NIS2-Gap-Analyse: Ein praxisnaher Ablauf für KMU
Eine Gap-Analyse ist keine Sammlung angekreuzter Richtlinien. Sie muss zeigen, welche wesentlichen Risiken bestehen, welche Maßnahmen tatsächlich wirksam sind und wer die Lücke bis wann schließt.
1. Geltungsbereich und Verantwortung
Kläre zuerst, ob das Unternehmen direkt betroffen sein könnte und welche wesentlichen Dienste, Standorte, Systeme und Lieferanten im Scope liegen. Die verbindliche rechtliche Einordnung erfolgt mit geeigneter Rechtsberatung. Technisch braucht es einen verantwortlichen Sponsor aus der Geschäftsleitung und operative Ansprechpartner.
2. Evidenz statt Selbstauskunft
„Wir haben Backups“ ist keine Evidenz. Aussagekräftig sind Konfiguration, Restore-Protokoll, Alarmierung und Ergebnis des letzten Tests. Gleiches gilt für MFA, Patch-Prozess, Incident Response und Lieferantenmanagement. Stichproben trennen dokumentierte Absicht von gelebter Praxis.
3. Lücken nach Risiko priorisieren
Bewerte Auswirkung, Eintrittswahrscheinlichkeit und Abhängigkeiten. Identitäten, öffentlich erreichbare Systeme, Wiederherstellung und Reaktionsfähigkeit liefern oft mehr Risikoreduktion als zusätzliche Dokumente. Jede Maßnahme erhält Owner, Termin, Aufwand und überprüfbares Ziel.
4. Wirksamkeit nachweisen
Nach Umsetzung folgen Restore-Test, Tabletop-Übung, Konfigurationsreview oder gezielter Pentest – passend zur jeweiligen Kontrolle. Ein Audit ist kein Ersatz für technische Prüfung und ein Pentest kein Ersatz für Governance.
Der kostenlose IT-Sicherheits-Check liefert eine erste Priorisierung. Für eine vollständige Gap-Analyse braucht es anschließend einen vereinbarten Scope und belastbare Evidenz.
Primärquelle
Dieser Beitrag ist keine Rechts- oder Compliance-Beratung.