Was kostet eine NIS2-Gap-Analyse?
Anders als die Gesamtumsetzung hat eine Gap-Analyse einen klar abgrenzbaren Umfang — und lässt sich deshalb als Festpreis kalkulieren. Hier steht, woraus sich der Aufwand zusammensetzt.
Die kurze Antwort
Der Aufwand einer NIS2-Gap-Analyse wird von drei Größen bestimmt: der Zahl der Standorte, dem Anteil an Produktions- und Anlagentechnik und dem Zustand der vorhandenen Dokumentation. Die Beschäftigtenzahl allein sagt wenig aus.
Weil der Umfang vorab festgelegt werden kann, ist die Gap-Analyse die eine Leistung im NIS2-Umfeld, die sich ohne Risikoaufschlag zum Festpreis anbieten lässt. Sie ist deshalb auch der richtige erste Schritt, um überhaupt vergleichbare Angebote für die Umsetzung einzuholen.
Die sieben Bausteine — und was fehlt, wenn einer fehlt
Scoping
Festlegen, welche Gesellschaften, Standorte und Systeme betrachtet werden — und welche ausdrücklich nicht.
- Aufwandstreiber
- Anzahl der Gesellschaften und Standorte
- Wenn dieser Baustein fehlt
- Ohne festen Scope ist das Ergebnis nicht vergleichbar und der Aufwand nicht begrenzbar.
Dokumentensichtung
Vorhandene Leitlinien, Konzepte, Verträge und Protokolle werden gegen die zehn Bereiche des § 30 BSIG gelesen.
- Aufwandstreiber
- Menge und Zustand der Dokumentation
- Wenn dieser Baustein fehlt
- Ohne Sichtung bewertet man Selbstauskünfte statt Nachweise — das ist eine Umfrage, keine Analyse.
Interviews
Gespräche mit IT-Betrieb, Einkauf, Personal, Datenschutz und Geschäftsleitung.
- Aufwandstreiber
- Anzahl der Rollen und Standorte
- Wenn dieser Baustein fehlt
- Lücken zwischen dokumentiertem und gelebtem Prozess bleiben unentdeckt.
Technische Stichproben
Prüfung ausgewählter Konfigurationen: Berechtigungen, Sicherungen, Mehr-Faktor-Authentifizierung, Protokollierung.
- Aufwandstreiber
- Heterogenität der Landschaft, OT-Anteil
- Wenn dieser Baustein fehlt
- Die häufigsten Befunde — verwaiste Konten, ungetestete Backups — werden nicht gefunden.
Reifegradbewertung
Einstufung je Maßnahmenbereich auf einer nachvollziehbaren Skala, mit Begründung je Stufe.
- Aufwandstreiber
- Zahl der bewerteten Bereiche
- Wenn dieser Baustein fehlt
- Eine Ampel ohne Kriterien lässt sich nicht fortschreiben und im Folgejahr nicht vergleichen.
Maßnahmenplan
Priorisierte Liste mit Aufwandsschätzung, Verantwortlichkeit und Reihenfolge.
- Aufwandstreiber
- Zahl der gefundenen Lücken
- Wenn dieser Baustein fehlt
- Ein Befundbericht ohne Plan verlagert die eigentliche Arbeit zurück zu Ihnen.
Abschlusspräsentation
Vorstellung der Ergebnisse vor der Geschäftsleitung, inklusive Risikoakzeptanz-Entscheidungen.
- Aufwandstreiber
- Gremienstruktur
- Wenn dieser Baustein fehlt
- Ohne Beschluss der Geschäftsleitung fehlt der Nachweis nach § 38 BSIG.
Wie die Analyse inhaltlich abläuft, steht auf der Leistungsseite zur NIS2 Gap-Analyse. Welche Anforderungen dabei geprüft werden, zeigt die Übersicht der zehn Maßnahmenbereiche nach § 30 BSIG.
Häufige Fragen
- Was kostet eine NIS2-Gap-Analyse?
- Der Aufwand ergibt sich aus sieben Bausteinen: Scoping, Dokumentensichtung, Interviews, technische Stichproben, Reifegradbewertung, Maßnahmenplan und Abschlusspräsentation. Die Spannweite entsteht vor allem durch die Zahl der Standorte, den OT-Anteil und den Zustand der vorhandenen Dokumentation. Weil eine Gap-Analyse einen klar abgrenzbaren Umfang hat, lässt sie sich anders als die Gesamtumsetzung seriös als Festpreis anbieten — nach einem kurzen Vorgespräch zum Scope.
- Woran erkenne ich ein zu billiges Angebot?
- An drei Merkmalen: Es enthält keine Dokumentensichtung, sondern nur einen Fragebogen. Es nennt keine Interviewpartner außerhalb der IT. Und es liefert eine Ampelbewertung ohne beschriebene Kriterien. Ein solches Ergebnis ist eine Selbstauskunft in schöner Form — es hält keiner Prüfung stand und lässt sich im Folgejahr nicht fortschreiben.
- Wie lange dauert eine Gap-Analyse?
- Für eine Einrichtung mit einem Standort und überschaubarer IT liegt der Durchlauf üblicherweise bei wenigen Wochen, überwiegend bestimmt durch die Terminfindung für Interviews, nicht durch die Analysearbeit. Mehrere Standorte, Produktionsumgebungen oder eine verstreute Dokumentenlage verlängern vor allem die Erhebungsphase.
- Was liefert eine Gap-Analyse konkret ab?
- Einen Bericht mit Reifegradbewertung je Maßnahmenbereich des § 30 BSIG, die Belegstellen für jede Bewertung, eine priorisierte Maßnahmenliste mit Aufwandsschätzung und Verantwortlichkeiten sowie eine Entscheidungsvorlage für die Geschäftsleitung. Der Bericht ist die Grundlage für Budget und Reihenfolge der Umsetzung.
- Ist die Gap-Analyse dasselbe wie ein Audit?
- Nein. Die Gap-Analyse ist eine Standortbestimmung vor dem Projekt: Sie zeigt, was fehlt, und darf beraten. Ein Audit prüft den erreichten Zustand gegen einen Maßstab und muss unabhängig bleiben. Wer beides von derselben Person zur selben Zeit erwartet, bekommt entweder eine schlechte Beratung oder ein befangenes Audit.
Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Fachliche Einordnung, keine Rechtsberatung. Preisangaben machen wir bewusst erst nach Kenntnis des Scopes.
Scope klären, Festpreis erhalten
Ein kurzes Vorgespräch zu Gesellschaften, Standorten und OT-Anteil genügt, um den Umfang festzulegen — danach nennen wir einen Festpreis statt einer Spanne.
Scope besprechen