NIS2-Gap-Analyse: Ablauf, Inhalte und die zehn Maßnahmen nach Artikel 21

1. März 2026

Die Gap-Analyse ist der erste konkrete Schritt zur NIS2-Konformität. Sie beantwortet die Frage, die am Anfang jedes Projekts steht: Wo stehen wir heute – gemessen an dem, was das Gesetz verlangt?

Was ist eine NIS2-Gap-Analyse?

Eine strukturierte Ist-Aufnahme, die den aktuellen Sicherheitsstand mit den Anforderungen der nationalen NIS2-Umsetzung abgleicht und daraus priorisierte Handlungsfelder ableitet. Das Ergebnis ist eine geordnete Liste: Was ist vorhanden, was fehlt, welches Risiko birgt jede Lücke und mit welchem Aufwand lässt sie sich schließen.

Warum sie am Anfang steht

Ohne Gap-Analyse gleicht jede Investition in Sicherheit einem Schuss ins Dunkle. Die Analyse sorgt dafür, dass Sie zuerst das Wichtigste tun – und es gegenüber Geschäftsführung und Aufsicht begründen können.

Der Ablauf in vier Schritten

Vorbereitung und Abgrenzung des Geltungsbereichs; Ist-Aufnahme durch Interviews, Dokumentenprüfung und – bei OT – Anlagenbegehung; Abgleich mit den Anforderungen und Risikoeinstufung; priorisierter Maßnahmenplan mit Aufwandsschätzung.

Die zehn Maßnahmen nach Artikel 21

Risikoanalyse und Sicherheitskonzepte; Vorfallsbehandlung; Betriebskontinuität und Sicherung der Daten; Lieferkettensicherheit; Sicherheit bei Beschaffung, Entwicklung und Wartung; Bewertung der Wirksamkeit; Cyberhygiene und Schulung; Kryptografie; Personalsicherheit und Zugriffskontrolle; Multi-Faktor-Authentifizierung.

Besonderheiten bei OT-Umgebungen

In der Betriebstechnik gelten andere Prioritäten: Eingriffe müssen den Betrieb schonen, Altsysteme lassen sich nicht einfach aktualisieren, Verfügbarkeit geht vor. Eine reine IT-Sichtweise übersieht genau das.

Die Gap-Analyse macht Konformität planbar. NIS2-Status klären.

Weiterführend: NIS2-Gap-Analyse als Leistung · ISO/IEC 27001