NIS-2 GAP-Analyse: Ihr Ist-Stand mit klaren Prioritäten

Ja. Die Analyse konzentriert sich dann auf die Punkte, die NIS‑2 zusätzlich fordert. Das geht entsprechend schneller.

Das hängt von Unternehmensgröße, Standorten und vorhandener Dokumentation ab. Den konkreten Zeitplan finden Sie in Ihrem Angebot.

Sie setzen den Action Plan selbst um oder mit unserer Unterstützung. Beides ist möglich. Fehlt intern ein Verantwortlicher, steuert unser CISO as a Service die Umsetzung.

Wir brauchen vor allem Ihre vorhandenen Dokumente und Gesprächstermine mit den Verantwortlichen für IT, Organisation und Geschäftsführung. Den Zeitplan stimmen wir im Erstgespräch so ab, dass Ihr Tagesgeschäft weiterläuft.

Betroffen sind vor allem mittlere und große Unternehmen in den Sektoren der Anhänge I und II der NIS‑2-Richtlinie, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel und verarbeitendes Gewerbe. Als mittleres Unternehmen gilt in der Regel, wer mindestens 50 Beschäftigte hat oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme erreicht. Einige Einrichtungen sind unabhängig von ihrer Größe erfasst. Dazu gehören kritische Einrichtungen nach der RKE-Richtlinie. Ihre Betroffenheit klären wir im Erstgespräch, bevor die eigentliche Analyse beginnt.

Der Preis richtet sich nach dem Umfang: Anzahl der Standorte und Gesellschaften, Größe Ihrer IT-Landschaft, Zahl der Interviewpartner und Qualität der vorhandenen Dokumentation. Ein zertifiziertes ISMS nach ISO 27001 senkt den Aufwand spürbar, weil wir uns dann auf die zusätzlichen NIS‑2-Anforderungen konzentrieren.

NIS‑2 verlangt Risikomanagementmaßnahmen nach Artikel 21, die Meldung erheblicher Sicherheitsvorfälle nach Artikel 23 mit Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden sowie die Verantwortung der Geschäftsleitung nach Artikel 20. Dazu gehört die Schulungspflicht der Leitung, die Sie mit unserem NIS‑2 Management Training erfüllen. Für wesentliche Einrichtungen müssen die Mitgliedstaaten Höchstgeldbußen von mindestens 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vorsehen, für wichtige Einrichtungen 7 Mio. Euro oder 1,4 %, jeweils der höhere Betrag. Die Details regelt das nationale Gesetz.

Nein. Die GAP-Analyse ist Ihre interne Standortbestimmung. Wir gehen dabei vor wie in einer NIS-Prüfung, also mit Dokumenten, Interviews und Stichproben, damit Sie Ihre Lücken kennen, bevor Sie Nachweise gegenüber der Behörde erbringen müssen. Ob und wann das der Fall ist, regelt das nationale Umsetzungsgesetz im jeweiligen EU-Land. Die Lücken schließen Sie anschließend gezielt, auf Wunsch mit unserer NIS‑2 Beratung.