Kurzdefinition: Eine Gap-Analyse vergleicht den Ist-Zustand der Informationssicherheit mit einem Soll — den Anforderungen des § 30 BSIG, einer Norm wie ISO/IEC 27001 oder internen Zielen. Das Ergebnis ist eine priorisierte Liste der Lücken, die zu schließen sind.
Was ist eine Gap-Analyse?
Ein strukturierter Soll-Ist-Vergleich. Sie erhebt, welche Anforderungen bereits erfüllt sind und wo Lücken bestehen — die „Gaps“, die den Handlungsbedarf markieren.
Wozu dient sie?
Zur Standortbestimmung und Priorisierung. Sie zeigt, wo das Unternehmen gegenüber den Pflichten oder Zielen steht und welche Maßnahmen mit welcher Dringlichkeit nötig sind.
Wann führt man sie durch?
Am Anfang eines Sicherheitsprogramms und bei wesentlichen Änderungen — etwa neuen gesetzlichen Anforderungen wie der NIS-2-Umsetzung oder nach größeren Umstrukturierungen.
Wie hängt sie mit Compliance-Schulden zusammen?
Direkt. Die Gap-Analyse macht aufgelaufene, unerfüllte Pflichten sichtbar — die Compliance-Schulden — und schafft die Grundlage, sie geordnet abzutragen.
Was folgt auf die Gap-Analyse?
Ein Maßnahmenplan. Die identifizierten Lücken werden priorisiert, mit Verantwortlichen und Fristen versehen und in ein Umsetzungsprogramm überführt.
Häufige Fehlannahmen
- „Eine Gap-Analyse ist Selbstzweck.“ Nein. Sie muss in einen Maßnahmenplan münden.
- „Sie zeigt nur, was fehlt.“ Auch, was schon erfüllt ist — beides ist wichtig.
- „Einmal reicht.“ Nein. Bei neuen Anforderungen ist sie zu wiederholen.
- „Sie ersetzt die Umsetzung.“ Nein. Sie bereitet sie nur vor.
- „Nur Große brauchen sie.“ Nein. Auch kleine Einrichtungen profitieren von der Standortbestimmung.
Was die Geschäftsleitung tun sollte
- Soll definieren. Anforderungen (§ 30 BSIG, Norm) festlegen.
- Ist erheben. Den aktuellen Zustand strukturiert erfassen.
- Lücken priorisieren. Nach Risiko und Dringlichkeit ordnen.
- Umsetzen. In einen Maßnahmenplan überführen.
Für die Geschäftsleitung
Eine Gap-Analyse ist der erste Schritt zu belegbarer Compliance: Sie macht die Lücke zwischen Pflicht und Wirklichkeit sichtbar und priorisierbar — und verhindert, dass Compliance-Schulden unbemerkt auflaufen.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
