NIS2-Gap-Assessment: Ablauf und Vorlage für zehn Arbeitstage

Bei einem NIS2-Gap-Assessment prüfen Sie, wie die Sicherheitsorganisation Ihrer Einrichtung die geltenden Anforderungen erfüllt. Zehn Arbeitstage können für eine belastbare erste Bestandsaufnahme reichen, wenn Zuständigkeiten, Unterlagen und Fachpersonen verfügbar sind. Das Ergebnis ist ein priorisierter Maßnahmenplan mit überprüften Nachweisen. Ob Sie in dieser Zeit auch alle Lücken schließen können, lässt sich vorab nicht versprechen.

Autor: Chris Müller. Rechtsstand und redaktionelle Prüfung: 5. September 2026.

Vor dem Start: Prüfumfang und Entscheidungsauftrag festlegen

Beginnen Sie mit einer schriftlichen Betroffenheitsentscheidung. Prüfen Sie Tätigkeiten, Einrichtungsart, Größenberechnung und Ausnahmen. Der Anwendungsbereich ergibt sich aus § 28 BSIG; sektorspezifische Regeln können einzelne Folgepflichten verändern. Eine informelle Selbsteinschätzung ohne Datengrundlage ist als Ausgangspunkt zu schwach. Die Anleitung zur Betroffenheitsprüfung hilft, die Entscheidungsakte vorzubereiten.

Nennen Sie im Prüfauftrag die rechtliche Einheit, erfasste Dienste und Standorte, wichtige IT-Abhängigkeiten sowie bekannte Ausschlüsse. Vereinbaren Sie mit der Geschäftsleitung, welche Entscheidungen am zehnten Tag vorliegen sollen: Verantwortliche, verfügbare Mittel, kurzfristige Schutzmaßnahmen und Termine für die Nachprüfung. Bei mehreren Gesellschaften, uneinheitlicher IT oder fehlenden Inventaren muss der Zeitplan erweitert werden.

Der Ablauf für zehn Arbeitstage

Planen Sie die zehn Arbeitstage anhand der Tabelle und organisieren Sie Interviews und Nachweise vorab. Die Tagesangaben sind keine gesetzliche Frist. Halten Sie täglich das Ergebnis und fehlende Informationen fest, damit Sie Verzögerungen früh erkennen.

Tag	Arbeitsschritt	Greifbares Ergebnis
1	Betroffenheit, Dienste und Verantwortliche klären	Freigegebener Prüfumfang, offene Rechtsfragen
2	Risiken und bestehende Sicherheitsvorgaben sichten	Risikoliste mit betroffenen Diensten
3	Inventare, Zugänge und technische Stichproben prüfen	Belegliste zu kritischen Systemen
4	Vorfallbearbeitung und Meldung durchspielen	Protokoll eines kurzen Meldeszenarios
5	Wiederherstellung und Krisenorganisation prüfen	Bewertung vorhandener Testnachweise
6	Unmittelbare Lieferanten und Wartungszugänge bewerten	Priorisierte Lieferantenlücken
7	Schulung, Personalprozesse und Leitungseinbindung prüfen	Zuordnung von Aufgaben und Nachweisen
8	Feststellungen mit Fachverantwortlichen abstimmen	Bestätigte Lücken samt Auswirkungen
9	Behandlung, Aufwand und Zwischenmaßnahmen planen	Entscheidungsvorlage mit Abhängigkeiten
10	Maßnahmen beschließen und Nachprüfung terminieren	Beschlussprotokoll und verbindlicher Arbeitsplan

Was geprüft werden muss

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen sowie deren Dokumentation. Sein Mindestumfang reicht von Risikoanalyse und Vorfallbewältigung über Wiederherstellung, Lieferkette und sichere Systementwicklung bis zu Wirksamkeitsprüfung, Schulungen, Kryptografie, Personal- und Zugriffsmanagement sowie Authentifizierung und gesicherter Kommunikation. Für bestimmte digitale Einrichtungsarten sind vorrangige europäische Durchführungsanforderungen zu berücksichtigen.

Übernehmen Sie deshalb alle anwendbaren Themen in die Prüfung. Gewichten Sie die Themen anhand des Risikos. Ein selten genutztes System kann trotzdem entscheidend sein, wenn nur dort die Notfallzugänge liegen. Wie Sie dabei vorgehen, lesen Sie im Beitrag zu den zehn Mindestmaßnahmen nach § 30 BSIG. Den rechtlichen Zusammenhang finden Sie im NIS2-Framework-Überblick.

Ergänzen Sie die technischen Themen um Registrierung, gesetzliche Meldungen und Leitungspflichten. Dafür sind insbesondere § 33 BSIG, § 32 BSIG und § 38 BSIG maßgeblich. Prüfen Sie bei Registrierungsdetails zusätzlich die Anwendungsregel in § 66 BSIG. Mit einem vorhandenen Sicherheitszertifikat haben Sie diese Pflichten nicht automatisch erfüllt.

So wird aus einer Aussage ein belastbarer Nachweis

Prüfen Sie die Aussagen aus dem Interview anhand eines durchgeführten Vorgangs. Lassen Sie sich etwa das Testprotokoll einer ausgewählten Wiederherstellung zeigen. Darin sollten Sie die verwendeten Daten, die erreichte Dauer und die fachliche Bestätigung des Ergebnisses nachvollziehen können. Eine Richtlinie ohne Testhistorie belegt nur die vorgesehene Regelung.

Wählen Sie Stichproben bewusst. Prüfen Sie beispielsweise einen privilegierten Zugang, einen kürzlich ausgeschiedenen Beschäftigten und einen wichtigen Wartungszugang. Dokumentieren Sie Auswahl, Zeitraum und Grenzen. Eine erfolgreiche Stichprobe rechtfertigt keine Aussage über alle Konten. Ein unvollständiges Inventar bleibt eine eigene Feststellung, weil es die Aussagekraft weiterer Prüfungen begrenzt.

Feld der Vorlage	Eintrag
Anforderung und Dienst	Konkrete Verpflichtung und betroffener Geschäftsprozess
Sollzustand	Prüfbares Ziel mit begründetem Umfang
Beobachtung	Was Interview und Stichprobe tatsächlich ergeben haben
Nachweis	Dokument, Version, Datum, Ablage und geprüfter Ausschnitt
Bewertung	Erfüllt, teilweise erfüllt, nicht erfüllt oder nicht beurteilbar
Risiko und Behandlung	Auswirkung, Zwischenmaßnahme und dauerhafte Lösung
Verantwortung und Termin	Entscheidungsverantwortlicher, Bearbeiter und Nachprüfung

Die Kategorie „nicht beurteilbar“ ist notwendig. Fehlende Unterlagen können eine Dokumentationslücke zeigen; sie beweisen nicht in jedem Fall, dass die technische Maßnahme fehlt. Trennen Sie diese beiden Feststellungen und planen Sie jeweils die passende Abhilfe.

Prioritäten festlegen, ohne Risiken wegzurechnen

Eine Durchschnittspunktzahl hilft wenig, wenn ein einzelner offener Zugang einen wesentlichen Dienst gefährdet. Sortieren Sie Feststellungen zunächst nach Schadenspotenzial und Dringlichkeit. Danach prüfen Sie Abhängigkeiten: Ein Berechtigungskonzept braucht ein brauchbares Systeminventar; eine Wiederherstellungsübung braucht ein abgestimmtes Betriebsziel.

Ein beispielhafter Eintrag lautet: „Für die produktionsnahe Auftragsbearbeitung liegt kein aktueller Wiederherstellungstest vor.“ Legen Sie für die Behandlung den Testumfang, einen fachlichen Abnehmer und einen festen Termin fest. Kontrollieren Sie bis dahin die Wiederherstellbarkeit gesondert. Kennzeichnen Sie solche Beispiele als Planungshilfe und tragen Sie tatsächliche Ergebnisse erst nach Durchführung ein.

Halten Sie für jeden offenen Punkt fest, wer als Nächstes was tun soll. Bei Maßnahmen über mehrere Bereiche hinweg brauchen die Beteiligten eine gemeinsame Übersicht über Verantwortlichkeiten und Entscheidungen. Mehr zur Organisation dieser Aufgaben lesen Sie bei KaitoSec für den Mittelstand.

Was die Geschäftsleitung am zehnten Tag erhält

Legen Sie der Geschäftsleitung die größten Risiken, nicht beurteilbare Bereiche und erforderliche Entscheidungen vor. Halten Sie ausdrücklich fest, welche Schutzmaßnahmen bereits wirksam sind, welche noch geprüft werden und wo Mittel fehlen. Eine Risikoakzeptanz darf nicht als Erledigung einer zwingenden gesetzlichen Verpflichtung verbucht werden. Auch nach dem Abzeichnen des Berichts muss die Leitung Umsetzung und Überwachung organisieren.

Vereinbaren Sie eine erste Nachprüfung anhand der höchsten Risiken. Schließen Sie eine Maßnahme erst, wenn der vereinbarte Erfolgsnachweis vorliegt. Arbeiten Sie den Maßnahmenplan nach dem Abschlussgespräch weiter ab.

Häufige Fragen

Sind zehn Tage für jedes Unternehmen ausreichend?

Nein. Der Ablauf passt zu einem abgegrenzten Prüfumfang mit verfügbaren Ansprechpartnern. Mehrere Gesellschaften, große Betriebsumgebungen oder fehlende Grunddaten verlängern die Bestandsaufnahme.

Ist das Assessment eine NIS2-Zertifizierung?

Nein. Es ist eine nachvollziehbare Lückenanalyse. Seine Aussage hängt von Prüfumfang, Nachweisen und Stichproben ab; ein pauschales Konformitätsversprechen wäre daraus nicht ableitbar.

Was tun bei fehlenden Unterlagen?

Als nicht beurteilbar dokumentieren, Zuständigkeit klären und Nachlieferung terminieren. Bei wichtigen Diensten zusätzlich prüfen, ob bis zur Klärung unmittelbare Schutzmaßnahmen erforderlich sind.

Welche Kennzahl eignet sich für den Fortschritt?

Nutzen Sie beispielsweise die Zahl überfälliger Maßnahmen mit hohem Risiko und den Anteil fristgerecht überprüfter Maßnahmen. Erläutern Sie dabei Prüfumfang und Bewertungsmaßstab.