Wir sind nicht zertifiziert, aber der Fragebogen fragt danach

Kein Zertifikat ohne Begründung eintragen

Ohne ISO 27001-Zertifikat trägst du "nein" bei der Zertifizierungsfrage ein, und das ist kein Problem — ein Zertifikat ist nicht erforderlich, auch nicht unter NIS2. Was zählt, ist, ob die zugrunde liegenden Maßnahmen vorhanden sind. Die Frageliste deines Kunden fragt nach dem Zertifikat meist als kürzester Weg, um zu überprüfen, ob dein Risikomanagement in Ordnung ist; ohne Zertifikat musst du das auf andere Weise nachweisen.

Schaue daher nicht nur auf die Ja/Nein-Frage, sondern auf das, was dahinter steht. Oft folgt eine Anschlussfrage zu konkreten Maßnahmen: Zugriffskontrolle, Incident Response, Geschäftskontinuität. Das sind die gleichen Themen wie die Kontrollmaßnahmen in Anlage A von ISO 27001, und auch die gleichen Themen wie die zehn Maßnahmen aus Artikel 21 Absatz 2 NIS2. Wenn dein Kettenverzeichnis Antworten zu ob Richtlinien für Risikoanalyse und den Schutz von Informationssystemen vorhanden sind und zu ob ein Verfahren für Sicherheitsvorfälle vorhanden istenthält, dann füllst du diese Anschlussfragen durchaus mit einer begründeten Antwort aus, auch wenn dahinter kein Zertifikat steht. Das System schlägt diese Antwort aus deinem Verzeichnis vor; du bestätigst es pro Frage mit Ja oder Nein, bevor es zum Portal deines Kunden geht.

Zertifizierung und Maßnahmen sind zwei separate Fragen

ISO/IEC 27001 vergibt das Zertifikat auf der Grundlage einer Audit gegen die Kontrollmaßnahmen in Anlage A; NIS2 (Richtlinie (EU) 2022/2555, Artikel 21 Absatz 2) verpflichtet diese zehn Maßnahmen selbst, unabhängig von einer Zertifizierung. Das niederländische Cybersecurity-Gesetz setzt diese Verpflichtung um und tritt am 15. August 2026 in Kraft. Ein Kunde, der nach dem Zertifikat fragt, prüft also eigentlich, ob du die zugrunde liegenden Maßnahmen erfüllst — das Zertifikat ist das Beweismittel, nicht die Anforderung selbst. Ob du selbst unter diese Verpflichtung fällst, hängt davon ab, ob das Unternehmen unter die NIS2-Richtlinie oder die nationale Umsetzung fällt; das bestimmt, wie gewichtig die Anschlussfragen sind, auch ohne Zertifikat.