Bevor Sie ein einziges Dokument für Ihre ISO-27001-Zertifizierung schreiben, sollten Sie eine Frage beantworten können: Wo stehen Sie eigentlich? Genau das leistet die Gap-Analyse ISO 27001 – eine strukturierte Standortbestimmung, die den Abstand zwischen Ihrem Ist-Zustand und den normativen Anforderungen sichtbar macht. Sie ist der erste echte Arbeitsschritt jedes ISMS-Projekts und entscheidet maßgeblich darüber, ob Ihr Weg zur Zertifizierung planbar verläuft oder zur teuren Blindfahrt wird.
In diesem How-To zeigen wir Ihnen, was eine Gap-Analyse leistet, wie Sie systematisch gegen die 93 Controls und die Kapitel 4–10 der ISO/IEC 27001:2022 vorgehen, wie Sie Reifegrade bewerten und Lücken priorisieren – und wie aus dem Ergebnis ein belastbarer Maßnahmenplan wird. Geschrieben aus der Praxis von ISMS-Projekten im Mittelstand.
Was ist eine Gap-Analyse – und was ist sie nicht?
Eine Gap-Analyse (auch GAP-Analyse oder Lückenanalyse) vergleicht den Soll-Zustand – die Anforderungen der ISO/IEC 27001:2022 – mit Ihrem Ist-Zustand – dem, was in Ihrem Unternehmen bereits vorhanden und gelebt wird. Das Ergebnis ist eine Liste konkreter Lücken (Gaps), jeweils mit Bewertung des Handlungsbedarfs.
Das Ziel ist nicht, möglichst viele Mängel zu finden, sondern Klarheit zu schaffen: Was fehlt, wie groß ist die Lücke, und in welcher Reihenfolge sollten Sie sie schließen. Eine gute Gap-Analyse beantwortet drei Fragen:
- Wo stehen wir heute gemessen an der Norm?
- Wie weit ist der Weg zur Zertifizierungsreife?
- Was kostet uns das an Zeit, Geld und Personal?
Wichtig zur Abgrenzung
Eine Gap-Analyse ist kein internes Audit. Sie findet vor dem ISMS-Aufbau statt und prüft, ob die Anforderungen überhaupt umgesetzt sind. Das interne Audit prüft später, ob ein bestehendes ISMS wirksam funktioniert. Auf den Unterschied gehen wir am Ende noch genauer ein.
Wogegen Sie prüfen: Die Struktur der ISO/IEC 27001:2022
Eine saubere Gap-Analyse prüft gegen zwei Teile der Norm – und genau hier machen viele den ersten Fehler, indem sie nur die Controls betrachten.
Teil 1: Die normativen Kapitel 4 bis 10
Diese Kapitel beschreiben die Management-System-Anforderungen – das eigentliche „Betriebssystem" Ihres ISMS. Sie sind verpflichtend und nicht verhandelbar:
- Kapitel 4 – Kontext der Organisation: Verständnis interner/externer Themen, interessierte Parteien, Festlegung des ISMS-Anwendungsbereichs (Scope).
- Kapitel 5 – Führung: Verpflichtung der Leitung, Informationssicherheitspolitik, Rollen und Verantwortlichkeiten.
- Kapitel 6 – Planung: Risikobeurteilung, Risikobehandlung, Anwendbarkeitserklärung (Statement of Applicability), Sicherheitsziele.
- Kapitel 7 – Unterstützung: Ressourcen, Kompetenz, Awareness, Kommunikation, dokumentierte Information.
- Kapitel 8 – Betrieb: operative Umsetzung der Risikobehandlung.
- Kapitel 9 – Bewertung der Leistung: Überwachung, internes Audit, Managementbewertung.
- Kapitel 10 – Verbesserung: Nichtkonformitäten, Korrekturmaßnahmen, kontinuierliche Verbesserung.
Teil 2: Die 93 Controls aus Anhang A
Anhang A der ISO/IEC 27001:2022 listet 93 Controls in vier Kategorien:
- 37 organisatorische Controls (z.B. Richtlinien, Rollen, Lieferantenbeziehungen, Incident Management)
- 8 personenbezogene Controls (z.B. Screening, Awareness, Disziplinarverfahren)
- 14 physische Controls (z.B. Zutrittssicherung, Schutz vor Umwelteinflüssen)
- 34 technologische Controls (z.B. Zugriffssteuerung, Kryptografie, Logging, Schwachstellenmanagement)
Gegenüber der Version von 2013 sind elf Controls neu, etwa Threat Intelligence, Informationssicherheit in der Cloud, Data Leakage Prevention und sicheres Coding. Welche dieser Controls für Sie relevant sind, ergibt sich aus Ihrer Risikobeurteilung und wird in der Anwendbarkeitserklärung dokumentiert.
Merksatz
Die Controls sind das „Was", die Kapitel 4–10 sind das „Wie wir es steuern". Eine Zertifizierung scheitert häufiger an einem schwachen Management-System (Kap. 4–10) als an einzelnen fehlenden Controls.
Vorgehen: Die Gap-Analyse Schritt für Schritt
So gehen Sie in der Praxis vor:
Schritt 1: Scope festlegen
Bevor Sie messen, müssen Sie wissen, was Sie messen. Definieren Sie den Anwendungsbereich des ISMS: Welche Standorte, Geschäftsprozesse, Systeme und Informationswerte sind eingeschlossen? Ein zu großer Scope bläht die Analyse auf, ein zu kleiner schließt relevante Risiken aus.
Schritt 2: Informationen sammeln
Tragen Sie zusammen, was bereits existiert: vorhandene Richtlinien, Prozessbeschreibungen, technische Konfigurationen, Verträge, Schulungsnachweise. Führen Sie Interviews mit den Verantwortlichen aus IT, HR, Einkauf, Facility und Geschäftsleitung. Eine Gap-Analyse ist immer auch ein Gespräch – Dokumente allein zeigen nie das ganze Bild.
Schritt 3: Soll-Ist-Abgleich durchführen
Gehen Sie strukturiert jede Anforderung durch – sowohl die Kapitel 4–10 als auch die relevanten 93 Controls. Für jede Anforderung halten Sie fest:
- Ist sie umgesetzt? (ja / teilweise / nein)
- Ist sie dokumentiert?
- Wird sie nachweislich gelebt?
- Welche Nachweise existieren?
Nutzen Sie dafür eine strukturierte Matrix oder ein Gap-Analyse-Tool. Eine simple Tabelle mit Control-Nummer, Anforderung, Ist-Zustand, Reifegrad und Kommentar genügt für den Start vollkommen.
Schritt 4: Reifegrad bewerten
Statt nur „erfüllt/nicht erfüllt" zu vergeben, lohnt sich eine Reifegradbewertung. Ein bewährtes fünfstufiges Modell:
| Reifegrad | Bedeutung |
|---|---|
| 0 – nicht vorhanden | Kein Prozess, keine Maßnahme |
| 1 – initial | Ad hoc, unregelmäßig, nicht dokumentiert |
| 2 – wiederholbar | Vorhanden, aber nicht standardisiert |
| 3 – definiert | Dokumentierter Standardprozess, gelebt |
| 4 – gesteuert | Gemessen und überwacht |
| 5 – optimierend | Kontinuierlich verbessert |
Für die Zertifizierungsreife sollten die meisten relevanten Controls mindestens Reifegrad 3 erreichen. Die Reifegradbewertung hat einen großen Vorteil: Sie zeigt nicht nur, dass eine Lücke besteht, sondern wie groß sie ist – und macht Fortschritt über die Zeit messbar.
Schritt 5: Lücken dokumentieren
Halten Sie jede identifizierte Lücke konkret fest: Welche Anforderung ist betroffen, was fehlt genau, welches Risiko entsteht daraus, und welche Maßnahme würde die Lücke schließen. Vage Notizen wie „Zugriffsmanagement ausbaufähig" helfen niemandem – formulieren Sie umsetzbar: „Keine regelmäßige Rezertifizierung von Berechtigungen; Prozess fehlt; Risiko verwaister Zugänge."
Priorisierung: Nicht alle Lücken sind gleich
Eine typische Gap-Analyse fördert schnell 40, 60 oder mehr Lücken zutage. Sie alle gleichzeitig zu schließen, überfordert jedes Mittelstandsteam. Deshalb ist die Priorisierung der eigentliche Mehrwert.
Bewerten Sie jede Lücke nach zwei Dimensionen:
- Risiko / Kritikalität: Wie groß ist die Sicherheitslücke, die daraus entsteht? Ein fehlendes Backup-Konzept wiegt schwerer als eine unvollständige Richtlinienformulierung.
- Aufwand: Wie schnell und mit welchem Mitteleinsatz lässt sich die Lücke schließen?
Daraus ergeben sich vier Handlungsklassen:
- Hohes Risiko, geringer Aufwand – sofort angehen. Die „Quick Wins" mit großer Wirkung.
- Hohes Risiko, hoher Aufwand – planen und budgetieren. Die strategischen Projekte.
- Geringes Risiko, geringer Aufwand – nebenbei miterledigen.
- Geringes Risiko, hoher Aufwand – zurückstellen oder bewusst akzeptieren.
Praxis-Tipp
Beginnen Sie mit den Quick Wins aus Klasse 1. Sichtbare Fortschritte in den ersten Wochen schaffen Rückenwind und Akzeptanz im Team – und nehmen der Geschäftsleitung die Sorge, ein endloses Projekt zu starten.
Das Ergebnis: Maßnahmenplan und Roadmap
Die Gap-Analyse ist kein Selbstzweck. Ihr Wert entsteht erst im Ergebnis: einem Maßnahmenplan und einer Roadmap zur Zertifizierungsreife.
Ein guter Maßnahmenplan enthält pro Lücke:
- die betroffene Anforderung / das Control,
- die konkrete Maßnahme,
- die verantwortliche Person,
- den geschätzten Aufwand,
- die Priorität und
- den Zieltermin.
Aus diesen priorisierten Maßnahmen wird eine zeitliche Roadmap – typischerweise über 6 bis 12 Monate bis zur Zertifizierungsreife, je nach Ausgangslage. Diese Roadmap ist Ihr Steuerungsinstrument: Sie zeigt der Geschäftsleitung, was wann passiert, was es kostet und wann die Zertifizierung realistisch erreichbar ist. Damit wird aus einer diffusen „Wir sollten mal ISO 27001 machen"-Absicht ein konkretes, budgetierbares Projekt.
Wer wissen will, was die anschließende Zertifizierung an Kosten und Dauer mit sich bringt, findet eine Einordnung im Beitrag ISO 27001-Zertifizierung: Kosten und Dauer.
Abgrenzung: Gap-Analyse vs. internes Audit
Beide Begriffe werden oft verwechselt, sie haben aber unterschiedliche Funktionen und Zeitpunkte:
| Aspekt | Gap-Analyse | Internes Audit |
|---|---|---|
| Zeitpunkt | Vor dem ISMS-Aufbau | Nach Aufbau, vor Zertifizierung (Kap. 9.2) |
| Frage | Was fehlt uns noch? | Funktioniert das ISMS wirksam? |
| Charakter | Standortbestimmung, beratend | Formale Prüfung, normativ gefordert |
| Ergebnis | Maßnahmenplan / Roadmap | Auditbericht mit Abweichungen |
| Pflicht? | Empfohlen, nicht normativ | Verpflichtend nach ISO 27001 |
Vereinfacht: Die Gap-Analyse sagt Ihnen, was Sie bauen müssen. Das interne Audit prüft später, ob das Gebaute auch wirklich funktioniert. Das interne Audit ist selbst eine Anforderung der Norm (Kapitel 9.2) und damit Pflicht – die Gap-Analyse ist ein freiwilliges, aber dringend empfohlenes Vorbereitungsinstrument. Wer beide verwechselt und die Gap-Analyse überspringt, baut sein ISMS oft an den eigenen Risiken vorbei.
Wie welabs Sie bei der Gap-Analyse unterstützt
Eine Gap-Analyse ist nur so gut wie die Erfahrung dahinter. Wer die Norm kennt, aber nicht die Praxis, übersieht gelebte Lücken; wer die Praxis kennt, aber die Norm nicht im Detail, misst gegen das Falsche. welabs bringt beides zusammen – Konzern-Erfahrung in der ISO-27001-Umsetzung, übersetzt in pragmatische Schritte für den Mittelstand.
Wir unterstützen Sie konkret bei:
- Strukturierter Gap-Analyse gegen alle 93 Controls und die Kapitel 4–10 – mit Reifegradbewertung und ehrlicher Einordnung.
- Priorisierung und Roadmap – ein realistischer, budgetierbarer Fahrplan zur Zertifizierungsreife. Mehr dazu auf unserer Seite Compliance & ISMS.
- Begleitung der Maßnahmenumsetzung – von der Richtlinie bis zur technischen Maßnahme.
- Strategic Security Advisor (SSA) – kontinuierliche Begleitung, damit Ihr ISMS nach der Zertifizierung gelebt wird und beim Überwachungsaudit nicht durchfällt.
Sie wollen wissen, wie weit Sie von der ISO-27001-Reife entfernt sind? Vereinbaren Sie ein kostenloses Erstgespräch – wir geben Ihnen eine erste ehrliche Einschätzung Ihrer Ausgangslage.
Fazit
Die Gap-Analyse ISO 27001 ist der unscheinbare, aber entscheidende erste Schritt jedes ISMS-Projekts. Sie verwandelt das vage Gefühl „Wir müssten in Sachen Sicherheit mehr tun" in eine konkrete, priorisierte Liste von Maßnahmen mit Aufwand, Verantwortlichkeit und Zeitplan. Wer hier sauber arbeitet, spart sich später teure Korrekturschleifen und Überraschungen im Zertifizierungsaudit.
Prüfen Sie gegen beide Teile der Norm – die Management-Kapitel 4–10 und die 93 Controls. Bewerten Sie Reifegrade statt nur Häkchen. Priorisieren Sie nach Risiko und Aufwand. Und machen Sie aus dem Ergebnis eine Roadmap, die Ihre Geschäftsleitung versteht und mitträgt. Dann ist die Zertifizierung kein Sprung ins kalte Wasser, sondern das planbare Ende eines klar abgesteckten Weges.