Gap-Analyse: Methoden und Vorgehensmodelle für ISO 27001, BSI IT-Grundschutz und NIS-2

Sie stehen vor der Herausforderung, Ihr Unternehmen auf ISO 27001, BSI IT-Grundschutz oder das NIS-2-Umsetzungsgesetz vorzubereiten – und fragen sich, wo Sie anfangen sollen? Die Antwort lautet: mit einer Gap-Analyse. Diese strukturierte Methode zeigt Ihnen präzise, wo Ihre Organisation steht und wo konkret Handlungsbedarf besteht. In diesem Artikel erfahren Sie, welche Vorgehensmodelle und Bewertungsmethoden sich in der Praxis bewährt haben und wie Sie die Ergebnisse in einen wirksamen Maßnahmenplan überführen.

Was ist eine Gap-Analyse?

Eine Gap-Analyse – auch Reifegradanalyse, Compliance-Assessment oder Ist-Soll-Vergleich genannt – ist ein strukturierter Abgleich zwischen dem aktuellen Zustand Ihrer Sicherheitsmaßnahmen und den Anforderungen aus Normen, Standards oder Gesetzen. Der Begriff „Gap" (englisch für „Lücke") beschreibt die Differenz zwischen IST und SOLL.

Im Kontext der Informationssicherheit bewertet eine Gap-Analyse systematisch alle relevanten Bereiche: technische Kontrollen wie Zugriffsmanagement und Verschlüsselung, organisatorische Aspekte wie Richtlinien und Prozesse sowie personelle Faktoren wie Verantwortlichkeiten und Schulungen.

Das Ergebnis ist ein detaillierter Überblick über Stärken und Schwächen Ihrer aktuellen Sicherheitsarchitektur. Daraus lässt sich eine priorisierte Roadmap ableiten, die den Weg zur Zertifizierung oder Gesetzeskonformität planbar macht.

Anwendungsbereiche: ISO 27001, BSI IT-Grundschutz und NIS-2

Eine Gap-Analyse eignet sich für verschiedene Compliance-Ziele. Die drei wichtigsten Frameworks in Deutschland sind:

ISO 27001 definiert in den Klauseln 4-10 Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) und listet 93 Referenzkontrollen im Anhang A. Eine Gap-Analyse prüft sowohl die Managementsystem-Anforderungen als auch die technischen Kontrollen.

BSI IT-Grundschutz bietet mit dem IT-Grundschutz-Kompendium einen detaillierten Maßnahmenkatalog. Die Gap-Analyse erfolgt hier oft im Rahmen des IT-Grundschutz-Checks, der den Umsetzungsstand der Bausteinanforderungen bewertet.

NIS-2 verpflichtet betroffene Unternehmen zur Umsetzung der zehn Mindestmaßnahmen nach § 30 BSIG. Eine Gap-Analyse zeigt, welche Anforderungen bereits erfüllt sind und wo Nachholbedarf besteht. Mit unserer NIS-2 Gap-Analyse unterstützen wir Sie dabei, Ihren aktuellen Compliance-Status systematisch zu ermitteln und einen klaren Fahrplan zur Umsetzung zu entwickeln.

Die gute Nachricht: Diese Frameworks überschneiden sich erheblich. Eine integrierte Gap-Analyse kann alle drei parallel adressieren und Synergien identifizieren. Wenn Sie noch unsicher sind, welcher Standard für Ihre Organisation am besten passt, hilft unser Vergleich: ISO 27001 vs. BSI IT-Grundschutz bei der Entscheidung.

Vorgehensmodelle: Drei Ansätze im Vergleich

Für die Durchführung einer Gap-Analyse haben sich drei grundlegende Vorgehensmodelle etabliert. Jedes hat spezifische Stärken und eignet sich für unterschiedliche Ausgangssituationen.

Top-Down-Ansatz: Normgetrieben

Der Top-Down-Ansatz startet bei den Anforderungen des gewählten Frameworks und prüft systematisch, ob und wie diese im Unternehmen umgesetzt sind.

Vorgehensweise:

1. Vollständige Anforderungsliste des Frameworks erstellen
2. Für jede Anforderung den aktuellen Umsetzungsstand erheben
3. Gaps dokumentieren und priorisieren

Vorteile:

• Vollständigkeit garantiert – keine Anforderung wird übersehen
• Strukturierte, nachvollziehbare Dokumentation
• Direkt auf Zertifizierung oder Compliance-Nachweis ausgerichtet
• Gut geeignet für externe Audits

Nachteile:

• Kann bei unreifen Organisationen überwältigend wirken
• Risiko, vorhandene Stärken zu übersehen
• Hoher initialer Aufwand für Anforderungskatalog

Geeignet für: Unternehmen mit klarem Zertifizierungsziel, fortgeschrittene Organisationen, Vorbereitung auf externe Audits

Bottom-Up-Ansatz: Bestandsorientiert

Der Bottom-Up-Ansatz beginnt bei den vorhandenen Sicherheitsmaßnahmen und ordnet diese den Framework-Anforderungen zu.

Vorgehensweise:

1. Inventarisierung aller bestehenden Sicherheitsmaßnahmen
2. Zuordnung der Maßnahmen zu Framework-Anforderungen (Mapping)
3. Identifikation nicht abgedeckter Anforderungen

Vorteile:

• Wertschätzung bestehender Maßnahmen
• Motivation für das Team – vorhandene Stärken werden sichtbar
• Schneller Überblick über den aktuellen Stand
• Geringerer psychologischer Widerstand

Nachteile:

• Risiko, Anforderungen zu übersehen
• Mapping kann aufwendig und interpretationsbedürftig sein
• Weniger geeignet für formale Compliance-Nachweise

Geeignet für: Organisationen mit gewachsenen Strukturen, erste Standortbestimmung, Change-Management-sensitive Umgebungen

Hybrid-Ansatz: Das Beste aus beiden Welten

Der Hybrid-Ansatz kombiniert Top-Down- und Bottom-Up-Elemente zu einem pragmatischen Vorgehen.

Vorgehensweise:

1. Grobe Bestandsaufnahme vorhandener Maßnahmen (Bottom-Up)
2. Systematische Prüfung gegen Anforderungskatalog (Top-Down)
3. Abgleich und Konsolidierung der Ergebnisse
4. Priorisierung nach Risiko und Aufwand

Vorteile:

• Vollständigkeit bei gleichzeitiger Würdigung des Bestands
• Flexibel anpassbar an Organisationskultur
• Effiziente Ressourcennutzung
• Ausgewogene Ergebnisdarstellung

Nachteile:

• Erfordert Erfahrung in der Methodenkombination
• Komplexere Projektsteuerung

Geeignet für: Die meisten Organisationen, insbesondere bei erstmaliger Gap-Analyse

Entscheidungshilfe: Welches Modell passt?

Ausgangssituation	Empfohlenes Modell
Klares Zertifizierungsziel in 12 Monaten	Top-Down
Erste Orientierung, Reifegrad unbekannt	Bottom-Up
Gewachsene Strukturen, pragmatisches Vorgehen	Hybrid
Regulatorischer Druck (z.B. NIS-2)	Top-Down oder Hybrid
Change-sensitive Organisation	Bottom-Up, dann Hybrid

Bewertungsmethoden: Wie Gaps gemessen werden

Die Bewertung des Umsetzungsstands kann mit unterschiedlicher Granularität erfolgen. Die Wahl der Methode beeinflusst sowohl den Analyseaufwand als auch die Aussagekraft der Ergebnisse.

Binärer Compliance-Check

Die einfachste Form bewertet jede Anforderung mit „erfüllt" oder „nicht erfüllt".

Anwendung:

• Schnelle Ersteinschätzung
• Regulatorische Mindestanforderungen (z.B. NIS-2)
• Vorbereitung auf Zertifizierungsaudits

Bewertungskategorien:

Status	Bedeutung
Erfüllt	Anforderung vollständig umgesetzt
Nicht erfüllt	Anforderung nicht oder unzureichend umgesetzt
Nicht anwendbar	Anforderung für den Scope nicht relevant

Vorteil: Eindeutige Aussagen, geringer Bewertungsaufwand

Nachteil: Keine Differenzierung bei teilweiser Umsetzung

Dreistufige Bewertung

Eine Erweiterung des binären Modells um eine Zwischenstufe.

Bewertungskategorien:

Status	Bedeutung
Erfüllt	Anforderung vollständig umgesetzt und dokumentiert
Teilweise erfüllt	Maßnahmen vorhanden, aber unvollständig oder nicht dokumentiert
Nicht erfüllt	Keine relevanten Maßnahmen implementiert

Vorteil: Differenziertere Aussage bei vertretbarem Aufwand

Nachteil: „Teilweise erfüllt" kann interpretationsbedürftig sein

Reifegradmodell (Capability Maturity Model)

Reifegradmodelle bewerten nicht nur ob, sondern wie gut eine Anforderung umgesetzt ist. Sie orientieren sich häufig am CMMI (Capability Maturity Model Integration) oder dem COBIT-Framework der ISACA.

Typische fünfstufige Skala:

Stufe	Bezeichnung	Beschreibung
0	Nicht existent	Keine Maßnahmen vorhanden
1	Initial/Ad-hoc	Maßnahmen existieren, aber unsystematisch und personenabhängig
2	Wiederholbar	Prozesse sind definiert und werden konsistent angewendet
3	Definiert	Prozesse sind dokumentiert, standardisiert und kommuniziert
4	Gesteuert	Prozesse werden gemessen, überwacht und kontinuierlich verbessert

Erweitertes Modell mit sechs Stufen (angelehnt an ISO/IEC 33001):

Stufe	Bezeichnung	Kriterien
0	Unvollständig	Prozess nicht implementiert oder verfehlt seinen Zweck
1	Durchgeführt	Prozess erreicht seinen Zweck, aber nicht gesteuert
2	Gesteuert	Prozess geplant, überwacht und angepasst; Arbeitsergebnisse etabliert
3	Etabliert	Standardprozess definiert und organisationsweit angewendet
4	Vorhersagbar	Prozess innerhalb definierter Grenzen konsistent durchgeführt
5	Optimierend	Prozess kontinuierlich verbessert zur Erreichung von Geschäftszielen

Vorteil: Differenzierte Aussagen, Verbesserungspotenziale sichtbar, gut für Trendanalysen

Nachteil: Höherer Bewertungsaufwand, Schulung der Assessoren erforderlich

Scoring-Modelle

Scoring-Modelle weisen Anforderungen numerische Werte zu und ermöglichen quantitative Auswertungen.

Beispiel: Gewichtetes Scoring

• Jede Anforderung erhält eine Gewichtung (z.B. 1-3 nach Kritikalität)
• Umsetzungsgrad wird prozentual bewertet (0-100%)
• Gesamtscore = Summe (Gewichtung × Umsetzungsgrad)

Anwendung:

• Vergleich zwischen Bereichen oder Standorten
• Fortschrittsmessung über Zeit
• Management-Reporting und Dashboards

Vorteil: Quantifizierbare Ergebnisse, gut für Reporting

Nachteil: Scheingenauigkeit, Gewichtung subjektiv

Entscheidungshilfe: Welche Bewertungsmethode?

Ziel	Empfohlene Methode
Schnelle Ersteinschätzung	Binär oder dreistufig
Zertifizierungsvorbereitung	Dreistufig oder Reifegradmodell
Kontinuierliche Verbesserung	Reifegradmodell
Management-Reporting	Scoring mit Reifegradmodell
Benchmarking zwischen Bereichen	Scoring

Der Gap-Analyse-Prozess: Schritt für Schritt

Unabhängig vom gewählten Vorgehensmodell folgt eine professionelle Gap-Analyse einem strukturierten Prozess.

Phase 1: Vorbereitung und Scoping

Ziele definieren: Was soll die Gap-Analyse erreichen? Zertifizierung, Compliance-Nachweis oder Standortbestimmung?

Scope festlegen: Welche Bereiche, Standorte, Systeme werden analysiert? ISO 27001 erlaubt einen begrenzten Scope, NIS-2 gilt automatisch für alle regulierten Dienste.

Team zusammenstellen: Idealerweise ein erfahrener ISB als Projektleitung, ergänzt durch IT-Verantwortliche, HR-Vertreter und Fachbereichsleiter.

Zeitplan und Ressourcen: Realistische Planung unter Berücksichtigung der Verfügbarkeit von Interviewpartnern.

Phase 2: Informationserhebung

Die Erhebung erfolgt über mehrere Kanäle:

Dokumentenanalyse:

• Sicherheitsrichtlinien und -konzepte
• Prozessbeschreibungen und Arbeitsanweisungen
• Netzwerkpläne und Systemdokumentation
• Verträge mit Dienstleistern
• Schulungsnachweise und Audit-Protokolle

Interviews:

• Strukturierte Gespräche mit Schlüsselpersonen
• Fokus auf gelebte Praxis, nicht nur Dokumentation
• Typische Themen: Incident-Handling, Berechtigungsmanagement, Backup-Prozesse

Begehungen:

• Physische Sicherheitsmaßnahmen
• Serverräume, Arbeitsplätze, Zugangskontrolle
• Abgleich zwischen Dokumentation und Realität

Technische Prüfungen:

• Konfigurationsreviews (optional)
• Stichproben bei Systemeinstellungen
• Überprüfung von Logfiles und Monitoring

Phase 3: Bewertung und Analyse

Anforderungen durchgehen: Systematische Bewertung jeder Anforderung anhand der gewählten Methode.

Evidenzen dokumentieren: Jede Bewertung wird mit Nachweisen untermauert – Dokumente, Screenshots, Interviewnotizen.

Gaps identifizieren: Wo weicht der IST-Zustand vom SOLL ab? Welche Anforderungen sind nicht oder nur teilweise erfüllt?

Ursachenanalyse: Warum existieren die Gaps? Fehlendes Bewusstsein, mangelnde Ressourcen, technische Limitierungen?

Phase 4: Priorisierung und Roadmap

Nicht alle Gaps sind gleich kritisch. Die Priorisierung berücksichtigt:

Risikobewertung: Welche Auswirkungen hat die Lücke auf die Informationssicherheit?

Compliance-Kritikalität: Ist die Anforderung zwingend für Zertifizierung oder gesetzliche Compliance?

Aufwand-Nutzen-Verhältnis: Quick Wins identifizieren, die mit geringem Aufwand große Wirkung erzielen.

Abhängigkeiten: Welche Maßnahmen müssen vor anderen umgesetzt werden?

Ergebnis: Eine priorisierte Maßnahmenliste mit Zeitplan, Verantwortlichkeiten und geschätztem Ressourcenbedarf.

Phase 5: Berichterstattung

Ein professioneller Gap-Analyse-Bericht enthält:

1. Executive Summary: Kernaussagen für die Geschäftsführung
2. Methodik: Vorgehensmodell, Bewertungsmethode, Scope
3. Gesamtbewertung: Übersicht über den Compliance-Status
4. Detailbefunde: Bewertung pro Anforderungsbereich mit Evidenzen
5. Gap-Übersicht: Priorisierte Liste aller identifizierten Lücken
6. Maßnahmenplan: Empfehlungen mit Zeitrahmen und Ressourcenschätzung
7. Anhänge: Checklisten, Interviewprotokolle, Dokumentenliste

Typische Gaps und ihre Ursachen

Bestimmte Lücken tauchen in Gap-Analysen regelmäßig auf:

Gap	Typische Ursache	Lösungsansatz
Fehlende Dokumentation	Maßnahmen existieren, wurden aber nie verschriftlicht	Dokumentationsprojekt mit Templates
Veraltete Richtlinien	Kein Review-Prozess etabliert	Jährlichen Review-Zyklus einführen
Unklare Verantwortlichkeiten	Informationssicherheit als „IT-Thema" verstanden	RACI-Matrix erstellen, Governance stärken
Mangelhaftes Risikomanagement	Fehlende Methodik oder Ressourcen	Risikomanagement-Prozess aufsetzen
Lücken im Incident Management	Keine definierten Prozesse	Incident-Response-Plan entwickeln
Vernachlässigte Lieferkette	Neues Thema, geringe Awareness	Lieferantenbewertung einführen
Unzureichende Schulungen	Budget oder Priorität fehlt	Schulungsprogramm aufbauen

Aufwand und Dauer: Der Reifegrad entscheidet

Ein verbreiteter Irrtum ist die Annahme, dass eine Gap-Analyse bei geringem Reifegrad besonders aufwendig sei. Das Gegenteil ist oft der Fall: Wo wenig existiert, kann auch weniger bewertet werden.

Geringe Reife: Schnelle Analyse, umfangreiche Umsetzung

Verfügt ein Unternehmen über kaum dokumentierte Prozesse, ist die eigentliche Gap-Analyse vergleichsweise schnell durchgeführt. Es gibt schlicht wenig zu sichten. Die Ergebnisse sind dann oft eindeutig: Die meisten Anforderungen sind nicht erfüllt.

Der eigentliche Aufwand verlagert sich in die Umsetzungsphase. Hier müssen Richtlinien erstellt, Prozesse definiert und Maßnahmen implementiert werden. Diese Phase kann 12-24 Monate dauern. Mehr zur realistischen Zeitplanung erfahren Sie im Artikel ISMS implementieren: Warum ISO 27001 in drei Tagen nicht funktionieren kann.

Hohe Reife: Intensive Analyse, gezielte Optimierung

Unternehmen mit gewachsenen Strukturen erfordern eine intensivere Analysephase. Bestehende Dokumentation muss gesichtet, auf Aktualität geprüft und gegen die Anforderungen abgeglichen werden. Der Vorteil: Die Umsetzungsphase beschränkt sich auf gezielte Nachbesserungen.

Orientierungswerte

Ausgangssituation	Analysedauer	Umsetzungsdauer
Nahezu keine Strukturen	1-2 Wochen	12-24 Monate
Grundlegende Maßnahmen	2-4 Wochen	6-12 Monate
Etabliertes ISMS	4-8 Wochen	3-6 Monate

Checkliste: Gap-Analyse für Informationssicherheit

Diese Checkliste gibt Ihnen einen Überblick über die wichtigsten Prüfbereiche:

Governance und Organisation

• Informationssicherheitsleitlinie vorhanden und freigegeben?
• Rollen und Verantwortlichkeiten definiert?
• Geschäftsführung nachweislich eingebunden?
• Informationssicherheitsbeauftragter benannt?

Risikomanagement

• Dokumentierte Risikomanagement-Methodik?
• Aktuelle Risikoanalyse durchgeführt?
• Risikobehandlungsplan vorhanden?
• Regelmäßige Neubewertung etabliert?

Asset-Management

• Vollständiges Asset-Inventar?
• Assets klassifiziert?
• Verantwortliche (Owner) benannt?

Zugriffsmanagement

• Berechtigungskonzept vorhanden?
• Regelmäßige Rezertifizierung?
• Multi-Faktor-Authentifizierung für kritische Systeme?

Betriebssicherheit

• Patch- und Schwachstellenmanagement?
• Backup-Prozesse definiert und getestet?
• Logging und Monitoring etabliert?

Incident Management

• Prozess für Erkennung und Reaktion?
• Incident-Response-Plan dokumentiert?
• Meldefristen einhaltbar (24h/72h für NIS-2)?

Business Continuity

• Business-Continuity-Plan vorhanden?
• Notfallübungen durchgeführt?
• Recovery-Zeiten definiert und getestet?

Lieferkettensicherheit

• Sicherheitsanforderungen vertraglich vereinbart?
• Dienstleister regelmäßig überprüft?
• Bewertungsprozess für neue Lieferanten?

Schulung und Awareness

• Regelmäßige Awareness-Schulungen?
• Teilnahme dokumentiert?
• Spezifische Schulungen für kritische Rollen?

Fazit: Gap-Analyse als Fundament für Informationssicherheit

Die Gap-Analyse ist der unverzichtbare erste Schritt auf dem Weg zu ISO 27001, BSI IT-Grundschutz oder NIS-2 Compliance. Sie schafft Transparenz, identifiziert konkrete Handlungsfelder und ermöglicht fundierte Ressourcenplanung.

Die Wahl des Vorgehensmodells – Top-Down, Bottom-Up oder Hybrid – sollte zur Organisationskultur und zum Ziel passen. Die Bewertungsmethode richtet sich nach dem gewünschten Detailgrad: Binäre Checks für schnelle Ersteinschätzungen, Reifegradmodelle für kontinuierliche Verbesserung.

Entscheidend ist: Eine Gap-Analyse ist keine einmalige Übung, sondern sollte regelmäßig wiederholt werden – mindestens jährlich oder nach signifikanten Änderungen an Systemen, Prozessen oder regulatorischen Anforderungen.

Ihr nächster Schritt: Wählen Sie das passende Vorgehensmodell für Ihre Situation und starten Sie mit der Scope-Definition. Bei Unsicherheit empfiehlt sich der Hybrid-Ansatz – er kombiniert Vollständigkeit mit Pragmatismus.

Nach der Gap-Analyse folgt die Umsetzungsphase. Die Ergebnisse bilden die Grundlage für einen priorisierten Maßnahmenplan, mit dem sich eine ISO 27001-Zertifizierung oder NIS-2-Compliance strukturiert erreichen lässt. Ein externer ISB kann Sie durch alle Phasen unterstützen und dabei helfen, Ihre Kosten für die Umsetzung zu optimieren. Wenn Sie sich fragen, welches externe Beratungsmodell für Ihr Unternehmen am besten passt, hilft der Vergleich vCISO vs. externer ISB.

Für eine realistische Budgetplanung sollten Sie auch die ISO 27001-Kosten berücksichtigen, die von der Gap-Analyse über die Implementierung bis zur Zertifizierung entstehen.

Sie möchten Ihre Compliance-Readiness professionell bewerten lassen? Unsere NIS-2 Gap-Analyse liefert Ihnen eine fundierte Standortbestimmung mit priorisiertem Maßnahmenplan.