Wer im internationalen Umfeld arbeitet, muss deutsche IT-Sicherheitsanforderungen nicht nur verstehen, sondern auf Englisch erklären: dem CISO der Muttergesellschaft, dem Auditor aus London, dem Kunden aus Boston, der einen Lieferantenfragebogen schickt. NIS-2, ISO 27001 und BSI IT-Grundschutz sind schon auf Deutsch anspruchsvoll. Auf Englisch kommen zwei Hürden hinzu: Begriffe wie „Schutzbedarf“ oder „Informationsverbund“ haben keine direkte Entsprechung, und das deutsche Umsetzungsgesetz existiert nur auf Deutsch.
Dieser Beitrag liefert drei Dinge: ein Fachglossar mit den Übersetzungen, die das BSI und die EU selbst verwenden, Formulierungsbeispiele für typische Situationen und eine kompakte Erklärung, wie die drei Rahmenwerke zusammenhängen – damit Sie nicht nur die richtigen Wörter, sondern auch die richtige Logik vermitteln.
Fachglossar Deutsch – Englisch: die wichtigsten Begriffe
Die Tabelle enthält die Begriffe, die in Audits, Kundenfragebögen und Berichten am häufigsten übersetzt werden müssen. Wo das BSI oder die EU-Richtlinie eine feste Übersetzung verwenden, ist diese angegeben – sie sollte gegenüber freien Übersetzungen bevorzugt werden.
| Deutsch | Englisch | Hinweis |
|---|---|---|
| Informationssicherheitsbeauftragter (ISB) | Information Security Officer | International oft CISO; „ISO“ als Abkürzung vermeiden, Verwechslung mit der Norm |
| Datenschutzbeauftragter (DSB) | Data Protection Officer (DPO) | Art. 37 DSGVO, englische Fassung |
| Informationssicherheits-Managementsystem (ISMS) | Information Security Management System (ISMS) | identisch |
| Geltungsbereich / Anwendungsbereich | Scope | ISO 27001, Klausel 4.3 |
| Erklärung zur Anwendbarkeit | Statement of Applicability (SoA) | ISO 27001, Klausel 6.1.3 d |
| Maßnahme | Control (ISO) / Measure (BSI, NIS-2) | ISO 27001 spricht von controls, Gesetzestexte von measures |
| Leitlinie zur Informationssicherheit | Information security policy | Top-Level-Dokument der Geschäftsleitung |
| Richtlinie | Policy (verbindlich) / Guideline (empfehlend) | Im Deutschen oft unscharf – im Englischen bewusst unterscheiden |
| Verfahrensanweisung | Procedure | |
| Nachweis | Evidence / Record | Auditoren fragen nach evidence |
| Managementbewertung | Management review | ISO 27001, Klausel 9.3 |
| Internes Audit | Internal audit | ISO 27001, Klausel 9.2 |
| Abweichung (Haupt-/Neben-) | Nonconformity (major/minor) | Auditbericht |
| Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit | Confidentiality, integrity, availability (CIA) | |
| Schutzbedarfsfeststellung | Determination of protection needs | BSI-Standard 200-2, englische Fassung |
| Schutzbedarf: normal / hoch / sehr hoch | Protection needs: normal / high / very high | BSI-Standard 200-2 |
| Strukturanalyse | Structure analysis | BSI-Standard 200-2 |
| Informationsverbund | Information domain | BSI-Begriff; nicht mit network übersetzen |
| Modellierung | Modelling | BSI-Standard 200-2 |
| Baustein (IT-Grundschutz) | Module | BSI-Übersetzung des Kompendiums |
| IT-Grundschutz-Check | IT-Grundschutz check | Eigenname bleibt |
| Basis-/Standard-/Kern-Absicherung | Basic / Standard / Core Protection | BSI-Standard 200-2 |
| IT-Grundschutz-Kompendium | IT-Grundschutz Compendium | Eigenname, nicht übersetzen |
| Sicherheitskonzept | Security concept | In ISO-Kontexten oft security plan |
| Risikoanalyse | Risk analysis / Risk assessment | BSI-Standard 200-3; ISO nutzt risk assessment |
| Notfallmanagement | Business continuity management (BCM) | BSI-Standard 200-4 |
| Business-Impact-Analyse | Business impact analysis (BIA) | |
| Wiederanlauf / Wiederherstellung | Recovery / Restoration | |
| Wesentliche Einrichtung | Essential entity | NIS-2-Richtlinie, Art. 3 |
| Wichtige Einrichtung | Important entity | NIS-2-Richtlinie, Art. 3 |
| Besonders wichtige Einrichtung | Particularly important entity | Begriff des NIS2UmsuCG; entspricht essential entity |
| Betreiber kritischer Anlagen | Operator of critical facilities | BSIG; früher KRITIS operator |
| Betroffenheitsprüfung | Applicability check / Self-assessment | BSI-Online-Tool |
| Registrierungspflicht | Registration obligation | § 33 BSIG |
| Meldepflicht | Reporting obligation | § 32 BSIG |
| Erheblicher Sicherheitsvorfall | Significant incident | NIS-2-Richtlinie, Art. 23 |
| Frühwarnung (24 h) / Meldung (72 h) / Abschlussbericht | Early warning / Incident notification / Final report | NIS-2-Richtlinie, Art. 23 Abs. 4 |
| Geschäftsleitung / Leitungsorgan | Management body | NIS-2-Richtlinie, Art. 20 |
| Stand der Technik | State of the art | § 30 BSIG |
| Lieferkettensicherheit | Supply chain security | |
| Auftragsverarbeitung / AV-Vertrag | Processing on behalf / Data processing agreement (DPA) | Art. 28 DSGVO |
| Technische und organisatorische Maßnahmen (TOM) | Technical and organisational measures | Art. 32 DSGVO |
| Verschlusssache (VS) | Classified information | Defense-Kontext |
| Geheimschutz | Protection of classified information / Industrial security | Kein 1:1-Äquivalent; je nach Kontext |
Formulierungsbeispiele für typische Situationen
Die folgenden Satzpaare decken wiederkehrende Situationen ab – vom Kundenfragebogen bis zum Audit-Interview.
Geltungsbereich erläutern DE: „Der Geltungsbereich des ISMS umfasst alle Geschäftsprozesse am Standort Ingolstadt einschließlich der ausgelagerten Rechenzentrumsleistungen.“ EN: “The scope of the ISMS covers all business processes at the Ingolstadt site, including outsourced data centre services.”
Status nach ISO 27001 beschreiben DE: „Wir sind nach ISO/IEC 27001:2022 zertifiziert; das letzte Überwachungsaudit fand im März statt, ohne Hauptabweichungen.“ EN: “We are certified to ISO/IEC 27001:2022; the most recent surveillance audit took place in March with no major nonconformities.”
NIS-2-Betroffenheit einordnen DE: „Nach dem NIS2UmsuCG sind wir als wichtige Einrichtung im Sektor verarbeitendes Gewerbe eingestuft und beim BSI registriert.“ EN: “Under the German NIS-2 implementation act (NIS2UmsuCG), we are classified as an important entity in the manufacturing sector and registered with the BSI, the German Federal Office for Information Security.”
Meldeprozess erklären DE: „Erhebliche Sicherheitsvorfälle melden wir innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden mit einer Bewertung an das BSI.“ EN: “We submit an early warning for significant incidents to the BSI within 24 hours, followed by an incident notification with an initial assessment within 72 hours.”
IT-Grundschutz-Vorgehen beschreiben DE: „Wir folgen der Standard-Absicherung nach BSI-Standard 200-2: Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check und Risikoanalyse.“ EN: “We follow the Standard Protection approach of BSI Standard 200-2: structure analysis, determination of protection needs, modelling, IT-Grundschutz check and risk analysis.”
Verantwortung der Geschäftsleitung erklären DE: „Die Geschäftsführung hat die Risikomanagementmaßnahmen gebilligt, überwacht ihre Umsetzung und nimmt an regelmäßigen Schulungen teil, wie § 38 BSIG es verlangt.“ EN: “The management body has approved the risk management measures, oversees their implementation and attends regular training, as required by Section 38 of the German BSI Act.”
Nachweise zusagen DE: „Die Nachweise zu Zugriffskontrolle und Protokollierung stellen wir im Rahmen der Lieferantenbewertung zur Verfügung.“ EN: “We will provide evidence for access control and logging as part of the supplier assessment.”
Lieferkettenanforderung weitergeben DE: „Als Zulieferer eines NIS-2-regulierten Kunden sind wir vertraglich verpflichtet, angemessene technische und organisatorische Maßnahmen nachzuweisen.“ EN: “As a supplier to a NIS-2-regulated customer, we are contractually required to demonstrate appropriate technical and organisational measures.”
Offizielle englischsprachige Quellen
Zitieren Sie gegenüber internationalen Partnern nach Möglichkeit die englischen Originalfassungen – das vermeidet Übersetzungsstreit:
- NIS-2-Richtlinie (EU) 2022/2555, englische Fassung: eur-lex.europa.eu/eli/dir/2022/2555/oj/eng – maßgeblicher Text für Begriffe wie essential entity, significant incident und management body.
- Europäische Kommission zu NIS-2: digital-strategy.ec.europa.eu – NIS2 Directive
- DSGVO, englische Fassung (GDPR): eur-lex.europa.eu/eli/reg/2016/679/oj/eng
- ISO/IEC 27001:2022: iso.org/standard/27001 – die Norm ist kostenpflichtig, Titel und Struktur sind dort einsehbar.
- BSI auf Englisch: bsi.bund.de/EN – mit englischen Fassungen der BSI-Standards 200-1 bis 200-4 und des IT-Grundschutz-Kompendiums unter IT-Grundschutz (EN). Die englischen Ausgaben erscheinen mit Verzögerung; maßgeblich ist die deutsche Fassung.
- Nur auf Deutsch: das NIS-2-Umsetzungsgesetz und das BSI-Gesetz – gesetze-im-internet.de/bsig_2025. Englische Übersetzungen sind inoffiziell; im Zweifel den deutschen Paragrafen mitzitieren.
Die drei Rahmenwerke – und warum sie verwechselt werden
Wer deutsche Informationssicherheitsanforderungen auf Englisch erklärt, muss zuerst einen Kategorienfehler vermeiden, der in internationalen Gesprächen ständig passiert: NIS-2 ist ein Gesetz, ISO 27001 eine Norm, IT-Grundschutz eine Methodik. Man kann nicht „NIS-2-zertifiziert“ sein, und IT-Grundschutz ist keine Alternative zu NIS-2, sondern ein Weg, dessen Anforderungen umzusetzen.
| NIS-2 / NIS2UmsuCG | ISO/IEC 27001:2022 | BSI IT-Grundschutz | |
|---|---|---|---|
| Was es ist | Geltendes deutsches Recht (seit 6. Dezember 2025), Umsetzung der EU-Richtlinie 2022/2555 | Internationale Norm für Informationssicherheits-Managementsysteme | Methodik des BSI: Standards 200-1 bis 200-4 plus IT-Grundschutz-Kompendium |
| Für wen verbindlich | Besonders wichtige und wichtige Einrichtungen in 18 Sektoren, ab 50 Mitarbeitenden bzw. 10 Mio. Euro Umsatz und Bilanzsumme | Freiwillig; faktisch gefordert von Kunden, Ausschreibungen, Versicherern | Bundesverwaltung; faktisch gefordert von öffentlichen Auftraggebern, KRITIS, Defense |
| Nachweis | Registrierung beim BSI, Meldungen, Dokumentation; keine Zertifizierung | Zertifikat einer akkreditierten Stelle, drei Jahre gültig mit jährlichen Überwachungsaudits | Zertifikat „ISO 27001 auf Basis von IT-Grundschutz“, vergeben vom BSI |
| Sprache | Nur Deutsch; EU-Richtlinie auf Englisch | Englisch (Original), deutsche Fassung DIN EN ISO/IEC 27001 | Deutsch; Standards und Kompendium auch auf Englisch |
| Englischer Kernbegriff | essential / important entity, significant incident, management body | ISMS, scope, Statement of Applicability, control | module, protection needs, information domain, IT-Grundschutz check |
NIS-2: das Gesetz
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz hat das BSI-Gesetz neu gefasst. Betroffene Einrichtungen müssen sich beim BSI registrieren (§ 33 BSIG), Risikomanagementmaßnahmen nach dem Stand der Technik umsetzen (§ 30), erhebliche Sicherheitsvorfälle in drei Stufen melden – Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat (§ 32) – und die Geschäftsleitung muss die Maßnahmen billigen, überwachen und sich schulen lassen (§ 38). Bußgelder reichen bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige und bis 7 Mio. Euro oder 1,4 Prozent für wichtige Einrichtungen. Wer die beiden Einrichtungskategorien auf Englisch erklären muss, findet die Details in unserem Beitrag zu Zentralstelle und 2. Säule.
Für internationale Organisationen wichtig: Das Gesetz knüpft an die Tätigkeit in Deutschland an, nicht an den Sitz der Muttergesellschaft. Eine deutsche Tochter eines US- oder UK-Unternehmens ist genauso betroffen wie ein deutsches Unternehmen – und muss die Registrierung und Meldungen gegenüber dem BSI auf Deutsch abwickeln.
ISO 27001: die Norm
ISO/IEC 27001:2022 beschreibt, was ein Informationssicherheits-Managementsystem leisten muss: Kontext und Geltungsbereich, Führung, Risikobeurteilung und -behandlung, 93 Controls in Anhang A, interne Audits, Managementbewertung, kontinuierliche Verbesserung. Sie ist das international verständliche Rahmenwerk – ein Auditor in Singapur und ein Kunde in Chicago wissen sofort, was ein ISO-27001-Zertifikat bedeutet. Seit Oktober 2025 ist nur noch die Fassung 2022 gültig; Zertifikate nach der Version 2013 sind erloschen.
Ein ISMS nach ISO 27001 deckt die meisten Risikomanagementmaßnahmen des § 30 BSIG strukturell ab – das BSI bestätigt das in seinem Informationspaket zu ISO/IEC 27001. Nicht abgedeckt sind die genuin gesetzlichen Pflichten: Registrierung, Meldefristen, Pflichten der Geschäftsleitung. Wer ISO 27001 hat, braucht für NIS-2 eine Gap-Analyse, kein zweites System. Mehr dazu in unserem ISO-27001-Leitfaden.
BSI IT-Grundschutz: die Methodik
IT-Grundschutz beschreibt, wie man ein ISMS konkret aufbaut: BSI-Standard 200-1 (ISMS), 200-2 (Vorgehensweise mit Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check), 200-3 (Risikoanalyse) und 200-4 (Business Continuity Management), dazu das IT-Grundschutz-Kompendium mit Bausteinen für Prozesse, Systeme, Anwendungen, Netze und Infrastruktur. Für die Bundesverwaltung ist IT-Grundschutz verbindlich; öffentliche Auftraggeber, KRITIS-Betreiber und das Defense-Umfeld verlangen ihn faktisch.
Das BSI modernisiert die Methodik derzeit unter dem Namen Grundschutz++ mit einer schlankeren, prozessorientierten Struktur, maschinenlesbaren Katalogen und engeren Verweisen auf ISO 27001 und NIS-2; alte und neue Fassung gelten übergangsweise parallel. Für internationale Teams bleibt die Hürde dieselbe: Die Primärquellen erscheinen zuerst auf Deutsch, englische Fassungen folgen. Wer IT-Grundschutz auf Englisch erklärt, sollte die Begriffe aus den englischen BSI-Standards verwenden und das Kompendium beim Eigennamen nennen – „IT-Grundschutz Compendium“, nicht „basic protection catalogue“.
Wie die drei zusammenspielen
Die drei Rahmenwerke sind keine Konkurrenten, sondern Ebenen: NIS-2 sagt, dass und was zu tun ist; ISO 27001 liefert das international anerkannte Managementsystem; IT-Grundschutz liefert das konkrete Wie mit deutschen Bausteinen. In der Praxis bedeutet das:
- International tätige Unternehmen bauen ein ISMS nach ISO 27001, weil Kunden und Partner es kennen, und ergänzen die NIS-2-spezifischen Pflichten – Registrierung, Meldeweg, Geschäftsleitung.
- Behörden, öffentliche Auftragnehmer und Defense arbeiten nach IT-Grundschutz und können darüber zugleich „ISO 27001 auf Basis von IT-Grundschutz“ zertifizieren lassen – ein Zertifikat, das international lesbar ist.
- Zulieferer regulierter Kunden erhalten die Anforderungen über Fragebögen und Vertragsklauseln, oft auf Englisch; ein ISO-27001-Zertifikat beantwortet die meisten davon auf einen Schlag.
Für die Kommunikation heißt das: Erklären Sie internationalen Partnern zuerst die Ebene – Gesetz, Norm oder Methodik –, dann den Begriff. „We are an important entity under German NIS-2 law, run an ISO 27001-certified ISMS and apply BSI IT-Grundschutz modules for our classified-information areas“ ist ein Satz, den jeder Auditor versteht.
Fazit
Deutsche IT-Sicherheitsanforderungen auf Englisch zu erklären, scheitert selten an Vokabeln und häufig an der Logik: Gesetz, Norm und Methodik werden vermischt, die EU-Begriffe nicht genutzt, das deutsche Gesetz frei übersetzt. Mit den Übersetzungen aus den englischen BSI-Standards und der EU-Richtlinie, den offiziellen Quellen und der Unterscheidung der drei Ebenen sind Sie für Audits, Kundenfragebögen und internationale Teams gerüstet.
Wenn Sie Unterstützung brauchen – vom englischsprachigen Lieferantenfragebogen bis zur Begleitung internationaler Audits –, übernimmt Cognic das als externer Informationssicherheitsbeauftragter, zweisprachig und mit Blick auf alle drei Rahmenwerke.
