ISO 27001 Gap-Analyse: Schritte und Ergebnisse

Eine ISO-27001-Gap-Analyse vergleicht Ihre heutigen Kontrollen und Dokumente mit den Klauseln des Standards und dem Kontrollset aus Anhang A und liefert anschließend einen priorisierten Maßnahmenplan. Sie bereitet ein Unternehmen auf das Zertifizierungsaudit vor, ist aber selbst kein Zertifikat, und keine Analyse kann versprechen, dass eines folgt.

Was ist eine ISO-27001-Gap-Analyse?

ISO/IEC 27001 ist der internationale Standard für ein Informationssicherheits-Managementsystem (ISMS): ein dokumentierter, risikobasierter Satz aus Richtlinien, Prozessen und Kontrollen, der gepflegt und verbessert wird, statt einmal installiert zu werden. Zertifikate vergibt eine akkreditierte Zertifizierungsstelle nach eigenen Audits; der Standard selbst wird bei ISO gekauft, und seine Anforderungen sind das, wogegen jede Analyse misst.

Eine Gap-Analyse beantwortet eine Frage ehrlich: Wie weit ist die Organisation heute davon entfernt, diese Anforderungen zu erfüllen? Sie prüft, was vorhanden ist — Dokumente, tatsächliche Praxis, technische Konfiguration —, und hält die Unterschiede als Befunde fest, gemessen an den Klauseln des Standards (die Klauseln 4 bis 10 tragen die Anforderungen des Managementsystems) und am Kontrollset aus Anhang A, das in der Version von 2022 93 Referenzkontrollen enthält, nach Themen gruppiert.

Drei Klarstellungen, die später Verwirrung ersparen:

Es ist eine Vorbereitungsübung, kein Audit. Keine Akkreditierung, keine Zertifikatsentscheidung, keine formale Nichtkonformität mit der Nummerierung einer Zertifizierungsstelle. Was dabei herauskommt, ist ein Arbeitsplan.

Der Geltungsbereich wird gewählt, nicht verordnet. ISO 27001 verlangt nicht, dass die ganze Organisation zertifiziert wird: Der Geltungsbereich kann eine Geschäftseinheit, ein Standort, eine Produktlinie oder ein Satz von Systemen sein, vorausgesetzt, die Grenze ist definiert und begründet. Die meisten Unternehmen wählen zuerst einen schmalen Geltungsbereich — eine Entscheidung, die die Kosten der Analyse und die der Zertifizierung halbiert und die man klären sollte, bevor jemand ein einziges Dokument ansieht.

Sie ist ehrlich gegenüber den Belegen. Ein Dokument, das etwas anderes sagt als die gelebte Praxis, wird genau so festgehalten, weil es der Zertifizierungsauditor später findet — zu einem schlechteren Zeitpunkt.

Der Ablauf der Analyse

Die sechs Schritte unten beschreiben eine praktikable Analyse. Die Ausgabespalte ist der Punkt der Tabelle: Jeder Schritt soll ein Ergebnis erzeugen, das Sie aufheben, keinen Eindruck:

Tabelle A: Schritt | Was passiert | Ergebnis

Schritt	Was passiert	Ergebnis
Abgrenzung	Die ISMS-Grenze festlegen: welche Standorte, Abteilungen, Systeme und Daten dazugehören und warum; interessierte Parteien und ihre Anforderungen ermitteln	Geltungsbereichsbeschreibung mit Begründung, wiederverwendbar im Stufe-1-Audit
Dokumentenprüfung	Vorhandene Richtlinien, Verfahren und Aufzeichnungen gegen die Klauseln 4–10 und Anhang A lesen; prüfen, ob Dokumente die Realität oder die Absicht beschreiben	Dokumentenverzeichnis mit Status je Eintrag: vorhanden / teilweise / fehlend, mit den gesichteten Belegen
Interviews	Mit den Personen sprechen, die die Prozesse betreiben — IT, Personal, Betrieb, Finanzen, Management —, und Antworten über Rollen hinweg vergleichen; Widersprüche zwischen zwei Abteilungen sind ebenfalls Befunde	Interviewnotizen je Prozess, mit festgehaltenen Unterschieden zwischen Praxis und Dokument
Technische Prüfungen	Die tatsächliche Konfiguration stichprobenartig prüfen: Zugriffslisten, Protokollierung, Sicherungsaufträge und Nachweise erfolgreicher Rückspielungen, Patch-Status, physischer Zugang — Stichproben, kein Penetrationstest	Prüfergebnisse je Kontrollbereich, mit Stichproben und Daten, damit ein Ergebnis erneut geprüft werden kann
Bewertung	Jeden Befund nach Schweregrad und Aufwand bewerten; der Schweregrad folgt dem Risiko für die Organisation, nicht der Position der Kontrolle in Anhang A	Lückenregister: Klausel oder Kontrolle, Ist-Zustand, Befund, Schweregrad, vorgeschlagener Verantwortlicher
Bericht und Roadmap	Die Befunde zu einem Bericht bündeln und die Arbeit staffeln: schnelle Erfolge, strukturelle Punkte und die Dokumente, die vor dem Stufe-1-Audit existieren müssen	Gap-Analyse-Bericht, Maßnahmenroadmap mit Prioritäten, Entwurf der Erklärung zur Anwendbarkeit

Ein Hinweis zur Methode: Der Standard schreibt nicht vor, wie eine Gap-Analyse durchzuführen ist, und Anbieter unterscheiden sich deshalb. Was eine nützliche von einer teuren unterscheidet, ist die Belegdisiplin — Befunde, die an etwas geknüpft sind, das ein Zertifizierungsauditor erneut prüfen kann —, und das Register, das danach weitergeführt wird. Die Governance- und Audit-Fragen rund um die Sicherheitsarbeit behandelt die IT-Audit- und Beratungsseite, und der weitere Kontext für die Absicherung der Infrastruktur hinter dem ISMS steht auf der Seite zur digitalen Infrastruktur.

Ergebnisse und Liefergegenstände

Vier Artefakte definieren eine ernsthafte Analyse. Wenn ein Angebot nicht alle vier benennt, fragen Sie nach dem Grund:

Gap-Analyse-Bericht. Die Beschreibung: untersuchter Geltungsbereich, Methode, Befunde nach Klausel und Kontrollbereich und eine Zusammenfassung, die eine Geschäftsführung in zehn Minuten liest. Der Bericht erklärt die Unterschiede; er listet sie nicht bloß auf.

Lückenregister. Die Arbeitsdatenbank: jeder Befund mit Klausel- oder Anhang-A-Bezug, Ist-Zustand, Schweregrad und Priorität. An diesem Register läuft anschließend das Projekt — es verwandelt den Bericht aus einem Rat in eine Aufgabenliste mit Verantwortlichen.

Maßnahmenroadmap. Befunde, gereiht zu einem Plan: was vor dem Stufe-1-Audit existieren muss, was in die ersten Monate des ISMS gehört und was warten kann. Die Reihenfolge respektiert Abhängigkeiten — Sie können Zugriffsrechte nicht vierteljährlich prüfen, bevor es Zugriffslisten gibt.

Entwurf der Erklärung zur Anwendbarkeit (SoA). Das Dokument, das jeden Anhang-A-Kontrollpunkt auflistet, ob er anwendbar ist und warum, und wie er umgesetzt ist. Ein während der Analyse vorbereiteter SoA-Entwurf ist die größte Zeitersparnis im Zertifizierungsprojekt, weil die Alternative ist, 93 Entscheidungen unter Fristdruck auf einer leeren Seite zu schreiben.

Die Ergebnisse kommen schriftlich und gehören dem Käufer. Ein Anbieter, der vor der Unterschrift keinen Beispielbericht zeigt, sagt Ihnen etwas über den Bericht aus.

Was die Analyse nicht ist

Präzise zu sein erspart späteren Streit:

Sie ist kein Zertifikat. Nur eine akkreditierte Zertifizierungsstelle, die nach ISO/IEC 17021 und unter ihrer eigenen Akkreditierung arbeitet, kann ein ISMS zertifizieren. Eine Analyse ist Beratungsarbeit; ihren Befunden kommt bei einer Zertifizierungsstelle kein Gewicht zu, und kein Analysergebnis garantiert die Zertifizierung — eine Organisation kann ihre Analyse bestehen und im Stufe-2-Audit dennoch an Befunden scheitern, die der Auditor eigenständig entwickelt.

Sie ist kein internes Audit. Der Standard verlangt interne Audits und eine Managementbewertung als Teil des ISMS-Betriebs; das sind Pflichten innerhalb des Systems, die später stattfinden, und die Analyse ist die Arbeit, die Sie dorthin bringt, wo sie stattfinden können.

Sie ist kein Sicherheitstest. Das Stichprobenziehen aus der Konfiguration ist Teil davon; ein Penetrationstest oder ein vollständiger technischer Audit ist ein anderer Auftrag mit anderem Umfang und anderer Tiefe.

Sie ist keine Rechtsberatung. ISO 27001 und Datenschutzrecht überlappen, sind aber unterschiedliche Instrumente — siehe die Fragen unten —, und weder eine Analyse noch ihr Bericht ersetzt den Rat einer qualifizierten Rechts- oder Datenschutzberatung.

Sie ist kein Versprechen zur Zertifizierung. Ein Anbieter, der garantierte Zertifizierung suggeriert, eine Erfolgsquote nennt oder eine Beziehung zu einer Zertifizierungsstelle andeutet, die selbstständig entscheidet, sollte als Warnsignal behandelt werden, nicht als Verkaufsargument. Unabhängigkeit ist das Produkt.

Vorbereitung auf das Zertifizierungsaudit

Der wahre Wert der Analyse zeigt sich im Zertifizierungsprojekt, das danach kommt. So verbinden sich beide:

Stufe 1 prüft Dokumentation und Geltungsbereich: die Geltungsbereichsbeschreibung des ISMS, die Risikobeurteilung und -behandlung, die Richtlinien, die Erklärung zur Anwendbarkeit, die Aufzeichnungen der internen Audits und die der Managementbewertung. Die meisten Stufe-1-Befunde sind fehlende oder veraltete Dokumente — genau das, was Dokumentenprüfung und SoA-Entwurf der Analyse hervorbringen.

Stufe 2 prüft Umsetzung und Praxis: ob die Kontrollen wie dokumentiert arbeiten, stichprobenartig über den Geltungsbereich hinweg. Die Interview- und Technikprüfungen der Analyse sind die Generalprobe dafür — ein Team, das bereits Fragen zu seinen Zugriffsprüfungen und zum Vorfallmanagement beantwortet hat, tut das im Audit gelassen.

Überwachung und Rezertifizierung folgen der Zertifizierung, deshalb muss die Roadmap ein arbeitendes System bauen, kein Dokumentenpaket: wiederkehrende Zugriffsprüfungen, protokollierte Vorfälle, dokumentierte Schulungen, gesicherte und getestete Daten. Ein ISMS, das gebaut wurde, um ein Audit zu bestehen, bricht beim ersten Überwachungsaudit zusammen.

Praktische Vorbereitungspunkte, die die Analyse meist zu Tage fördert: Wer besitzt intern welchen Kontrollbereich, ob die Managementbewertung eine echte Sitzung oder eine Unterschrift ist, ob die internen Audits unabhängig von dem sind, was sie prüfen, und wie Aufzeichnungen zwischen den Audits geführt werden. Für ein Unternehmen, das das zum ersten Mal tut, behandelt die Seite zur digitalen Infrastruktur die umliegenden IT-Fragen — Protokollierung, Zugriffsmanagement, Sicherungsdisiplin —, und die Pflichten gegenüber Anbietern und bei der Datenverarbeitung die IT-Outsourcing-Seite.

Häufige Lücken

Die Befunde, die sich in kleinen und mittleren Unternehmen wiederholen, in ungefähr der Reihenfolge ihrer Häufigkeit:

Asset-Inventar. Keine aktuelle Liste der Systeme, Geräte und Daten mit Verantwortlichen. Fast jede andere Kontrolle hängt daran, zu wissen, was es gibt, weshalb dies meist der erste Punkt der Roadmap ist.

Methode der Risikobeurteilung. Entweder gar nicht vorhanden oder aus einer Vorlage übernommen, ohne organisatorische Begründung; der Zertifizierungsauditor fragt, wie Risiken ermittelt und behandelt wurden, und „das hat der Berater geschrieben“ überlebt diese Frage nicht.

Lieferantenmanagement. Kein Verzeichnis, welche Lieferanten an Unternehmensdaten kommen, keine Sicherheitsanforderungen in Lieferantenverträgen, kein Prüfrhythmus. Für Unternehmen, die mit Entwicklungspartnern arbeiten, sitzt diese Lücke direkt auf den Vertragsfragen der IT-Outsourcing-Seite.

Zugriffsprüfungen. Konten, die bei Eintritt vergeben und nie überprüft werden; Ausscheidende, die in der Zugriffsliste stehen; Administratorrechte bei Personen, die die Rolle längst verlassen haben. Prüfungen, die es auf dem Papier gibt, aber keine Aufzeichnungen hinterlassen, sind ein halber Befund.

Vorfallmanagement. Kein definierter Prozess, keine Kontaktliste, keine Dokumentation der tatsächlich eingetretenen Vorfälle. Die Vorfälle, von denen das Unternehmen vergessen hat, dass es sie hatte, werden zu Befunden im Audit.

Sensibilisierungsschulung. Eine einmalige Onboarding-Folie statt eines wiederkehrenden Programms mit Aufzeichnungen. Der Standard fragt, ob die Menschen ihre Pflichten kennen; eine datierte Teilnehmerliste beantwortet diese Frage.

Sicherungstest. Datensicherungen eingerichtet und nie zurückgespielt. Eine Rückspielung, die nie versucht wurde, ist eine ungetestete Kontrolle — und die Technikprüfung der Analyse verlangt meist den Nachweis einer Rückspielung statt eines Bildschirmfotos eines Zeitplans.

Wie Sie einen Anbieter auswählen

Drei Fragen trennen eine gründliche Analyse von einer teuren Durchsicht:

Unabhängigkeit. Der Prüfer darf kein Interesse an der Zertifizierungsentscheidung haben — Prüfer zertifizieren nicht, Zertifizierungsstellen zertifizieren; ein Anbieter, der beides verspricht, beschreibt einen Interessenkonflikt, keinen Dienst. Unabhängigkeit bedeutet auch, dass der Prüfer hinterher kein Produkt zu verkaufen hat: Eine Analyse, die am Ende Ihr eigenes Produkt empfiehlt, ist ein Verkaufsdokument mit angehängten Befunden.

Methode. Bitten Sie vor dem Angebot um die Methode: wie der Geltungsbereich abgestimmt wird, wie Befunde bewertet werden, welche Belege je Kontrollbereich verlangt werden und welche Ergebnisse geliefert werden. Eine vorab schriftlich festgehaltene Methode ist es, die Befunde später für einen Zertifizierungsauditor vertretbar macht.

Beispielbericht. Der beste Einzeltest. Ein geschwärztes Lückenregister und ein Bericht zeigen genau, was Sie erhalten: ob Befunde mit Belegen an Klauseln geknüpft sind, ob Schweregrade begründet sind und ob die Roadmap eine Reihenfolge ist oder eine Wunschliste.

Zwei praktische Zusätze für Unternehmen in der Türkei: Bestätigen Sie, ob der Prüfer mit Standards und Zertifizierungsstellen arbeitet, die Ihren Kunden im Zielmarkt vertraut sind, denn Kundenanforderungen nennen häufig bestimmte Programme; und bestätigen Sie die Arbeitssprache für Interviews und Dokumente, weil die Befunde für die Teams nutzbar sein müssen, die sie beheben. Die Checkliste für Lieferanten-RFPs gibt die allgemeine Methode zur Bewertung eines solchen Einkaufs, und die IT-Audit- und Beratungsseite deckt den weiteren Beratungskontext ab.

Häufig gestellte Fragen

Wie lange dauert eine Gap-Analyse?

Das hängt vom Geltungsbereich ab, und wer vor der Abgrenzung eine Dauer nennt, rät. Die Treiber sind die Größe des Geltungsbereichs — Anzahl der Standorte, Systeme und Prozesse an der Grenze —, der Zustand der Dokumentation und wie viele Personen interviewt werden müssen. Ein Geltungsbereich mit einer einzigen Abteilung und vorhandenen Richtlinien ist ein anderer Auftrag als ein standortübergreifender Geltungsbereich, der bei null beginnt; die ehrliche Antwort kommt nach dem Abstimmungsgespräch, schriftlich.

Brauchen wir ISO 27001, um zu verkaufen?

In der Regel ist es eine Kundenanforderung, keine rechtliche: Ausschreibungen, Großkunden und regulierte Einkäufer verlangen zunehmend Zertifizierung, besonders bei Software und Dienstleistungen. Die praktische Antwort ist ein Blick in die eigene Pipeline: Wenn zwei ernsthafte Interessenten danach gefragt haben, gibt es den Business Case; wenn keine danach gefragt hat, stützt sich der Fall auf Risikominderung statt auf Umsatz. Der Standard verlangt nicht, dass die ganze Organisation zertifiziert wird, sodass eine auf den Geltungsbereich begrenzte Zertifizierung zuerst den kundennahen Teil des Geschäfts bedienen kann.

Was ist die Erklärung zur Anwendbarkeit?

Das Dokument, das jeden Anhang-A-Kontrollpunkt auflistet, angibt, ob er für Ihren Geltungsbereich anwendbar ist und warum, und beschreibt, wie er umgesetzt ist. Der Standard verlangt sie, und die Zertifizierungsstelle prüft sie; sie ist zugleich das Artefakt, das sich am effizientesten früh vorbereiten lässt, weil sie die Kontrollentscheidungen einmal schriftlich festhält statt unter Auditdruck. Ein SoA-Entwurf ist einer der vier Analyseresultate oben.

Wie werden Lücken bewertet?

Nach Schweregrad und Priorität, wobei der Schweregrad an das Risiko für die Organisation geknüpft ist, nicht an die Position der Kontrolle im Standard. Eine brauchbare Bewertung erklärt sich selbst: was passiert, wenn die Lücke bleibt, wer oder was exponiert ist und was es kostet, sie zu schließen. Bewertungen, die nur „hoch/mittel/niedrig“ ohne Gründe auflisten, erzeugen später Streit; Bewertungen mit schriftlicher Begründung erzeugen einen Plan, den die Menschen befolgen.

Kann eine Gap-Analyse ein Audit ersetzen?

Nein. Das interne Audit und die Managementbewertung sind Pflichten innerhalb des ISMS, und das Zertifizierungsaudit gehört einer akkreditierten Zertifizierungsstelle. Eine Gap-Analyse steht vor beiden und hilft beiden, hat aber keine Audit-Gültigkeit — das ist die Aussage „kein Zertifikat“ oben, und jeder Anbieter, der das verwischt, sollte um schriftliche Klärung gebeten werden.

Deckt sie KVKK oder DSGVO ab?

Teilweise überlappend, aber nicht dasselbe. ISO 27001 ist ein Managementsystem-Standard für Informationssicherheit und berührt Datenschutz nur dort, wo Sicherheitskontrollen personenbezogene Daten schützen; KVKK und DSGVO setzen rechtliche Pflichten — Rechtsgrundlage, Rechte der betroffenen Personen, Benachrichtigung bei Datenpannen, Übermittlungsregeln —, die ein ISMS stützen, aber nicht für sich erfüllen. Viele Unternehmen führen beide Programme mit gemeinsamen Ergebnissen, und die Rechtsfragen bleiben bei einer qualifizierten Beratung; die KVKK-/DSGVO-Pflichten rund um Anbieter und Hosting behandelt die IT-Outsourcing-Seite.

Quellen und Standards

Der Standard selbst ist ISO/IEC 27001, veröffentlicht von ISO (https://www.iso.org); die geprüften Anforderungen sind die Klauseln 4–10 und das Kontrollset aus Anhang A, das in der Version von 2022 93 Referenzkontrollen enthält. Zertifizierungen werden von akkreditierten Zertifizierungsstellen durchgeführt, die nach ISO/IEC 17021 arbeiten; diese Seite erhebt keinerlei Zertifizierungsanspruch.
Prozess-, Ergebnis- und Lückenaussagen folgen der allgemeinen Praxis für Gap-Analysen (Abgrenzung, Dokumentenprüfung, Interviews, technische Stichproben, Lückenregister mit Schweregradbewertung, Maßnahmenroadmap, Entwurf der Erklärung zur Anwendbarkeit); auf dieser Seite erscheinen keine Dauern, Kosten oder Erfolgsquoten.
Aussagen zum Zertifizierungsprozess (Stufe-1-Dokumentenaudit, Stufe-2-Umsetzungsaudit, Überwachungsaudits) folgen dem veröffentlichten Zertifizierungsrahmen des Standards; bestätigen Sie die aktuellen Regeln mit der von Ihnen gewählten Zertifizierungsstelle.
Nirgends auf dieser Seite wird behauptet, WorldwideTradeX sei ISO-27001-zertifiziert oder akkreditiert, und es wird keine Zertifizierungsgarantie gegeben; Datenschutzpflichten werden benannt, nicht ausgelegt — bestätigen Sie den anwendbaren Rechtsrahmen mit einer qualifizierten Beratung.