Gap-Analyse

Nach der Betroffenheitsprüfung steht die Frage: Wo stehen wir eigentlich? Die Gap-Analyse beantwortet sie systematisch statt aus dem Bauch — und liefert damit das Argument, warum Budget in Maßnahme A statt B fließt.

Die zehn Maßnahmenbereiche

§ 30 BSIG verlangt verhältnismäßige technische und organisatorische Maßnahmen in zehn Bereichen:

1. Risikoanalyse und Konzepte für die Sicherheit von Informationssystemen
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
4. Sicherheit der Lieferkette
5. Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen
6. Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
7. Cyberhygiene und Schulungen im Bereich Cybersicherheit
8. Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Anlagenmanagement
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Verhältnismäßigkeit ist keine Ausrede, sondern der Maßstab

Das Gesetz verlangt nicht in jedem Bereich das Maximum. Umfang und Tiefe richten sich nach Risikoexposition, Unternehmensgröße und Umsetzungskosten. Genau deshalb braucht es eine Bewertung: Wer nicht begründen kann, warum ein Bereich auf einem bestimmten Niveau abgesichert ist, kann Verhältnismäßigkeit auch nicht belegen.

Wie die Bewertung abläuft

NIS2coPilot führt je Bereich durch konkrete Fragen zum Ist-Zustand und leitet daraus eine Ampelbewertung ab:

• Grün — Anforderung erfüllt und nachweisbar dokumentiert
• Gelb — im Ansatz vorhanden, aber lückenhaft oder ohne Nachweis
• Rot — nicht vorhanden, akuter Handlungsbedarf

Das Ergebnis ist eine Übersicht über alle zehn Bereiche mit Handlungsempfehlungen je Lücke. Aus der Bewertung entsteht direkt der Maßnahmenplan.

Warum Gelb der wichtigste Zustand ist

Rote Bereiche findet jedes Team selbst. Der Wert einer strukturierten Analyse liegt bei Gelb: Maßnahmen, die faktisch existieren, aber nicht dokumentiert sind. Im Aufsichtsfall ist eine nicht nachweisbare Maßnahme praktisch eine fehlende Maßnahme. Ein Großteil der Arbeit nach einer ersten Gap-Analyse besteht deshalb nicht aus neuer Technik, sondern aus Dokumentation.

Wiederholung statt Einmalaktion

§ 30 BSIG verlangt Verfahren zur Bewertung der Wirksamkeit. Eine Gap-Analyse, die einmal gelaufen ist und dann im Ordner liegt, erfüllt das nicht. Etabliert hat sich ein jährlicher Zyklus, ergänzt um anlassbezogene Prüfungen nach erheblichen Vorfällen oder größeren IT-Änderungen.

Wie eine belastbare Bewertung entsteht

Eine Gap-Analyse ist nur so gut wie die Frage, die dahintersteht. "Haben Sie ein Backup?" führt zu Ja. "Wann wurde zuletzt eine vollständige Wiederherstellung getestet, und wie lange hat sie gedauert?" führt zu einer Erkenntnis.

Für jeden der zehn Bereiche brauchen Sie deshalb drei Angaben: Was ist vorhanden? Wo ist es dokumentiert? Wann wurde es zuletzt überprüft? Fehlt eine der drei, ist der Bereich nicht grün — unabhängig davon, wie gut die technische Umsetzung ist.

Typische Befunde nach Bereich

• Risikoanalyse: vorhanden, aber auf die Büro-IT beschränkt; Produktions- und Steuerungstechnik fehlen im Betrachtungsumfang.
• Vorfallbewältigung: ein Notfallhandbuch existiert, ist aber nie geübt worden und nennt Personen, die nicht mehr im Unternehmen sind.
• Business Continuity: Backups laufen, die Wiederherstellung wurde nie unter realistischen Bedingungen getestet.
• Lieferkette: keine Übersicht, welche Lieferanten welche Zugänge haben.
• Beschaffung und Wartung: keine Sicherheitsanforderungen in Lastenheften.
• Wirksamkeitsprüfung: der am häufigsten vollständig fehlende Bereich, weil er keine sichtbare Technik hat.
• Cyberhygiene: Schulungen für die Verwaltung, nicht für Produktion und Geschäftsleitung.
• Kryptografie: im Transport vorhanden, bei ruhenden Daten und mobilen Geräten lückenhaft.
• Zugriffskontrolle: verwaiste Konten, geteilte Administratorzugänge, keine regelmäßige Rezertifizierung.
• Multi-Faktor-Authentifizierung: für die Cloud eingeführt, für Fernwartung und VPN nicht.

Von der Bewertung zur Priorisierung

Nicht jede rote Ampel ist gleich dringend. Zwei Fragen ordnen die Liste:

1. Wird das ohne Aufsichtsanlass sichtbar? Fehlende Registrierung, nicht erreichbare Kontaktstelle und ein fehlender Meldeprozess fallen sofort auf, wenn etwas passiert.
2. Was reduziert das Schadensausmaß am stärksten? Backup-Härtung, Multi-Faktor-Authentifizierung und Netzsegmentierung wirken unabhängig von der Aufsicht.

Was beide Kriterien erfüllt, gehört an den Anfang des Maßnahmenplans.

Häufige Fragen

Wie lange dauert eine Gap-Analyse?

Für einen mittelständischen Betrieb realistisch zwei bis vier Wochen, wenn die richtigen Personen aus IT, Produktion und Geschäftsleitung eingebunden sind. Der Zeitbedarf liegt weniger im Bewerten als im Zusammentragen von Nachweisen.

Brauchen wir einen externen Auditor?

Nicht zwingend. Eine strukturierte Selbstbewertung ist zulässig und für die Priorisierung ausreichend. Vor einer Aufsichtsprüfung oder bei hoher Risikoexposition kann eine externe Zweitmeinung sinnvoll sein.

Was, wenn ein Bereich für uns nicht relevant ist?

Dann dokumentieren Sie diese Einschätzung mit Begründung. Verhältnismäßigkeit ist der gesetzliche Maßstab — aber sie muss begründet sein, nicht behauptet.