VdS 10100: NIS2 mit Zertifikat umsetzen

Die VdS 10100 ist ein Regelwerk der VdS Schadenverhütung, das die Anforderungen aus NIS2 in konkrete Rollen, Prozesse und Mindestmaßnahmen übersetzt. Ihr offizieller Titel lautet "Strukturierte Informationssicherheit gemäß NIS-2, Anforderungen", die finale Fassung trägt die Ausgabe 2026-04. Anders als der Gesetzestext beschreibt sie nicht nur, was ein Unternehmen erreichen muss, sondern woran ein Prüfer erkennt, dass es erreicht ist. Genau darin liegt ihr Zweck: Sie macht NIS2-Konformität prüfbar und, über ein eigenes Verfahren, zertifizierbar.

Das ist relevant, weil das deutsche NIS2-Umsetzungsgesetz seit Dezember 2025 gilt und rund 30.000 Unternehmen erfasst, ohne ihnen einen Umsetzungsstandard vorzuschreiben. Die Lückenfrage lautet also nicht mehr, ob etwas zu tun ist, sondern woran man sich beim Tun orientiert. Dieser Beitrag zeigt, was in der Richtlinie steht, worin sie sich von der VdS 10000 unterscheidet, wie die Zertifizierung abläuft und für welche Unternehmen dieser Weg der richtige ist.

Was die VdS 10100 ist und welches Problem sie löst

NIS2 formuliert Pflichten auf der Ebene von Zielen. Unternehmen müssen geeignete, verhältnismäßige technische und organisatorische Maßnahmen ergreifen, Risiken beherrschen, Vorfälle melden und die Geschäftsführung in die Verantwortung nehmen. Was "geeignet" bedeutet, steht nicht im Gesetz. Diese Lücke ist beabsichtigt, weil ein Gesetz nicht für einen Maschinenbauer mit 80 Mitarbeitern und einen Energieversorger mit 4.000 dieselbe Maßnahmenliste vorschreiben kann. In der Praxis erzeugt sie aber ein reales Problem: Ohne Referenzrahmen lässt sich weder intern planen noch extern nachweisen.

Die VdS 10100 schließt diese Lücke. Sie legt Mindestanforderungen fest, benennt Rollen mit Namen, verlangt bestimmte Dokumente und definiert, welche Nachweise vorliegen müssen. Der Aufbau folgt dabei der Logik eines Informationssicherheits-Managementsystems: Leitlinie, Richtlinien, Verantwortlichkeiten, Klassifizierung, technische Maßnahmen, Vorfallbehandlung, Steuerung. Wer die Richtlinie durcharbeitet, baut kein NIS2-Programm auf, sondern ein ISMS, das NIS2 als Ergebnis mitliefert.

Der Abgleich mit dem Gesetz ist dabei enger, als der Umfang vermuten lässt. Die zehn Maßnahmenbereiche, die das NIS2-Umsetzungsgesetz von betroffenen Unternehmen verlangt, finden sich in der Richtlinie nicht als eigene Liste wieder, sondern verteilt über die Fachkapitel: Risikomanagement im Anhang, Vorfallbehandlung und Krisenbewältigung in zwei getrennten Kapiteln, Lieferkette bei den externen IT-Ressourcen, Kryptographie und Zugriffskontrolle jeweils eigenständig. Wer das Gesetz als Checkliste neben die Richtlinie legt, findet für jeden Punkt eine Entsprechung, aber selten dort, wo er sie erwartet.

Ob Ihr Unternehmen überhaupt in den Anwendungsbereich fällt, hängt an Sektor und Unternehmensgröße. Das klärt unsere Übersicht zu den von NIS2 betroffenen Unternehmen. Welche Pflichten das Gesetz im Einzelnen vorschreibt, haben wir in den NIS2-Anforderungen aufgeschlüsselt.

Was die VdS 10100 zusätzlich zur VdS 10000 verlangt

Die beiden Richtlinien sind eng verwandt, und die VdS 10000 wurde in ihrer Fassung von 2025 ausdrücklich mit Blick auf die kommende 10100 überarbeitet. Wer schon nach VdS 10000 arbeitet, fängt also nicht bei null an. Der Unterschied liegt im Umfang und in vier Themen, die NIS2 verlangt und die ein KMU-ISMS bisher nicht abdecken musste.

Konkret: Die VdS 10000 hat 17 Kapitel und einen Anhang. Die VdS 10100 hat 21 Kapitel und einen Anhang. Die vier zusätzlichen Kapitel behandeln IT-Krisen, Kryptographie, Entwicklungen und Anpassungen sowie Überwachung und Steuerung. Dazu kommen Erweiterungen innerhalb bestehender Kapitel, die im Kapitelverzeichnis nicht auffallen, aber Aufwand erzeugen.

Die aufwendigste dieser Erweiterungen ist das Kennzahlenkapitel. Die Richtlinie verlangt jährlich erhobene Kennzahlen für sieben Bereiche, darunter Sicherheitsvorfälle, Verfügbarkeit der IT-Infrastruktur, Auditergebnisse, Mitarbeiterverhalten und die Funktionsfähigkeit des ISMS selbst. Für jede Kennzahl muss ein Schwellenwert festgelegt sein, ab dem eine Maßnahme als wirksam gilt. Das ist der Punkt, an dem ein auf dem Papier bestehendes ISMS auffliegt, denn ohne laufenden Betrieb gibt es nichts zu messen.

Auch die beiden übrigen neuen Kapitel erzeugen Arbeit, die vorher nicht anfiel. Für Kryptographie verlangt die Richtlinie ein Verfahren zum Schlüsselmanagement mit sieben Anforderungen, von der geschützten Erzeugung über den sofortigen Rückruf bei Verdacht bis zur Aufnahme der Schlüssel in die Datensicherung. Für Algorithmen und Parameter verweist sie auf die technische Richtlinie BSI TR-02102, alternativ auf zertifizierte Produkte nach FIPS 140-3 oder Common Criteria. Das Kapitel zu Entwicklungen und Anpassungen wiederum verpflichtet den Projektverantwortlichen, für jedes Vorhaben mit Auswirkung auf die Informationsverarbeitung bereits in der Planung ein Sicherheitskonzept festzulegen und zu bestimmen, wie lange die IT-Ressource mit Anpassungen und Fehlerkorrekturen versorgt wird.

Die VdS 10100 erweitert die VdS 10000 um vier Kapitel: IT-Krisen, Kryptographie, Entwicklungen und Anpassungen sowie Überwachung und Steuerung.

Die Struktur der Richtlinie: 21 Kapitel im Überblick

Die Suche nach "VdS 10100 PDF" gehört zu den häufigsten Anschlussfragen zum Thema. Verständlich, denn die Richtlinie ist kostenpflichtig über den VdS-Verlag zu beziehen. Für die Planung braucht man den Volltext allerdings erst, wenn man tatsächlich umsetzt. Um zu entscheiden, ob dieser Weg passt, reicht die Struktur.

Anhang A ist trotz seiner Position kein Anhängsel. Dort steht das Risikomanagement, von der Methodik über Identifikation und Analyse bis zur Behandlung und zur turnusmäßigen Wiederholung. Zahlreiche Kapitel verweisen darauf zurück: Immer wenn eine geforderte Maßnahme nicht umgesetzt wird, verlangt die Richtlinie, das daraus entstehende Risiko zu identifizieren, zu analysieren und zu behandeln. Das ist der Mechanismus, der die Richtlinie für unterschiedlich große Unternehmen tragfähig macht, und zugleich die Stelle, an der Auditoren am genauesten hinsehen.

Zwei Dinge fallen an dieser Struktur auf. Erstens die Trennung von Sicherheitsvorfall und IT-Krise in zwei Kapitel. Das ist keine Wortklauberei, sondern eine organisatorische Ansage: Ein Vorfall wird im Linienbetrieb bearbeitet, eine Krise durch ein eigenes Gremium unter eigener Leitung. Zweitens die Position von Kapitel 9. Die Klassifizierung steht vor allen technischen Kapiteln, weil sämtliche Maßnahmenpakete daran hängen, in welche Schutzkategorie eine IT-Ressource fällt. Wer die Reihenfolge umdreht und mit der Technik anfängt, macht doppelte Arbeit.

Neue Rollen: IT-Krisenmanager und IT-Krisenteam

Die VdS 10100 verlangt, dass die Geschäftsführung einen IT-Krisenmanager und ein IT-Krisenteam benennt. Der Krisenmanager leitet im Ereignisfall die Bewältigung, berichtet an die Geschäftsführung und verantwortet die Nachbereitung. Im Krisenteam müssen Geschäftsführung, IT-Krisenmanager, ISB und IT-Verantwortliche vertreten sein, mindestens durch einen Stellvertreter. Verantwortliche für Kernprozesse sollen ergänzt werden.

Davon getrennt existiert weiterhin das Informationssicherheitsteam, das den ISB im Regelbetrieb unterstützt. Dessen Pflichtbesetzung ist breiter und umfasst neben Geschäftsführung, ISB und IT-Verantwortlichen auch den IT-Krisenmanager, eine Mitarbeitervertretung und den Datenschutzbeauftragten. Der IT-Krisenmanager sitzt damit in beiden Gremien, was ausdrücklich so gewollt ist: Die Krisenvorbereitung soll nicht neben dem ISMS herlaufen.

Eine weitere Pflicht trifft die Geschäftsführung direkt. Sie muss alle drei Jahre und anlassbezogen an einer Schulung teilnehmen, die sie in die Lage versetzt, ihre Verantwortung nach Paragraf 38 BSIG wahrzunehmen. Inhaltlich orientiert sich die Richtlinie dabei an der Vorlage des BSI zum NIS-2 Management Training. Was daraus im Haftungsfall folgt, behandeln wir bei der Geschäftsführerhaftung unter NIS2.

Schutzkategorien: von untergeordnet bis kritisch

Kapitel 9 ist der strukturelle Kern der Richtlinie. Jede IT-Ressource, also IT-Systeme, mobile Datenträger, Verbindungen, Individualsoftware und extern bezogene Leistungen, muss einer von vier Schutzkategorien zugeordnet werden. Die Kategorien sind ineinander geschachtelt: Was wichtig ist, ist eine Teilmenge von standard, und was kritisch ist, ist eine Teilmenge von wichtig.

Kritische Information ist dabei eng definiert. Sie liegt vor, wenn unbefugter Zugriff, Verfälschung, ein Datenverlust von weniger als 24 Stunden oder eine Nichtverfügbarkeit im Echtzeitbetrieb katastrophalen Schaden auslösen würden. Für zentrale Prozesse und für jede wichtige IT-Ressource ist zudem die maximal tolerierbare Ausfallzeit zu dokumentieren, und die Ausfallzeit einer Ressource darf nie länger sein als die des kürzesten Prozesses, der von ihr abhängt.

Die Richtlinie schreibt keine bestimmte Methode vor, empfiehlt aber eine Schutzbedarfsanalyse nach ISO/IEC 27001 oder BSI-Standard 200-2 und für die Ermittlung wichtiger Ressourcen eine Business Impact Analyse nach ISO 22301 oder BSI-Standard 200-4. Die Freigaben sind getrennt geregelt: Prozessliste und kritische Informationen zeichnet die Geschäftsführung ab, wichtige und kritische IT-Ressourcen der IT-Verantwortliche. Die gesamte Einstufung ist jährlich zu überprüfen.

Ablauf und Fristen der VdS-Zertifizierung

NIS2 selbst kennt keine Zertifizierungspflicht. Verlangt wird der Nachweis, dass die Maßnahmen umgesetzt sind, und dafür gibt es mehrere Wege. Ein VdS-Zertifikat ist einer davon, und er ist der einzige, der speziell auf diese Richtlinie zugeschnitten ist. Grundlage ist die VdS 10002 in der Ausgabe 2026-05, die seit dem 1. Mai 2026 gilt und die Zertifizierung nach VdS 10000, 10010, 10020 und 10100 gemeinsam regelt.

Der Zertifizierungszyklus nach VdS 10002: drei Jahre Laufzeit mit zwei Überwachungsaudits und einem festen Fenster für die Re-Zertifizierung.

Preise nennt die Richtlinie nicht, sie verweist auf die Preisliste der Zertifizierungsstelle. Kalkulierbar sind die Treiber: Auditumfang, Anzahl der Standorte, die beiden Überwachungsaudits und Stornoregeln, die bei kurzfristigen Absagen bis zu 100 Prozent der veranschlagten Auditkosten fällig stellen. Ein Detail aus der VdS 10002 ist dabei aufschlussreicher als jede Preisangabe: Im Zertifizierungsverfahren wird ausdrücklich nicht beraten. Wer nur einen Auditor beauftragt, bekommt ein Urteil, keine Umsetzung. Die Vorbereitung bleibt beim Unternehmen oder bei einem separaten Partner.

Genau hier liegt der praktische Unterschied zwischen den Umsetzungsmodellen. Klassische Beratung baut das Managementsystem einmal auf und übergibt eine Dokumentensammlung, die im zweiten Jahr niemand mehr pflegt. Mit einer Plattform wie SECJUR bleibt das ISMS als System bestehen, was vor allem die Überwachungsaudits und die Re-Zertifizierung entlastet, und viele Unternehmen binden dabei bis zu 50 Prozent weniger interne Ressourcen als im Beratungsmodell.

"NIS2 verlangt kein Zertifikat, aber jeder Kunde, jede Behörde und jeder Versicherer verlangt einen Nachweis. Unternehmen, die das früh verstehen, diskutieren nicht über Zertifikate. Sie bauen ein Managementsystem, das den Nachweis als Nebenprodukt liefert, und entscheiden erst danach, welches Siegel sie darauf setzen."

Niklas Hanitsch, Gründer und Geschäftsführer bei SECJUR

Für wen sich die VdS-Route lohnt und für wen nicht

Die VdS 10100 wird überwiegend von Anbietern beschrieben, die sie verkaufen. Die ehrlichere Frage ist, wann sie nicht passt. Sie ist ein deutsches Regelwerk mit deutscher Zertifizierungsstelle und deutschem Zertifikat. Außerhalb des deutschsprachigen Raums ist sie weitgehend unbekannt.

Die beiden Wege schließen sich nicht aus. Die VdS-Richtlinien sind bewusst aufwärtskompatibel angelegt, sodass ein bestehendes VdS-Managementsystem als Einstieg in die ISO 27000er-Familie dienen kann. Wer diesen Pfad plant, sollte die Klassifizierung nach Kapitel 9 von Anfang an an der ISO-Systematik ausrichten, weil die Richtlinie das ohnehin empfiehlt und der spätere Umstieg dann kaum Nacharbeit erzeugt. Den direkten Vergleich beider Standards behandeln wir unter VdS 10000 oder ISO 27001, die Grundlage der 10100 beschreibt unser Beitrag zur VdS 10000.

Unabhängig vom gewählten Siegel bleibt der Unterbau derselbe. Die zehn Maßnahmenbereiche aus dem NIS2-Umsetzungsgesetz, die 21 Kapitel der VdS 10100 und die Controls der ISO 27001 beschreiben dieselbe Sache in unterschiedlicher Auflösung. Deshalb lohnt es sich, zuerst das Managementsystem zu bauen und die Zertifizierungsfrage danach zu entscheiden. Im SECJUR Digital Compliance Office läuft dieser Unterbau als ein System, aus dem sich die Nachweise für mehrere Rahmenwerke parallel erzeugen lassen, statt für jedes Siegel von vorn anzufangen.

Der nächste sinnvolle Schritt hängt vom Stand ab. Wer noch keine Gap-Analyse gemacht hat, fängt dort an und nicht bei der Wahl des Standards. Wer sie hat, sollte prüfen, welche der vier zusätzlichen Themen der VdS 10100 wirklich fehlen. In den meisten Fällen sind es Krisenorganisation und Kennzahlen, und beides lässt sich in wenigen Wochen aufsetzen. Wie der Nachweis gegenüber dem BSI konkret aussieht, steht im Beitrag zum Nachweis der NIS2-Konformität, und die Einordnung der ISO 27001 in den NIS2-Kontext finden Sie unter NIS2 und ISO 27001.