Kurzantwort: Eine Gap-Analyse vergleicht den Ist-Zustand eines Unternehmens mit dem, was ein bestimmtes Regelwerk verlangt, und macht daraus eine Liste mit Reihenfolge. Sie funktioniert für ISO 27001 genauso wie für NIS-2 oder den Cyber Resilience Act, weil sie nicht am einzelnen Regelwerk hängt, sondern am Vergleich: Anforderung gegen Ist-Zustand. Eine Risikobeurteilung ist sie nicht, ein Audit auch nicht, und ein Sicherheitstest schon gar nicht.
„Gap-Analyse“ ist ein Sammelbegriff, und deshalb sind Angebote dazu so schwer vergleichbar. Zwei Anbieter können dasselbe Wort verwenden und Verschiedenes liefern. Es gibt zwei Grundvarianten, ein typisches Ergebnis und drei klare Grenzen.
Zwei Fragen, zwei verschiedene Analysen
Die entscheidende Weiche ist die Frage, die das Unternehmen tatsächlich stellt.
| Die Frage dahinter | Was die Analyse tut | Was am Ende dasteht |
|---|---|---|
| „Wie weit bin ich von ISO 27001, von NIS-2 oder vom Cyber Resilience Act entfernt?“ | Vollständige Standortbestimmung. Der gesamte Anforderungskatalog wird an dem gemessen, was tatsächlich da ist. | Ein vollständiges Bild: was erfüllt ist, was teilweise, was gar nicht. |
| „Ich habe schon Managementsysteme — was fehlt mir noch für die Zertifizierung?“ | Erhebung nur der Differenz. Vorhandene Prozesse, Rollen und Dokumente werden vorab anerkannt und nicht erneut aufgenommen. | Eine kürzere, konkretere Liste, oft mit Wiederverwendung statt Neuaufbau. |
Der Unterschied ist keine Frage der Methode, sondern des Zuschnitts. Ein Unternehmen mit einem gelebten Qualitätsmanagement bringt vieles schon mit: geregelte Ablage und Versionierung von Dokumenten, interne Audits, eine Bewertung durch die Geschäftsführung in geplanten Abständen. Wer das vorab anerkennt, spart die Erhebung; wer die volle Standortbestimmung fährt, bekommt dieselben Punkte noch einmal bestätigt und zahlt den Aufwand dafür. Falsch ist keine der beiden Varianten — teuer wird die zweite nur, wenn sie ohne Grund gewählt wird.
Was vor der ersten Frage passiert
Eine belastbare Gap-Analyse setzt nicht beim Anforderungskatalog an. Zwei Schritte liegen davor.
Erstens die Plausibilitätsprüfung der Betroffenheit. Bevor gegen ein Regelwerk geprüft wird, gehört geklärt, ob es überhaupt das richtige ist und ob nicht ein zweites dazukommt. Ein Softwarehersteller, der wegen NIS-2 anfragt, fällt womöglich zusätzlich unter den Cyber Resilience Act, weil er ein Produkt in Verkehr bringt. Bringt er zusätzlich ein KI-System auf den Markt, kommt der AI Act als drittes Regelwerk in Betracht. Diese Prüfung fachlich zu führen, statt sie dem Unternehmen selbst zu überlassen, ist der Unterschied zwischen einer Analyse und einer abgearbeiteten Checkliste. Für NIS-2 ist der eigene Schritt dafür die Betroffenheitsprüfung.
Zweitens das Gespräch. Wie hat die Geschäftsführung die Anforderung verstanden, was ist im Haus schon einmal versucht worden, wo klemmt es? Erst wenn dieses Bild steht, sind die Fragen des Katalogs sinnvoll zu stellen. Dieselbe Frage bedeutet in einem Produktionsbetrieb mit zwei IT-Mitarbeitern etwas anderes als in einem Dienstleistungsunternehmen mit ausgelagertem Betrieb.
Wer diese beiden Schritte überspringt, bekommt Antworten auf Fragen, die niemand richtig verstanden hat. Der Bericht sieht dann vollständig aus, ohne es zu sein.
Gap-Analyse ist keine Risikobeurteilung
Die beiden Begriffe werden regelmäßig vermischt, und die Verwechslung führt zu Projekten, die an der falschen Stelle beginnen. Der Unterschied lässt sich an der Frage festmachen, die jeweils beantwortet wird. Gemeint ist mit Risikobeurteilung dabei der gesamte Vorgang aus Identifikation, Analyse und Bewertung von Risiken — umgangssprachlich meist verkürzt zu „Risikoanalyse“.
| Gap-Analyse | Risikobeurteilung | |
|---|---|---|
| Die Frage | Was verlangt das Regelwerk, und was davon habe ich schon? | Was bedroht dieses Unternehmen, und wie schwer wäre der Schaden? |
| Der Maßstab | Ein äußerer Katalog: Norm, Gesetz, Verordnung | Das Unternehmen selbst: Werte, Abhängigkeiten, Bedrohungen |
| Das Ergebnis | Welche Lücken bestehen und in welcher Reihenfolge sie zu schließen sind | Welche Risiken bestehen, mit welcher Wahrscheinlichkeit und Auswirkung, und wie sie behandelt werden |
Beide ersetzen einander nicht. Bei ISO 27001 lässt sich das gut zeigen: Welche Maßnahmen ein Unternehmen braucht, ergibt sich aus der Risikobeurteilung. Anhang A mit seinen 93 Maßnahmen ist dabei kein Wunschzettel, sondern eine Abgleichsliste — für jede einzelne Maßnahme ist in der Erklärung zur Anwendbarkeit zu dokumentieren, ob sie zutrifft oder nicht und warum. Ausgelassen wird also nichts, es wird begründet.
Dazu kommt der Teil der Norm, der in der Diskussion regelmäßig untergeht: Die Managementsystem-Anforderungen in den Kapiteln 4 bis 10 sind der eigentlich auditierbare Kern. Eine Gap-Analyse, die nur Anhang A abfragt, deckt die halbe Norm ab.
Praktisch heißt das: Wer eine Zertifizierung anstrebt, braucht beides. Die Gap-Analyse sagt, wie weit der Weg ist. Die Risikobeurteilung sagt, welche Maßnahmen auf diesem Weg überhaupt gebraucht werden.
Wie aus einer Liste von Lücken eine Reihenfolge wird
Der Bericht ist noch nicht das Ergebnis. Das Ergebnis ist die Reihenfolge.
Eine brauchbare Priorisierung mischt mehrere Kriterien, statt einem einzigen zu folgen:
- Fristen. Was das Gesetz mit einer Frist versieht, bestimmt die Reihenfolge mit. Über eine Frist lässt sich nicht verhandeln.
- Wirkung. Manche Maßnahmen ziehen ein Dutzend Anforderungen mit, andere decken genau einen Punkt ab. Erfahrungswerte darüber, was tatsächlich trägt, lassen sich aus keinem Katalog ablesen.
- Tempo. Wenn alle großen Brocken am Anfang stehen, passiert monatelang nichts Sichtbares, und das Projekt verliert den Rückhalt in der Organisation. Sichtbare Zwischenergebnisse sind ein Steuerungsinstrument.
Was ein guter Bericht deshalb enthält: die Abweichung, die dazugehörige Handlungsempfehlung und den Grund, warum dieser Punkt an dieser Stelle steht. Ohne die Begründung entsteht eine Liste, die abgearbeitet, aber nicht verstanden wird.
Wo die Gap-Analyse aufhört
Der Umfang wird im Einzelfall festgelegt — der zweite Grund, warum Angebote so schwer zu vergleichen sind. Drei Abgrenzungen finden sich in den meisten Angeboten wieder.
Ein Penetrationstest gehört nicht dazu. Er prüft technische Angreifbarkeit, die Gap-Analyse die Erfüllung von Anforderungen. Beides kann sinnvoll sein; es sind zwei verschiedene Werkzeuge.
Die Zertifizierungsvorbereitung ist ein eigener Abschnitt. Die Analyse endet mit dem Maßnahmenplan. Alles danach — Aufbau, Einführung, Wirksamkeitsnachweis — ist Umsetzung.
Das interne Audit ist ein Pflichtschritt für sich. Internes Audit und Managementbewertung gehören zu den Anforderungen der Norm und müssen vor der Zertifizierung tatsächlich stattgefunden haben. TÜV SÜD beschreibt das Stufe-1-Audit als „eine Prüfung der Bereitschaft für das Stufe 2 Audit“. Geprüft wird dabei ausdrücklich, „ob interne Audits und Management-Bewertungen durchgeführt werden“. Eine Gap-Analyse zu Projektbeginn kann das nicht vorwegnehmen, weil zu diesem Zeitpunkt in der Regel noch kein Managementsystem für Informationssicherheit besteht, das sich auditieren ließe. Bei einem bestehenden ISMS sieht das anders aus; dann kann ein internes Audit Teil des Auftrags sein, dann aber als eigene Leistung neben der Gap-Analyse.
Selbst machen oder machen lassen
Die ehrliche Antwort: Selbst machen geht. Die Gesetzestexte sind frei zugänglich, die ISO-Normen gegen Gebühr, und Informationen dazu sind heute schneller verfügbar als je zuvor. Wer die Sache ernsthaft angeht, kommt weit.
Drei Dinge lassen sich damit trotzdem nicht ersetzen.
Die Einordnung der Anforderungen. Ein Katalog sagt, was gefordert ist. Er sagt nicht, wie streng eine Anforderung in diesem konkreten Unternehmen auszulegen ist und welche Nachweise tatsächlich verlangt werden. Diese Einordnung kommt aus der Erfahrung mit Prüfungen und nicht aus dem Text; Zeit allein ersetzt sie nicht.
Die Detailtiefe. Werkzeuge, die aus einem Fragebogen automatisch einen Reifegrad errechnen, liefern schnell ein Bild. Wie gut dieses Bild ist, hängt daran, wie gut die Eingaben sind. Wer die Fragen nicht einordnen kann, füllt sie plausibel aus und bekommt ein plausibles Ergebnis — das ist etwas anderes als ein richtiges.
Die Bearbeitungszeit. Sie fällt an, egal wer die Arbeit macht. Wer sie intern vergibt, nimmt jemanden aus dem Tagesgeschäft heraus.
Der externe Weg ist deshalb selten der einzig mögliche, aber oft der schnellere. Welcher Umfang im konkreten Fall passt, klärt sich am besten vorab in einem Gespräch; der Ablauf einer Gap-Analyse steht auf der Leistungsseite.
Häufige Fragen
Braucht ein Unternehmen mit bestehendem Managementsystem überhaupt eine Gap-Analyse?
Ja, aber einen anderen Zuschnitt. Statt der vollständigen Standortbestimmung genügt die Erhebung der Differenz: Was aus dem vorhandenen System lässt sich anrechnen, und was fehlt für das neue Ziel? Wer stattdessen von null erhebt, bezahlt die Bestätigung von Dingen, die längst funktionieren.
Kann eine Gap-Analyse mehrere Regelwerke gleichzeitig abdecken?
Ja, und das ist oft der effizientere Weg — allerdings mit einer Unterscheidung. Ob ein Unternehmen unter NIS-2 fällt und ob eines seiner Produkte unter den Cyber Resilience Act fällt, sind zwei voneinander unabhängige Fragen; inhaltlich verlangen die beiden Regelwerke Verschiedenes. Was sich überschneidet, ist die Arbeit dahinter: Prozesse, Zuständigkeiten, Nachweise, Meldewege. Wird gemeinsam erhoben, entsteht daraus ein Maßnahmenplan statt mehrerer, die dieselben Grundlagen mehrfach aufbauen.
Ersetzt ein GRC-Tool die Gap-Analyse?
Es strukturiert sie. Die Bewertung, ob eine Anforderung im konkreten Unternehmen erfüllt ist, trifft weiterhin ein Mensch. Ein Werkzeug ist so gut wie das Urteil, das hineingeht.
Lässt sich der Bericht bei der Zertifizierungsstelle vorlegen?
Er ist kein Nachweis gegenüber der Zertifizierungsstelle. Geprüft wird das tatsächlich eingeführte Managementsystem, nicht der Plan dafür. Der Bericht ist ein internes Steuerungsdokument.
Was, wenn die Analyse zeigt, dass fast nichts fehlt?
Dann war sie trotzdem sinnvoll, weil das nun belegt ist statt vermutet. Ein häufiger Befund ist auch, dass vieles vorhanden, aber nicht dokumentiert ist — und ohne Dokumentation ist es im Audit nicht nachweisbar. Genau diese Unterscheidung ist eines der Ergebnisse.
Quellen
- TÜV SÜD, „ISO 27001:2022 — die aktuelle Version im Überblick“ (Anhang A: 93 Maßnahmen in vier Themengruppen) — tuvsud.com
- TÜV SÜD, „Stufe 1, Stufe 2: Ihre Zertifizierungsschritte im Detail“ — tuvsud.com
- DQS, „ISO 27001 Annex A“ (93 Maßnahmen, vier Themengruppen) — dqsglobal.com
- DQS, „ISO 27001 Explained“ (Kapitel 4 bis 10 als auditierbare Anforderungen, Erklärung zur Anwendbarkeit, internes Audit und Managementbewertung) — dqsglobal.com
- ISO/IEC 27001:2022 — iso.org
- Richtlinie (EU) 2022/2555 (NIS-2) — EUR-Lex
- Verordnung (EU) 2024/2847 (Cyber Resilience Act) — EUR-Lex
