NIS2 Gap-Analyse: Wo steht Ihr Unternehmen?

Eine Gap-Analyse vergleicht den Ist-Stand Ihrer Informationssicherheit mit den Anforderungen des BSI-Gesetzes: Betroffenheit und Registrierung, die zehn Maßnahmenbereiche, das Meldewesen und die Pflichten der Geschäftsleitung. Das Ergebnis zeigt, welche Pflichten erfüllt sind, wo Lücken bestehen und welche davon am dringendsten sind.

Der Schnellcheck umfasst 19 kritische Prüfaspekte und dauert etwa 10 Minuten. Die vollständige Analyse mit allen Prüfaspekten braucht mehr Zeit, liefert dafür die Grundlage für einen Maßnahmenplan. Sie können jederzeit unterbrechen; Ihr Stand bleibt im Browser gespeichert.

Alle Angaben bleiben in Ihrem Browser. Es findet keine Übertragung an VamiSec oder Dritte statt. Sie können Ihren Stand als Datei sichern, als Tabelle exportieren oder als Bericht drucken.

Entscheidend sind zwei Fragen: Gehört Ihr Unternehmen zu einer der im BSI-Gesetz genannten Einrichtungsarten, und erreicht es die Größenschwellen? Als wichtige Einrichtung gilt, wer mindestens 50 Beschäftigte hat oder Jahresumsatz und Bilanzsumme von jeweils mehr als 10 Mio. € ausweist. Einige Einrichtungen sind unabhängig von ihrer Größe erfasst.

Eine erste Einschätzung liefert die Betroffenheitsprüfung des BSI. Sie ist rechtlich nicht bindend; die Einordnung nehmen Sie selbst vor und sollten sie dokumentieren.

Das BSI-Gesetz gilt seit dem 6. Dezember 2025; eine allgemeine Übergangsfrist gibt es nicht. Die Registrierung ist spätestens drei Monate nach Eintritt der Betroffenheit fällig. Für Einrichtungen, die von Anfang an betroffen waren, endete diese Frist am 6. März 2026. Für erhebliche Sicherheitsvorfälle gelten die Meldefristen von 24 Stunden, 72 Stunden und einem Monat.

Sie registrieren sich im BSI-Portal. Dafür benötigen Sie ein ELSTER-Organisationszertifikat, das Sie über „Mein Unternehmenskonto“ beantragen. Anzugeben sind unter anderem Name und Rechtsform, Kontaktdaten, öffentliche IP-Adressbereiche, der Sektor und die EU-Staaten, in denen Sie tätig sind. Änderungen teilen Sie innerhalb von zwei Wochen mit.

Meldepflichtig sind erhebliche Sicherheitsvorfälle, also Vorfälle, die schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen oder verursachen können oder andere erheblich schädigen. Spätestens 24 Stunden nach Kenntnis ist eine frühe Erstmeldung fällig, spätestens nach 72 Stunden eine Meldung mit erster Bewertung und spätestens einen Monat danach die Abschlussmeldung. Das BSI empfiehlt den Grundsatz „Schnelligkeit vor Vollständigkeit“.

Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei schuldhafter Pflichtverletzung haftet sie dem eigenen Unternehmen für den entstandenen Schaden nach den Regeln des Gesellschaftsrechts. Auch wenn IT-Aufgaben ausgelagert sind, bleibt die Verantwortung nach Darstellung des BSI bei der Leitung.

Für die Schulungen hat das BSI eine Handreichung und ein Beispielcurriculum veröffentlicht. Beide sind Orientierungshilfen und keine verbindlichen Vorgaben.

Für Verstöße gegen die Maßnahmen-, Dokumentations- und Meldepflichten sieht das BSI-Gesetz Geldbußen bis zu 10 Mio. € bei besonders wichtigen und bis zu 7 Mio. € bei wichtigen Einrichtungen vor. Bei Unternehmen mit mehr als 500 Mio. € Gesamtumsatz kann der Rahmen stattdessen bis zu 2 % beziehungsweise 1,4 % des weltweiten Vorjahresumsatzes betragen. Eine unterlassene oder verspätete Registrierung kann mit bis zu 500.000 € geahndet werden. Das sind Obergrenzen.

Ein Managementsystem nach ISO/IEC 27001 ist nach Einschätzung des BSI ein tragfähiges Fundament und deckt bei umfassender Umsetzung regelmäßig einen großen Teil der geforderten Maßnahmen ab. Automatisch erfüllt sind die gesetzlichen Anforderungen damit nicht: Der Geltungsbereich eines solchen Systems ist frei wählbar, das Gesetz betrifft dagegen die gesamte Einrichtung. Registrierung, Meldefristen und die Pflichten der Geschäftsleitung sind kein Bestandteil der Norm.

In der Gap-Analyse sehen Sie bei jedem Prüfaspekt den Bezug zu ISO/IEC 27001.

Für Finanzunternehmen, die unter DORA fallen, gehen deren Vorgaben zu Risikomanagement und Vorfallmeldung vor; die Registrierung beim BSI bleibt nach Angaben des BSI dennoch erforderlich. Der Cyber Resilience Act richtet sich an Hersteller von Produkten mit digitalen Elementen und regelt die Sicherheit dieser Produkte, während NIS2 die Sicherheit der Organisation und ihrer Dienste betrifft. Ein Hersteller kann daher unter beide Regelwerke fallen.

Unmittelbar verpflichtet sind Sie nur, wenn Sie selbst die Kriterien des Gesetzes erfüllen. Betroffene Unternehmen müssen jedoch die Sicherheit ihrer unmittelbaren Lieferanten und Dienstleister berücksichtigen und geben Anforderungen deshalb häufig vertraglich weiter, etwa über Sicherheitsfragebögen, Nachweise oder Zusagen zur Meldung von Vorfällen. Es hilft, die eigenen Maßnahmen belegen zu können. Der Selbsttest eignet sich auch dafür als Standortbestimmung.

Nein. Der Selbsttest ist eine Selbsteinschätzung und kein Prüfurteil. Er ist keine Rechtsberatung, keine Zertifizierung und kein Nachweis gegenüber dem BSI. Er hilft Ihnen, den Handlungsbedarf zu erkennen und Gespräche mit Fachleuten vorzubereiten.