Was eine NIS2-Gap-Analyse leisten muss
Eine belastbare NIS2-Gap-Analyse vergleicht nicht nur vorhandene Dokumente mit einer Anforderungsliste. Sie bewertet, ob gesetzlich erforderliche organisatorische und technische Fähigkeiten tatsächlich vorhanden, umgesetzt, wirksam und nachweisbar sind. Das Ergebnis muss der Geschäftsleitung zeigen, wo Handlungsbedarf besteht, welche Geschäftsrisiken daraus entstehen und welche Maßnahmen zuerst entschieden werden sollten.
Abgrenzung: Betroffenheitsprüfung beantwortet „Fällt das Unternehmen unter NIS2?“. Gap-Analyse beantwortet „Welche Anforderungen sind bereits wirksam umgesetzt und wo bestehen Lücken?“.
Checkliste, Gap-Analyse, Risikoanalyse und Audit sind nicht dasselbe
| Instrument | Hauptfrage | Typischer Output |
|---|---|---|
| Betroffenheitsprüfung | Ist die Einrichtung gesetzlich erfasst? | Scope und rechtliche Einordnung |
| Checkliste | Ist ein Punkt vorhanden? | Ja/Nein-Übersicht |
| Gap-Analyse | Wie weit ist eine Anforderung umgesetzt und nachweisbar? | Gaps, Risiken, Maßnahmen, Nachweise |
| Risikoanalyse | Welche Cyberrisiken bedrohen Geschäftsservices und Ziele? | Risikoregister und Behandlungsentscheidungen |
| Audit | Entspricht die Umsetzung definierten Prüfcriteria? | Prüffeststellungen und Nachweise |
Voraussetzungen vor dem Start
- Betroffenheit und Assessment-Scope sind ausreichend geklärt.
- Geschäftsleitung oder Executive Sponsor ist benannt.
- kritische Geschäftsservices und wesentliche Abhängigkeiten sind bekannt.
- relevante Rollen aus IT, Informationssicherheit, Legal, Einkauf, BCM und Fachbereichen stehen zur Verfügung.
- vorhandene Policies, Prozesse, Register, Berichte und Testnachweise können eingesehen werden.
Ablauf in sieben Schritten
1. Scope
Rechtsträger, Dienste, Standorte und Systeme festlegen.
2. Anforderungen
Gesetzliche Pflichten in prüfbare organisatorische Fähigkeiten übersetzen.
3. Interviews
Management- und Fachrollen strukturiert befragen.
4. Evidenz
Aussagen gegen vorhandene Nachweise und tatsächliche Praxis prüfen.
5. Bewertung
Umsetzung, Wirksamkeit und Confidence nachvollziehbar bewerten.
6. Priorisierung
Gaps nach Rechtsnähe, Geschäftsrisiko, Exposition und Abhängigkeiten priorisieren.
7. Managementoutput
Executive Risks, Maßnahmen, Dokumentenbedarf und Roadmap erzeugen.
Welche Bewertungsdimensionen sinnvoll sind
Eine einzelne Prozentzahl kann Orientierung geben, darf aber kritische Einzelrisiken nicht verdecken. Eine belastbare Bewertung betrachtet mehrere Dimensionen.
| Dimension | Leitfrage |
|---|---|
| Vorhandensein | Existiert die erforderliche organisatorische Fähigkeit? |
| Umsetzung | Ist sie im relevanten Scope tatsächlich eingeführt? |
| Wirksamkeit | Funktioniert sie unter realistischen Bedingungen? |
| Evidenz | Kann die Umsetzung nachvollziehbar belegt werden? |
| Confidence | Wie belastbar ist die zugrunde liegende Aussage? |
Wie ein guter Gap formuliert wird
Ein gutes Ergebnis beschreibt nicht nur ein fehlendes Dokument. Es beschreibt die fehlende organisatorische Fähigkeit und die daraus entstehende Managementrelevanz.
Zustand: Wiederherstellungsmaßnahmen sind technisch vorhanden, aber nicht für alle geschäftskritischen Systeme regelmäßig gegen definierte Geschäftsanforderungen getestet.
Executive Gap: Die Wiederherstellungsfähigkeit geschäftskritischer Systeme ist nicht vollständig nachgewiesen.
Business Impact: Im Cybervorfall besteht Unsicherheit, ob kritische Leistungen innerhalb akzeptabler Zeit wieder aufgenommen werden können.
Executive Risk: Erhöhtes Risiko längerer Betriebsunterbrechungen, Vertragsverletzungen und regulatorischer Defizite.
Managementmaßnahme: Wiederherstellungsfähigkeit für kritische Services verbindlich planen, testen und auf Leitungsebene überwachen.
Gaps richtig priorisieren
Alle Gaps gleich zu behandeln erzeugt eine lange Maßnahmenliste, aber keine Entscheidungshilfe. Priorisierung sollte mindestens fünf Faktoren berücksichtigen:
- Nähe zu einer konkreten gesetzlichen Pflicht
- mögliche Geschäftsfolgen und Ausfallwirkung
- aktuelle Exposition und Eintrittswahrscheinlichkeit
- Abhängigkeiten zu anderen Maßnahmen oder kritischen Diensten
- Zeit und Aufwand bis zu einer belastbaren Risikoreduktion
Welche Ergebnisse am Ende vorliegen sollten
Executive Findings
Objektive Feststellungen zum aktuellen Zustand.
Executive Gaps
Fehlende oder unzureichende organisatorische Fähigkeiten.
Business Impact
Auswirkung auf Betrieb, Lieferfähigkeit, Kunden oder regulatorische Position.
Executive Risks
Risiken, die eine Managemententscheidung verlangen.
Governance-Nachweise
Welche Belege für eine belastbare Umsetzung benötigt werden.
Roadmap
Priorisierte Abfolge der nächsten Managementmaßnahmen.
Typische Fehler
- Selbstauskünfte ungeprüft als Evidenz übernehmen.
- nur prüfen, ob Dokumente existieren.
- technische Einzelkontrollen bewerten, aber Management- und Prozessfähigkeit ignorieren.
- alle Fragen gleich gewichten und kritische Gaps in einem Durchschnittsscore verstecken.
- „Nicht bekannt“ wie „Nein“ behandeln, ohne die geringere Bewertungssicherheit sichtbar zu machen.
- Maßnahmen nennen, aber keinen Owner, Zeithorizont oder Governance-Nachweis ableiten.
Intern, Berater oder Assessment-Tool?
Eine interne Gap-Analyse ist effizient, wenn Know-how, Zeit und Unabhängigkeit ausreichend vorhanden sind. Ein externer Berater kann bei komplexer Betroffenheit, hoher Rechtsunsicherheit oder unabhängiger Prüfung sinnvoll sein. Ein strukturiertes Tool schafft vor allem Vergleichbarkeit, Wiederholbarkeit und einen konsistenten Managementoutput.
Das NIS2 Self-Assessment Toolkit ist für eine managementorientierte Standortbestimmung konzipiert. Es ersetzt weder Rechtsberatung noch ein unabhängiges Audit.
FAQ zur NIS2-Gap-Analyse
Wie oft sollte die Gap-Analyse wiederholt werden?
Nach wesentlichen Änderungen sowie periodisch, damit Fortschritt und neue Risiken sichtbar werden. Die Frequenz sollte zur Dynamik des Unternehmens passen.
Muss jede Anforderung denselben Zielreifegrad erreichen?
Nein. Angemessenheit und Verhältnismäßigkeit spielen eine zentrale Rolle. Kritische gesetzliche Pflichten dürfen jedoch nicht durch einen guten Durchschnittsscore relativiert werden.
Reicht ein Fragebogen?
Für eine erste Standortbestimmung kann ein strukturierter Fragebogen sehr wirksam sein. Je höher das Risiko oder die Unsicherheit, desto wichtiger wird die Verifikation durch Nachweise und Tests.
Passende NIS2 Resources
Je nach Ausgangslage führt der nächste Schritt entweder zur strukturierten Standortbestimmung oder direkt zur organisatorischen Umsetzung.
NIS2 Self-Assessment Toolkit
Reifegrad bewerten, Executive Gaps erkennen und Managementprioritäten ableiten.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollen, Register, Nachweise und Umsetzungshilfen aufbauen.
Verwandte NIS2-Themen
NIS2-Dokumente und Nachweise
Welche Governance-Unterlagen und Evidenzen aus identifizierten Gaps entstehen.
NIS2-Umsetzungsplan
Gaps nach Rechtsnähe und Geschäftsrisiko priorisiert in Umsetzung überführen.
NIS2 für die Geschäftsleitung
Welche Managemententscheidungen und Überwachungsinformationen aus den Ergebnissen folgen.
NIS2 Reference Edition
Der vollständige fachliche Überblick zu NIS2 in Deutschland.
NIS2 Executive Self-Assessment
Standort bestimmen, Executive Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollenmodelle, Vorlagen und Nachweise für die Umsetzung.
Quellen und Rechtsstand
Die Seite wurde am 9. August 2026 fachlich gegen den aktuellen deutschen Rechtsrahmen und die veröffentlichten Informationen des BSI geprüft. Maßgeblich bleibt der jeweils geltende Gesetzes- und Behördenstand.
- BSI-Gesetz (BSIG) – konsolidierter Gesetzestext
- BSI: NIS-2-regulierte Unternehmen
- BSI: NIS-2-Pflichten
Hinweis: Diese Seite dient der fachlichen Orientierung und ersetzt keine Rechtsberatung oder Einzelfallprüfung.