NIS2-Gap-Assessment durchführen, mit Vorlage und Anleitung

Das Gap-Assessment ist der erste strukturierte Schritt, um den eigenen NIS2-Umsetzungsstand zu messen. Das Ergebnis: eine priorisierte Lückenanalyse gegen die 12 Pflichtmaßnahmen des § 30 BSIG plus ein genehmigter Maßnahmenplan, der als Grundlage für die gesamte NIS2-Umsetzung dient. Dieser Leitfaden führt Sie durch alle fünf Schritte – von der Ableitung des Prüfkatalogs bis zur Präsentation vor der Geschäftsführung.

Was ist ein Gap-Assessment – und was ist es nicht?

Ein Gap-Assessment ist eine strukturierte Selbstbewertung: Sie vergleichen Ihren aktuellen Sicherheitszustand mit den konkreten Anforderungen des § 30 BSIG. Das Ergebnis zeigt, was vollständig umgesetzt ist, was teilweise existiert und was fehlt.

Was es nicht ist:

• Keine Risikoanalyse – die Risikoanalyse (Artikel B-03) bewertet Bedrohungsszenarien und Schadenspotenziale. Das Gap-Assessment prüft, ob die geforderten Sicherheitsmaßnahmen vorhanden sind.
• Kein Penetrationstest – ein Pentest überprüft die technische Angriffsfläche. Das Gap-Assessment ist eine dokumenten- und interviewbasierte Bestandsaufnahme.
• Keine ISO-27001-Gap-Analyse – verwandt, aber andere Fokussierung. NIS2 ist in bestimmten Bereichen präziser (z. B. MFA, Meldepflichten), in anderen weniger umfassend als ISO 27001.

Das Gap-Assessment beantwortet die Frage: "Wo stehen wir auf der NIS2-Compliance-Karte?" – ein Schnappschuss, der zeigt, was erledigt ist, was halbfertig ist und was noch aussteht. Idealerweise führen Sie es vor oder parallel zur Risikoanalyse durch: Das Gap-Assessment liefert den Compliance-Überblick, die Risikoanalyse priorisiert die Bedrohungsszenarien. Beide Outputs informieren den Maßnahmenplan.

§ 30 Abs. 2 BSIG: Wesentliche und wichtige Einrichtungen ergreifen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Risiken für die Sicherheit ihrer Netz- und Informationssysteme zu beherrschen.

Schritt 1: Prüfkatalog aus § 30 BSIG ableiten

§ 30 Abs. 2 BSIG definiert 12 Pflichtmaßnahmen. Für das Gap-Assessment leiten Sie daraus einen Prüfkatalog ab: Jede Maßnahme wird in 3–5 konkrete Prüfkriterien aufgebrochen, die mit Ja / Teilweise / Nein bewertet werden können.

Die 12 Pflichtmaßnahmen und Beispielkriterien:

1. Risikoanalyse und Sicherheitspolitik (§ 30 Abs. 2 Nr. 1 BSIG)

• Eine dokumentierte IT-Sicherheitspolitik liegt vor und ist durch die Geschäftsführung genehmigt
• Eine NIS2-konforme Risikoanalyse wurde durchgeführt und ist aktuell (nicht älter als 12 Monate)
• Der Scope der Risikoanalyse umfasst alle wesentlichen Netz- und Informationssysteme
• Risikobehandlungsentscheidungen sind dokumentiert und nachvollziehbar

2. Bewältigung von Sicherheitsvorfällen – Incident Response (§ 30 Abs. 2 Nr. 2 BSIG)

• Ein Incident-Response-Plan existiert und ist durch die Geschäftsführung genehmigt
• Rollen und Eskalationswege im IR-Prozess sind definiert und kommuniziert
• Ein 24/7-Ansprechpartner für Sicherheitsvorfälle ist benannt und erreichbar
• Der Meldeprozess an das BSI (§ 32 BSIG) ist im IR-Plan dokumentiert
• Der IR-Plan wurde in den letzten 12 Monaten getestet (Tabletop oder Vollübung)

3. Business Continuity Management, Backup, Krisenmanagement (§ 30 Abs. 2 Nr. 3 BSIG)

• Ein BCM-Plan für wesentliche Geschäftsprozesse existiert und ist genehmigt
• RTO und RPO sind je kritischem System definiert und dokumentiert
• Backups werden regelmäßig durchgeführt und auf Wiederherstellbarkeit getestet
• Mindestens eine BCM-Übung wurde in den letzten 12 Monaten durchgeführt

4. Sicherheit der Lieferkette und Drittanbieter (§ 30 Abs. 2 Nr. 4 BSIG)

• Kritische IT-Lieferanten sind identifiziert und klassifiziert
• Sicherheitsanforderungen sind vertraglich mit kritischen Lieferanten vereinbart
• Ein Prozess zur regelmäßigen Lieferantenbewertung existiert
• Vorfallsmeldepflichten für Lieferanten sind vertraglich verankert

5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen (§ 30 Abs. 2 Nr. 5 BSIG)

• Sicherheitsanforderungen werden bei der Beschaffung neuer IT-Systeme systematisch berücksichtigt
• Ein Prozess für sicheres Software-Deployment existiert (Staging, Tests vor Produktivbetrieb)
• Änderungen an kritischen Systemen durchlaufen ein dokumentiertes Change-Management-Verfahren

6. Schwachstellenmanagement und Offenlegung (§ 30 Abs. 2 Nr. 6 BSIG)

• Ein dokumentierter Patch-Management-Prozess mit definierten Fristen je Schweregrad existiert
• Kritische und hochkritische Schwachstellen (CVSS ≥ 7.0) werden innerhalb definierter Fristen geschlossen
• Schwachstellen-Scans werden regelmäßig durchgeführt
• Ein Prozess zur Behandlung von 0-Day-Schwachstellen und Workarounds ist definiert

7. Schulung und Cyber-Hygiene (§ 30 Abs. 2 Nr. 7 BSIG)

• Alle Mitarbeitenden erhalten regelmäßige Security-Awareness-Schulungen
• Die Geschäftsführung hat die Pflichtschulung nach § 38 Abs. 3 BSIG nachweisbar absolviert
• Ein Jahresplan für Security Awareness existiert
• Phishing-Simulationen oder vergleichbare Praxistests werden durchgeführt

8. Kryptografie und Verschlüsselung (§ 30 Abs. 2 Nr. 8 BSIG)

• Daten bei der Übertragung (in transit) sind verschlüsselt (TLS 1.2 oder höher)
• Kritische ruhende Daten (at rest) sind verschlüsselt
• Eine Richtlinie für zulässige Kryptoverfahren und Schlüssellängen existiert
• Schlüsselmanagement-Prozesse sind dokumentiert

9. Personalsicherheit, Zugriffskontrolle, Asset-Management (§ 30 Abs. 2 Nr. 9 BSIG)

• Ein aktuelles Asset-Inventar aller wesentlichen IT-Systeme existiert
• Zugriffsrechte basieren auf dem Least-Privilege-Prinzip und werden regelmäßig überprüft
• Offboarding-Prozesse stellen die zeitgerechte Deaktivierung von Zugängen sicher
• Privilegierte Konten sind inventarisiert und separat verwaltet

10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation (§ 30 Abs. 2 Nr. 10 BSIG)

• MFA ist für alle Remote-Zugänge aktiviert – Ja / Teilweise (nur Admins) / Nein
• MFA ist für alle privilegierten Konten aktiviert – Ja / Teilweise / Nein
• MFA ist für den Zugang zu kritischen internen Systemen aktiviert – Ja / Teilweise / Nein
• Gesicherte Kommunikationskanäle für den Notfall (verschlüsselt, MFA-geschützt) existieren

11. Physische Sicherheit (§ 30 Abs. 2 Nr. 11 BSIG)

• Serverräume und Rechenzentren sind zutrittskontrolliert und protokollieren Zugriffe
• Unbefugter physischer Zugang zu kritischen Systemen ist durch geeignete Maßnahmen verhindert
• Datenträger werden bei Außerbetriebnahme sicher gelöscht oder vernichtet

12. IT-Dienstleister-Sicherheit (§ 30 Abs. 2 Nr. 12 BSIG)

• Externe IT-Dienstleister sind nach demselben Maßstab wie interne Lieferanten bewertet
• Zugangsrechte von Dienstleistern sind auf das Notwendige beschränkt und werden nach Projektende entzogen
• SLAs mit Dienstleistern enthalten Sicherheits- und Meldepflichten

Zusätzlich sind die organisatorischen Pflichten aus §§ 32–38 BSIG zu prüfen:

• § 33 BSIG Registrierungspflicht: Einrichtung ist beim BSI registriert – Ja / Nein
• § 32 BSIG Meldepflicht: Prozess für BSI-Meldung bei erheblichem Vorfall ist definiert und getestet – Ja / Teilweise / Nein
• § 38 BSIG Managementverantwortung: Geschäftsführung hat NIS2-Maßnahmen formal genehmigt und Schulungspflicht erfüllt – Ja / Teilweise / Nein

Laden Sie die Gap-Assessment-Checkliste aus dem KaitoSec-Vorlagenpaket herunter – sie enthält alle 12 Maßnahmenbereiche mit vorstrukturierten Prüfkriterien, Bewertungsfeldern und einem Kommentarfeld für Nachweise.

Schritt 2: Ist-Zustand je Maßnahme erheben

Das Gap-Assessment ist eine Teamaufgabe – machen Sie es nicht allein in einer Tabellenkalkulation. Die häufigste Fehlerquelle ist der IT-Leiter, der den Ist-Zustand aus dem Gedächtnis einschätzt und dabei zu optimistisch ist.

Bewertungsmethodik

Jedes Prüfkriterium erhält eine von vier Bewertungen:

• Umgesetzt (Ja): Die Maßnahme ist vollständig implementiert, dokumentiert und wird aktiv praktiziert. Nachweis liegt vor.
• Teilweise umgesetzt: Die Maßnahme existiert, aber mit relevanten Lücken. Genau dokumentieren, was fehlt – z. B. "MFA für Admins aktiviert, aber nicht für alle Remote-Mitarbeitenden".
• Nicht umgesetzt (Nein): Die Maßnahme fehlt vollständig oder existiert nur auf dem Papier, wird aber nicht praktiziert.
• Nicht zutreffend (N/A): Das Kriterium ist für Ihre Einrichtung nicht anwendbar – z. B. OT-Sicherheit bei einem reinen Bürodienstleister. N/A sparsam verwenden und immer begründen.

Wer muss beteiligt sein?

1. IT-Betrieb: Kennt die technische Realität – welche Systeme haben MFA, welche Patches sind ausständig, wie funktioniert Backup tatsächlich
2. CISO / ISB: Koordiniert das Assessment, kennt die Richtlinien und Dokumentationslage
3. Geschäftsführung / Management: Muss zu Governance-Fragen befragt werden (§ 38 BSIG Schulung, GF-Beschlüsse, Risikoakzeptanzentscheidungen)
4. HR (bei Personalsicherheit): Onboarding/Offboarding-Prozesse, Datenschutz-Schulungsnachweise
5. Einkauf / Lieferantenmanagement (bei Lieferkettensicherheit): Kennt bestehende Verträge und Lieferantenbeziehungen

Nachweise einfordern

Für jedes "Umgesetzt"-Kriterium: Sammeln Sie den Nachweis. Ein Ja ohne Beleg zählt nicht – weder gegenüber dem BSI noch in der internen Qualitätssicherung. Typische Nachweise:

• Richtlinien und Prozessdokumente (mit Datum und Genehmigungsstempel der GF)
• Screenshot oder Konfigurationsauszug aus dem System (z. B. MFA-Policy in Azure AD)
• Schulungsnachweise mit Teilnehmerlisten und Datum
• Testprotokolle (Backup-Tests, Tabletop-Übungen)
• Vertragsauszüge (Sicherheitsklauseln mit Lieferanten)

Wichtig: Wenn eine Richtlinie existiert, aber nicht praktiziert wird – bewerten Sie mit "Teilweise" oder "Nein", nicht mit "Ja". Papier-Compliance schützt nicht vor Bußgeldern, wenn der BSI-Prüfer nachfragt.

Schritt 3: Soll-Ist-Lücken identifizieren

Jedes "Teilweise" oder "Nein" ist eine Lücke. Der nächste Schritt ist die Priorisierung – nicht alle 50+ Kriterien sind gleich dringend.

Prioritätsstufen

• Kritisch: Fehlende Maßnahmen, die mit hoher Wahrscheinlichkeit einen meldepflichtigen Vorfall verursachen oder keine Reaktionsfähigkeit ermöglichen. Beispiele: kein Incident-Response-Plan, keine funktionsfähigen Backups, keine MFA für privilegierte Konten, BSI-Registrierung fehlt.
• Hoch: Maßnahmen, deren Fehlen ein eigenständiges Bußgeldrisiko darstellt oder die gesetzlich explizit gefordert sind. Beispiele: Meldeprozess nach § 32 BSIG nicht definiert, GF-Schulung nach § 38 Abs. 3 BSIG nicht nachgewiesen.
• Mittel: Teilweise umgesetzte Maßnahmen, die eine relevante Lücke aufweisen. Beispiele: MFA nur für Admins, nicht für alle Remote-Zugänge; Patch-Management-Prozess existiert, aber ohne definierte Fristen.
• Niedrig: Dokumentationslücken bei Maßnahmen, die technisch umgesetzt sind. Die Maßnahme existiert, ist aber nicht formell dokumentiert oder genehmigt.

Die Risikoanalyse (B-03) informiert diese Priorisierung: Lücken, die sich mit hohen oder kritischen Risiken aus Ihrer Risikoanalyse überschneiden, sind immer kritisch oder hoch – unabhängig von der formalen Einstufung.

Compliance-Score

Berechnen Sie einen groben Compliance-Score: Anzahl der mit "Ja" bewerteten Kriterien / Gesamtanzahl der anwendbaren Kriterien. Ein Wert von z. B. 60 % Ja, 25 % Teilweise, 15 % Nein gibt der Geschäftsführung eine schnelle Orientierung – und signalisiert, dass der Handlungsbedarf real, aber beherrschbar ist. Verlassen Sie sich nicht zu stark auf den Prozentwert; entscheidend sind die kritischen Lücken, nicht der Durchschnitt.

Schritt 4: Maßnahmenplan erstellen

Für jede identifizierte Lücke definieren Sie eine konkrete Maßnahme zur Schließung. Der Maßnahmenplan ist das zentrale Steuerungsdokument für Ihre gesamte NIS2-Umsetzung – er muss handlungsleitend sein, nicht aspirational.

Pflichtfelder je Maßnahme

• Maßnahmenbeschreibung: Was konkret zu tun ist (nicht "MFA einführen", sondern "MFA für alle 47 Remote-Zugänge in Microsoft 365 bis [Datum] aktivieren")
• Verantwortlicher: Namentlich oder nach Rolle zugewiesen – nicht "IT-Abteilung"
• Frist: Konkretes Datum, kein "so bald wie möglich"
• Priorität: Kritisch / Hoch / Mittel / Niedrig (aus Schritt 3)
• Geschätzter Aufwand: Personentage oder Kosten-Range – für die Ressourcenplanung unerlässlich
• Bezug zur Lücke: Welches Prüfkriterium aus dem Gap-Assessment wird geschlossen

Zeitlicher Horizont

• Quick Wins (unter 2 Wochen): BSI-Registrierung falls nicht erfolgt, MFA für Remote-Zugänge wenn technisch vorbereitet, dokumentierte Notfall-Kontaktliste für Sicherheitsvorfälle, GF-Schulung einplanen und beauftragen.
• Kurzfristig (unter 3 Monate): Incident-Response-Plan erstellen oder aktualisieren, Backup-Tests durchführen und dokumentieren, Schwachstellenmanagement-Prozess definieren, kritische Lieferanten identifizieren.
• Mittelfristig (3–12 Monate): BCM-Plan erstellen, Lieferkettensicherheit vertraglich verankern, vollständiges Asset-Inventar erstellen, Awareness-Schulungsprogramm aufsetzen.
• Langfristig (über 12 Monate): ISMS-Aufbau, ISO-27001-Zertifizierung falls angestrebt, Netzwerksegmentierung, Continuous Monitoring.

Nutzen Sie dafür die Vorlage Maßnahmenplan aus dem KaitoSec-Vorlagenpaket – sie ist auf den Gap-Assessment-Output abgestimmt und enthält alle Pflichtfelder sowie eine Übersichtsansicht nach Zeitraum und Priorität.

Praxishinweis: Der Maßnahmenplan sollte maximal 20–30 Einträge umfassen. Wenn Sie 60 Einzelmaßnahmen haben, fassen Sie zusammen. Ein unübersichtlicher Plan führt dazu, dass nichts priorisiert wird und damit nichts erledigt wird.

Schritt 5: Ergebnis der Geschäftsführung vorstellen und genehmigen lassen

§ 38 BSIG verpflichtet die Leitungsorgane, die Umsetzung von Cybersicherheitsmaßnahmen zu genehmigen und zu überwachen. Die Präsentation des Gap-Assessments und die formale Genehmigung des Maßnahmenplans sind damit keine Option, sondern gesetzliche Pflicht.

Was in die Präsentation gehört

1. Zusammenfassung des Gap-Assessments: Compliance-Score, Verteilung Ja/Teilweise/Nein, Anzahl kritischer und hoher Lücken
2. Top-3-Lücken mit Begründung der Kritikalität: Warum sind diese Lücken prioritär?
3. Maßnahmenplan mit Quick Wins und mittelfristigem Roadmap-Überblick
4. Ressourcenbedarf: Gesamtaufwand in Personentagen und Kostenrange
5. Empfehlung der nächsten Schritte und Bitte um formale Genehmigung

Die Genehmigung dokumentieren

Die Geschäftsführung muss den Maßnahmenplan formal genehmigen – nicht mündlich, sondern durch dokumentierten Beschluss. Mögliche Formate:

• Protokollauszug einer GF-Sitzung mit Unterschriften
• Separater Geschäftsführungsbeschluss NIS2 (Vorlage B-13)
• E-Mail-Bestätigung durch alle GF-Mitglieder mit explizitem Verweis auf den Maßnahmenplan

Hinterlegen Sie die Genehmigung als Anlage zum Gap-Assessment-Dokument. Sie ist ein zentraler Compliance-Nachweis bei einer BSI-Prüfung.

Folgestruktur einrichten

Das Gap-Assessment ist keine einmalige Übung. Etablieren Sie direkt folgende Struktur:

• Quartalliches Review: Fortschritt der Maßnahmen prüfen, Abgeschlossenes markieren, neue Lücken erfassen
• Jährliches Update: Vollständiges Gap-Assessment wiederholen – NIS2-Anforderungen und Ihre IT-Landschaft ändern sich
• Anlassbezogenes Update: Nach erheblichen Vorfällen, IT-Infrastrukturänderungen oder neuen gesetzlichen Anforderungen

Häufige Fehler

• Assessment allein durchführen: Der IT-Leiter füllt die Checkliste aus dem Gedächtnis aus – Ergebnis ist zu optimistisch, weil der operative Betrieb anders aussieht als die Richtlinienlage.
• Papier-Compliance als Ja zählen: Richtlinie existiert, wird aber nicht praktiziert. Das ist "Teilweise" – im Ernstfall zählt die Praxis, nicht das Dokument.
• Keine Priorisierung: Alle 50+ Kriterien werden als gleichrangig behandelt. Ergebnis: Überforderung, und die wirklich kritischen Lücken verschwinden im Rauschen.
• Gap-Assessment ohne Risikoanalyse: Sie wissen, was fehlt, aber nicht, welche Lücken tatsächlich gefährlich sind. Führen Sie beides durch – in beliebiger Reihenfolge.
• Keine GF-Genehmigung: Der Maßnahmenplan hat keine Autorität, Ressourcen werden nicht freigegeben, und bei einer BSI-Prüfung fehlt der Nachweis, dass das Leitungsorgan seiner Überwachungspflicht nachgekommen ist.
• Einmalige Durchführung: Ein Gap-Assessment aus dem Jahr 2025 schützt Sie nicht im Jahr 2027. Die IT-Landschaft ändert sich, neue Anforderungen kommen – das Assessment muss regelmäßig aktualisiert werden.

Einordnung in den NIS2-Umsetzungsprozess

Das Gap-Assessment ist typischerweise der erste strukturierte Schritt nach der Bestätigung Ihrer NIS2-Betroffenheit (B-01) und der BSI-Registrierung (B-02). Es gibt die Grundlage für alle folgenden Umsetzungsschritte:

• Risikoanalyse (B-03): Gap-Assessment und Risikoanalyse informieren sich gegenseitig – Lücken bei Sicherheitsmaßnahmen erhöhen Risikoexposition, Risikoanalyse-Ergebnisse priorisieren Lücken
• Incident-Response-Plan (B-09): Wird für viele Einrichtungen als kritische Lücke erscheinen – Gap-Assessment schafft die Grundlage, um das sofort anzugehen
• Lieferantenbewertung (B-14), BCM-Plan (B-16), MFA-Rollout (B-06): Folgen dem Maßnahmenplan entsprechend ihrer Priorität
• Alle weiteren Leitfäden in der Kapitelstruktur bauen auf dem Maßnahmenplan auf

Der genehmigte Maßnahmenplan ist Ihr NIS2-Projektplan. Er sagt Ihnen nicht nur, was zu tun ist – er gibt jedem Schritt einen Verantwortlichen, eine Frist und eine Priorität. Damit ist das Gap-Assessment kein Selbstzweck, sondern der Startpunkt der Umsetzung.

Dieser Artikel ersetzt keine Rechtsberatung. Die Darstellung der rechtlichen Anforderungen aus dem BSIG dient der allgemeinen Information. Für die rechtliche Bewertung Ihrer konkreten Situation sowie für Fragen zur Betroffenheit, zu Meldepflichten und zu Sanktionsrisiken wenden Sie sich an einen auf IT-Recht oder Datenschutzrecht spezialisierten Rechtsanwalt.