Soll-Ist-Abgleich mit den zehn Maßnahmen nach § 30 BSIG

NIS2 Gap-Analyse: Lücken zu § 30 BSIG erkennen und priorisieren

Die NIS2 Gap-Analyse vergleicht Ihre umgesetzten Sicherheitsmaßnahmen Punkt für Punkt mit den zehn Mindestmaßnahmen nach § 30 BSIG und zeigt, wo Nachweise fehlen, wo Maßnahmen nur teilweise greifen und was zuerst zu tun ist.

  • 01Soll-Ist-Abgleich für alle zehn Mindestmaßnahmen nach § 30 BSIG
  • 02Reifegrad je Maßnahme, mit Nachweisen begründet
  • 03Priorisierte Lücken nach Pflicht, Risiko und Aufwand
  • 04Gap-Report und Management-Zusammenfassung für die Geschäftsleitung
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

NIS2 Gap-Analyse: was geprüft wird

Besonders wichtige und wichtige Einrichtungen müssen nach § 30 BSIG geeignete, verhältnismäßige und wirksame Maßnahmen ergreifen und ihre Einhaltung dokumentieren. Die NIS2 Gap-Analyse prüft jede der zehn Mindestmaßnahmen: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs und Krisenmanagement, Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung, Wirksamkeitsbewertung, Schulungen, Kryptographie, Personalsicherheit mit Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Dazu kommen Meldeprozess (§ 32), Registrierung (§ 33) und Schulung der Geschäftsleitung (§ 38 Abs. 3 BSIG). Für Cloud-, Rechenzentrums-, Managed-Service- und weitere digitale Anbieter gilt zusätzlich die Durchführungsverordnung (EU) 2024/2690 (§ 30 Abs. 3 BSIG).

Wir leiten aus § 30 BSIG einen Prüfkatalog ab, sichten Richtlinien, Verfahren und Nachweise, führen Interviews mit IT, Fachbereichen und Geschäftsleitung und prüfen ausgewählte technische Einstellungen stichprobenartig. Vorhandene Arbeit aus einem ISMS nach ISO/IEC 27001 oder IT-Grundschutz rechnen wir an. Jede Maßnahme erhält einen Reifegrad mit Begründung; die Lücken priorisieren wir nach gesetzlicher Pflicht, Risiko und Aufwand.

Wer vorher klären muss, ob NIS2 überhaupt gilt, beginnt mit der NIS2 Betroffenheitsprüfung; den Phasenplan danach liefert die NIS2 Roadmap.

2 Leistungsbausteine

Leistungsumfang

01

Soll-Ist-Abgleich nach § 30 BSIG

Wir prüfen jede der zehn Mindestmaßnahmen sowie Meldeprozess, Registrierung und Pflichten der Geschäftsleitung und bewerten den Reifegrad auf Basis von Dokumenten, Interviews und Stichproben.

  • Sichtung von Richtlinien, Verfahren und Nachweisen
  • Interviews mit IT, Fachbereichen und Geschäftsleitung
  • Stichproben technischer Einstellungen, etwa Multi-Faktor-Authentifizierung und Backups
  • Prüfung der Sicherheitsanforderungen an Lieferanten
02

Gap-Report und Priorisierung

Wir fassen die Ergebnisse in einem Gap-Report mit Reifegrad je Maßnahme zusammen und priorisieren die Lücken, damit Sie wissen, was zuerst zu tun ist.

  • Risiko-basierte Priorisierung aller identifizierten Maßnahmen
  • Grobe Aufwandsschätzung als Grundlage für Budgetentscheidungen
  • Management-Zusammenfassung für die Geschäftsleitung
  • Empfehlung der nächsten Schritte, auf Wunsch als NIS2 Roadmap ausgearbeitet

5 Phasen

Unser Vorgehen

Wir führen die NIS2 Gap-Analyse in fünf Schritten durch, vom Prüfumfang bis zur Vorstellung bei der Geschäftsleitung.

  1. Prüfumfang festlegen

    Gesellschaften, Dienste und Standorte

  2. Prüfkatalog aus § 30 BSIG ableiten und Dokumente sichten

  3. Interviews und Stichproben durchführen

  4. Reifegrad bewerten und Lücken priorisieren

  5. Gap-Report übergeben und mit der Geschäftsleitung besprechen

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn
Eine professionelle Gap-Analyse ist der Schlüssel zu einer effizienten NIS2-Implementierung. Unsere strukturierte Herangehensweise identifiziert nicht nur Compliance-Lücken, sondern schafft auch die Basis für strategische Cybersicherheitsinvestitionen.
Expertenmeinung von ADVISORI

Unsere Expertise

  • 01Tiefgreifende NIS2-Expertise und bewährte Prüfmethoden
  • 02Branchenspezifische Erfahrung in allen relevanten Sektoren
  • 03Strukturierte Herangehensweise mit nachvollziehbaren Bewertungskriterien
  • 04Anrechnung bestehender ISO-27001- und Grundschutz-Arbeit

Dokumentation ist selbst eine Pflicht

§ 30 Abs. 1 BSIG verlangt, die Einhaltung der Maßnahmen zu dokumentieren. Eine Maßnahme, die gelebt, aber nicht belegt ist, zählt in der Gap-Analyse deshalb als Lücke. Wer Maßnahmen nicht dokumentiert, riskiert ein Bußgeld nach § 65 Abs. 2 Nr. 3 BSIG.

Weiterführend

8 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu NIS2 Gap-Analyse

Was ist eine NIS2 Gap-Analyse?

Eine NIS2 Gap-Analyse ist ein Soll-Ist-Abgleich: Sie vergleicht die umgesetzten Sicherheitsmaßnahmen Ihrer Einrichtung mit den Anforderungen des BSIG, vor allem mit den zehn Mindestmaßnahmen nach § 30 (Art. 21 NIS2). Ergebnis ist ein Bild aller Lücken mit Reifegrad je Maßnahme, priorisiert nach Pflicht, Risiko und Aufwand. Sie ist der übliche erste Schritt vor der Umsetzung.

Wie läuft eine NIS2 Gap-Analyse ab?

Eine professionelle NIS2 Gap-Analyse folgt fünf Schritten: 1) Scoping (welche Systeme, Standorte und Prozesse sind relevant?), 2) Dokumentenanalyse (bestehende Policies, ISMS-Dokumente, Protokolle sichten), 3) Interviews & technische Prüfung (Gespräche mit IT, Management und Fachabteilungen, System-Reviews), 4) Gap-Bewertung (Ampelbewertung je Bereich: rot/gelb/grün mit Risikoeinstufung), 5) Berichterstattung & Roadmap (priorisierter Maßnahmenplan mit Quick Wins und mittelfristigen Maßnahmen).

Welche NIS2-Bereiche werden in der Gap-Analyse bewertet?

Alle zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG: Konzepte zur Risikoanalyse und Informationssicherheit, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup, Wiederherstellung und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit, Schulungen und Sensibilisierung, Kryptographie, Personalsicherheit, Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Zusätzlich bewerten wir Dokumentation, Meldeprozess, Registrierung und Schulung der Geschäftsleitung (§ 38 BSIG) sowie, wo einschlägig, die Durchführungsverordnung (EU) 2024/2690.

Wovon hängt die Dauer einer NIS2 Gap-Analyse ab?

Von der Zahl der Gesellschaften, Dienste und Standorte im Prüfumfang, vom vorhandenen Fundament (etwa ISO/IEC 27001 oder IT-Grundschutz), von Umfang und Qualität der Dokumentation und von der Verfügbarkeit der Ansprechpartner für Interviews. Typisch ist die Abfolge aus Vorbereitung und Dokumentensichtung, Interviews und Stichproben sowie Auswertung und Bericht. Den konkreten Zeitplan legen wir im Erstgespräch fest.

NIS2 Gap-Analyse vs. NIS2 Audit: Was ist der Unterschied?

Die Gap-Analyse ist eine interne oder beratergestützte Bestandsaufnahme ohne Prüfpflicht; sie dient der Vorbereitung. Ein Audit ist eine formale Prüfung durch eine unabhängige Stelle. Das BSIG kennt keine NIS2-Zertifizierung, aber das BSI kann besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen auferlegen (§ 61 Abs. 1 BSIG), und Betreiber kritischer Anlagen müssen die Umsetzung alle drei Jahre nachweisen (§ 39 BSIG). Sinnvoll ist die Reihenfolge: zuerst Lücken finden und schließen, dann prüfen lassen.

Wovon hängt der Aufwand einer NIS2 Gap-Analyse ab?

Der Aufwand richtet sich nach dem Prüfumfang, nach der Frage, ob eine reine Dokumentenprüfung oder auch technische Stichproben gewünscht sind, nach dem Format (vor Ort oder remote) und danach, wie viel bereits belegt ist. Ein bestehendes ISMS senkt den Aufwand deutlich, weil wir vorhandene Nachweise anrechnen. Einen verbindlichen Rahmen nennen wir nach dem Erstgespräch.

Können wir die NIS2 Gap-Analyse selbst durchführen?

Ja, mit einem Prüfkatalog aus § 30 BSIG und ehrlicher Bewertung ist eine Selbsteinschätzung möglich; das BSI stellt dafür die #nis2know-Roadmap und eine NIS-2-Checkliste bereit. Grenzen zeigen sich bei der Unabhängigkeit, bei der Frage, ob eine Maßnahme wirksam und belegt ist, und bei der Einordnung von Nachweisen. Viele Unternehmen kombinieren deshalb eine interne Vorarbeit mit einer externen Bewertung.

Reicht eine ISO-27001-Gap-Analyse für NIS2?

Nur teilweise. ISO/IEC 27001 deckt viele Maßnahmen ab, aber nicht die NIS2-eigenen Pflichten wie Registrierung, Meldefristen nach § 32 BSIG und Schulung der Geschäftsleitung nach § 38 BSIG. Außerdem muss der Geltungsbereich des ISMS alle Dienste umfassen, für die das BSIG gilt. Eine NIS2 Gap-Analyse kann eine bestehende ISO-Bewertung als Ausgangspunkt nutzen und ergänzt die fehlenden Punkte.