Leitfäden

ISO 27001 Gap-Analyse: wie weit ist Ihr ISMS von der Norm entfernt?

Vom NexoDocs-Team · wie wir Inhalte erstellen und prüfen

Die Gap-Analyse nach ISO 27001 (Lückenanalyse oder Selbstbewertung) vergleicht, was die Organisation heute in der Informationssicherheit tut, mit dem, was ISO/IEC 27001:2022 verlangt. Jede Anforderung der Abschnitte 4 bis 10 und jede der 93 Maßnahmen aus Anhang A wird als erfüllt, teilweise oder nicht erfüllt eingestuft, zusammen mit dem heute vorhandenen Nachweis. Ergebnis ist ein Erfüllungsgrad je Bereich und eine Lückenliste, aus der der Projektplan entsteht. Die Norm schreibt sie nicht vor, aber fast jede Einführung beginnt damit.

Ist eine Gap-Analyse für ISO 27001 Pflicht?

Nein. Kein Abschnitt von ISO/IEC 27001:2022 fordert eine Gap-Analyse, und die Zertifizierungsstelle prüft sie nicht als verpflichtende dokumentierte Information. Organisationen machen sie trotzdem, weil sie vor dem Einsatz von Zeit und Budget drei Fragen beantwortet: Wie viel fehlt, was kommt zuerst, und wie lange kann das Projekt dauern?

Sie dient außerdem als Ausgangsbasis. Einige Monate später mit derselben Datei wiederholt, zeigt sie der Leitung den Fortschritt des ISMS ohne eigenen Bericht. Wer bereits ein anderes ISO-Managementsystem betreibt (etwa ISO 9001), kann viele Anforderungen der Abschnitte 4 bis 10 erweitern, statt sie neu aufzubauen.

Was geprüft wird: Abschnitte 4 bis 10 und Anhang A

Die Selbstbewertung im NexoDocs-Kit (ISMS-GAP-01 Lückenanalyse) teilt die Norm auf zwei Tabellenblätter auf: „Abschnitte“ und „Anhang A“. Prüffragen und Maßnahmentitel sind eigene Formulierungen und dienen als Referenz: Die Norm wird mit Abschnitts- und Maßnahmennummer zitiert, nicht abgeschrieben.

Das sind 29 Prüffragen zu den Abschnitten und 93 Zeilen zu den Maßnahmen. Die Datei kennzeichnet die Maßnahmen, die in der Ausgabe 2022 neu hinzukamen, mit „(neu in 2022)“, zum Beispiel Informationen über die Bedrohungslage (5.7), Informationssicherheit für die Nutzung von Cloud-Diensten (5.23), Konfigurationsmanagement (8.9), Verhinderung von Datenlecks (8.12) und sichere Codierung (8.28). Bei Organisationen, die von der Ausgabe 2013 umsteigen, sind das meist die häufigsten Lücken.

Die Vorlage, sofort einsetzbar

ISMS-Dokumentationskit ISO 27001

84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.

Zum ISO-27001-Dokumentationskit (Einmalzahlung)

Gap-Analyse Schritt für Schritt

1. Einen vorläufigen Anwendungsbereich festlegen: welche Prozesse, Standorte, Systeme und Dienste dazugehören. Ohne Anwendungsbereich vermischt die Bewertung Dinge, die später ausgeschlossen werden.
2. Die Personen einbinden, die wissen, wie gearbeitet wird: ISMS-Manager, IT, die Eigentümer der wichtigsten Prozesse, Personal und, falls vorhanden, Recht oder Compliance.
3. Im Blatt „Abschnitte“ für jede Frage einen von drei Status wählen: Erfüllt, Teilweise oder Nicht erfüllt. „Nicht anwendbar“ gibt es hier nicht, weil die Abschnitte 4 bis 10 nicht ausgeschlossen werden können.
4. Im Blatt „Anhang A“ zuerst angeben, ob die Maßnahme anwendbar ist (vorläufige Entscheidung), dann ihren Status. Endgültig entschieden wird später in der Erklärung zur Anwendbarkeit.
5. Den aktuellen Nachweis eintragen: Dokument, Aufzeichnung, Ticket oder Konfiguration. Wenn Sie ihn nicht vorlegen können, wählen Sie „Teilweise“, auch wenn die Tätigkeit stattfindet.
6. Die „Übersicht“ prüfen: Erfüllungsgrad je Bereich, noch nicht bewertete Anforderungen und als nicht anwendbar markierte Maßnahmen.
7. Die roten Lücken mit Verantwortlichem und Termin in den Projektplan übernehmen, beginnend mit den Abschnitten 4 bis 6, von denen alles andere abhängt.

Wie der Erfüllungsgrad berechnet wird

In der Vorlage erhält jede Zeile je nach Status eine Punktzahl, und der Prozentsatz eines Bereichs ist der Durchschnitt der bewerteten Zeilen:

Beispiel: Hat Abschnitt 7 (5 Fragen) 2 erfüllt, 2 teilweise und 1 nicht erfüllt, ergibt sich (100 + 100 + 50 + 50 + 0) / 5 = 60 %. Die Übersicht arbeitet mit einer Ampel: Rot unter 50 %, Gelb von 50 bis 79 % und Grün ab 80 %. Noch nicht bewertete Zeilen zählen nicht zum Prozentsatz; deshalb zeigt die Übersicht getrennt, wie viele noch offen sind.

Was mit dem Ergebnis zu tun ist

• Nach Abhängigkeit priorisieren, nicht nach Aufwand: Ohne Kontext (4.1), Anwendungsbereich (4.3) und Methode der Risikobeurteilung (6.1.2) lassen sich Maßnahmen nicht sinnvoll auswählen.
• Den vorläufigen Status aus Anhang A als Entwurf der Erklärung zur Anwendbarkeit nutzen, ihn aber mit der Risikobeurteilung bestätigen.
• Die Lücken zu Arbeitspaketen bündeln (Governance, Risiko, Richtlinien und Maßnahmen, Personen, Lieferanten, Bewertung und Verbesserung) und mit Terminen in den Plan aufnehmen.
• Die Dauer aus dem Ergebnis ableiten: Viele rote Bereiche in den Abschnitten 4 bis 10 verlängern das Projekt meist stärker als einige offene technische Maßnahmen.
• Die Selbstbewertung vor dem Zertifizierungsaudit wiederholen und mit dem internen Audit (9.2) vergleichen: Eine Selbstbewertung fällt oft zu optimistisch aus.

Häufige Fehler

• „Erfüllt“ wählen, weil „wir das machen“, ohne einen Nachweis zeigen zu können.
• „Nicht anwendbar“ für die Abschnitte 4 bis 10 verwenden, die nicht ausgeschlossen werden können.
• Maßnahmen aus Anhang A aus Bequemlichkeit ausschließen, ohne Bezug zu den Risiken: Das hält in der Erklärung zur Anwendbarkeit nicht.
• Die Bewertung nur aus der IT heraus machen, ohne Personal, Einkauf oder Prozesseigentümer.
• Das Ergebnis in der Schublade lassen: Wird daraus kein Plan mit Verantwortlichen und Terminen, ist es wertlos.

Vorlage: die Lückenanalyse im ISO-27001-Kit

Das ISO-27001-Kit von NexoDocs auf Deutsch enthält die Selbstbewertung ISMS-GAP-01: eine Excel-Datei ohne Makros mit den 29 Prüffragen zu den Abschnitten 4 bis 10 und den 93 Maßnahmen aus Anhang A, dem Nachweis, den ein Auditor typischerweise verlangt, und dem Dokument des Kits, das jede Zeile abdeckt, dazu Auswahllisten für den Status, automatische Punktzahl und eine Übersicht je Bereich mit Ampel. Das Ausfüllen dauert ein bis zwei Stunden. Sie ist die erste Aufgabe im ISMS-Projektplan mit Gantt-Diagramm (ISMS-PRJ-01) desselben Kits, und ihr Ergebnis fließt in die Risikobeurteilung und die Erklärung zur Anwendbarkeit ein.

Nächster Schritt

Kostenlos testen oder direkt zur vollständigen Lösung.

ISMS-Dokumentationskit ISO 27001

84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.

Zum ISO-27001-Dokumentationskit (Einmalzahlung)

Kostenloses Muster

Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.

Kostenlose Probe herunterladen (Englisch)

Häufige Fragen

Verwandte Leitfäden

Aktualisiert: 2026-10-29