ISO 27001 Gap Analyse: Lücken und Handlungsbedarf gezielt prüfen

Mit einer Gap-Analyse den tatsächlichen Stand erfassen

Eine ISO-27001-Gap-Analyse vergleicht den vorhandenen Zustand des Managementsystems mit den relevanten Anforderungen. Sie zeigt, was bereits nachvollziehbar umgesetzt ist, wo Nachweise fehlen und welche Entscheidungen noch benötigt werden. Das Ergebnis ist eine begründete Übersicht des Handlungsbedarfs, kein Zertifikat.

Zunächst werden der betrachtete Bereich und die Bewertungsgrundlage festgelegt. Ohne klare Abgrenzung lassen sich Feststellungen weder zuverlässig vergleichen noch geeigneten Verantwortlichen zuordnen.

Unterlagen und tatsächliche Abläufe gemeinsam betrachten

Als Vorbereitung sind beispielsweise Organigramme, Prozessbeschreibungen, Sicherheitsregeln, Risikobewertungen und vorhandene Prüfprotokolle hilfreich. Gespräche mit den zuständigen Personen ergänzen diese Unterlagen. Bei ausgewählten Abläufen wird anhand realer Vorgänge geprüft, ob Beschreibung und Anwendung zusammenpassen.

Eine übersichtliche Feststellung enthält:

• die betrachtete Anforderung;
• den beobachteten Stand und die verwendeten Nachweise;
• die konkrete Lücke oder verbleibende Unklarheit;
• Auswirkungen und empfohlene Priorität;
• eine zugewiesene nächste Aufgabe.

Fehlende Umsetzung von fehlendem Nachweis unterscheiden

Beispiel: Ein Unternehmen erklärt, Administratorrechte regelmäßig zu prüfen. Eine aktuelle Liste und dokumentierte Prüfergebnisse liegen nicht vor. Zunächst ist offen, ob die Kontrolle unterbleibt oder lediglich ihre Dokumentation fehlt. Diese Unterscheidung verändert die notwendige Maßnahme und muss im Ergebnis sichtbar bleiben.

Aus Feststellungen eine belastbare Arbeitsgrundlage machen

Nicht jede Lücke ist gleich dringlich. Risiken für wichtige Dienstleistungen, grundlegende Verantwortungsfragen und notwendige Vorarbeiten können Vorrang vor formalen Verbesserungen haben. Die Priorisierung sollte begründet werden und darf nicht allein aus der Anzahl fehlender Dokumente entstehen.

Eine spätere Nachprüfung vergleicht die bearbeiteten Punkte mit denselben Kriterien. Dadurch lässt sich Fortschritt belegen. Eine reine Selbsteinschätzung ohne Nachweise sollte im Bericht ausdrücklich als solche erkennbar bleiben.

Eine Feststellung so dokumentieren, dass sie bearbeitbar wird

Als Arbeitsvorlage für die Gap-Analyse eignet sich folgende Struktur:

• Prüffrage: Sind beim Ausscheiden einer Person alle relevanten Zugänge erfasst?
• Geprüfter Stand: Welche Regel und welche ausgewählten Austrittsfälle wurden tatsächlich betrachtet?
• Beobachtung: Was war in dieser Stichprobe vorhanden, was fehlte?
• Auswirkung: Welche Informationen oder Dienste könnten betroffen sein?
• Nächster Schritt: Wer klärt oder behebt den Punkt und welcher Beleg zeigt das Ergebnis?

Das Beispiel beschreibt eine mögliche Vorgehensweise, keine Feststellung bei einem bestimmten Kunden. Ein fehlendes Protokoll beweist noch nicht, dass ein Zugang aktiv geblieben ist. Umgekehrt belegt eine Richtlinie allein nicht, dass jeder Zugang entzogen wurde. Diese Unterscheidung macht aus einer unspezifischen Mängelliste eine belastbare Grundlage für Entscheidungen und verhindert, dass Maßnahmen am eigentlichen Problem vorbeigehen.

Wesentliche Lücken werden im Risikomanagement nach ihrer Bedeutung bewertet. Aus den Entscheidungen entsteht ein Maßnahmenplan, der Bearbeitung und Wirksamkeitskontrolle sichtbar hält.

Quellen und fachliche Grundlagen

• ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
• BSI-Standard 200-2 – IT-Grundschutz-Methodik – Bundesamt für Sicherheit in der Informationstechnik