NIS2-Gap-Analyse: selbst durchführen oder beauftragen? Ablauf, Dauer, Kosten

Verfasst von der NIS2Compass Redaktion / Stand: November 2026

Eine NIS2-Gap-Analyse prüft Ihren Ist-Stand gegen die zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG, den Meldeprozess (§ 32) und die Geschäftsleitungspflichten (§ 38). Einen ersten Abgleich schaffen Sie intern mit der NIS2Compass-Vorlage „NIS2 Gap-Assessment". Eine externe Analyse kostet rund 6.500 bis 13.000 EUR (5 bis 10 Beratertage × 1.300 EUR BDU-Durchschnitt, Tage als Planungsannahme).

Was prüft eine NIS2-Gap-Analyse, und ist sie Pflicht?

Eine NIS2-Gap-Analyse vergleicht, was Ihr Unternehmen heute umsetzt, mit dem, was § 30 Abs. 2 BSIG als Mindestmaßnahmen verlangt. „Gap-Analyse" ist kein Gesetzesbegriff, das BSI empfiehlt sie aber in seiner #nis2know-Roadmap als Schritt „Stand der Cybersicherheit analysieren (Gap-Analyse)". Ergebnis ist eine priorisierte Lückenliste, deren Umsetzung die Geschäftsleitung nach § 38 Abs. 1 BSIG zu überwachen hat.

Maßstab ist § 30 BSIG in der Fassung des NIS2UmsuCG, das die EU-Richtlinie NIS2 umsetzt und seit 6. Dezember 2025 ohne allgemeine Übergangsfrist gilt. Er gilt unter anderem für die 20.141 Einrichtungen, die laut BSI-Statistik „NIS-2 in Zahlen" bis 30. September 2026 registriert waren (6.837 besonders wichtige, 13.252 wichtige). Geprüft werden seine zehn Nummern:

1. Konzepte zur Risikoanalyse und IT-Sicherheit
2. Bewältigung von Sicherheitsvorfällen
3. Betriebskontinuität, Backup- und Krisenmanagement
4. Sicherheit der Lieferkette
5. Erwerb, Entwicklung und Wartung, inklusive Schwachstellenmanagement
6. Bewertung der Wirksamkeit
7. Schulungen und Sensibilisierung
8. Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Asset-Management
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Entlang dieser zehn Nummern ist die NIS2Compass-Vorlage „NIS2 Gap-Assessment" aufgebaut. Hinzu kommen der Meldeprozess nach § 32 BSIG (Meldefristen von 24 Stunden, 72 Stunden und einem Monat) und die Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3 BSIG.

Die Durchführungsverordnung (EU) 2024/2690 erfasst laut Art. 1 nur bestimmte digitale Dienste wie Cloud-, Rechenzentrums- und DNS-Anbieter, Managed Service Provider und Online-Marktplätze. Dort haben ihre Anforderungen nach § 30 Abs. 3 BSIG Vorrang, allen anderen dient der Anhang nur als Orientierung.

Davon profitieren IT-Leitung (Arbeitsplan), ISB (Basis der Dokumentation nach § 30 Abs. 1) und Geschäftsleitung, die nach § 38 persönlich haftet (Geschäftsführerhaftung nach § 38 BSIG).

Was passiert, wenn Sie keine Gap-Analyse durchführen?

Wer Maßnahmen nicht ergreift oder nicht dokumentiert, handelt nach § 65 Abs. 2 Nr. 2 und 3 BSIG ordnungswidrig. Ihren Bußgeldrahmen zeigt der Bußgeldrechner.

Ohne Bestandsaufnahme können Sie weder belegen, welche Maßnahmen umgesetzt sind, noch der Geschäftsleitung die Grundlage liefern, sie nach § 38 Abs. 1 „umzusetzen und ihre Umsetzung zu überwachen".

Interne Selbsteinschätzung oder externe Gap-Analyse: Was ist der Unterschied?

Eine interne Selbsteinschätzung erfasst den Ist-Stand schnell und günstig, leidet aber an Betriebsblindheit: Die IT bewertet oft ihre eigene Arbeit. Eine externe Gap-Analyse bringt unabhängigen Blick und NIS2-Fachwissen, kostet aber Beratertage. Für viele KMU ist ein hybrider Weg sinnvoll: intern vorbereiten, extern validieren lassen.

Intern stark bei:

• Assets, Dienste und Dienstleister kennt Ihre IT besser als jeder Berater.
• Vorhandene Richtlinien und Protokolle tragen Sie intern am schnellsten zusammen.
• Den ersten Abgleich gegen die zehn Nummern aus § 30 Abs. 2 BSIG mit einer Ampelbewertung schaffen Sie selbst.

Intern schwach bei:

• Betriebsblindheit und Unabhängigkeit: Der IT-Betrieb prüft sich selbst, ein klassischer Interessenkonflikt.
• Auslegung: Das BSI schreibt im Infopaket ISO/IEC 27001: „Im Rahmen einer strukturierten Gap-Analyse ist zu prüfen:" Gemeint sind ISO-zertifizierte Unternehmen. Sinngemäß folgt, ob alle gesetzlich geforderten Maßnahmen umgesetzt sind und ob Risiken akzeptiert oder transferiert wurden, obwohl § 30 die Umsetzung verlangt. Ein ISO-Zertifikat ersetzt diesen Abgleich nicht (Reicht ISO 27001 für NIS2 aus?).

Unabhängig heißt nicht zwingend extern. Die Durchführungsverordnung (EU) 2024/2690 verlangt in Anhang Nr. 2.3 für die in Art. 1 genannten digitalen Einrichtungen (§ 30 Abs. 3 BSIG), etwa Cloud- und Managed-Service-Anbieter, unabhängige Überprüfungen. Eigene Beschäftigte dürfen dabei sinngemäß nicht in der Weisungslinie des geprüften Bereichs stehen. Für alle anderen Einrichtungen ist das eine Orientierung, keine Pflicht: Ein ISB außerhalb der IT-Linie kann intern gegenprüfen.

Extern sinnvoll, wenn:

• Sie bereiten sich auf eine Nachweisanforderung nach § 61 oder § 62 BSIG vor (NIS2-Nachweis und Prüfung).
• Ihre IT verteilt sich auf mehrere Standorte.
• Konzern oder Kunden verlangen eine unabhängige Bewertung.
• Die Geschäftsleitung will eine unabhängige Grundlage für ihre Pflichten nach § 38 BSIG.

Der hybride Weg spart Beratertage. Intern bereiten Sie Inventar, Dokumente und Selbstbewertung vor, der Berater validiert und schreibt den Bericht. Den Vergleich über das ganze Projekt zieht der Beitrag NIS2-Berater oder selbst umsetzen?.

Für den internen Teil bietet die NIS2Compass-Vorlagen-Bibliothek die Excel-Vorlage „NIS2 Gap-Assessment", die die zehn Nummern aus § 30 Abs. 2 BSIG prüft, und den „Gap-Report für die Geschäftsleitung" (Word, § 38 BSIG). Einen Einstieg bietet der Vor-Check auf der NIS2Compass-Plattform: eine Selbsteinschätzung mit 20 Ja/Nein-Fragen, die passende Schritte im NIS2 Guide vormarkiert. Eine vollständige Gap-Analyse ersetzt er nicht.

Wie läuft eine NIS2-Gap-Analyse ab, und wie lange dauert sie?

Eine NIS2-Gap-Analyse läuft in neun Schritten: Geltungsbereich klären, Verantwortliche benennen, Dokumente sammeln, Interviews führen, gegen § 30 Abs. 2, § 32 und § 38 BSIG abgleichen, bewerten, priorisieren, an die Geschäftsleitung berichten und wiederholen. Eine amtliche Dauer gibt es nicht. Als NIS2Compass-Planungsgröße für ein KMU gelten vier bis acht Kalenderwochen Laufzeit.

1. Geltungsbereich und Betroffenheit klären: Einrichtungsart, Standorte, Dienste und BSI-Registrierung prüfen, etwa mit der NIS2-Betroffenheitsprüfung. Für digitale Einrichtungen aus Art. 1 der Durchführungsverordnung (EU) 2024/2690, etwa Cloud-Anbieter, gehen deren Anforderungen vor (§ 30 Abs. 3 BSIG).
2. Verantwortliche benennen: Die Geschäftsleitung erteilt den Auftrag, ISB oder IT-Leitung leiten das Projekt, jeder Bereich stellt einen Ansprechpartner.
3. Dokumente sammeln: Richtlinien, Asset- und Dienstleisterinventare, Notfall- und Backup-Konzepte, Dienstleisterverträge und Schulungsnachweise.
4. Interviews führen: mit IT-Betrieb, Einkauf (Lieferkette), Personal und Geschäftsleitung.
5. Abgleichen: gegen die zehn Nummern aus § 30 Abs. 2 BSIG, den Meldeprozess nach § 32 und die Geschäftsleitungspflichten nach § 38. Eine NIS2-Checkliste als Excel-Vorlage hält ihn vollständig.
6. Bewerten: je Anforderung „umgesetzt", „teilweise" oder „nicht umgesetzt", alternativ als Reifegrad.
7. Priorisieren: Die #nis2know-Roadmap des BSI sieht dafür einen eigenen Schritt vor: „Maßnahmen nach Priorität (Quick Wins vs. kritische Schwächen) sortieren".
8. Bericht und Maßnahmenplan: Er nennt Verantwortliche, Termine und Ressourcen. Damit kann die Geschäftsleitung ihre Pflicht erfüllen, die Maßnahmen nach § 38 Abs. 1 BSIG „umzusetzen und ihre Umsetzung zu überwachen".
9. Wiederholen: § 30 Abs. 2 Nr. 6 verlangt Konzepte zur Wirksamkeitsbewertung, die Gap-Analyse ist also keine Einmalaktion. Empfehlenswert: jährlich und nach wesentlichen Änderungen.

Für die Dauer zählen zwei Größen. Personentage messen den Aufwand: extern 5 bis 10 Beratertage.

Kalenderwochen messen die Laufzeit, getrieben von Interviewterminen und der Dokumentenlage. Für ein KMU mit 50 bis 250 Beschäftigten: vier bis acht Kalenderwochen. Beide Werte sind NIS2Compass-Planungsannahmen, keine amtlichen Angaben.

Die Gesetzesbegründung (BT-Drs. 21/1501) beziffert nur die gesamte Umsetzung: Für das Mindestniveau nach §§ 30, 31 und 38 Abs. 1 BSIG setzt sie pro Jahr rund 1.100 Stunden je wichtiger und 2.752 Stunden je besonders wichtiger Einrichtung an. Zum einmaligen Aufwand „liegen keine Anhaltspunkte für eine Schätzung vor". Die Gap-Analyse ist nur ein kleiner Teil dieses Aufwands.

Was kostet eine NIS2-Gap-Analyse, und sind 8.000 Euro ein fairer Preis?

Eine externe NIS2-Gap-Analyse kostet rund 6.500 bis 13.000 EUR (5 bis 10 Beratertage × 1.300 EUR BDU-Durchschnitt), die Tage sind eine Planungsannahme. Ein Angebot über 8.000 EUR entspricht rund sechs Beratertagen und liegt damit in der Spanne. Ob es fair ist, hängt am Prüfumfang und am Ergebnis, nicht nur am Preis.

Wie kommt die Spanne zustande?

Die BDU-Honorarstudie 2025 nennt einen durchschnittlichen Tagessatz von 1.300 EUR über alle Beratungsfelder. Nach Seniorität liegt der Durchschnitt bei 700 EUR (Analyst) bis 1.600 EUR (Partner). Rechnen Sie als Planungsgröße mit 5 bis 10 Beratertagen, ergibt das rund 6.500 bis 13.000 EUR (5 bis 10 Beratertage × 1.300 EUR BDU-Durchschnitt).

Die Zahl der Tage ist eine Planungsannahme. Eine amtliche Aufwandsangabe für Gap-Analysen gibt es nicht. Den Aufwand bestimmen vor allem:

• die Zahl der Standorte und der Interviews
• der Stand der vorhandenen Dokumentation
• der Prüfmaßstab: nur § 30 BSIG oder zusätzlich die Durchführungsverordnung (EU) 2024/2690, die für die in ihrem Art. 1 genannten digitalen Einrichtungen vorrangig gilt (§ 30 Abs. 3 BSIG)
• die Tiefe von Abschlussbericht und Maßnahmenplan

Wie sich Tagessätze nach Seniorität unterscheiden, zeigt der Beitrag Was kostet externe NIS2-Beratung?.

Woran erkennen Sie, ob ein Angebot über 8.000 EUR fair ist?

Rund sechs Beratertage sind nur dann fair bezahlt, wenn das Angebot Folgendes enthält:

• Umfang: alle zehn Nummern aus § 30 Abs. 2 BSIG, dazu der Meldeprozess (§ 32) und die Geschäftsleitungspflichten (§ 38)
• Ergebnis: ein priorisierter Maßnahmenplan mit Verantwortlichen und Terminen
• Leistungen: Interviews, Dokumentensichtung und eine Abschlusspräsentation vor der Geschäftsleitung
• Transparenz: Tagessatz, Tage und Seniorität einzeln ausgewiesen, denn sechs Partnertage leisten etwas anderes als sechs Analystentage

Technische Schwachstellenbewertungen wie Penetrationstests oder Scans sind meist nicht enthalten.

Was kostet eine interne Gap-Analyse?

Intern bezahlen Sie mit Arbeitszeit. Ein Beispiel: 8 Personentage × 8 Stunden × 56,08 EUR ergeben rund 3.590 EUR. Der Lohnsatz stammt aus der Gesetzesbegründung zum NIS2UmsuCG (BT-Drs. 21/1501), die 8 Tage sind eine Annahme. Wer intern vorbereitet, braucht extern weniger Beratertage.

Am Gesamtbudget gemessen ist die Gap-Analyse ein kleiner Posten, wie die Übersicht zu den Kosten der NIS2-Compliance zeigt.

Wo finden Sie Gap-Analysen und Schwachstellenbewertungen, die NIS2 entsprechen?

Eine Gap-Analyse prüft die Organisation gegen die Anforderungen, eine Schwachstellenbewertung prüft die Technik mit Scans oder Penetrationstests. Ein amtliches Siegel „NIS2-konform" gibt es für keine der beiden. Das BSI führt aber öffentliche Listen zertifizierter Dienstleister für IS-Revision und IS-Penetrationstests, an denen Sie die Qualifikation eines Anbieters prüfen können.

Die Gap-Analyse prüft die Organisation. Sie gleicht Prozesse, Richtlinien und Nachweise mit den Anforderungen aus § 30 BSIG ab. Das BSI beschreibt den verwandten IT-Grundschutz-Check als „Soll-Ist-Vergleich".

Die Schwachstellenbewertung prüft die Technik. Scans und Penetrationstests zeigen, wo Systeme angreifbar sind. Gesetzlich docken sie an § 30 Abs. 2 Nr. 5 und Nr. 6 BSIG an, also an Schwachstellenmanagement und Wirksamkeitsbewertung. Die BSI-Roadmap nennt im Schritt zur Gap-Analyse ausdrücklich „Schwachstellenanalysen, Pen-Tests, externe Audits durchführen".

Der Praxis-Leitfaden für IS-Penetrationstests des BSI stammt aus dem Jahr 2016. Den Zweck formuliert er so: „IS-Penetrationstest dienen dazu, mit unabhängigem Blick weitere Angriffsmöglichkeiten zu finden […]"

Diese BSI-Seiten helfen bei der Anbietersuche (beim Abruf im November 2026 führten die beiden Listen 21 bzw. 22 Einträge):

• Die Liste IS-Revision führt vom BSI zertifizierte IT-Sicherheitsdienstleister für Revisionen der Informationssicherheit.
• Die Liste IS-Penetrationstests nennt zertifizierte Dienstleister für technische Sicherheitstests.
• Die Übersicht Qualifizierte Dienstleister bündelt die Leitfäden zu IS-Revision und Penetrationstest sowie die Liste für APT-Response im Ernstfall.

Die Listen belegen die Qualifikation eines Anbieters, nicht die NIS2-Konformität Ihres Unternehmens.

Wie prüft ein Maschinenbauer mit 120 Beschäftigten ein Angebot über 8.000 Euro?

Ein Maschinenbauer mit 120 Beschäftigten, wichtige Einrichtung nach § 28 Abs. 2 BSIG, erhält ein Angebot über 8.000 EUR für eine NIS2-Gap-Analyse. Er prüft zuerst den Umfang gegen § 30 Abs. 2, § 32 und § 38 BSIG. Dann bereitet er Inventar und Selbstbewertung intern vor und verhandelt das Angebot auf eine Validierung herunter.

Das Szenario ist fiktiv und anonymisiert. Der Hersteller von Sondermaschinen arbeitet an einem Standort, seine IT-Abteilung hat vier Personen. Anlass ist die Anfrage eines Großkunden zum Stand der NIS2-Umsetzung.

Bei null fängt das Unternehmen nicht an: Die Bundesregierung nimmt in der Begründung zum NIS2UmsuCG (BT-Drs. 21/1501, S. 111) an, dass rund 17 Prozent der betroffenen Unternehmen bereits ausreichende Maßnahmen treffen. Für alle anderen klärt erst die Bestandsaufnahme, was fehlt.

Das Angebot entspricht beim BDU-Schnitt rund sechs Beratertagen. Der Umfang deckt § 30 ab. Im Leistungsverzeichnis fehlen aber der Meldeprozess nach § 32 und die Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG. Auch eine Abschlusspräsentation vor der Geschäftsleitung ist nicht enthalten.

Diese Lücken fordert die IT-Leitung schriftlich nach.

Danach wählt das Unternehmen einen hybriden Weg. Die IT-Leitung füllt die zehn Nummern intern vor: Inventar, vorhandene Dokumente, eine erste Ampel. Der ISB, der außerhalb der IT-Linie steht, bewertet gegen. Der Berater validiert anschließend und schreibt den Bericht.

Bei angenommenen drei bis vier Beratertagen zu 1.300 EUR kostet der externe Teil rund 3.900 bis 5.200 EUR statt 8.000 EUR, dazu kommen die internen Stunden. Alle Tage sind Annahmen dieses Szenarios.

Bevor Sie ein Angebot unterschreiben, legen Sie es neben die zehn Nummern aus § 30 Abs. 2 BSIG und streichen, was fehlt. Die Excel-Vorlage „NIS2 Gap-Assessment" und der „Gap-Report für die Geschäftsleitung" aus der NIS2Compass-Vorlagen-Bibliothek geben Ihnen dafür das Raster.

Häufig gestellte Fragen

Ist ein Angebot über 8.000 Euro für eine NIS2-Gap-Analyse fair?

Preislich ja: 8.000 EUR entsprechen rund sechs Beratertagen. Mit 5 bis 10 Beratertagen als Planungsannahme kostet eine externe Analyse rund 6.500 bis 13.000 EUR (5 bis 10 Beratertage × 1.300 EUR BDU-Durchschnitt). Fair ist das Angebot, wenn es alle zehn Nummern aus § 30 Abs. 2 sowie § 32 und § 38 BSIG prüft und einen priorisierten Maßnahmenplan liefert.

Was passiert, wenn man keine NIS2-Gap-Analyse durchführt?

Rechtlich nichts unmittelbar, denn „Gap-Analyse" ist kein Begriff des BSIG. Pflicht sind die Maßnahmen nach § 30 BSIG und deren Dokumentation. Fehlen sie, ist das nach § 65 BSIG bußgeldbewehrt, mit bis zu 10 Mio. EUR für besonders wichtige und 7 Mio. EUR für wichtige Einrichtungen. Ohne Bestandsaufnahme können Sie beides kaum belegen.

Wo finde ich Dienstleister für Gap-Analysen und Penetrationstests?

Das BSI veröffentlicht Listen zertifizierter IT-Sicherheitsdienstleister für IS-Revision und IS-Penetrationstests. Sie belegen die Qualifikation eines Anbieters, ein amtliches Siegel „NIS2-konform" gibt es nicht. Gap-Analyse und Penetrationstest sind verschiedene Leistungen: Die eine prüft die Organisation, der andere die Technik. Beauftragen Sie beide getrennt oder verlangen Sie im Angebot ausdrücklich beide.

Wie bereite ich eine Gap-Analyse vor einem NIS2-Audit vor?

Sammeln Sie für jede der zehn Nummern aus § 30 Abs. 2 BSIG Inventar, Richtlinien und vorhandene Nachweise. Benennen Sie Verantwortliche und legen Sie Interviewtermine früh fest. Wer Nachweise schon beim Abgleich ablegt, hat die Dokumentation nach § 30 Abs. 1 bereits. Ein NIS2-Zertifikat gibt es nicht, ein Audit ist eine mögliche Prüfung nach §§ 61 und 62 BSIG.

Gibt es eine Excel-Vorlage für die NIS2-Gap-Analyse?

Ja. Die Vorlagen-Bibliothek von NIS2Compass enthält die Excel-Vorlage „NIS2 Gap-Assessment", die die zehn Nummern aus § 30 Abs. 2 BSIG prüft. Dazu kommt der „Gap-Report für die Geschäftsleitung" als Word-Vorlage für den Bericht nach § 38 BSIG. Beide Vorlagen sind Teil des Pro-Abos für 29 EUR im Monat und nicht kostenlos.