ISO 27001 Gap-Analyse: Wissen, wo Sie wirklich stehen

Wir erleben es immer wieder: im ersten Gespräch mit einem Unternehmen, das sich nach der ISO 27001 zertifizieren lassen möchte, fällt der Satz:

„Eigentlich machen wir schon ziemlich viel ganz gut.“

Auf die Frage, was genau dieses ziemlich viel umfasst, folgen dann

• eine Firewall;
• drei Laptops, bei denen die User keine lokalen Adminrechte haben;
• ein DSGVO-Verzeichnis der Verarbeitungstätigkeiten (Stand Mai 2018)
• und ein wöchentliches manuelles Backup des Servers (Freitag Nachmittag, wenn der Admin gerade keinen Urlaub hat und dran denkt).

Das ist nicht ungewöhnlich. Die meisten Unternehmen starten weder bei null noch mit einem fertigen Informationssicherheitsmanagementsystem. Sie haben manchmal technische Schutzmaßnahmen, funktionierende Prozesse und vernünftige Menschen, die Probleme lösen. Nur weiß zu Beginn niemand belastbar, welche Anforderungen der ISO 27001 damit bereits erfüllt werden, wie zuverlässig die vorhandenen Regelungen funktionieren und was bis zur Zertifizierung tatsächlich noch fehlt.

Genau diese Fragen beantwortet eine ISO 27001 Gap-Analyse.

Die kurze Antwort

Eine ISO 27001 Gap-Analyse ist eine strukturierte Soll-Ist-Aufnahme. Gemeinsam mit dem Unternehmen wird zunächst geklärt, was zertifiziert werden soll. Anschließend werden die Anforderungsbereiche der ISO 27001 systematisch betrachtet: Was ist bereits vorhanden? Wie wird heute gearbeitet? Wie verlässlich funktioniert das? Und welche Lücke besteht noch bis zu einem zertifizierungsfähigen Informationssicherheitsmanagementsystem, kurz ISMS?

Das Ergebnis sollte keine dekorative Ampelpräsentation sein. Eine gute Gap-Analyse liefert einen nachvollziehbaren Standort und einen umsetzbaren Plan:

• welche Anforderungen bereits weitgehend erfüllt sind;
• wo kleine Ergänzungen genügen;
• wo Prozesse oder Maßnahmen grundlegend aufgebaut werden müssen;
• welche Themen zuerst bearbeitet werden sollten;
• wer dafür voraussichtlich gebraucht wird;
• und welcher interne und externe Aufwand zu erwarten ist.

Damit wird aus „Wir wollen irgendwann ISO 27001 machen“ ein echtes Projekt.

Was ist eine ISO 27001 Gap-Analyse?

Eine Gap-Analyse vergleicht den gegenwärtigen Zustand eines Unternehmens mit einem gewünschten Zustand. Im ISO 27001-Kontext bildet die Norm das Soll. Das Ist besteht aber nicht nur aus Richtlinien und anderen Dokumenten. Entscheidend ist, wie das Unternehmen tatsächlich arbeitet.

Dabei werden drei Dinge miteinander verbunden:

1. der vorgesehene Anwendungsbereich des ISMS;
2. die Anforderungen der ISO 27001 (Kapitel 4-10 und und die relevanten Maßnahmen aus Anhang A);
3. die vorhandenen Prozesse, technischen Maßnahmen, Verantwortlichkeiten und Nachweise des Unternehmens.

Für die einzelnen Themen wird anschließend betrachtet, wie groß die Lücke ist und welchen Reifegrad die heutige Arbeitsweise besitzt.

Der Ausdruck Anforderungsbereiche passt dafür besser als Pakete. Er umfasst sowohl die Anforderungen an das Managementsystem in den Kapiteln 4 bis 10 als auch die für das Unternehmen relevanten Sicherheitsmaßnahmen aus Anhang A. Eine Gap-Analyse arbeitet diese Bereiche strukturiert durch, ohne so zu tun, als hätten alle denselben Umfang oder dieselbe Bedeutung.

Der Anwendungsbereich kommt zuerst

Bevor jemand Tabellen mit Normanforderungen öffnet, muss klar sein, worauf die Analyse überhaupt schaut. Geht es um das gesamte Unternehmen? Nur um eine bestimmte Dienstleistung? Um mehrere Standorte? Um eine einzelne Gesellschaft innerhalb einer Unternehmensgruppe?

Der Anwendungsbereich bestimmt, welche Personen, Prozesse, Systeme, Standorte und Lieferanten betrachtet werden müssen. Ohne ihn ist jede Aussage über vorhandene oder fehlende Anforderungen unscharf.

Ein Beispiel: Ein Unternehmen möchte den Betrieb eines Cloudprodukts zertifizieren lassen. Dann genügt es nicht, nur die zentrale IT anzusehen. Entwicklung, Betrieb, Support, Personalprozesse, Einkauf und die für das Produkt eingesetzten Dienstleister können ebenso dazugehören. Umgekehrt muss nicht automatisch jede Nebentätigkeit und jeder Standort Teil des Zertifikats werden.

Wie man den ISO 27001-Anwendungsbereich sinnvoll festlegt, haben wir in einem eigenen Artikel beschrieben. Für die Gap-Analyse ist er der Rahmen, innerhalb dessen alle weiteren Aussagen gelten.

Welche Anforderungsbereiche werden betrachtet?

Eine vollständige Gap-Analyse beschränkt sich nicht auf IT-Sicherheitsmaßnahmen. ISO 27001 ist eine Norm für ein Managementsystem. Deshalb gehören unter anderem folgende Themen dazu:

• Kontext des Unternehmens und Erwartungen interessierter Parteien;
• Anwendungsbereich und Aufbau des ISMS;
• Verantwortung und Mitwirkung der Geschäftsleitung;
• Informationssicherheitspolitik, Rollen und Zuständigkeiten;
• Risikomanagement und Risikobehandlung;
• Informationssicherheitsziele und deren Planung;
• Kompetenz, Awareness und Kommunikation;
• Dokumentenlenkung und erforderliche dokumentierte Informationen;
• operative Steuerung der Sicherheitsprozesse;
• Messung, Internes Audit und Managementbewertung;
• Verbesserung und Umgang mit Nichtkonformitäten;
• relevante organisatorische, personelle, physische und technische Maßnahmen aus Anhang A.

Das bedeutet nicht, dass man in einem Workshop alle Maßnahmen vorliest und nach jeder Maßnahme ein Häkchen setzt. Die Anforderungen müssen in die Arbeitswirklichkeit des Unternehmens übersetzt werden. Bei einem Softwareunternehmen sehen die Gespräche anders aus als bei einem Rechenzentrum, einem Beratungsunternehmen oder einem produzierenden Betrieb.

Auch die vorhandenen ISO 27001-Dokumente sind nur ein Teil des Bildes. Eine hervorragend formulierte Richtlinie ist wenig wert, wenn niemand sie kennt oder befolgt. Umgekehrt kann ein Unternehmen einen sinnvollen Prozess leben, obwohl er noch nicht ausreichend beschrieben oder nachgewiesen ist.

Was bedeutet Reifegrad in einer Gap-Analyse?

Die spannendere Frage lautet häufig nicht nur: Ist etwas vorhanden? Sie lautet: Wie verlässlich funktioniert es?

Nehmen wir das Berechtigungsmanagement. Vielleicht weiß ein Administrator sehr genau, wer welche Rechte benötigt, und räumt Zugänge gewissenhaft auf. Das ist besser als nichts. Wenn dieses Wissen aber ausschließlich in seinem Kopf lebt, Urlaubsvertretungen improvisieren müssen und niemand regelmäßig überprüft, ob ausgeschiedene Mitarbeitende noch Zugriff besitzen, ist der Prozess noch nicht besonders reif.

Vereinfacht kann man Arbeitsweisen beispielsweise so einordnen:

1. Spontan: Es wird jeweils so gehandelt, wie es gerade sinnvoll erscheint.
2. Personenabhängig: Einzelne Personen wissen, wie es geht; das Unternehmen als Ganzes weiß es nicht unbedingt.
3. Festgelegt: Zuständigkeiten und Vorgehen sind verständlich beschrieben.
4. Gelebt: Die Beteiligten arbeiten tatsächlich nach dem festgelegten Vorgehen.
5. Gesteuert und verbessert: Das Unternehmen erkennt Abweichungen, bewertet die Wirksamkeit und entwickelt den Prozess gezielt weiter.

ISO 27001 verlangt kein bestimmtes universelles Fünf-Stufen-Modell. Eine Reifegradeinschätzung ist ein Hilfsmittel der Analyse, keine zusätzliche Normforderung. Sie verhindert aber, dass ein vorhandenes Dokument vorschnell mit einem funktionierenden Prozess verwechselt wird.

Außerdem besitzt ein Unternehmen selten den einen Reifegrad. Die technische Überwachung kann hervorragend organisiert sein, während das Lieferantenmanagement noch aus E-Mails, Erinnerungen und Hoffnung besteht. Eine Durchschnittsnote wie 3,7 sieht wissenschaftlich aus, kann aber wichtige Unterschiede verdecken. Hilfreicher ist eine nachvollziehbare Bewertung je Anforderungsbereich.

Wie läuft eine ISO 27001 Gap-Analyse ab?

1. Anlass und Ziel klären

Zu Beginn sollte feststehen, weshalb das Unternehmen ISO 27001 anstrebt. Fordert ein Kunde das Zertifikat? Gibt es eine Ausschreibung mit Frist? Soll ein wachsendes Unternehmen seine Arbeitsweise professionalisieren? Oder existiert bereits ein ISMS, dessen Zertifizierungsfähigkeit unklar ist?

Ziel und Deadline beeinflussen die Prioritäten. Ein Unternehmen mit einer verbindlichen Kundenvorgabe in neun Monaten braucht einen anderen Plan als eines, das zunächst seine Organisation verbessern möchte.

2. Den Anwendungsbereich festlegen

Das Unternehmen beschreibt, welche Produkte und Dienstleistungen es anbietet, welche davon durch das Zertifikat abgedeckt werden sollen und wie sie erbracht werden. Daraus wird gemeinsam ein sinnvoller Anwendungsbereich entwickelt.

Das Unternehmen muss den Scope also nicht allein im stillen Kämmerlein erfinden. Es muss aber verständlich erklären können, was es tut, für welche Leistungen Kunden den Nachweis verlangen und welche Organisationsteile daran beteiligt sind.

3. Vorhandene Informationen sichten

Organigramme, Prozessübersichten, bestehende Richtlinien, Assetlisten, Risikobewertungen, Lieferantenlisten und technische Konzepte helfen beim Einstieg. Sie sind aber keine Eintrittskarte: Eine Gap-Analyse ist auch dann möglich, wenn vieles noch nicht dokumentiert wurde. Gerade das kann schließlich eine der festgestellten Lücken sein.

4. Mit den richtigen Personen sprechen

Informationssicherheit findet nicht allein in der IT statt. Je nach Anwendungsbereich sollten deshalb Geschäftsleitung, IT, Personal, Einkauf, Entwicklung, Betrieb, Gebäudeverantwortliche und weitere Fachbereiche beteiligt werden.

Welche Rollen für die spätere Umsetzung gebraucht werden, beschreiben wir ausführlicher im Artikel zum ISO 27001-Projektteam. Für die Gap-Analyse gilt bereits: Wenn nur eine Person antwortet, erhält man vor allem ein Bild davon, wie diese eine Person das Unternehmen wahrnimmt.

5. Soll und Ist vergleichen

Nun werden die Anforderungsbereiche systematisch durchgegangen. Dabei geht es nicht nur um ja oder nein, sondern um Fragen wie:

• Wie läuft der Prozess heute tatsächlich ab?
• Wer ist verantwortlich?
• Woher wissen Beteiligte, was zu tun ist?
• Welche Systeme und Werkzeuge werden verwendet?
• Woran lässt sich erkennen, dass das Vorgehen eingehalten wird?
• Was passiert, wenn etwas nicht funktioniert?
• Wird aus Fehlern und Verbesserungspotenzial gelernt?

So wird sichtbar, ob eine Anforderung fehlt, teilweise erfüllt ist oder bereits belastbar umgesetzt wird.

6. Lücken bewerten und priorisieren

Nicht jede Lücke ist gleich groß. Eine fehlende Freigabe auf einer ansonsten passenden Richtlinie ist etwas anderes als ein nicht vorhandenes Risikomanagement. Ebenso unterscheiden sich Aufwand, Abhängigkeiten und Bedeutung für das Zertifizierungsaudit.

Deshalb sollten Lücken mindestens nach Größe, Dringlichkeit, Abhängigkeiten und voraussichtlichem Aufwand bewertet werden. Daraus ergibt sich eine sinnvolle Reihenfolge für die Umsetzung.

Was erhalten Sie am Ende?

Eine brauchbare Gap-Analyse sollte mindestens vier Ergebnisse liefern:

Einen nachvollziehbaren Standort

Sie sehen je Anforderungsbereich, was bereits vorhanden ist, wie reif die heutige Arbeitsweise ist und worauf diese Einschätzung beruht.

Eine konkrete Lückenliste

Die Analyse benennt nicht nur, dass etwas teilweise erfüllt ist. Sie beschreibt, was konkret fehlt. Beispielsweise: Verantwortlichkeiten sind bekannt, aber nicht festgelegt; Lieferanten wurden erfasst, aber noch nicht nach Sicherheitsrelevanz unterschieden; Notfallpläne existieren, wurden aber noch nicht erprobt.

Eine Priorisierung

Große strukturelle Themen beginnen früher. Kleine Ergänzungen können später erledigt werden. Abhängigkeiten werden sichtbar. Risikomanagement muss beispielsweise weit genug entwickelt sein, bevor sich die Auswahl und Begründung vieler Maßnahmen belastbar abschließen lässt.

Gap-Analyse, Internes Audit und Zertifizierungsaudit sind nicht dasselbe

Diese drei Formate werden gern durcheinandergeworfen. Sie haben jedoch unterschiedliche Aufgaben.

Eine Gap-Analyse dient der Standortbestimmung und Planung. Sie darf beratend sein. Die Person, die später bei der Umsetzung unterstützt, kann deshalb auch die Gap-Analyse durchführen und Empfehlungen geben.

Das Interne Audit ist eine ausdrückliche Normanforderung aus Abschnitt 9.2. Es prüft anhand eines Auditprogramms, ob das ISMS die eigenen und die normativen Anforderungen erfüllt und wirksam umgesetzt wird. Dabei sind Objektivität und Unparteilichkeit wichtig. Mehr dazu steht in unserem Artikel über das Interne Audit nach ISO 27001.

Das Zertifizierungsaudit wird schließlich durch eine unabhängige Zertifizierungsstelle durchgeführt. Deren Auditoren beraten nicht beim Aufbau des ISMS, sondern bewerten, ob die Voraussetzungen für die Zertifizierung erfüllt sind.

Eine Gap-Analyse kann also auf ein Zertifizierungsprojekt vorbereiten. Sie ersetzt weder das Interne Audit noch das Zertifizierungsaudit.

Typische Fehler bei einer Gap-Analyse

Der Anwendungsbereich bleibt unklar

Dann werden Anforderungen für irgendein gedachtes Unternehmen bewertet, aber nicht für den tatsächlich angestrebten Zertifikatsumfang.

Es wird nur die IT befragt

Damit bleiben Personal, Einkauf, Lieferanten, physische Sicherheit, Führung und viele organisatorische Prozesse unsichtbar. Das Ergebnis ist eine technische Sicherheitsprüfung, aber keine vollständige ISO 27001 Gap-Analyse.

Vorhanden bedeutet automatisch erfüllt

Eine Richtlinie, eine Excel-Liste oder ein Werkzeug beweist noch nicht, dass ein Prozess funktioniert. Die Analyse muss auch betrachten, wie gearbeitet wird.

Die Analyse erzeugt nur eine riesige Checkliste

Eine Liste mit 150 roten Zeilen beantwortet noch nicht, womit das Unternehmen anfangen soll. Ohne Prioritäten, Abhängigkeiten und verständliche Maßnahmenbeschreibung bleibt die Analyse selbst eine Lücke.

Der Reifegrad wird künstlich exakt

Nach zwei Gesprächen einen Gesamtreifegrad von 63,4 Prozent auszuweisen, ist mutig. Gute Bewertungen machen ihre Kriterien und Erkenntnisgrundlage transparent, statt Messgenauigkeit zu simulieren.

Die Analyse verspricht bereits das Zertifikat

Eine Gap-Analyse ist eine qualifizierte Momentaufnahme. Sie kann zeigen, was voraussichtlich zu tun ist. Ob die Organisation die Maßnahmen anschließend tatsächlich umsetzt und wirksam betreibt, entscheidet sich im Projekt – und später im Audit.

Für wen lohnt sich eine Gap-Analyse?

Besonders sinnvoll ist sie, wenn:

• Sie erstmals ein ISO 27001-Projekt planen;
• Sie Aufwand, Budget und Dauer noch nicht belastbar einschätzen können;
• ein Kunde oder eine Ausschreibung eine konkrete Frist setzt;
• bereits viele Sicherheitsmaßnahmen existieren, aber niemand deren Normabdeckung kennt;
• ein begonnenes Projekt feststeckt oder übernommen werden soll;
• sich Anwendungsbereich, Organisation oder Geschäftsmodell wesentlich verändert haben;
• oder Sie wissen möchten, ob ein vorhandenes ISMS tatsächlich zertifizierungsfähig ist.

Nicht jedes Unternehmen benötigt dafür ein monatelanges Vorprojekt. Die Analyse soll Unsicherheit verringern, nicht eine neue Beratungsindustrie vor die eigentliche Arbeit setzen. Umfang und Tiefe müssen zur Größe, Komplexität und Ausgangslage des Unternehmens passen.

Interesse geweckt?

Sie möchten wissen, wie weit Ihr Unternehmen auf dem Weg zur ISO 27001-Zertifizierung tatsächlich ist? Unsere Gap-Analyse für ISO 27001 verbindet die Prüfung des Anwendungsbereichs mit einer strukturierten Bewertung der Normanforderungen und Ihrer heutigen Arbeitsweise.

Danach wissen Sie, was schon trägt, wo kleine Ergänzungen fehlen und an welchen Stellen noch echte Aufbauarbeit notwendig ist.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.