ISO 27001 GAP-Analyse: Ablauf, Dauer und Ergebnis
Was eine GAP-Analyse wirklich leisten sollte und warum eine lange Findings-Liste allein noch keine Orientierung schafft.
Was ist eine ISO 27001 GAP-Analyse?
Eine GAP-Analyse vergleicht den aktuellen Stand eines Informationssicherheitsmanagementsystems mit einem definierten Zielbild. Entscheidend ist dabei nicht, möglichst viele Abweichungen zu finden. Entscheidend ist zu verstehen, welche Lücken tatsächlich relevant sind, welche Risiken dahinterstehen und was zuerst passieren sollte.
Wie läuft eine GAP-Analyse ab?
Am Anfang stehen Scope, Ziel und vorhandene Unterlagen. Danach werden Dokumentation, gelebte Prozesse, Verantwortlichkeiten und Kontrollen betrachtet. Gespräche mit den relevanten Rollen ergänzen das Bild. Aus diesen Informationen entsteht keine bloße Mängelliste, sondern eine priorisierte Standortbestimmung.
Was ist das Ergebnis?
Ein gutes Ergebnis beantwortet drei Fragen: Was funktioniert bereits? Wo bestehen relevante Lücken? Und in welcher Reihenfolge sollten sie geschlossen werden? Dazu gehören eine verständliche Management Summary und eine priorisierte Roadmap.
Wie lange dauert eine GAP-Analyse?
Das hängt von Scope, Unternehmensgröße, vorhandener Dokumentation und Reifegrad ab. Eine seriöse Dauer lässt sich deshalb erst bestimmen, wenn klar ist, welche Organisationsteile und Anforderungen betrachtet werden sollen.
Eine GAP Analyse beginnt mit dem Ziel
Vor der Prüfung sollte klar sein, ob es um Zertifizierungsfähigkeit, einen Management Überblick oder die Weiterentwicklung eines bestehenden ISMS geht.
Dokumente und Praxis gehören zusammen
Richtlinien zeigen den Sollzustand. Interviews, Nachweise und Stichproben zeigen, wie dieser Zustand im Alltag tatsächlich funktioniert.
Das Ergebnis muss priorisieren
Eine gute GAP Analyse endet nicht mit möglichst vielen Findings. Sie zeigt, welche Lücken relevant sind, welche Abhängigkeiten bestehen und in welcher Reihenfolge Maßnahmen sinnvoll sind.
FCTH-Prinzip: Informationssicherheit wird nicht besser, weil mehr Dokumente entstehen. Sie wird besser, wenn Menschen Risiken verstehen und daraus belastbare Entscheidungen und Maßnahmen machen können.
Vom Wissen in die Praxis.
Wenn das Thema gerade konkret bei euch auf dem Tisch liegt, findest du hier den passenden Einstieg.
GAP-Analyse ansehen