlage) | Zertifizierung: Ja, akkreditierte Stellen (weltweit anerkannt) |
Anerkennung: Primär DACH-Raum | Anerkennung: Primär DACH-Raum | Anerkennung: Weltweit anerkannt |
Anschlussfähigkeit: Anschlussfähig an ISO 27001 und IT-Grundschutz des BSI | Anschlussfähigkeit: Anschlussfähig an ISO 27001 und IT-Grundschutz des BSI | Anschlussfähigkeit: Referenzrahmen für viele branchenspezifische Anforderungen |
So überzeugend der ressourcenschonende Ansatz der VdS 10100 ist – es gibt Situationen, in denen sie allein nicht ausreicht:
Die Wahl des richtigen Vorgehens hängt von der konkreten Ausgangslage ab. Die folgende Matrix bietet eine erste Orientierung – die tatsächliche Empfehlung ergibt sich aus der individuellen Analyse:
Ausgangslage | Möglicher Weg |
|---|---|
Erstmals von NIS-2 betroffen, keine ISMS-Erfahrung, primär nationale Kunden | Direkt VdS 10100 (oder VdS 10000 → VdS 10100) |
Bestehendes VdS-10000-ISMS, Unternehmen fällt unter NIS-2 | Upgrade auf VdS 10100 |
Bestehendes ISMS oder Kontrollsystem, zunächst ohne Zertifizierungsbedarf | Risikobasierte NIS-2-Umsetzung auf eigener Grundlage |
NIS-2-Pflicht mit mittelfristiger ISO-27001-Ambition | VdS 10100 als Einstieg → späterer Ausbau Richtung ISO 27001 |
Vertragliche Pflicht zur ISO-27001-Zertifizierung (z. B. durch Auftraggeber) | ISO 27001 (direkt) |
TISAX®-Assessment erforderlich (Automobilbranche) | TISAX®-Verfahren (eigenständig, orientiert an ISO 27001) |
Betreiber kritischer Infrastruktur (KRITIS) | Betreiber kritischer Infrastruktur (KRITIS) |
Einer der größten Vorteile des VdS-Ökosystems ist die bewusste Anschlussfähigkeit. Beide VdS-Richtlinien (10000 und 10100) sind anschlussfähig an ISO 27001 und den IT-Grundschutz des BSI. Das ermöglicht einen stufenweisen Reifegradpfad:
Für Unternehmen, die bereits von NIS-2 betroffen sind, ist der Direkteinstieg über die VdS 10100 der naheliegende Weg. Alternativ können Unternehmen ohne jede ISMS-Erfahrung mit der VdS 10000 als Vorstufe beginnen und anschließend auf die VdS 10100 erweitern.
Bei wachsenden Anforderungen durch internationale Kunden, Lieferketten oder Branchenstandards lässt sich das bestehende VdS-System als Fundament nutzen. Die Vorarbeit kann den späteren Zusatzaufwand reduzieren.
Hinweis: Das Stufenmodell beschreibt einen möglichen Reifegradpfad. Es verändert keine bereits geltenden gesetzlichen Pflichten. Unternehmen, die unter NIS-2 fallen, müssen die Anforderungen unabhängig vom gewählten Standard erfüllen.
Ein ISMS-Zertifikat – ob nach VdS 10100 oder ISO 27001 – prüft festgelegte Anforderungen innerhalb eines definierten Geltungsbereichs. Es deckt nicht automatisch sämtliche konkreten Maßnahmen nach § 30 BSIG ab. Darüber hinaus bestehen NIS-2-Pflichten, die gesondert zu erfüllen sind:
Informationssicherheit und Datenschutz sind unterschiedliche Rechts- und Managementbereiche – sie überschneiden sich aber operativ erheblich. Wer beide Themen strukturell zusammendenkt, kann Doppelarbeit bei Dokumentation, Risikobewertung und technisch-organisatorischen Maßnahmen reduzieren.
In der Praxis zeigt sich: Unternehmen, die bereits ein Datenschutzmanagementsystem betreiben, haben einen Vorsprung bei der NIS-2-Umsetzung. Viele der geforderten Maßnahmen – Verfahrensdokumentation, Incident-Management, Sensibilisierung der Mitarbeitenden – sind im DSGVO-Kontext bereits angelegt und können erweitert werden. Die VdS 10100 sollte daher mit der VdS 10010 (Datenschutzmanagement) integriert werden, um Synergieeffekte gezielt zu nutzen.
Die VdS 10100 schließt eine wichtige Lücke: Sie gibt Unternehmen, die von NIS-2 betroffen sind, ein praxisnahes, zertifizierbares und ressourcenschonendes Werkzeug an die Hand. Für viele KMU kann sie ein besonders wirtschaftlicher Weg zur strukturierten NIS-2-Umsetzung sein.
Gleichzeitig ist Transparenz geboten: Die VdS 10100 ersetzt keine ISO 27001, wenn diese durch vertragliche Anforderungen, Branchenvorgaben oder internationale Strukturen gefordert ist. Und ein Zertifikat allein ersetzt nicht die Erfüllung aller gesetzlichen Pflichten. Die Kunst liegt in der richtigen Einordnung – und genau dabei unterstützen wir unsere Mandanten.
Cybersicherheit ist Chefsache – mit persönlicher Haftung. Schulung nach § 38 BSIG für die Steuerung von Cyber-Risiken und Compliance-Pflichten.
Nein. NIS-2 verpflichtet betroffene Einrichtungen zu geeigneten Maßnahmen (§ 30 BSIG), schreibt aber keinen bestimmten Standard vor. Die VdS 10100 ist ein möglicher und praxisnaher Umsetzungsweg – nicht der einzige.
Nein. Das Zertifikat belegt die Umsetzung der VdS-10100-Anforderungen innerhalb des definierten Geltungsbereichs und ist ein wichtiger Baustein der Nachweisführung. Die vollständige Erfüllung der gesetzlichen Anforderungen hängt vom konkreten Einzelfall ab und umfasst weitere Pflichten wie Registrierung, Meldeverfahren und Geschäftsleitungsverantwortung.
Wenn Auftraggeber oder Branchenstandards eine ISO-27001-Zertifizierung vertraglich verlangen, wenn das Unternehmen international tätig ist oder wenn bereits ein umfassendes ISMS besteht, das weiterentwickelt werden soll. Die VdS 10100 kann in diesen Fällen als Einstieg oder Ergänzung dienen, reicht aber allein nicht aus.
Cortina Consult berät herstellerunabhängig – ob VdS 10000, VdS 10100, ISO 27001 oder risikobasierte Eigenumsetzung. Als spezialisierte Compliance-Beratung verbinden wir Datenschutz, Informationssicherheit und NIS-2-Umsetzung aus einer Hand:
TISAX® ist eine eingetragene Marke der ENX Association, zu der wir in keiner geschäftlichen Beziehung stehen. Die Nennung der Marke dient ausschließlich der Beschreibung unserer Leistungen und stellt keine Autorisierung oder Empfehlung durch den Markeninhaber dar.
Ein vorbereitetes ISMS, das bewährte deutsche Sicherheitsstandards erfüllt und technische Vorgaben für nachhaltigen Schutz bietet.
Wir helfen Unternehmen dabei, ein wirksames Managementsystem für Informationssicherheit aufzubauen und die Anforderungen nach ISO 27001, NIS-2 oder TISAX® umzusetzen – digital, effizient und zu fixen Konditionen. Als erfahrener Beratungsdienstleister und externer ISB sorgen wir dafür, dass sensible Informationen geschützt bleiben und Sicherheitsrisiken minimiert werden.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen