Informationssicherheit schützt Informationen in jeder Form (auf einem Server, auf Papier oder im Kopf eines Mitarbeiters), damit sie vertraulich, integer und verfügbar bleiben. Cybersicherheit schützt Netz- und Informationssysteme und die Menschen, die sie nutzen, vor Bedrohungen, die über diese Systeme kommen. Bei allem Digitalen überschneiden sich beide fast vollständig; der Unterschied liegt an den Rändern, und genau diese Ränder entscheiden, welche Vorschrift für Sie gilt und wer wofür verantwortlich ist.
Was die offiziellen Definitionen sagen
Die ISO/IEC 27000, die das Vokabular der gesamten ISO-27001-Familie festlegt, definiert Informationssicherheit als Aufrechterhaltung von Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Von Computern ist nicht die Rede: Gegenstand ist die Information, wo auch immer sie sich befindet.
Die europäische Definition der Cybersicherheit steht in Artikel 2 Nummer 1 der Verordnung (EU) 2019/881, dem Rechtsakt zur Cybersicherheit: alle Tätigkeiten, die notwendig sind, um Netz- und Informationssysteme, ihre Nutzer und andere von Cyberbedrohungen betroffene Personen zu schützen. Die NIS-2-Richtlinie schafft keine eigene Definition, sondern verweist in Artikel 6 auf diese. Gegenstand ist hier nicht mehr nur die Information, sondern auch Systeme und Menschen.
Das Glossar des NIST beschreibt dasselbe aus US-Sicht: Cybersicherheit verhindert Schäden an Computern und elektronischen Kommunikationssystemen und an den darin enthaltenen Informationen, um Verfügbarkeit, Integrität, Authentizität, Vertraulichkeit und Nichtabstreitbarkeit zu gewährleisten.
Wo sie sich decken und wo nicht
- Papierakten und physische Archive
- Gespräche und das Wissen der Mitarbeiter
- Gedruckte oder per Kurier versandte Dokumente
- Phishing und gefälschte E-Mails
- Ransomware und Datendiebstahl
- Gestohlene Passwörter und unbefugter Systemzugriff
- Datenabflüsse aus Cloud-Anwendungen
- Angriffe, die eine SPS oder eine Fertigungslinie stoppen
- Denial of Service gegen eine Website ohne sensible Daten
- Betrug an Nutzern über Ihre Systeme
Eine Papierakte, die jemand im Drucker liegen lässt, ist ein Problem der Informationssicherheit und hat nichts mit „Cyber“ zu tun. Ein Gespräch über ein vertrauliches Geschäft im Restaurant auch nicht. Am anderen Ende ist der Angriff, der eine SPS an einer Fertigungslinie stoppt, reine Cybersicherheit, selbst wenn kein einziger Datensatz abfließt: Verloren geht der Betrieb. Und alles dazwischen (Phishing-Mail, Ransomware, gestohlenes Passwort) ist beides zugleich.
| Informationssicherheit | Cybersicherheit | |
|---|---|---|
| Was geschützt wird | Informationen auf jedem Träger | Netze, Systeme, ihre Nutzer und die Dienste, die sie erbringen |
| Ziel | Vertraulichkeit, Integrität und Verfügbarkeit von Informationen | Angriffe über Systeme verhindern, erkennen, darauf reagieren und sich davon erholen |
| Typische Bedrohungen | Menschliche Fehler, Datenabflüsse, physischer Diebstahl, unbefugter Zugriff und auch Cyberangriffe | Schadsoftware, Einbrüche in Systeme, Denial of Service, Social Engineering über digitale Kanäle |
| Referenzrahmen | ISO/IEC 27001 und 27002, BSI IT-Grundschutz | NIS 2, NIST CSF, ISO/IEC 27032 |
| Außerhalb des anderen | Papier, Gespräche, physische Archive | Industrielle Systeme und Dienste, die ausfallen, auch ohne dass Informationen verloren gehen |
Die ISO 27001 enthält die Cybersicherheit schon
Der beste Beleg dafür, dass Informationssicherheit der weitere Schirm ist, steht im Anhang A der ISO 27001:2022. Seine 93 Maßnahmen verteilen sich auf vier Themen, und zwei davon haben nichts mit Technik zu tun:
Mehr als ein Fünftel der Maßnahmen betrifft Menschen und Räumlichkeiten: Personalauswahl, Sensibilisierung, physische Perimeter, aufgeräumter Arbeitsplatz. Und die ISO 27002, die diese Maßnahmen ausführt, versieht jede mit dem Attribut „Cybersicherheitskonzepte“ (Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen), also den Funktionen des NIST CSF. Ein gut aufgebautes Informationssicherheits-Managementsystem deckt die Cybersicherheit also bereits ab und benennt sie.
Umgekehrt gilt das auch. Artikel 21 der NIS 2, eine Vorschrift zur Cybersicherheit, verlangt Maßnahmen zur Personalsicherheit, zur Zugriffskontrolle und zum Asset-Management. In der Praxis verlangen beide Disziplinen fast dasselbe; nur der Ausgangspunkt ist ein anderer.
Was sich in der Praxis ändert
Vor allem der Geltungsbereich. Kommt Ihre Pflicht aus der NIS 2, liegt der Fokus auf den Systemen, die Ihre wesentlichen oder wichtigen Dienste tragen, und auf der Meldung von Vorfällen an das CSIRT, in Deutschland das BSI. Kommt sie aus der ISO 27001, legen Sie den Geltungsbereich selbst fest, und er kann Papierarchive, Personalprozesse oder ein Callcenter umfassen.
Auch die Verantwortung verschiebt sich. In vielen Unternehmen kümmert sich der CISO um beides; wenn aber die Cybersicherheit bei der IT und die Informationssicherheit bei Compliance oder Risikomanagement liegt, entstehen Lücken: Papier und Lieferanten ohne Systemzugang haben keinen Verantwortlichen, und die Industriesysteme im Werk bewertet niemand unter Risikogesichtspunkten.
Was wir tun würden
Ein Programm, nicht zwei. Es ist sinnvoll, beim Informationssicherheits-Managementsystem anzusetzen, weil es der weitere Rahmen ist, und die Cybersicherheit als Teil davon zu behandeln, mit eigenen Kennzahlen und eigenem Reaktionsplan. Nicht sinnvoll ist es, zwei Risikoanalysen, zwei Asset-Inventare und zwei Maßnahmenkataloge zu pflegen, die dasselbe mit anderen Worten sagen, einen für den ISO-27001-Auditor und einen für die NIS 2.
Im Informationssicherheitsmodul von GlobalSuite® gibt es ein gemeinsames Asset-Inventar und eine gemeinsame Risikoanalyse, und jede Maßnahme lässt sich gleichzeitig den Anforderungen der ISO 27001 und der NIS 2 zuordnen. So dient derselbe Nachweis mehreren Audits. Wenn Sie sehen möchten, wie das mit Ihren Rahmenwerken aussähe, schreiben Sie uns.
Offizielle Quellen: ISO/IEC 27000, ISO/IEC 27001:2022, Verordnung (EU) 2019/881, Artikel 2, Richtlinie (EU) 2022/2555 (NIS 2), Artikel 6 und 21 und NIST-Glossar. Inhalt geprüft im Oktober 2026.
