Wie lange dauert eine NIS2 Gap-Analyse und was kostet sie?

Für ein KMU mit 50 bis 250 Mitarbeitern dauert eine strukturierte NIS2-Gap-Analyse 3 bis 5 Beratungstage. Mit vorhandener Dokumentation — bestehende Richtlinien, Risikoregister oder ISO-27001-Zertifizierung — sind häufig 2 bis 3 Tage ausreichend, da wesentliche Teile der §30-Anforderungen bereits abgedeckt sind. Der Ablauf umfasst vier Phasen: Dokumentensichtung und Vorbereitung, Interviews mit IT-Leitung und Geschäftsleitung, Abgleich des Ist-Zustands mit den 135 KdA-Kontrollen (BSI-1 bis BSI-135) und Erstellung des priorisierten Maßnahmenplans mit P0- bis P3-Einstufung. Das Ergebnis ist eine Liste der identifizierten Gaps, priorisiert nach Audit-Auswirkung, mit Zeit- und Ressourcenschätzungen pro Maßnahme. Die Gap-Analyse verhindert Fehlinvestitionen: Ohne sie fließen Ressourcen häufig in P2- und P3-Maßnahmen, während P0-Audit-Blocker offen bleiben. Unternehmen, die vor der Umsetzung eine vollständige Gap-Analyse durchführen, reduzieren den Gesamtaufwand für NIS2-Compliance um 30 bis 40 %. Die Kosten hängen stark vom Vorbereitungsstand ab — gut dokumentierte Unternehmen zahlen erheblich weniger.

Welche Dokumente sollte ich für die NIS2 Gap-Analyse vorbereiten?

Eine gute Vorbereitung maximiert die Effizienz der Gap-Analyse und reduziert den Aufwand. Governance-Dokumente: Organigramm mit Rollenbeschreibungen, Rollenverzeichnis mit IT-Sicherheitsverantwortlichen, bestehende IT-Sicherheitsrichtlinien. Technische Dokumente: Netzwerkdokumentation und Topologie, Asset-Inventar mit kritischen Systemen, aktueller MFA-Rollout-Status, Backup-Konzept mit Wiederherstellungstests. Prozessdokumente: Vorfallsprotokoll der letzten 12 Monate, BCM-Plan sofern vorhanden, Lieferantenverzeichnis mit IT-Zugängen. Für ISO-27001-zertifizierte Unternehmen: Bringen Sie das Statement of Applicability (SoA) und den letzten internen Auditbericht mit — diese decken bereits weite Teile der BSI-Kontrollen BSI-1 bis BSI-55 ab. Für Unternehmen ohne ISO-27001: Bereiten Sie eine Selbstbewertung gegen die 135 KdA-Kontrollen vor, die kostenlos auf der BSI-Website verfügbar sind (Konkretisierung der Anforderungen v1.2). Fehlende Dokumente sind per Definition Gaps — verzögern Sie die Analyse nicht wegen unvollständiger Vorbereitung. Eine strukturierte Gap-Analyse zeigt genau, welche Dokumente neu erstellt werden müssen.

Was sind die häufigsten NIS2-Gaps in mittelständischen Unternehmen?

Sieben Gaps treten in der Praxis bei Erstbetroffenen mit Abstand am häufigsten auf. Erstens: Kein ISMS vorhanden oder nicht aktuell — das Fundament fehlt; ohne ISMS müssen alle 135 KdA-Kontrollen einzeln aufgebaut werden. Zweitens: Kein 3-stufiger Meldeprozess nach §32 — die 24h/72h/1-Monat-Eskalationskette ist nicht implementiert oder nicht getestet. Drittens: GL-Schulung fehlt nach §38 Abs. 3 — die Geschäftsleitung wurde nicht in Cybersicherheit geschult; dieser Gap ist gleichzeitig persönliches Haftungsrisiko. Viertens: MFA nicht flächendeckend nach §30.2 Nr. 10 — nur teilweise ausgerollt, insbesondere fehlt die Absicherung des externen Zugangs. Fünftens: Supply-Chain nicht bewertet nach §30.2 Nr. 4 — keine formale Lieferantenbewertung mit Sicherheitsanforderungen in Verträgen. Sechstens: Angriffserkennung (SzA) fehlt nach BSI-77 bis BSI-97 — kein SIEM, kein SOC und kein MDR-Dienst vorhanden. Siebtens: Dokumentation lückenhaft — Maßnahmen existieren, sind aber nicht dokumentiert oder nachweisbar für den §39-Audit. Diese Gaps sind in fünf von sieben Fällen Audit-Blocker (P0) und müssen vor Dezember 2028 behoben sein.

NIS2 Gap-Analyse in 5 Schritten

Auf einen Blick

Eine strukturierte Gap-Analyse nach NIS2 folgt fünf Schritten: Scope definieren, Ist-Aufnahme, Soll-Abgleich mit den 135 BSI-Kontrollen (KdA v1.2), Gaps identifizieren und priorisieren (P0–P3) sowie einen konkreten Maßnahmenplan erstellen. Unternehmen, die die Gap-Analyse vor der Umsetzung durchführen, reduzieren den Gesamtaufwand um 30–40 %. Häufigste Gaps bei Erstbetroffenen: kein ISMS, kein 3-stufiger Meldeprozess und fehlende GL-Schulung.

Die Gap-Analyse ist der entscheidende erste Schritt auf dem Weg zur NIS2-Compliance — noch vor der ersten technischen Maßnahme. Sie zeigt Ihnen, wo Sie heute stehen, wo Sie hinmüssen und welche Lücken zuerst geschlossen werden müssen. Mit einer klaren Priorisierung nach P0 bis P3 vermeiden Sie, Ressourcen an den falschen Stellen zu verschwenden. Hier ist die bewährte 5-Schritte-Methodik, die wir in der Praxis einsetzen.

Schritt 1: Scope definieren

Der größte Unterschied zum alten Regime: NIS2 gilt nicht mehr nur für die einzelne kritische Anlage, sondern für das gesamte Unternehmen. Das erweitert den Scope erheblich und ist der erste Punkt, den viele Erstbetroffene unterschätzen.

Was in den Scope gehört

Alle IT-Systeme und Netzwerke des Unternehmens (nicht nur die Produktion)
Alle Standorte — nicht nur der Hauptsitz
Alle relevanten Geschäftsprozesse, die für die Leistungserbringung kritisch sind
Alle Lieferanten und Dienstleister mit IT-Zugang (Supply-Chain-Pflicht nach §30 Abs. 2 Nr. 4)
Für KRITIS-Betreiber: zusätzlich physische Anlagen nach dem KRITIS-DachG

Eine sorgfältige Scope-Definition verhindert, dass Teile der Organisation im späteren Audit als Lücke auffallen.

Schritt 2: Ist-Aufnahme

Erfassen Sie den aktuellen Sicherheitsstand strukturiert in allen relevanten Bereichen. Vollständigkeit ist hier wichtiger als Schnelligkeit.

Governance und ISMS

Ist ein ISMS vorhanden? Nach welchem Standard (ISO 27001, BSI-Grundschutz)?
Gibt es einen GL-Billigungsbeschluss für Cybersicherheit nach §38 BSIG?
Sind Rollen und Verantwortlichkeiten klar definiert und dokumentiert?

Ein funktionierendes ISMS als Fundament Ihrer NIS2-Compliance deckt bereits 70–80 % der Anforderungen ab und spart erheblichen Umsetzungsaufwand.

Technische Sicherheit

MFA — flächendeckend ausgerollt, auch für externen Zugang?
Angriffserkennung (SIEM/SOC) — vorhanden und auf welchem Reifegrad?
Vulnerability Management — regelmäßige Scans und dokumentierte Behebung?
Backup und Verschlüsselung — dokumentiert und regelmäßig getestet?

Organisatorische Maßnahmen

Meldeprozesse — existiert ein 3-stufiger Prozess mit 24h/72h/1-Monat-Kette?
BCM und Notfallpläne — aktuell, getestet und dokumentiert?
GL-Schulung — durchgeführt und dokumentiert nach §38 Abs. 3?
Lieferantenbewertung — formaler Prozess mit Sicherheitsanforderungen vorhanden?

Schritt 3: Soll-Abgleich

Vergleichen Sie Ihren Ist-Stand mit den vollständigen Anforderungen. Das primäre Referenzdokument ist die KdA v1.2 (Konkretisierung der Anforderungen) des BSI — kostenlos auf bsi.de verfügbar.

Prüfrelevante Anforderungsrahmen

135 KdA-Kontrollen (BSI Konkretisierung der Anforderungen v1.2) — die 12 neuen NIS2-Pflichten sind in den 12 neuen NIS2-Pflichten beschrieben
§28–65 BSIG — gesetzliche Mindestanforderungen
10 DachG-Anforderungen — für KRITIS-Betreiber nach dem KRITIS-DachG
NIS2 Implementing Act (EU-Durchführungsverordnung CIR 2024/2690) — für grenzüberschreitend tätige Unternehmen

Nutzen Sie eine strukturierte Mapping-Matrix, die alle 135 Kontrollen gegen Ihren Ist-Stand abgleicht und den Erfüllungsgrad bewertet (erfüllt / teilweise / nicht erfüllt / nicht anwendbar).

Schritt 4: Gaps identifizieren und priorisieren

Bewerten Sie jede identifizierte Lücke nach ihrer Auswirkung auf den §39-Nachweis. Die folgende Prioritätssystematik hat sich in der Praxis bewährt:

Priorität	Zeithorizont	Bedeutung
P0 — Sofort	weniger als 3 Monate	Audit-Blocker: Ohne diese kein Nachweis möglich
P1 — Kurzfristig	weniger als 12 Monate	Wichtig für Compliance, aber kein Blocker
P2 — Mittelfristig	12–24 Monate	Verbesserung des Sicherheitsniveaus
P3 — Langfristig	über 24 Monate	Optimierung und Reifegradsteigerung

Typische Gaps bei Erstbetroffenen

Die häufigsten Lücken, die wir in der Praxis bei mittelständischen Unternehmen identifizieren:

Kein ISMS vorhanden oder nicht aktuell — das Fundament fehlt komplett
Kein 3-stufiger Meldeprozess — die 24h/72h/1-Monat-Meldepflicht nach §32 ist nicht implementiert
GL-Schulung fehlt — die Geschäftsleitung wurde nicht in Cybersicherheit geschult (§38 Abs. 3)
MFA nicht flächendeckend — nur teilweise ausgerollt, insbesondere kein externer Zugang abgesichert
Supply-Chain nicht bewertet — keine formale Lieferantenbewertung nach §30 Abs. 2 Nr. 4
Kein physischer Resilienzplan — relevant für KRITIS-DachG-pflichtige Unternehmen
Dokumentation lückenhaft — Maßnahmen existieren, sind aber nicht für §39-Audits nachweisbar

Schritt 5: Maßnahmenplan erstellen

Aus der Gaps-Liste entsteht der konkrete NIS2-Maßnahmenplan nach P0–P3 mit folgenden Pflichtfeldern pro Maßnahme:

Was: Konkrete Maßnahme (z.B. "MFA für alle Mitarbeiter flächendeckend ausrollen")
Wer: Verantwortlicher Owner mit Namen (z.B. IT-Leitung — Max Mustermann)
Wann: Verbindliche Deadline basierend auf P0–P3-Klassifikation
Wie: Umsetzungsstrategie und benötigte Ressourcen
Budget: Geschätzte Kosten für interne und externe Aufwände
Nachweis: Wie wird die Umsetzung dokumentiert und auditierbar gemacht?

GL-Billigung ist Pflicht

Der fertige Maßnahmenplan muss von der Geschäftsleitung formell freigegeben werden (GL-Billigungsbeschluss nach §38 BSIG). Dieser Beschluss ist selbst eine P0-Maßnahme und gleichzeitig Nachweis der persönlichen GL-Verantwortung für die Compliance.

Fazit

Eine strukturierte Gap-Analyse schafft Klarheit und verhindert, dass Ressourcen an den falschen Stellen eingesetzt werden. Unternehmen, die vor der Umsetzung eine vollständige Gap-Analyse durchführen, reduzieren den Gesamtaufwand um 30–40 % — weil keine Energie in Maßnahmen fließt, die für den Audit nicht entscheidend sind. Starten Sie mit den P0-Maßnahmen: Diese sind Audit-Blocker und müssen zuerst abgeschlossen sein.

Für eine strukturierte professionelle NIS2 Gap-Analyse mit der offiziellen BSI-Mapping-Matrix (135 Kontrollen) und einem priorisierten Maßnahmenplan als Ergebnis stehen wir Ihnen gerne zur Verfügung. Jetzt Gap-Analyse anfragen

Stand: März 2026. Grundlage: BSIG, KdA v1.2 (BSI), NIS2UmsuCG. Für eine individuelle Einordnung empfehlen wir eine Beratung durch Fachexperten.